1/17 Expediente Nº: E/04967/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el HOSPITAL UNIVERSITARIO DE FUENLABRADA, y la entidad XXXXX, S.L., (titular del Hospital Los Madroños), en virtud de denuncia presentada por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCION - FACUA, y los denunciantes relacionados en los Anexos de esta Resolución, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 13 de agosto de 2014 tiene entrada en esta Agencia un escrito de ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCION - FACUA, en el que denuncia: <<PRIMERO.- FACUA ha tenido conocimiento de la cesión de los datos personales y médicos de los pacientes que se encuentran en lista de espera en el citado Hospital Universitario de Fuenlabrada, de titularidad pública, al hospital Los Madroños, …, de titularidad privada. SEGUNDO.- Que el objetivo de esta cesión es derivar pacientes a un centro médico privado y aligerar así la lista de espera del centro público de manera irregular, sin consentimiento de los pacientes y con un mensaje falso (que indica que la comunicación se produce en nombre de los médicos responsables del diagnóstico), con la intención de confundir a los afectados. TERCERO.- Que el hospital privado que recibe los datos personales e informes médicos de manera fraudulenta los utiliza para obtener un beneficio económico a través del tratamiento de unos pacientes que no han solicitado sus servicios. CUARTO.- Que, para lograr este objetivo, utiliza el nombre de los médicos del hospital de Fuenlabrada para comunicarse con los pacientes e indicarles que sus médicos, responsables de diagnósticos y tratamientos, les recomiendan el uso de las instalaciones del hospital privado, algo del todo falso e irregular y que les induce así a la confusión y aceptación del uso de sus servicios.>> Cuatro denunciantes informan hechos similares respecto de LOS MADROÑOS: <<El día 18 de Octubre de 2013 recibí en mi teléfono particular una llamada del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Hospital Los Madroños de Brunete por la que me citaban para realizar una Resonancia Magnética de Columna Lumbar en dicho centro. La Resonancia me la había pedido el especialista de Traumatología ese mismo día por la mañana, y me llamaron esa misma tarde diciendo que había quedado un hueco esa noche y que tenía que ir al Hospital de Los Madroños a las 22,30 a hacerla. Yo supuse que se trataba de un centro público como mi Hospital de Fuenlabrada. No me ofrecieron trasladarme ni me dieron más explicaciones. Me trasladé allí y volví a mi casa en mi vehículo particular. Me di cuenta de que ya nos habían mandado a ese centro anteriormente a hacer otra prueba, creo que para mi marido. Al acabar la prueba me dijeron que el informe le llegaría a mi médico. En ningún momento, ni de forma escrita ni oral, el Hospital de Fuenlabrada se dirigió a mí para citarme dicha prueba; ni yo autoricé al Hospital de Fuenlabrada para que mis datos personales y clínicos fueran cedidos al Hospital Los Madroños. Ante las noticias aparecidas en numerosos medios de comunicación sobre la ilegalidad de esta cesión de datos, y el reconocimiento explícito del propio Gerente del Hospital de Fuenlabrada y del Consejero de Sanidad, de que se habían utilizado de forma irregular dichos datos CONSIDERO que con esta cesión de mis datos se ha conculcado el Artículo 7.3 de la Ley Orgánica 15/1999, ya que en ningún momento di mi permiso, ni me fue pedido este permiso, para que se cediesen estos datos.>> SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1 En fecha 12 de septiembre de 2014 se realizó visita de inspección al Hospital Universitario Fuenlabrada. Durante la misma, los representantes del Hospital realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Las noticias aparecidas en prensa han originado una inspección al Hospital Universitario Fuenlabrada por parte de la Dirección General de Ordenación e Inspección de la Comunidad de Madrid. b. El Hospital Universitario Fuenlabrada tiene estructura de Empresa Pública. Aporta la entidad copia de sus Estatutos y su modificación posterior, que se recaba copia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 Examinado dicho documento se encuentra que se trata del Decreto 196/2002, en el que, expresa: <<… Ente Público «Hospital de Fuenlabrada», configurado como una Entidad de Derecho Público de las previstas en el artículo 2.2.
