1/8 Procedimiento Nº: E/04755/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de violación de seguridad de datos personales (en adelante brecha de seguridad o brecha) brecha de seguridad de datos personales remitido por RESIDENCIA SAN MIGUEL SANLUCAR, S.L. (en adelante ***RESIDENCIA.1) en el que informan a la Agencia Española de Protección de Datos que, con fecha ***FECHA.1 se recibe una llamada de la enfermera de referencia designada por el Servicio Andaluz de Salud (en adelante SAS) para la gestión del COVID-19 comentando que había remitido “plan de contingencia” interno del centro al resto de centros de la zona olvidado omitir los datos personales especialmente protegidos de los residentes. Comenta también que uno de los centros le había comunicado que iba a poner en conocimiento de la Agencia la situación. En la notificación de brecha se indica que los datos básicos y de salud comunicados corresponden a un número de personas aproximado de 20 (entre usuarios y empleados). SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales: ***FECHA.
- ENTIDADES INVESTIGADAS Residencia San Miguel Sanlucar, ***DIRECCIÓN.1, ***LOCALIDAD.
- S.L., con NIF B91569939 y domicilio RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se ha solicitado información y documentación a ***RESIDENCIA.1 y de la respuesta recibida se desprende lo siguiente: 1) Se ha solicitado copia del “plan de contingencia” que fue enviado al SAS, y que manifiestan fue remitido posteriormente por la enfermera de referencia del SAS (Enfermera Gestora de Casos, en adelante EGC) al resto de centros de la zona con datos personales especialmente protegidos de residentes y empelados. Se les ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 indicado que la copia del “plan de contingencia” puede ser parcial, siempre que incluya un índice de contenidos, así como las páginas que contengan los datos personales que se aportarán anonimizados, tachados o eliminados de tal forma que no se pueda identificar las personas, pero si los tipos o categorías de datos personales que constaban en el documento. Los representantes de ***RESIDENCIA.1 han aportado copia del “plan de contingencia”, revisión 22, indicando que adjuntan sólo las páginas que contienen datos personales con los mismos inhabilitados para su lectura pero con notas sobre el tipo de datos tachado. Manifiestan que el plan es dinámico, y para cada fecha de introducción de nuevas medidas con relación al COVID-19 se procede a la siguiente revisión, así como que en un inicio era un documento interno, como “Plan de Actuación de la empresa”. Debido a la normativa de aplicación que obligaba a la realización de un “Plan de contingencia”, se completó con la información extra que no se incluía en el plan inicial y que se requería en el documento de 22/03/2020 denominado "Actuación en centros residenciales de mayores y otros sociosanitarios asimilados-covid-19" emitido por la Dirección General de Cuidados Sociosanitarios, Consejería de Salud y Familias, y por el que se instaba "los centros sociosanitarios deben poseer un plan de actuación". Así mismo, se estableció como receptor de los datos Covid-19, dentro de la "Red de alerta de enfermera gestoras de casos", a la EGC de la zona. Aportan copia de los tres documentos mencionados indicando que sólo se incluyen las páginas que contenían datos personales, verificándose lo siguiente: En el primero de ellos (plan de contingencia, revisión 22), consistente en extracto de 7 páginas seleccionadas de las que contienen datos personales, aparecen tachados datos identificativos de empleados de ***RESIDENCIA.1 y residentes. Sobre los residentes se observan datos de salud. En el segundo documento (resumen plan de contingencia, extracto de dos páginas) aparece descrito un incidente con una de las residentes, cuyo nombre aportan tachado. En el tercer documento (plan de sectorización, extracto de una página) lo aportan con los nombres de empleados tachados, no encontrando datos de residentes. Indican que la comunicación con la EGC ha sido principalmente verbal, recibiendo llamadas de ella todas las mañanas para revisar las incidencias de casos o sospechas de casos COVID-19 en el centro y solicitando la documental que necesitase. El 14 de mayo se le envió un Plan de contingencia resumido, con el anexo del plan de sectorización, que se redujo porque verbalmente la EGC declaró que para los organismos oficiales implicados en su estudio resultaba muy largo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Aportan copia de los correos electrónicos mediante los que se remiten los documentos al SAS, constando en ellos expresiones como “tal como me has solicitado…” 2) Se