E-02589-2016

1/5 Expediente Nº: E/02589/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERIA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, en virtud de denuncia presentada por la Asociación El Defensor Del Paciente, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de abril de 2016, tuvo entrada en esta Agencia un escrito remitido por la Asociación El Defensor Del Paciente, en el que manifiesta que en el pleno de las Cortes de Castilla y León ha podido tener lugar una posible violación de datos de pacientes, ya que consideran que los datos clínicos son protegidos, y no pueden ser dados en ningún foro sin permiso expreso de pacientes o familiares. Que según la denunciante tuvieron lugar los hechos a fecha de: 21 de marzo de 2016 Con el escrito de denuncia se aporta un correo electrónico remitido, desde la dirección < A.A.A.> a <defensora@telefonica.net>, el día 22 de marzo de 2016, en el que informa que en las Cortes de Castilla y Leon dieron datos de enfermos de cáncer como: “............................”. También se facilita en el escrito de denuncia una dirección del sitio web del Diario .......... en el que supuestamente se acreditan los hechos denunciados: http://www................... En dicho artículo titulado “XXXXXXXX”, explica en la Comisión de Sanidad la investigación realizada por su área, en el que se detalla, entre otros, lo siguiente: “El director general de Salud Pública de la Consejería de Sanidad, confirmó ayer en la Comisión de Sanidad, en respuesta a una pregunta del procurador del Partido Popular, que no existen datos médicos ni ambientales que permitan asegurar que .............. Las primeras conclusiones, tal y como ya se explicó recientemente a la prensa y a los vecinos de Pan y Guindas, dejaban claro que no había cinco casos de cáncer sino tres; y que los tres eran diferentes entre sí. Se trata de tumores de distinta filiación, ya que cuando hablamos de cáncer, hay que tener en cuenta que bajo esa palabra hay más de 200 enfermedades (…). La acumulación de tres casos de cáncer de ............. responde solo a la estadística (…)”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El Director General de Salud Pública ha informado a esta AEPD que la difusión en los medios de comunicación de la posible existencia de casos de cáncer de ......... en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 la zona de .............., motivó una pregunta parlamentaria para su respuesta en la Comisión de Sanidad sobre las acciones realizadas por la Consejería de Sanidad cuya contestación la realizó el citado Director General. Tal y como consta en la transcripción de la comparecencia, obrante en el diario de Sesiones de las Cortes de Castilla y León, el Director General hizo referencia a los 5 casos estudiados con el número asignado a cada uno (caso 1, caso 2, caso 3, etc.) y proporcionó los datos mínimos necesarios para dar una información epidemiológica fundada y coherente con el motivo específico de su comparecencia. De cada caso, se informó sobre el sexo, la edad, los hábitos de riesgo, en su caso, y del resultado de la enfermedad. Datos desagregados que no permiten identificar a las personas a las que se refieren. Se adjunta Diario de Sesiones de las Cortes de Castilla y León de la Comisión de Sanidad, .............................. El acceso a las historias clínicas es necesario para la realización del estudio epidemiológico del caso y está permitido expresamente para esos fines por la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, cuando en su artículo 16.3 establece que “Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a /as que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos”. Asimismo, no tienen constancia de que en la Comisión de Sanidad se hubiera producido violación del derecho de confidencialidad de datos de salud ni les consta irregularidad en el acceso a las historias clínicas ni de que la Asociación El Defensor del Paciente hubiera presentado denuncia o reclamación ante la Consejería de Sanidad. Por otra parte indican que la Fiscalía Provincial de XXXX abrió diligencias informativas civiles nº **/2016, como consecuencia de un correo electrónico remitido por la Asociación El Defensor del Paciente, en el que trasladaba la preocupación de un familiar de uno de los fallecidos por cáncer de .........; pero, por decreto de 27 de abril de 2016, acordó el archivo de las diligencias por considerar que de las actuaciones llevadas a cabo por la autoridad sanitaria no se observan incidencias reseñables, ni que aconsejen la adopción de medidas. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la posible vulneración del deber de guardar secreto sobre los datos personales de salud en el Pleno de las Cortes de Castilla y León, Comisión de Sanidad, celebrado el día 21 de marzo de 2016, por parte del Director C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 General de Salud Pública de la Consejería de Sanidad. El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En la transcripción de la comparecencia, obrante en el diario de Sesiones de las Cortes de Castilla y León, el Director General hizo referencia a los 5 casos estudiados con el número asignado a cada uno (caso 1, caso 2, caso 3, etc.) y proporcionó los datos mínimos necesarios para dar una información epidemiológica fundada y coherente con el motivo específico de su comparecencia. De cada caso, se informó sobre el sexo, la edad, los hábitos de riesgo, en su caso, y del resultado de la enfermedad. Se facilitaron datos desagregados o anonimizados que no permiten identificar a las personas a las que se refieren. III El artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, ha detallado las definiciones, determinando lo siguiente sobre datos personales y datos disociados: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. Dato disociado: aquél que no permite la identificación de un afectado o interesado. En el ámbito de la protección de datos personales suelen distinguirse tres categorías de datos, en atención, en atención a la posibilidad de identificación de la persona de la que provienen los datos, siguiendo los criterios recogidos en la Directiva 95/46: 1. Los datos relativos a personas identificadas, que son aquellos datos que aparecen vinculados con la persona respecto de la que aportan información. 2. Los datos relativos a personas identificables: se trata de datos que no se asocian directamente a una persona determinada, puesto que ésta no aparece identificada o no existe una vinculación entre datos y persona, pero es fácil vincular esos datos a la persona a la que se refieren por diferentes procedimientos, en general técnicos, y, en principio, fácilmente realizables. 3. Los datos anónimos o anonimizados irreversiblemente: son aquellos datos respecto de los que no es conocida la identidad de la persona a la que se refieren ni es posible su identificación, bien porque dichos datos fueron recogidos de este modo, bien porque aunque fueran recogidos junto con la identificación de la persona, han sido transformados con posterioridad en anónimos. La consecuencia es que la normativa de protección de datos es aplicable a los dos primeros grupos de datos pero no a los anónimos. De la documentación aportada por el denunciante y la obtenida por la Inspección de Datos se comprueba que la información facilitada por el Director General de Salud Pública se refería a pacientes cuyos datos se habían anonimizado, por lo que su comunicación no vulnera el artículo 10 de la LOPD. IV En cuanto al acceso a las historias clínicas para la obtención de la información que se comunicó en la Comisión de Sanidad, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16.3 establece que “Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a /as que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Administración que solicitase el acceso a los datos”. En ese marco es en el que se realizaron los accesos a las historias clínicas de los pacientes cuyos casos fueron objeto de estudio e información en la mencionada Comisión. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la CONSEJERIA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, y a la Asociación El Defensor Del Paciente De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es