1/5 Expediente Nº: E/04590/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el SERVICIO GALLEGO DE SALUD, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de julio de 2014, tuvo entrada en esta Agencia escrito presentado por Doña A.A.A. (en adelante denunciante), y subsanación del mismo con fecha de 25 de agosto de 2014, en los que denuncia al Servicio Gallego de Salud (en adelante SERGAS), manifestando lo siguiente: Que es usuaria del SERGAS y que está considerada como víctima de violencia de genero por parte de su exmarido, sentencia de divorcio y sentencia por delitos de violencia de género; exmarido que se encuentra actualmente en la cárcel según sentencia de 17 de febrero de 2009 del Juzgado de lo Penal nº 1 de A Coruña. Que con motivo de tramitar la tarjeta sanitaria a su nombre, con fecha de 6 de mayo de 2014 (hasta esa fecha figuraba como beneficiaria en la de su esposo, en la fecha de dicho trámite ya no residía con el agresor), pero el SERGAS procedió a cambiar los datos no solo de la compareciente sino también de su exmarido, otorgándole la misma dirección y teléfono de contacto que a la denunciante. Que la denunciante se percata del error por llamada del SEGAS preguntando por su exmarido y que quiere asegurarse de que sus propios datos no son facilitados al agresor, que no constaran en la documentación del agresor, y que se tomen las medidas para que, si ha habido un error, se garantice que se han tomado las medidas de seguridad adecuadas en relación con sus datos personales. Se adjunta con la denuncia reclamación formulada ante el SERGAS en los mismos términos que los comunicados ante esta AEPD que tuvo entrada en dicho organismo, el 26 de junio de 2014, y que según manifiesta la denunciante no ha recibido respuesta. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- En el Registro General de Protección de Datos figura inscrito el fichero denominado “Usuarios e profesionais do sistema sanitario”, con el código ***CÓD.1, siendo responsable el SERGAS y cuya finalidad es “gestión y control sanitario”. Dichas circunstancias constan en la Diligencia de fecha 30 de marzo de
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5
- El SERGAS ha comunicado a la Inspección de Datos, con fecha de 8 y de 12 de mayo de 2015, en relación con los hechos manifestados por la denunciante lo siguiente: La denunciante tenía reconocido, por el Instituto Nacional de la Seguridad Social (INSS), el derecho a la asistencia sanitaria como beneficiaria de su excónyuge, y el día 30 de abril de 2014 pasó a ser titular de derecho por sí misma en el Sistema de Información de Tarjeta Sanitaria. Este cambio a titular se llevó a cabo por un proceso automático de actualización de datos, que el INSS envía al Sistema Nacional de Salud y éste a los distintos sistemas de información de las comunidades autónomas. El 29 de abril de 2014, mientras constaba como beneficiaria de su excónyuge, le fue realizado un cambio de domicilio en su centro de salud y el personal que lo hizo, cambió el domicilio tanto al titular como al beneficiario. No tienen constancia de si la interesada especificó que cambiaba de dirección ella sola, excluyendo al titular, pero tampoco consta la solicitud de cambio a titular de derecho desde el centro de salud. Posteriormente, no pueden precisar la fecha, desde el centro de salud contactaron con el Servicio de Tarjeta Sanitaria y Acreditación de Personal porque la interesada acudió al centro de salud quejándose de que había recibido una llamada en su teléfono dirigida a su excónyuge y que ya no tenía ninguna relación con él. Teniendo constancia de dicho hecho y de la solicitud del denunciante, el SERGAS procede a deshacer el cambio del titular con el que se encontraba la denunciante como beneficiaria. A fin de evitar que un error semejante pueda producirse de nuevo, proceden a revisar todas las posibles fuentes de contacto, con número de teléfono, que actualmente se encuentran asociados a la denunciante. Al personal del centro de salud se le recordó que existe la posibilidad de que los ciudadanos puedan solicitar proteger los datos, realizando una solicitud motivada, acompañada de la documentación correspondiente. Esta protección de datos conlleva que sólo se pueda pedir cita personalmente en el centro de salud, no a través de la cita telefónica, ni por Internet, pues en estos casos no es posible identificar a quién la realiza. Asimismo, informan de que, actualmente, el domicilio y el teléfono de contacto de la interesada y de su excónyuge son distintos, según consta en la impresión de pantalla aportada. Se adjunta carta del SERGAS dirigida a la denunciante en la que le comunican los aspectos anteriormente descritos, junto con el detalle de los teléfonos y de las personas de contacto, por si quiere realizar alguna modificación, así como del procedimiento a seguir para solicitar la protección de sus datos administrativos. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, cuya posible vulneración se imputaría al SERGAS al haber asociado su domicilio con su exmarido dispone que: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. El hecho denunciado se concreta en que la denunciante disponía de una tarjeta sanitaria como beneficiaria de su exmarido, modificando la situación y pasando a ser titular de una tarjeta sanitaria a su nombre. Este cambio se produjo el día 29 de abril de 2014 en su centro de salud, siendo modificado el domicilio a su nombre y al de su exmarido; no constando que solicitase que el cambio de domicilio se realizase solo para ella y no para el anterior titular de la tarjeta sanitaria. Al día siguiente, se actualizaron los datos por medio de un proceso automático de actualización para informar a los sistemas de información de todas las comunidades autónomas. Añade que se ha enterado del problema porque recibió una llamada del SERGAS a su número de teléfono, preguntando por su exmarido para hacer una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 encuesta, indicándole que era el número de teléfono facilitado por ella misma. En la propia denuncia consta su solicitud de que se corrija el error; que sus datos no se faciliten a su exmarido, y que ni siquiera consten en históricos para que no pueda acceder a ellos; y de que se tomen medidas para que esto no se repita. Tras realizar las actuaciones previas de investigación, durante las cuales se ha recibido la contestación que le ha facilitado el SERGAS, se le informa que cuando realizó el cambio de domicilio todavía figuraba como beneficiaria de la tarjeta sanitaria de su exmarido, siendo al día siguiente del cambio cuando se actualizó su situación como titular de una tarjeta sanitaria. Han procedido a contactar con los centros donde constan sus datos para que se cambie el número de teléfono; añadiendo que debe hacer para que sus datos administrativos figuren como protegidos y las consecuencias prácticas que supone. En consecuencia, el SERGAS ha atendido sus solicitudes y no se ha acreditado, de forma fehaciente, que se produjese un error al asociar su teléfono al de su ex marido, ya que no hay constancia documental de la solicitud de cambio. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al SERVICIO GALLEGO DE SALUD, y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es