E-02659-2016

1/6 Expediente Nº: E/02659/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el HOSPITAL UNIVERSITARIOY POLITECNICO LA FE, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de mayo de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que denuncia a Don B.B.B., que trabaja como Jefe de Sección en el Hospital La Fe. Expone lo siguiente: El denunciante suscribió contrato de arrendamiento con la esposa del denunciado (B.B.B.), con fecha de 4 de julio de 2009, y con fecha de 14 de julio de 2015 se procedió a la resolución del contrato. Durante dicho periodo de tiempo se producen problemas entre el denunciante y el arrendador. El 4 de abril y el 10 de octubre de 2014 el denunciante fue objeto de intervención quirúrgica en el Hospital Universitario y Politécnico La Fe de Valencia (en adelante Hospital La Fe) en el que trabaja el denunciado como Jefe de Sección de traumatología. Que el denunciante tiene conocimiento de que los días 27 de abril y 25 de mayo de 2015 se producen accesos por parte del denunciado a sus datos personales a los ficheros del hospital que considera que es una intromisión ilícita y falta de confidencialidad en el tratamiento de sus datos personales. Que el día 1 de junio de 2015 el denunciado accede a la historia clínica de la madre del denunciante (C.C.C.) lo que supone una reiteración en la conducta continuada de agresión a la intimidad del denunciante y sus familiares. Que según el denunciante los hechos tuvieron lugar: en el periodo comprendido entre el 27 de abril y el 1 de junio de 2015. Con el escrito de denuncia se aporta, entre otros, la siguiente documentación:  Contrato de arrendamiento de vivienda suscrito entre el denunciante y la arrendadora con fecha de 4 de julio de 2009. Diversa documentación intercambiada entre la arrendadora y el arrendatario.  Relación de accesos a la historia clínica del denunciante nº ***NÚM.1, desde enero de 2013 hasta mayo 2015, del Hospital La Fe en el que constan, entre otros, los siguientes: Persona que accede: denunciado Cargo profesional: Jefe de sección de trauma Fecha de acceso: 27/04/2015 12:35 Persona que accede: denunciado Cargo profesional: Jefe de sección de trauma Fecha de acceso: 25/05/2015 08:51  Relación de accesos a la historia clínica nº ***NÚM.2 (madre del denunciante), desde octubre de 2010 hasta enero de 2016, del Hospital La Fe en el que consta, entre otros, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Persona que accede: denunciado Cargo profesional: Jefe de sección de trauma Fecha acceso: 01/06/2015 08:38 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La Directora Médica del Hospital La Fe ha comunicado a la Inspección de Datos, con fecha de 29 de diciembre de 2016, en relación con los accesos a las historias clínicas del denunciante y de su madre por parte del Jefe de Sección lo siguiente: Tal y como queda expuesto en el informe que se acompaña: “el acceso a las historias clínicas de ambos pacientes se debe considerar como revisiones adecuadas, consensuadas por el jefe de servicio y de común acuerdo con los facultativos especialistas, directamente adscritos a los pacientes indicados, con el fin de mejorar la asistencia a los mismos, prever complicaciones futuras y adecuar los periodos de tratamiento a los protocolos habituales en las patologías atendidas”. Significar que en la consulta de datos no se realizó ninguna actualización de la historia clínica de los pacientes. Añade la Directora Médica que no tienen constancia de irregularidad en el acceso a las historias clínicas de los dos pacientes. Se anexa: Informe del Jefe de Sección de Traumatología (denunciado) en el que se detalla lo siguiente: La descripción de los puestos de trabajo del Departamento de Salud de la Agencia Valenciana de Salud se detalla en el documento *********, entre los que se encuentra el del Jefe de Sección, siendo la misión del puesto la coordinación desde el punto de vista asistencial, docente y de investigación e informar al Jefe de Servicio, así como supervisión de los trabajos de facultativos especialistas, de enfermería, de auxiliares y de técnicos vinculados a la asistencia clínica. Entre otras funciones del Jefe de Sección destacan: aplicar la cartera de servicios y los protocolos de actuación, asistir a las sesiones clínicas y participar en la descripción de todos los pacientes, valoración de las historias clínicas consensuadas con el Jefe de Servicio de común acuerdo con los especialistas adscritos a los pacientes, proporcionar información sobre diagnósticos y tratamientos a pacientes y familiares, configurar el trabajo diario del personal, realizar informes clínicos y guías de tratamiento de las patologías. Por lo que las revisiones de las historias clínicas de los pacientes son consideradas adecuadas, para valoración por el Jefe de Servicio y de acuerdo con los facultativos especialistas, directamente adscritos a los pacientes con el fin de mejorar la asistencia, prever complicaciones futuras y adecuar los periodos de tratamiento a los protocolos. En cuanto a la posición jerárquica del hospital se estructura en: dirección médica, subdirección médica, jefe de servicio, jefe de sección, facultativos especialistas y médicos residentes. En el caso de los accesos a la historia clínica nº ***NÚM.1 (denunciante) por parte del denunciado la justificación es la siguiente: presentó una complicación que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 motivo una nueva intervención de movilización bajo anestesia, situación no frecuente, que explica su valoración externa. En el caso del acceso a la historia clínica nº ***NÚM.2 por parte del denunciado la justificación que manifiestan es la siguiente: la asociación de una fractura vertebral y una enfermedad metabólica de base aconseja un seguimiento puntual de su evolución. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
2. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
3. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. En este caso resulta evidente que no se está ante uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud de la denunciante. Por tanto corresponde al Hospital y al médico denunciado acreditar que contaba con ese consentimiento expreso del denunciante para el acceso a los datos personales contenidos en su historia clínica o que resultaban necesarios para el seguimiento de la enfermedad o la gestión de servicios sanitarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 III Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que el denunciado ha accedido a los datos contenidos en la historia clínica del denunciante y su madre para una finalidad de las previstas en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. Hay que reiterar la motivación facilitada por la Directora Médica del Hospital La Fe: “el acceso a las historias clínicas de ambos pacientes se debe considerar como revisiones adecuadas, consensuadas por el jefe de servicio y de común acuerdo con los facultativos especialistas, directamente adscritos a los pacientes indicados, con el fin de mejorar la asistencia a los mismos, prever complicaciones futuras y adecuar los periodos de tratamiento a los protocolos habituales en las patologías atendidas”. El hecho constatado del acceso, por parte del médico denunciado del Hospital Universitario La Fe, a los datos personales especialmente protegidos del denunciado y de su madre con justificación, tal y como establece la normativa de protección de datos y sectorial, no constituye infracción de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Don B.B.B., UNIVERSITARIOY POLITECNICO LA FE y a Don A.A.A.. al HOSPITAL De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es