ha solicitado copia de la solicitud emitida por el SAS al centro (***RESIDENCIA.1) y que originó la remisión del referido plan de contingencia. Los representantes de ***RESIDENCIA.1 han manifestado al respecto que los enlaces del SAS han ido dando todas las órdenes de manera verbal, realizando llamadas la EGC (persona que genera la brecha ahora analizada), por norma general, todas las mañanas, incluidos sábados, domingos y festivos, entre las 8:00 y las 9:00 am. Las llamadas se realizaban entre su teléfono móvil y el de la directora. En las llamadas, si necesitaba algún documento o información la solicitaba. Indican que se puede comprobar en el email recibido el 22/03/2020 y cuya copia aportan, se comunica la designación de la EGC, se manda el documento de “Recomendaciones cuidado en residencias”, y se habla de las pautas sanitarias a seguir en las residencias respecto al COVID-
- En el cuerpo del correo se puede comprobar que la directora de la estrategia de Cuidados de Andalucía (SAS-Consejería de Salud y Familias de la Junta de Andalucía) informa que se recibirá la llamada diaria de la enfermera gestora de casos: “Cada mañana la EGC llamará a sus residencias de referencia …” Los representantes de ***RESIDENCIA.1 manifiestan que como habitualmente las comunicaciones sanitarias que reciben, con órdenes e indicaciones, son vía telefónica, aportan copia de los correos electrónicos enviados a las distintas administraciones reclamando que se deje por escrito los resultados médicos de PCR así como órdenes de levantamiento de aislamientos, dado que no se ha tenido constancia escrita de ninguno de estos extremos. Indican que “Con ello, se puede comprobar que, hasta los resultados médicos, de vital importancia porque concluían si nuestros residentes estaban o no contagiados de coronavirus, se han transmitido de manera verbal y ha costado semanas que los Servicios Sanitarios Públicos reflejen algún dato por escrito.” Aportan copia de correo de fecha 05/06/20 recordando a otros centros que no han enviado el Plan de contingencia y la obligación de hacerlo. Se verifica que en este correo consta: “El plan de actuación de las Residencias cuando entramos en fase 2 no me lo habéis enviado todas las Residencias por lo que ruego que me sea enviado en la menos brevedad posible y me enviéis el nuevo Plan de actuación que vais a desarrollar con respecto a los trabajadores”. 3) Se ha solicitado copia del informe elaborado con relación con la brecha notificada. Los representantes de ***RESIDENCIA.1 indican que tras recibir la comunicación telefónica por parte de la EGC acerca de la filtración no intencionada por su parte de información que contenía datos personales especialmente protegidos de residentes y empelados en respuesta a la obligación legal que lo establecía, activaron el procedimiento para brechas de seguridad que tiene la empresa, que dimana del que establece la Agencia para este tipo de situaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Así mismo, se establecen procedimientos de asesoría legal respecto a la difusión de información interna confidencial del centro: -Procedimiento de preparación. Establecida de manera primaria, la brecha y su origen, se procede al segundo paso. -Detección e identificación de las amenazas. Recibida la llamada y establecida la verosimilitud de los hechos, se procede a detectar la amenaza, en este caso por una filtración de datos personales, algunos de categoría de especial protección y teniendo claramente determinada e identificada la amenaza. - Análisis y clasificación de estas. Se procede a un análisis y verificación exhaustiva de la situación que afecta a unos 4 trabajadores y a unos 16 residentes. Declaran que los datos afectados son: -Datos personales sin especial protección, identificativos de la persona como tal, es decir, NOMBRE Y APELLIDOS, DNI, N.º SEG.SOCIAL. -Datos personales especialmente protegidos relativos a la salud: ENFERMEDAD QUE PADECE, TRATAMIENTO, PATOLOGÍAS PREVIAS, ETC. Los representantes de ***RESIDENCIA.1 manifiestan que ante la gravedad de los hechos, se conmina a la EGC responsable de zona para que se comunique con el resto de centros a fin de conocer la información filtrada, la versión del documento enviado, y todos los centros a los que se ha remitido, con la mayor celeridad posible, a lo que ella manifiesta no tener importancia porque con la pandemia “todo el mundo se está saltando la protección de datos”, invitándola a que revise el documento enviado y los párrafos que remiten a la revisión de la normativa de protección de datos respecto a las actualizaciones “pos-covid”. Indican que a partir de tener conocimiento de los hechos, el lunes ***FECHA.1, a