- c)2 de la Ley 1/1984, de 19 de enero, Reguladora de la Administración Institucional de la Comunidad de Madrid,..>> c. Existe un Acuerdo Marco suscrito por la Consejería de Salud de la Comunidad de Madrid con distintos centros privados, para la concertación de la realización de pruebas diagnósticas. Se recaba copia de dicho Acuerdo y de su Pliego de Prescripciones Técnicas. Examinado el documento, se aprecia que, aunque en el mismo se dispone que los contratistas estén sujetos a la LOPD, no se establece en ningún momento que tengan acceso a la información de carácter personal como consecuencia de un encargo del tratamiento. En el Pliego de Prescripciones técnicas no aparece referencia alguna respecto a la protección de los datos de carácter personal. d. Por otra parte, existen otros contratos de adjudicación de servicios entre el Hospital Universitario Fuenlabrada y algunos centros seleccionados entre los acogidos al Convenio Marco, para la realización de determinadas pruebas específicas. e. Un Parte de Interconsulta (en adelante PIC) es un documento en papel que recoge la solicitud de realización de una prueba diagnósticas por parte de un médico. Realizan dichas solicitudes tanto los médicos de los Centros de Atención Primaria. En la actual situación, el HUF deriva a los centros con los que tiene suscrito contrato los PIC recibidos de los Centros de Atención Primaria cuando las solicitudes sobrepasan la capacidad del centro. Los representantes de la entidad proporcionan copia de formularios denominados PIC (Parte de Interconsulta) en blanco. En dicho formulario se recoge, entre otros, la siguiente información: datos del paciente (nombre, teléfono y edad), observaciones, prueba solicitada y un espacio para el informe del radiólogo. f. Existen tres tipos distintos de cesiones de datos de pacientes a entidades privadas: - C/ Jorge Juan, 6 28001 – Madrid Las destinadas a la realización de ecografías en centros privados, solicitadas por los Centros de Atención Primaria. Dichos centros remiten al Hospital Universitario Fuenlabrada los PIC en papel, por correo interno. En el Hospital Universitario Fuenlabrada se realiza el escaneado de dichos PIC, que se incorporan a la Historia Clínica (en adelante HC) del paciente. El Hospital Universitario Fuenlabrada remite los PIC mediante correo electrónico, en pdf cifrados, a las clínicas con las que se ha concertado el servicio de ecodiagnóstico, a través de la cuenta de correo del www.agpd.es sedeagpd.gob.es 4/17 Coordinador de Área de Gestión de Paciente. El resultado de dichas pruebas es entregado al paciente, que lo aportará a su médico. En algunos casos el diagnóstico es remitido al Hospital Universitario Fuenlabrada para su incorporación a la HC del paciente. Los centros con los que se ha realizado esta práctica son Los Madroños y La Maestranza. A partir del 28 de marzo se comenzaron a realizar las citaciones directamente por la clínica Los Madroños. - Los destinados al diagnóstico mediante Resonancia Magnética. En este caso, se proporciona a los centros concertados un software de cifrado para la creación de una VPN (o Red Privada Virtual), que fue previamente proporcionado al Hospital Universitario Fuenlabrada por la Dirección General de Sistemas de Información (en adelante DGSIS). La DGSIS proporciona al centro las credenciales de acceso a la red privada virtual, y el Área de Sistemas de Información del Hospital Universitario Fuenlabrada proporciona al centro concertado los identificadores de usuario y contraseña que necesiten para el acceso a sus sistemas. El centro accede a los sistemas de información del Hospital Universitario Fuenlabrada, visualiza las resonancias magnéticas e introduce el análisis de dichas resonancias en el sistema del Hospital Universitario Fuenlabrada. - Otras pruebas, a través del sistema GECIP de la Consejería de Salud, que es un sistema de citas que permite seleccionar la realización de pruebas diagnósticas a los centros acogidos al Convenio Marco. g. El procedimiento para obtener acceso a los sistemas de información del Hospital Universitario Fuenlabrada es el siguiente: - El centro interesado ha de solicitar la autorización de acceso, proporcionando los datos técnicos para el acceso. - Dicha solicitud ha de ser validada por el Hospital Universitario Fuenlabrada, que posteriormente la remite al DGSIS. - La DGSIS proporciona al centro solicitante las credenciales de acceso a la red. - El Hospital Universitario Fuenlabrada proporciona al solicitante los identificadores de usuario y contraseña para el acceso a sus sistemas, a través de correo electrónico. Se proporciona una contraseña de un solo uso, para obligar al usuario a cambiarla en su primer acceso. Aporta copia del Formulario de Petición de Acceso Remoto a la Red Sanitaria, formulario de solicitud de acceso a través del túnel estático IPSec a la red C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 CSCM, y dos correos electrónicos de solicitud de usuario y clave para el acceso a los sistemas del Hospital Universitario Fuenlabrada. 