1/4 Expediente Nº: E/04530/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Clínica Tambre, Dr. XXXXXXXXXXX, S.L., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de mayo de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que declara lo siguiente: Ha recibido en su domicilio dos facturas de la CLINICA TAMBRE (Dr. XXXXXXXXXXX S.L.), sin haber estado nunca en la citada Clínica. DOCUMENTACION APORTADA: Copia de las facturas emitidas por la CLINICA TAMBRE, de fechas 9 de abril y 24 de abril de 2013, donde constan el nombre, apellidos y domicilio de la denunciante y su N.I.F. Copia del escrito recibido de la CLINICA TAMBRE, con fecha 16 de mayo de 2013, en el que le informan de que ignoran la causa por la que ha recibido las citadas facturas, ya que no disponen de sus datos en sus ficheros, por lo que según manifiestan, en su caso, se trata de un error. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En la inspección realizada en la CLINICA TAMBRE -DR. XXXXXXXXXXX, S.L., en relación con los hechos denunciados, se ha puesto de manifiesto lo siguiente:
- En el fichero de CLIENTES de la CLINICA se ha realizado una consulta del nombre y apellidos de la denunciante, comprobando que existe una paciente cuyos datos de nombre y apellidos coinciden con los de la denunciante, pero su número de D.N.I. es diferente y su domicilio también.
- En el fichero de FACTURACION de la CLINICA, se han realizado las siguientes comprobaciones: a. No consta ningún cliente ni factura asociado al número de D.N.I. de la denunciante. b. Las facturas con números ***FACTURA.1 y ***FACTURA.2 (cuya copia ha sido aportada por la denunciante) constan en el fichero emitidas a nombre de otra persona con domicilio en Madrid y sus importes coinciden con los que figuran en las aportadas por la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4
- A la vista de éstas comprobaciones, la representante de la CLINICA, manifiesta que no se ha podido emitir una factura a nombre de una persona, cuyos datos no constan en el fichero de facturación y que los números de las facturas son únicos, no pudiendo emitirse dos facturas con el mismo número ya que el sistema no lo permite.
- Dado que las copias de las facturas obtenidas del sistema consultado son borradores y no figuran en ellas el número de D.N.I. del paciente, se solicitan los originales de las mismas. Con fecha 25 de febrero de 2014, la CLINICA ha remitido a la Agencia los originales de las dos facturas que conservan digitalizadas, en las que se comprueba que son idénticas a las copias que se han obtenido en la Inspección, solo que incluyen el número de D.N.I. de la paciente. Se verifica que figuran emitidas a nombre de otra persona diferente de la denunciante y con otro domicilio de Madrid, tampoco coincide el número de D.N.I. con el de la denunciante.
- Respecto al escrito de contestación remitido por la CLINICA a la paciente, con fecha 16 de mayo de 2013, manifiestan que cuando recibieron la solicitud de acceso a los datos de la denunciante, cuya copia han aportado, realizaron las comprobaciones en sus ficheros no encontrando ningún dato asociado a la misma, lo que le comunicaron mediante el citado escrito de contestación. Con fecha 13 de marzo de 2014, la denunciante aporta los originales de las facturas recibidas que se cotejan con los originales aportados por la CLINICA, comprobando que las facturas son idénticas, tienen los mismos números, fecha, importe y el sello de ABONADAS, solo cambia el nombre, apellidos, dirección y D.N.I. del receptor. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, la denunciante ha aportado a esta Agencia los originales de las facturas que recibió de la Clínica Tambre, con el sello de Abonado, cuando ella no conoce esa clínica ni sabe el motivo de que tengan sus datos personales. Tras la visita de inspección efectuada a la Clínica Tambre, se constató que los números de factura que aportó la denunciante con sus datos, corresponden a otra persona con distinto nombre, domicilio, provincia y DNI, la clínica indicó que no era posible generar dos facturas con el mismo número para personas distintas puesto que el sistema no lo permite. Las Inspectoras actuantes también comprobaron que en los ficheros de la Clínica Tambre no figuraban los datos de la denunciante, pues si bien había una persona con el mismo nombre y apellidos (Doña A.A.A.) tenía distinto DNI, y domicilio. No se ha podido acreditar que la Clínica Tambre enviara las facturas a la denunciante puesto que en sus ficheros no tiene sus datos personales, por lo que no se puede imputar que haya incumplido la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a Clínica Tambre, DR. XXXXXXXXXXX, S.L. y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es