las 9:55 am, se comunica la incidencia al personal que tiene acceso a los planes. La redacción, envío y gestión de la incidencia corresponde a la directora del centro al ser la única autorizada para el envío de información confidencial a terceros interesados inhabilitando previamente la lectura de datos personales y no remitiéndose ninguna documentación sin ser anonimizada por la directora personalmente hasta que no se garantice por parte del SAS o de la EGC, que hay una protección adecuada de la privacidad. Indican que antes de las 72 horas preceptivas, se realiza de manera telemática la comunicación de la brecha a la Agencia Española de Protección de datos. Aportan la comunicación remitida al SAS para la gestión y resolución de la brecha de Seguridad. Se verifica que la comunicación a la que aluden se trata de un correo electrónico, de fecha 16/06/2020, mediante el cual la brecha de seguridad se pone en conocimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 del director de un centro de salud, del que entienden depende la enfermera de enlace, indicando que desconocen el alcance exacto de la brecha, rogando se les remita información de todos los centros a los que se ha enviado el documento para poder contactar con ellos y proceder a solventar el incidente. 4) Se ha solicitado copia del Convenio/acuerdo/contrato suscrito con el SAS para la prestación del servicio en cuyo marco se ha producido la brecha, incluyendo todas las estipulaciones de protección de datos. Aportan los BOJA de 17/03/20 y 03/04/20 indicando que en ellos se establecen las tareas de las enfermeras gestoras de casos. En el BOJA de 03/04/2020, la Consejería de Salud y Familias de la Junta de Andalucía publica el Acuerdo de 16 de marzo de 2020, del Consejo de Gobierno, por el que se toma conocimiento de la creación de un equipo conformado por enfermería gestora de casos (EGC) en cada una de las provincias para dar solución a los problemas en centros residenciales y a los prestadores de ayuda a domicilio originados por la situación actual de pandemia del coronavirus (COVID-19). En la pág. 60 se lee: “Se trata de medidas de contención extraordinarias que se establecen por las autoridades de salud pública. Andalucía cuenta con un sólido Sistema de Vigilancia Epidemiológica desde el que se realiza una monitorización exhaustiva y permanente de todos los casos. … En virtud de ello, la Consejería de Salud y Familias crea un equipo conformado por enfermería gestora de casos en cada una de las provincias a fin de atender, asesorar y colaborar en la solución de los problemas en centros residenciales y prestadores de ayuda a domicilio originados por la situación actual de pandemia, y ha elaborado una serie de recomendaciones de actuación en personas con sospecha de caso de COVID-19 o con infección respiratoria aguda y que tengan la posibilidad de permanencia en el domicilio o en centro residencial. Por todo ello, teniendo en cuenta la situación de emergencia sanitaria declarada por la OMS y la repercusión que para la población vulnerable que se atiende en los centros Sociosanitarios tiene la creación del equipo y de las recomendaciones referidas, se considera oportuno y conveniente que el informe referido sea conocido por parte del Consejo de Gobierno.” En el BOJA de 03/04/2020 la Consejería de Salud y Familias de la Junta de Andalucía publica el Acuerdo de 26 de marzo de 2020, del Consejo de Gobierno, por el que se toma conocimiento de las medidas implementadas por la Dirección General de Cuidados Sociosanitarios en relación con la medicalización y dotación de recursos de los centros residenciales como consecuencia de la situación y evolución del coronavirus COVID-
- En la pág. 20 se lee: “
- La Red de Enfermeras Gestoras de Casos, apoyadas por las enfermeras de familia, realizarán el seguimiento diario, incluido fines de semana, de la totalidad de los centros residenciales de mayores y de discapacidad: a) Elaborar un mapa diario con la incidencia de casos nuevos en residencias, para planificar las intervenciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 b) Realizar las indicaciones oportunas para organizar el aislamiento en las residencias que incluyan los casos o sospecha de casos; resolver dudas; orientar la asistencia y coordinar alertas con equipos sanitarios para la atención presencial en caso necesario en situaciones de mayor complejidad o situaciones de agravamiento.” En el BOJA de 9/04/2019 pág. 56 se lee: “Estas enfermeras han realizado un seguimiento proactivo: telefónico/ visitas presenciales en la totalidad de los centros residenciales de Andalucía. La finalidad de este seguimiento es conocer la situación de implementación de las medidas de prevención de la enfermedad y del estado de salud de los residentes, facilitando información sobre cuidados a pacientes en aislamiento, intervención durante el desarrollo de síntomas, medidas de limpieza y desinfección, así como uso de medidas de protección de los trabajadores. Todas estas medidas están definidas en las recomendaciones publicadas en la página de la Consejería de Salud y Familias por la D. G. De cuidados Sociosanitarios.” Y en la pág. 58: “Servicios Asistenciales habilitados y coordinados para la asistencia sanitaria a centros residenciales:
