1/11 Expediente Nº: E/04301/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante SACYL - HOSPITAL DEL BIERZO, en virtud de denuncia presentada por la Asociación El Defensor del Paciente (representada por Doña A.A.A.), y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de junio de 2016, tuvo entrada en esta Agencia un escrito remitido por la Asociación El Defensor del Paciente (representada por Doña A.A.A.), en el que declara que ha tenido conocimiento a través de una noticia de prensa, que acompaña, en la que figura el Hospital del Bierzo ha comunicado datos de numerosos pacientes con patologías respiratorias a la empresa Linde-Healtheare, la cual ha remitido cartas a los mismos, indicando que serán los encargados de realizar las pruebas diagnósticas pautadas por su especialista. Así mismo, en las citadas cartas, les informan de que el servicio será prestado dentro del propio Hospital. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 11 de octubre de 2016, se recibe escrito del Hospital del Bierzo, en el que informa que: La relación que existe entre la empresa Linde-Healthcare y el Hospital es de carácter contractual, mediante la cual Linde gestiona el servicio público de las prestaciones de terapia respiratoria domiciliaria y otras técnicas de ventilación asistida a cambio del abono de las tarifas adjudicadas. La prestación de este servicio data del 1 de julio de 2015 y fue adjudicado para toda la Comunidad Autónoma de Castilla y León. Este tipo de terapias son realizadas bajo indicación médica y supervisión del servicio de Neumología del Hospital, y como cualquier otro tratamiento, debe ser aceptado previamente por el paciente, lo cual implica necesariamente cesión de datos personales a la empresa y sus profesionales, en este caso enfermeros. Los datos cedidos son: Nombre y apellidos, dirección, número de historia y teléfonos de contacto. En ningún caso tienen acceso a ordenadores del Centro ni a claves para acceder a los historiales clínicos de los pacientes. Se adjunta Copia del contrato realizado entre la entidad y el Hospital del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Bierzo, de fecha 1 de julio de 2015, así como copia del resto de documentos que integran el mismo, en el que consta: OBJETO: Gestión del Servicio público de las prestaciones de terapia respiratoria domiciliaria y otras técnicas de ventilación asistida en el ámbito de la Comunidad Autónoma de Castilla y León. DOCUMENTOS QUE INTEGRAN EL CONTRATO: Pliego de Cláusulas Administrativas Particulares. Pliego de Prescripciones Técnicas La oferta del contratista. El presente contrato. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL: El contratista está obligado expresamente al cumplimiento de lo exigido en el pliego de cláusulas administrativas particulares respecto del tratamiento de los datos de carácter personal. El Pliego de Cláusulas Administrativas, en su apartado 9 denominado: PROTECCION DE DATOS DE CARÁCTER PERSONAL, regula lo establecido en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, con relación al acceso a datos por cuenta de terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Hay que señalar que la Asociación denunciante no acompaña ninguna prueba de las acusaciones formuladas. En esta Resolución se analizarán distintas cuestiones, bajo la perspectiva de la normativa de protección de datos. En primer lugar, referente al consentimiento por parte de los pacientes del Hospital del Bierzo, el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos, como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. El artículo 7.3 señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por último, indicar que el artículo 8 de la LOPD, relativo exclusivamente a los datos de salud, establece lo siguiente: “Sin perjuicio de lo que dispone el artículo 11 respecto a la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” III La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. IV En fecha 28 de febrero de 2010, el Gabinete Jurídico de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Protección de Datos, emitió un informe, solicitado por un centro hospitalario público, sobre la necesidad del consentimiento de los pacientes en el caso de ser atendidos en un centro privado, con el que mantenía un concierto para asistencia a los beneficiarios de la Seguridad Social. El informe nº 600/2009, indica lo siguiente: “Se plantea en primer lugar, si el consultante, centro médico privado que mantiene un concierto con la Administración de la Comunidad autónoma para asistencia a beneficiarios de la Seguridad Social, debe solicitar en cumplimiento de lo dispuesto en el apartado 6 de la Ley Orgánica 15/1999 el consentimiento inequívoco de sus pacientes para el tratamiento de sus datos tanto en la actividad pública como privada. El tratamiento y comunicación de datos de carácter personal, cuyo régimen aparece recogido con carácter general en los artículos 6 y 11 de la Ley Orgánica 15/1999, se encuentra, por vía de excepción, sometido a particulares restricciones en lo que a los datos de salud respecta, por el artículo 7 de la citada Ley Orgánica, cuyo apartado 3 establece como regla general que “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente”. Esta regla únicamente es matizada por la Ley Orgánica en sus artículos 7.6 y 8. