1/3 Expediente Nº: E/02640/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES En relación a su escrito, de fecha 4 de febrero de 2015 referido, entre otras cuestiones, a la posible falta de medidas de seguridad en los ficheros de Fremap Tarancón a la vista del acta notarial de fecha 8 de abril de 2014 hay que indicar lo siguiente : El artículo 9 de la la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley. El artículo 44.3.
- h)de loa LOPD, tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. En este caso por lo recogido en el acta notarial de 8 de mayo de 2014 no se puede deducir que haya indicios suficientes para determinar que la empresa denunciada no adopte las medidas de seguridad establecidas por la normativa de protección de datos, pues de la lectura de dicha acta notarial se observa que las propias personas que indican ser personal administrativo de la empresa manifiestan que no pueden acceder a los historiales clínicos; y por otra parte las manifestaciones efectuadas sobre el registro de accesos no pueden considerarse relevantes en cuando las realiza personas que como se ha dicho anteriormente ni tienen acceso al historial clínico, y que remiten al personal informático de la empresa la pregunta referida al acceso a esos historiales ; e incluso la persona que posteriormente se presenta como superior jerárquico de dicha oficina manifiesta que Fremap Tarancón no puede a través de su personal administrativo , con las claves de los ordenadores que ellos tienen , entrar en las historias médicas y que para ello sería necesario proceder por un médico, que a su vez estuviera autorizado para entrar en los historiales de la clínica Ballester. Tampoco se puede determinar por dicha acta la falta de medidas de seguridad en el almacenamiento temporal de documentos ( documentos más recientes o de inmediata necesidad según le contestan ) en unos archivos pequeños que se encuentran en el lugar de la entrevista pues en la ya citada acta notarial no se recoge más información sobre el contenido de dichos archivos ni las medidas de seguridad que tienen. Por todo ello no se aprecia indicio suficiente que permita determinar una posible infracción a la normativa de protección de datos . Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es