2 Los inspectores de la Agencia solicitan al representante de Hospital Universitario Fuenlabrada que les permita el acceso a sus sistemas de información en donde se realizan las siguientes consultas: a. Se realiza una consulta al correo electrónico del Coordinador del Área de Gestión de Pacientes, en donde se verifica que existen múltiples correos electrónicos emitidos al Hospital Los Madroños y La Maestranza. En dichos correos electrónicos se anexa un documento PDF. Se accede al correo electrónico de fecha 31/7/2014, con destino a dos direcciones, aparentemente de la misma persona en distintas cuentas, A.A.A. y B.B.B., conteniendo un fichero PDF denominado fichero_*****].pdf. Se accede a dicho fichero, verificándose que se encuentra cifrado con una contraseña. Tras introducir la contraseña por parte del usuario, se verifica que dicho fichero contiene las imágenes de 50 PICs de solicitud de radiología. Entre los datos del paciente figuran su nombre completo, dirección, teléfono, edad, campo de observaciones con datos de salud relacionados con la prueba solicitada, además de las pruebas solicitadas. b. Se realiza un intento de creación de un correo electrónico destinado a D. A.A.A., verificándose que aparecen dos cuentas asociadas a dicha persona denominadas A.A.A. y B.B.B., en los dominios lmh.es y salud.madrid.org respectivamente. Informan los representantes de la entidad que dicha persona es la autorizada por la Clínica Los Madroños para la recepción de los PIC. El motivo del uso de dos cuentas de correo es para asegurar que los correos electrónicos lleguen sin problema a su destinatario. c. Se accede a un correo electrónico enviado en fecha 25/2/2014 destinado a B.B.B. con asunto “ECOGRAFÍAS” en el que se adjunta un fichero en formato PDF denominado ****1.PDF. Examinado el PDF, se verifica que contiene 22 páginas, la primera página resulta ser un listado en el que se incluyen los nombres de los pacientes, el tipo de ecografía a realizar, y la hora de la cita. En las siguientes páginas, aparecen los PIC de dichos pacientes. Informan los representantes de la entidad, de que dicho correo electrónico se corresponde al período en el que era el Hospital Universitario Fuenlabrada quien realizaba las llamadas para concertar las citas. d. Se realiza un acceso al sistema GECIP, sistema al que se accede a través de la intranet de la Consejería de Sanidad. Se verifica que el sistema solicita identificación de usuario y contraseña. Se realiza un simulacro de acceso a los datos de un paciente, coincidente con el usuario que ha sido utilizado para el acceso. Se realiza una solicitud de una prueba diagnóstica, seleccionando como petición GCIP, verificándose que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 aparece una pantalla de selección de los distintos hospitales públicos y privados en los que es posible realizar la prueba diagnóstica solicitada. Los representantes de la entidad manifiestan que dichos hospitales son los que han suscrito el Convenio Marco con la Consejería de Salud. En este caso se ofrece al paciente la posibilidad de elegir el centro médico, fecha y hora en el que realizar la prueba diagnóstica. 3 En fecha 24 de febrero de 2015 se realizó visita de inspección al Hospital Los Madroños. Durante la misma, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. La Consejería de Sanitad de la CCAA de Madrid publicó un acuerdo marco de gestión de servicios públicos denominado “ACUERDO MARCO PARA LA CONTRATACIÓN DE PROCEDIMIENTOS DIAGNOSTICOS EN EL ÁMBITO DE LA COMUNIDAD DE MADRID, DE REFERENCIA A.M. PROCEDIMIENTOS DIAGNOSTICOS 2010” b. A dicha convocatoria concurrió la entidad SALUD TECNOLOGICA SIGLO XXI S.L. (CIF: B********), entidad encargada de gestionar los contratos con la Administración Pública. XXXXX, S.L., es una entidad presta los medios técnicos a SALUD TECNOLOGICA SIGLO XXI, S.L., comercialmente conocidas ambas como