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981, ratificado por España en fecha 27 de enero de 1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección. En este sentido, el artículo 8 de la Directiva 95/46/CE limita el tratamiento de datos a supuestos y finalidades concretos en los que será preciso el consentimiento, que además deberá ser expreso, del afectado o la necesidad del tratamiento con fines de asistencia sanitaria o atención de un interés vital del afectado. Esta cuestión ha sido especialmente analizada por el Grupo de Autoridades de Protección de Datos creado por el artículo 29 de la citada Directiva en su Documento de trabajo sobre el tratamiento de datos personales relativos a la salud en los historiales médicos electrónicos (Documento EP131), en el que se indica expresamente que “todos los datos contenidos en documentos médicos, en historiales médicos electrónicos y en sistemas de HME son “datos personales sensibles”. Por tanto, no sólo están sujetos a todas las normas generales sobre protección de datos personales de la Directiva, sino también a las normas sobre protección de datos especiales que rigen el tratamiento de la información sensible, contenidas en el artículo 8 de la Directiva”. En el Derecho español, establecida ya por el artículo 7.3 la regla general del consentimiento expreso para el tratamiento de los datos de salud, el artículo 7.6 establece en su párrafo primero que “podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 (datos de salud) de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 una obligación equivalente de secreto”. Igualmente, conforme al párrafo segundo del propio artículo 7.6, “También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento”. Por otra parte, el artículo 8 de la Ley Orgánica 15/1999 establece respecto a los datos de salud que “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad”. Por consiguiente, debe entenderse que el tratamiento de datos personales relativo a la salud será posible cuando exista consentimiento del interesado o en los supuestos a que hacen referencia los citados artículos 7.6 y 8 de la Ley Orgánica 15/1999. Ahora bien, debe tenerse en cuenta, como señala el citado el Grupo de Trabajo del artículo 29 en el aludido documento, en relación con el artículo 8 de la directiva, que tratándose de una excepción a la prohibición general de tratar datos sensibles, esta excepción deberá interpretarse de forma restrictiva”. De este modo, señala que dichas excepciones “cubre solamente el tratamiento de datos personales para el propósito específico de proporcionar servicios relativos a la salud de carácter preventivo, de diagnóstico, terapéutico o de convalecencia, y a efectos de la gestión de estos servicios sanitarios, como por ejemplo facturación, contabilidad o estadísticas. No se cubre el tratamiento posterior que no sea necesario para la prestación directa de tales servicios, como la investigación médica, el reembolso de gastos por un seguro de enfermedad, o la interposición de demandas pecuniarias. También quedan fuera del alcance de la aplicación del apartado 3 del artículo 8 otros tratamientos en áreas como la salud pública y la protección social, particularmente en lo relativo a la garantía de la calidad y la rentabilidad, así como los procedimientos utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen del seguro de enfermedad (…)” II Plantea el centro médico consultante, en segundo lugar, si necesita autorización del paciente para integrar en el sistema informático del servicio de salud de su comunidad autónoma, los datos sanitarios del paciente atendido en éste, que han sido originados como consecuencia de una asistencia privada prestada en su centro, al estar incorporados a una única historia clínica. El tratamiento de datos de las historias clínicas se encuentra regulado en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, cuyo artículo 14.1 consagra el principio de máxima integración de la misma, al disponer que “La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro”. En cuanto a su finalidad, el artículo 15.2 dispone que “La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”. Por su parte, los apartados 4 y 5 del artículo 17 vienen a reflejar la delimitación del responsable del fichero de historias clínicas, correspondiendo esta condición al centro sanitario en el que se produzca la asistencia sanitaria o al médico que ejerza la profesión de manera individual. Así, se dispone que: “4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. “5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen.” Por consiguiente, el centro sanitario consultante tiene, en relación con los pacientes que acuden al mismo, la condición de responsable del tratamiento de los datos que sean incorporados a sus historias clínicas, por lo que la comunicación de los datos de la historia clínica al Servicio de Salud de su comunidad autónoma constituirá una cesión de datos de carácter personal definida en el artículo 3
- i)de la Ley Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”, que solo cabe, por tratarse de datos de salud, como especifica el artículo 7.3 de la misma ley cuando “así lo disponga una Ley o el afectado consienta expresamente”. Debe así tenerse en cuenta que el párrafo primero del artículo 56 de la Ley 16/2003, de 28 mayo, de cohesión y calidad del Sistema Nacional de Salud, dispone que “Con el fin de que los ciudadanos reciban la mejor atención sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados con las comunidades autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el acceso a la historia clínica en los términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione.” En este mismo sentido, el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, recoge expresamente, sobre la base de la citada ley especial, la cesión de datos de salud en este supuesto en su artículo 10.5 disponiendo que “Los datos especialmente protegidos podrán tratarse y cederse en los términos previstos en los artículos 7 y 8 de la Ley Orgánica 15/1999, de 13 de diciembre” En