1/5 Expediente Nº: E/04519/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la FUNDACION XXXX, en virtud de denuncia presentada por Doña G.G.G. y Don F.F.F., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de junio de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña G.G.G. y Don F.F.F., en el que exponen lo siguiente: En el mes de julio de 2011 su hijo es diagnosticado de una enfermedad de las denominadas raras, en el Hospital Sant Joan de Déu de Barcelona. A primeros del mes de junio de 2014, su hijo teclea su nombre en Google y aparece asociado a un documento realizado por la doctora C.C.C. titulado “Miopatías Mitocondriales de origen nuclear”, que utilizó y expuso públicamente en la conferencia del día 22 de febrero de 2014, en el “Encuentro familias enfermedades Neuromusculares”, en el Hospital Sant Joan de Déu. No obstante dicha doctora nunca ha tratado a su hijo. Dicho documento se encuentra en Internet en la fecha de la denuncia con motivo de una conferencia que dio en Burgos en noviembre de 2013, en la página: www.fundacion..... Durante el transcurso de las pruebas realizadas a su hijo, E.E.E., dieron el consentimiento para la utilización de los resultados de las mismas para ser utilizados en investigación, pero nunca para hacerlos públicos. Entienden que el Hospital ha puesto a disposición de la Fundación y de la citada doctora información de su hijo sin su consentimiento. Se adjunta la siguiente documentación: Imagen de la página web, buscador Google, con el nombre de su hijo Detalle de la citada página donde aparece publicado el documento. Impresión de pantalla de la diapositiva difundida en Internet que corresponde a la referencia directa de su hijo, con una patología, donde aparece su nombre y apellidos junto con otras once personas. Imagen de youtube donde la citada doctora, en representación del Hospital, imparte una conferencia en noviembre de 2013 en Burgos sobre dichas enfermedades. Impresión del documento entero donde aparecen los datos de los afectados, asociados a las diferentes enfermedades Neuromusculares. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 14 de julio de 2014, se realiza una consulta a través de Internet en la página web www.fundacion........., comprobándose la existencia de un documento pdf. ubicado en la dirección . Donde aparecen los datos del hijo de los denunciantes. No obstante realizada nueva búsqueda en la misma dirección con fecha 12/01/2015, se verifica que dicha información ha sido retirada. Se adjuntan, mediante Diligencia, impresiones de pantalla de la información recabada. 2. Con fecha 12/01/ 2015, se accede a través de Internet a la página www.youtube.com, haciendo una búsqueda mediante el nombre ........., constatando la existencia de un Video-Presentación de la citada Doctora, no obstante se verifica que la diapositiva con datos personales, se había retirado. Se adjunta a estas Actuaciones impresiones de pantalla, mediante Diligencia. 3. Con fecha 17 de abril de 2015, se recibe mediante correo electrónico, contestación de la Fundación XXXX, en el que ponen de manifiesto: 3.1. La Fundación tuvo relación con la Dra. C.C.C., con motivo de la celebración del “I Encuentro Nacional de Familias con niños enfermos mitocondriales”, que se celebró del 12 al 16 de noviembre de 2013 en el Centro de Referencia Estatal de Atención a Personas con Enfermedades Raras y sus Familias (CREER) en Burgos, en la que fue ponente de la conferencia denominada “Origen nuclear enfermedades mitocondriales”. 3.2. Actualmente ya no pertenece al grupo de doctores con los que trabaja la Fundación. 3.3. La Fundación, en la actualidad, no dispone de ninguna información relativa a E.E.E.. 3.4. El titular de la página donde aparecieron los datos personales es la Fundación. Con relación a la Presentación de dicha doctora, días antes de la misma, se le solicitó que enviara un documento con la ponencia que iba a realizar. Posteriormente, se le solicitó su aprobación para la publicación de la ponencia en dicha web. 3.5. Durante el mes de julio de 2014, la doctora C.C.C. contactó con la Fundación, para preguntar si disponía de algún dato de E.E.E., fue en ese momento cuando se visionó el video de su ponencia, y se constató que no aparecía ninguna información sobre el menor. No obstante, se procedió a la revisión del PDF, enviado por la doctora, el cual estaba colgado en su página web y constataron que se había incluido una diapositiva (la numero 43), en la que aparecían datos personales y que no aparecía en la presentación de su ponencia. 3.6. La doctora C.C.C., debido a un error, no eliminó dicha diapositiva, y la Fundación no se percató de este hecho, antes de la publicación. No obstante ya ha sido eliminada cualquier información relativa al afectado. 3.7. La Fundación, no ejerció el derecho de información y obtención del consentimiento, dado que únicamente fue cesionaria involuntaria de los datos del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 TERCERO: La Autoridad Catalana de Protección de Datos trasladó a esta Agencia, en fecha 04/06/2014, la denuncia formulada por la Sra. G.G.G. y el Sr. F.F.F. contra la Fundación Ana Carolina Díez Mahou. En ese mismo escrito de denuncia, también se denunciaba al Hospital Sant Joan de Déu –respecto al cual, dicha Autoridad inició una fase de información previa, y posteriormente un procedimiento sancionador -PS 43/14- por una presunta vulneración de deber de secreto al considerar que el Hospital había filtrado algunos datos personales –concretamente, datos de salud contenidos en la página 43 del documento en formato pdf titulado “Miopatías Mitocondriales de Origen Nuclear de la Unidad de Patologia Neuromuscular-Servicio de Neuropediatría del Hospital de Sant Joan de Déu” - datos todos ellos que fueron objeto de publicación a través del enlace de la web de la Fundación A.A.A. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Tras las actuaciones previas de investigación realizadas, se ha constatado que la Doctora Doña D.D.D. es investigadora de la Unidad de Enfermedades Neuromusculares del Hospital Sant Joan de Deu de Barcelona. Como tal, fue invitada a participar en el I Encuentro Nacional de Familias con Niños enfermos mitocondriales, organizado por la Fundación XXXX, entre otras entidades que participaron. Se le solicitó la ponencia que iba a realizar y el consentimiento para publicarla en la web de la mencionada Fundación. El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Tras solicitar información a la Fundación Ana Carolina Díez Mahou, ha indicado que organizaron el Encuentro Nacional de Familias con niños enfermos mitocondriales y solicitaron las ponencias a los participantes, así como el consentimiento para que se pusieran en la página web de la Fundación. El artículo 5.1.
- q)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece lo siguiente: “
- q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente.” La Fundación Ana Carolina Díez Mahou no decidió el tratamiento de los datos del menor, fue la investigadora del Hospital Sant Joan de Deu la que elaboró y autorizó que se hiciese pública su ponencia; asimismo ella eliminó los datos personales del menor objeto de denuncia. A esta fundamentación, debemos añadir que los hechos denunciados han sido sancionados por la Autoridad Catalana de Protección de Datos, que tras finalizar una fase de información previa, instruyó un procedimiento sancionador -PS 43/14- por una presunta vulneración de deber de secreto al considerar que el Hospital había filtrado algunos datos personales –concretamente, datos de salud contenidos en la página 43 del documento en formato pdf titulado “Miopatías Mitocondriales de Origen Nuclear de la Unidad de Patologia Neuromuscular-Servicio de Neuropediatría del Hospital de Sant Joan de Déu” - datos todos ellos que fueron objeto de publicación a través del enlace de la web de la Fundación A.A.A.. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la FUNDACION XXXX, al HOSPITAL SANT JOAN DE DEU, a la Autoritat Catalana de Proteccio de Dades, y a Doña C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 G.G.G. y Don F.F.F.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es