Hospital Los Madroños. c. El Hospital Los Madroños concurrió a dicho acuerdo marco, lo que le habilitaba para poder realizar servicios para los distintos hospitales públicos de la Comunidad de Madrid. d. En base a ello, el Hospital Los Madroños concertó la realización de pruebas diagnósticas con el HUF. Se recaba copia del DOCUMENTO DE ADJUDICACIÓN DE CONTRATO DEL ACUERDO MARCO citado, firmado por el Hospital Universitario Fuenlabrada y el Hospital Los Madroños. El documento se limita a fijar el número de resonancias y contrastes a realizar. e. Mediante la realización de diversas reuniones, llamadas telefónicas y el intercambio de correos electrónicos se estableció el procedimiento de ejecución del servicio, consistente en: C/ Jorge Juan, 6 28001 – Madrid - La remisión desde el Hospital Los Madroños al Hospital Universitario Fuenlabrada de una agenda con la disponibilidad de fechas y horas para la realización de pruebas diagnósticas. - El Hospital Universitario Fuenlabrada, en unos casos, enviaba a los pacientes ya citados para que se realizasen las pruebas, y en otros, encomendaba al Hospital Los Madroños la realización de las llamadas para concertar la cita y dar instrucciones sobre los preparativos previos a la www.agpd.es sedeagpd.gob.es 7/17 realización de la prueba. f. 4 - Para citar a los pacientes, el Hospital Universitario Fuenlabrada enviaba un fichero con los Partes de Interconsulta (PIC) en formato PDF protegido con contraseña. - El Hospital Los Madroños citaba a los pacientes y, una vez realizada la prueba diagnóstica, remitían al Hospital Universitario Fuenlabrada las pruebas realizadas. - Siguiendo instrucciones del Hospital Universitario Fuenlabrada, respecto de los pacientes que no aceptaban la cita propuesta por el Hospital Los Madroños, no se enviaba ningún listado de los mencionados pacientes. Todas las instrucciones sobre el procedimiento a seguir por el Hospital Los Madroños para la realización de las pruebas se recibían por correo electrónico desde el Hospital Universitario Fuenlabrada. Los inspectores de la Agencia solicitan al representante del Hospital Los Madroños que les permita el acceso a los correos electrónicos intercambiados entre el Hospital Universitario Fuenlabrada y el Hospital Los Madroños, donde se realizan las siguientes comprobaciones: a. La persona responsable de gestionar los correos electrónicos citados es D. A.A.A.. Se accede a su cuenta de correo electrónico y se realiza una búsqueda de los correos electrónicos donde se establecen las condiciones de prestación del servicio. b. Se selecciona al azar un correo electrónico que contiene una agenda enviada desde Hospital Los Madroños al Hospital Universitario Fuenlabrada, fechado el 27/5/2014. En el correo se fijas la disponibilidad horaria del Hospital Los Madroños para la realización de las pruebas. Igualmente se informa del horario de autobuses informando que éstos devolverán a los pacientes al punto de recogida en el Hospital Universitario Fuenlabrada. c. Se selecciona al azar un correo electrónico de los recibidos por el Hospital Los Madroños desde el Hospital Universitario Fuenlabrada, de fecha 18/7/2014. Se verifica que contiene dos archivos en formato PDF con la relación de ecografía para citar. Se accede a uno de dichos ficheros y se comprueba que solicita una contraseña, introducida la cual, se verifica que el fichero contiene 52 partes de interconsulta, obteniéndose impresión de los dos primeros. Se aprecia que en el campo de observaciones aparece una breve descripción de la dolencia. 5 Manifiestan los representantes de la entidad que actuaron en todo momento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 buena fe, siguiendo las instrucciones recibidas del Hospital Universitario Fuenlabrada, en el convencimiento de que se ajustaban plenamente a la legalidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia genérica aparecida en prensa se concreta en la cesión de datos de pacientes desde Hospitales de titularidad pública, a Centros privados para aligerar la lista de espera del centro público, sin el consentimiento de los afectados. En esta Resolución se analizarán distintas cuestiones, bajo la perspectiva de la normativa de protección de datos, y referidas al Hospital Universitario Fuenlabrada y al Hospital Los Madroños. En primer lugar, referente al consentimiento por parte de los pacientes, el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos, como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. El