particular, no será necesario el consentimiento del interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud. En el presente supuesto nos hallamos ante un centro privado concertado que no forma parte integrante del Sistema Nacional de Salud, aunque se encuentre vinculado con el mismo, así el artículo 44 de la Ley 14/1986, de 25 abril, General de Sanidad señala que “todas las estructuras y servicios públicos al servicio de la salud integrarán el Sistema Nacional de Salud”, añadiendo que “el Sistema Nacional de Salud es el conjunto de los Servicios de Salud de la Administración del Estado y de los Servicios de Salud de las Comunidades Autónomas en los términos establecidos en la presente Ley”. No obstante, el artículo 45 de la misma Ley 14/1986 establece que “el Sistema Nacional de Salud integra todas las funciones y prestaciones sanitarias que, de acuerdo con lo previsto en la presente Ley, son responsabilidad de los poderes públicos para el debido cumplimiento del derecho a la protección de la salud” y el artículo 90 habilita la celebración de conciertos con entidades sanitarias para la prestación de servicios. Sobre estas bases, esta Agencia ha concluido en informe de 5 de agosto de 2009 que “En consecuencia, aun no formando parte integrante del sistema Nacional de Salud, los centros concertados desarrollan acciones asistenciales directamente vinculadas con el sistema, pudiendo incluso entenderse que las mismas constituyen, en cuanto sea objeto de concierto, servicios propios del mencionado Sistema.” Por consiguiente, la incorporación a la historia clínica electrónica de los datos originados como consecuencia de una asistencia prestada al paciente en el marco del concierto que mantiene con el Servicio de Salud de la comunidad autónoma, constituiría una cesión de datos que resulta conforme con la Ley Orgánica 15/1999 por encontrarse amparada en el artículo 56 de la Ley 16/2002. En este sentido se pronuncia el Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica, de la Comunidad de Galicia que dispone en su artículo 3 “La historia clínica electrónica incorporará la información correspondiente al contenido previsto en el artículo 15 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y deberes en materia de información y documentación clínica, y en el artículo 16 de la Ley gallega 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes. Asimismo, incorporará la información clínica generada en aquellas actuaciones sanitarias derivadas de programas de salud pública, bajo el principio de integrar toda aquella información que pueda ser relevante para una mejor asistencia futura.” Igualmente, el mismo decreto establece en su artículo 5 que “En particular, no será necesario el consentimiento de la persona interesada para la comunicación de datos personales sobre la salud a través de medios electrónicos, entre organismos, centros, servicios y establecimientos de la Consellería de Sanidad, el Servicio Gallego de Salud y el sistema nacional de salud, cuando se realice para llevar a cabo la atención sanitaria de las personas, tanto se realice con medios propios o concertados.” En consecuencia la normativa estudiada determina la incorporación al sistema de intercambio electrónico de información clínica de los datos relativos a las asistencias prestadas a los pacientes en el marco de los servicios concertados, pero no extiende dicha obligación a los datos relativos a las asistencias privadas prestadas a sus pacientes por los centros concertados, sin perjuicio del cumplimiento de los deberes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 que respecto a la unidad de la historia clínica impone al centro médico consultante la Ley 41/2002.” V Durante las actuaciones previas de investigación se ha constatado que el Sistema Sanitario Público de la Comunidad Autónoma de Castilla y León, SACYL, publicó, el 12 de julio de 2014, un Pliego de cláusulas administrativas particulares que habrán de regir en la contratación de la gestión del servicio público de las prestaciones sanitarias de terapias respiratorias domiciliarias y otras técnicas de ventilación asistida en el ámbito de la Comunidad Autónoma de Castilla y León, en la modalidad de Concierto, mediante procedimiento abierto –Subasta Electrónica-. En dicho pliego aparece la Cláusula 9: Protección de Datos de Carácter Personal, en la que se establecen las obligaciones del adjudicatario respecto al tratamiento de datos personales. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado contrato entre el SACYL y Linde-Healthcare. En el Pliego de Cláusulas Administrativas se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad… El día 1 de julio de 2015, se firmó el Contrato administrativo de gestión del servicio público de las prestaciones de terapia respiratoria domiciliaria y otras técnicas de ventilación asistida a pacientes del SACYL. En el supuesto del Sistema Sanitario Público existe habilitación legal para concertar la realización de determinadas intervenciones o pruebas diagnósticas o prestación de servicios con centros sanitarios privados. La finalidad del tratamiento de los datos de los pacientes, en este caso, es prestar la asistencia domiciliaria de terapia respiratoria, por lo que no es necesario que presten el consentimiento para dicho tratamiento de datos, en este caso concreto por parte de Linde-Healthcare En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de los pacientes del Hospital del Bierzo por parte de Linde-Healthcare. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a SACYL - HOSPITAL DEL BIERZO, y a la Asociación El Defensor del Paciente (representada por Doña A.A.A.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es