- Red de Alerta de Enfermera Gestoras de Casos/Enfermeras de Familia para la prevención de casos, acompañamiento de los centros durante la organización de respuestas ante la sospecha de casos o casos confirmados, orientación asistencial ante el desarrollo de síntomas y coordinación de alertas con equipos sanitarios para la atención presencial en caso necesario en situaciones de mayor complejidad o situaciones de agravamiento.” Aportan documento sanitario recibido el 22/03/20, firmado por el Director General de cuidados sociosanitarios “recomendaciones de actuación en personas con covid-19, sospecha o con infección respiratoria aguda diagnosticadas con posibilidad de permanencia en centros residenciales” emitida por la Consejería de Salud y Familias, indicando que de este documento procede la normativa de aplicación que obliga al envío de los planes de contingencia. Indican que en el BOJA extraordinario de 28/05/20 se establece “Los centros residenciales deberán contar con un plan de contingencia para garantizar una respuesta eficaz y segura ante nuevos brotes epidémicos de COVID-19”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, se aprecia una posible brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad relativa a datos se salud de los residentes y empelados de ***RESIDENCIA.1, como consecuencia de la comunicación del “plan de contingencia” de ***RESIDENCIA.1 al resto de residencias de zona por la EGC adscrita a la Consejería de Salud y Familias de la Junta de Andalucía. Por su parte, la Consejería de Salud y Familias no ha contestado a los requerimientos de información de esta Agencia a fin de esclarecer los hechos ahora analizados, en especial, el motivo y justificación de la actuación de la EGC, responsabilidad que, en su caso, deberá ser dirimida por la Autoridad de Control Autonómica, Consejo de Transparencia y Protección de Datos. En relación con ***RESIDENCIA.1, de las actuaciones de investigación se desprende que disponía de las medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo. Asimismo, ***RESIDENCIA.1 ha afrontado de forma diligente la identificación, análisis y clasificación del supuesto incidente de violación de la seguridad de datos personales, así como la diligente reacción ante la misma al detectar, notificar, minimizar el impacto y comunicar a los afectados, para evitar que se repita la supuesta incidencia en el futuro. En consecuencia, ***RESIDENCIA.1 disponía de forma previa de medidas técnicas y organizativas razonables y proporcionales en función del nivel de riesgo para evitar este tipo de incidencia. No constan reclamaciones ante esta AEPD por parte de los residentes y empleados afectados. Por último, cabe señalar que la documentación generada de todo el proceso de detección, contención, respuesta, recolección y custodia de evidencias ante una posible brecha de seguridad de los datos personales es importante de cara a comunicaciones a las posibles partes interesadas tanto de carácter interno o externo, y para la elaboración de un informe final que tras su análisis permita extraer conclusiones. Este informe final, elaborado tras el seguimiento y cierre de este tipo de incidentes y su impacto, es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. El uso de esta información servirá para prevenir la reiteración de hechos similares. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 En el presente caso, la actuación de ***RESIDENCIA.1 como entidad afectada por el posible tratamiento indebido y como responsable del tratamiento de los datos se salud de los residentes y empelados que han sido objeto comunicación a terceros, ha sido razonable y proporcional con la normativa sobre protección de datos personales. IV En consecuencia, consta acreditado que la actuación de ***RESIDENCIA.1 como entidad afectada del posible tratamiento indebido, ha sido adecuada y proporcional con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución Residencia San Miguel Sanlucar, S.L., con NIF B91569939 y domicilio ***DIRECCIÓN.1, ***LOCALIDAD.
- De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es