E-03109-2014

1/5 Expediente Nº: E/03109/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la JUNTA DE CASTILLA Y LEON - CONSEJERIA DE SANIDAD, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de abril de 2014, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que declara lo siguiente: En las bases de datos de SACYL (Salamanca) han modificado sus datos sin consentimiento. Tiene su domicilio en CABRERIZOS (Salamanca) desde principios del año 2008. Con fecha 18 de diciembre de 2008 se le dio de baja en la base de datos de tarjeta sanitaria y se le traslada a la Comunidad Autónoma de Andalucía, lo mismo sucedió en el año 2009 y en el año 2011 y a principios del año 2014. Con fecha 9 de abril de 2014, remitió un escrito, del que aporta copia, a la Gerencia de Atención Primaria de Salamanca, solicitando información sobre estos hechos. Con fecha 11 de abril de 2014, recibe contestación a su escrito, de la que aporta copia, donde le informan que los cambios que constan en la Base de Datos de Tarjeta Sanitaria corresponden a cambios de domicilio realizados por él y que en ningún momento han afectado a la prestación de la asistencia sanitaria. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 17 de noviembre y 10 de diciembre de 2014, LA GERENCIA DE ATENCION PRIMARIA DE SALAMANCA DEL SACYL, ha remitido a esta Agencia la siguiente información: 1. Una vez realizadas las consultas a los datos del Sistema Nacional de Salud, se comprueba que en relación con el denunciante se han producido altas y bajas en Tarjeta Sanitaria desde el año 2006, como consecuencia del traslado de dicho usuario a la Comunidad Autónoma de Andalucía, produciéndose cambios en los datos de Tarjeta Sanitaria de manera consecutiva a los cambios de domicilio realizados por el usuario. 2. Aportan copia impresa de dichos datos ordenados cronológicamente desde el 2 de octubre de 2006 a 6 de marzo de 2014, con una aclaración terminológica de los códigos de prestación de servicio de Comunidad Autónoma y de los Códigos de Provincia, indicando los valores a los que corresponden a los códigos en los que se producen modificaciones: 17 (Castilla-Leon), 4 (Andalucía), 37 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 (Salamanca), 11 (Cádiz). 3. Según dicha información en agosto de 2008, la tarjeta sanitaria correspondiente al denunciante se da de alta en Cádiz, en marzo de 2009 se modifica y se da de alta en Salamanca, en Octubre de 2010 se vuelve a modificar y se da de alta en Cádiz, en Marzo de 2011 se modifica otra vez a Salamanca, en Febrero de 2014 de nuevo se da de alta en Cádiz y en Marzo de 2014, se vuelve a modificar a Salamanca. 4. Aportan copia de la reclamación presentada por el denunciante con fecha 6 de marzo de 2014, en la que pone de manifiesto el cambio a la Comunidad de Andalucía por segunda vez. Así mismo aportan copia del escrito de contestación a la reclamación de fecha 11 de abril de 2014, que coincide con el aportado a esta Agencia por el denunciante. 5. Respecto a la documentación que se requiere en el caso de que sea el propio interesado el que solicite el cambio, informan de que hasta el año 2007, las solicitudes se realizaban a través de un formulario, del que se conservaba una copia archivada. A partir del año 2007 se implanta una nueva aplicación de “Tarjeta Sanitaria”, y una vez identificado el usuario mediante D.N.I. o Tarjeta Sanitaria, se procede a realizar el cambio en el sistema. 6. No obstante, sin que haya una solicitud expresa del usuario, las modificaciones por cambio de Comunidad Autónoma, se realizan solo cuando un usuario solicita asistencia sanitaria en uno de los Centros de Salud de Castilla-Leon, se le da de alta. 7. Así mismo, los cambios de domicilio por cambio de Comunidad Autónoma causan alta en el Centro de destino y baja en el Centro de procedencia, ya que para se pueda realizar una asistencia sanitaria de carácter ordinario, a demanda o programada, es necesario que los datos administrativos de tarjeta sanitaria del usuario estén dados de alta en el Centro de Salud donde se solicita la atención, y en caso contrario se procede al alta de dichos datos. 8. De esta forma, cuando un usuario que requiere asistencia sanitaria, causa alta en la Base de Datos de tarjeta de otra Comunidad Autónoma, automáticamente causa baja en la Base de Datos de Tarjeta de la Comunidad Autónoma de origen. 9. Por lo expuesto, entienden que cada vez que el denunciante ha acudido a algún Centro Sanitario de la Comunidad Autónoma de Andalucía, ha causado alta en esa Comunidad y consecuentemente baja en la Comunidad Autónoma de Castilla-Leon, con posterioridad, cada vez que ha regresado a Comunidad Autónoma de Castilla-Leon, ha sido necesario actualizar sus datos, procediendo a darse de alta en su centro de salud perteneciente al Equipo de Atención Primaria Periurbana Norte. 10. Por otra parte, informan de que el Servicio de Salud de Castilla y León no exige la presentación del Certificado de Empadronamiento para la asignación de médico, por tanto, independientemente de que el usuario esté o no empadronado en la localidad donde tiene asignado el médico, a la hora de actualizar sus datos, cada vez que regresa a esa Comunidad Autónoma, tiene que acudir a su Centro de Salud para actualizarlos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en que en las bases de datos del SACYL modifican sus datos sin consentimiento. El principio del consentimiento consagrado en el artículo 6.1 de la LOPD, dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos de carácter personal sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos de carácter personal los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos, como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. El artículo 7.3 señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
2. h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por último, indicar que el artículo 8 de la LOPD, relativo exclusivamente a los datos de salud, establece lo siguiente: “Sin perjuicio de lo que dispone el artículo 11 respecto a la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” IV El SACYL ha indicado durante las actuaciones previas de investigación que los cambios de domicilio se producen cuando se solicita atención médica en una Comunidad Autónoma distinta. El denunciante, desde el año 2006 hasta el año 2014, ha recibido asistencia sanitaria en dos Comunidades Autónomas: Castilla y León y Andalucía. Los cambios en el domicilio de la tarjeta se producen automáticamente en el momento en que acude a un Centro de Salud de Andalucía, sin tener en cuenta el lugar dónde esté empadronado. El artículo 7.6 de la LOPD establece lo siguiente: “No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.” El tratamiento de datos del denunciante al acudir a un Centro sanitario a recibir asistencia, encuentra habilitación en lo referente al consentimiento, así como en lo establecido en el artículo 7.6 de la LOPD; así como los cambios en los domicilios de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 tarjeta sanitaria en el mismo apartado, en relación con la gestión de los servicios sanitarios. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a JUNTA DE CASTILLA Y LEON CONSEJERIA DE SANIDAD, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es