1/4 Expediente Nº: E/02618/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CLÍNICA DENTAL TAPIAS, S.L., en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: En la Resolución R/00926/2014, de fecha 30 de abril de 2014, consecuencia del expediente de Tutela de Derechos TD/2005/2013, iniciado a instancia de Doña B.B.B. contra CLINICA DENTAL TAPIAS, S.L., se instó a la apertura de las presentes actuaciones al objeto de que se determinase la existencia de posibles infracciones en materia de protección de datos como consecuencia de que al responder al ejercicio del derecho de acceso ejercido por Doña B.B.B. ante la CLINICA DENTAL TAPIAS, SL, ésta hubiere facilitado un CD conteniendo una fotografía de un TAC perteneciente a un tercero. Consta en las actuaciones copia de dicho CD en el que figura una fotografía de lo que parece ser un TAC correspondiente a Doña M.R.R. realizado por RADIOLOGIA DENTAL 3D PUERTA DEL SUR. La fotografía aportada se encuentra desenfocada no pudiendo apreciarse con buena calidad los datos personales incluidos en ella. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se constata en la inspección que tanto Doña B.B.B. como Doña M.R.R. son pacientes de CLINICA DENTAL TAPIAS, S.L., por lo que ambas poseen historia clínica en dicha entidad. 2. Se constata la existencia, en la historia clínica de Doña M.R.R. en dicha clínica, de un TAC asociado a dicha paciente, realizado en la clínica externa RADIOLOGIA DENTAL 3D PUERTA DEL SUR. Hay que señalar que la fotografía aportada por Doña B.B.B. de dicho TAC se encuentra desenfocada lo que hace difícil leer la información contenida en ella tal como por ejemplo la edad o la fecha o el nombre y apellidos, si bien parece que coincide con el TAC encontrado en la historia clínica de Doña M.R.R. en la CLINICA DENTAL TAPIAS, S.L. 3. Ante la aparente coincidencia de la fotografía del TAC aportada por Doña B.B.B. con el TAC encontrado en la historia clínica de Doña M.R.R., en la CLINICA DENTAL TAPIAS, S.L., la doctora Doña A.A.A. manifestó durante la inspección que Doña B.B.B. fue cliente de CLINICA DENTAL TAPIAS, S.L., y ejerció su derecho de acceso en octubre de 2013 siendo entregada copia de su historia clínica en soporte CD en fecha de 12 de noviembre de 2013. Con posterioridad a dicho ejercicio, Doña C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 B.B.B. manifestó su disconformidad con la información entregada, alegando que solicitaba el original de un TAC 3D que afirmaba ser de su propiedad al haber sido aportado por ella misma y realizado en otro establecimiento. Tras comprobar la Clínica la veracidad de lo reclamado por Doña B.B.B. volvió a citar a la paciente, en fecha de 28 de noviembre de 2013, para hacerle entrega del TAC original solicitado. La Doctora A.A.A. reconoce que en el CD entregado a Doña B.B.B. se incluyó, por error, una fotografía de una TAC correspondiente a la paciente Doña M.R.R. ya que también había presentado un TAC realizado por una clínica externa. De dicho error se ha informado a la paciente Doña M.R.R. una vez se tuvo constancia de del mismo hace ya un año, siguiendo dicha paciente siendo clienta de la clínica. De hecho, se la ha realizado un presupuesto en fecha de 21/10/2014. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. En el caso que nos ocupa, la Clínica Dental A.A.A., S.L., es responsable del fichero en el que constan los datos de sus clientes y pacientes, así como de la custodia de la documentación relativa a los mismos. La Agencia Española de Protección de Datos sancionó un supuesto de vulneración del deber de secreto, siendo recurrida la Resolución ante la Audiencia Nacional, que estimó el recurso, en Sentencia de 22 de octubre de 2009, fundamentándolo en lo siguiente: “A la hora de valorar si se ha producido infracción del deber de secreto, hay que partir de que este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, relativos a la estancia de los clientes en una residencia de ancianos, no pueden ser conocidos por ninguna persona o entidad ajena a la relación contractual fuera de los casos autorizados por ley, pues en eso consiste precisamente el secreto. Esta Sala tiene establecida la necesidad de que se produzca una efectiva revelación para que se cometa la infracción imputada a la recurrente. Sobre la exigencia de que se produzca revelación efectiva esta Sala parte de la necesidad de que aunque se cometa una determinada conducta que pudiera dar lugar a la revelación de secretos, si está, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 efectivamente no se produce, no es posible sancionar por la revelación de secretos. En la sentencia correspondiente al recurso 500/2008 se recoge la doctrina sobre esta cuestión exponiendo como (el supuesto era el de una remisión de correspondencia en sobre con ventanilla transparente que permiten ver parte del contenido) lo relevante es que se haya producido efectiva revelación de datos y que si dicha revelación no se ha producido, no existe infracción. En forma parecida, las sentencias dictadas en el recurso 395/2007 y aquellas que cita (recursos 295/2006 y 377/2005) no permiten entender que se produzca revelación de secretos por la simple remisión de documentación a la persona distinta de la interesada si no se ha acreditado que se haya producido efectiva revelación de datos. En la sentencia correspondiente al recurso 205/2008 se dijo que "aunque, es cierto que la documentación no estuvo correctamente custodiada y no era razonable que las historias clínicas viajaran en un camión con el resto de escombros de la demolición de un hotel, la realidad es que ninguna violación del secreto se ha producido y nadie ha llegado a tener noticia de la documentación clínica que, al parecer, sigue custodiada en las cajas en cuestión cuya fotografía ha aportado la parte recurrente". Es decir, para que se produzca la infracción de vulneración del deber de secreto tiene que producirse una revelación de datos a un tercero. La LOPD establece, en el artículo 2.1, su ámbito de aplicación: “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Es en el artículo 3.
- a)de la LOPD donde se define dato personal: “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
- o)del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, define como persona identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Los artículos antes citados excluyen del ámbito de protección de la LOPD aquellos datos referidos a personas físicas que no puedan ser identificadas. Del análisis de la documentación aportada por la denunciante se desprende que una fotografía que se incluyó en el CD al facilitarle el acceso a sus datos personales, corresponde a un TAC de otra paciente, si bien está desenfocada la imagen y no se puede leer el nombre de la paciente, edad y fecha de la realización de la prueba; estando desenfocada, asimismo, la imagen de los dientes. En consecuencia, y en este supuesto concreto, no se puede acreditar la vulneración del deber de secreto de datos personales, ya que la imagen facilitada a la denunciante correspondía al resultado de un TAC de otra persona, pero se entregó desenfocada y no se apreciaban con claridad los datos personales ni el estado de la dentadura. Ello no excluye la obligación de la Clínica de extremar las cautelas necesarias al facilitar el acceso a sus clientes evitando que se faciliten datos personales a un tercero. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la CLÍNICA DENTAL TAPIAS, S.L., y a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es