artículo 7.3 señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por último, indicar que el artículo 8 de la LOPD, relativo exclusivamente a los datos de salud, establece lo siguiente: “Sin perjuicio de lo que dispone el artículo 11 respecto a la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” III La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. IV En fecha 28 de febrero de 2010, el Gabinete Jurídico de la Agencia Española de Protección de Datos, emitió un informe, solicitado por un centro hospitalario público, sobre la necesidad del consentimiento de los pacientes en el caso de ser atendidos en un centro privado, con el que mantenía un concierto para asistencia a los beneficiarios de la Seguridad Social. El informe nº 600/2009, indica lo siguiente: “Se plantea en primer lugar, si el consultante, centro médico privado que mantiene un concierto con la Administración de la Comunidad autónoma para asistencia a beneficiarios de la Seguridad Social, debe solicitar en cumplimiento de lo dispuesto en el apartado 6 de la Ley Orgánica 15/1999 el consentimiento inequívoco de sus pacientes para el tratamiento de sus datos tanto en la actividad pública como privada. El tratamiento y comunicación de datos de carácter personal, cuyo régimen aparece recogido con carácter general en los artículos 6 y 11 de la Ley Orgánica 15/1999, se encuentra, por vía de excepción, sometido a particulares restricciones en lo que a los datos de salud respecta, por el artículo 7 de la citada Ley Orgánica, cuyo apartado 3 establece como regla general que “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente”. Esta regla únicamente es matizada por la Ley Orgánica en sus artículos 7.6 y 8. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981, ratificado por España en fecha 27 de enero de 1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección. En este sentido, el artículo 8 de la Directiva 95/46/CE limita el tratamiento de datos a supuestos y finalidades concretos en los que será preciso el consentimiento, que además deberá ser expreso, del afectado o la necesidad del tratamiento con fines de asistencia sanitaria o atención de un interés vital del afectado. Esta cuestión ha sido especialmente analizada por el Grupo de Autoridades de Protección de Datos creado por el artículo 29 de la citada Directiva en su Documento de trabajo sobre el tratamiento de datos personales relativos a la salud en los historiales médicos electrónicos (Documento EP131), en el que se indica expresamente que “todos los datos contenidos en documentos médicos, en historiales médicos electrónicos y en sistemas de HME son “datos personales sensibles”. Por tanto, no sólo están sujetos a todas las normas generales sobre protección de datos personales de la Directiva, sino también a las normas sobre protección de datos especiales que rigen el tratamiento de la información sensible, contenidas en el artículo 8 de la Directiva”. En el Derecho español, establecida ya por el artículo 7.3 la regla general del consentimiento expreso para el tratamiento de los datos de salud, el artículo 7.6 establece en su párrafo primero que “podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 (datos de salud) de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto”. Igualmente, conforme al párrafo segundo del propio artículo 7.6, “También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento”. Por otra parte, el artículo 8 de la Ley Orgánica 15/1999 establece respecto a los datos de salud que “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad”. Por consiguiente, debe entenderse que el tratamiento de datos personales relativo a la salud será posible cuando exista consentimiento del interesado o en los supuestos a que hacen referencia los citados artículos 7.6 y 8 de la Ley Orgánica 15/1999. Ahora bien, debe tenerse en cuenta, como señala el C/ Jorge Juan, 6 28001 – Madrid citado el Grupo de www.agpd.es sedeagpd.gob.es 12/17 Trabajo del artículo 29 en el aludido documento, en relación con el artículo 8 de la directiva, que tratándose de una excepción a la prohibición general de tratar datos sensibles, esta excepción deberá interpretarse de forma restrictiva”. De este modo, señala que dichas excepciones “cubre solamente el tratamiento de datos personales para el propósito específico de proporcionar servicios relativos a la salud de carácter preventivo, de diagnóstico, terapéutico o de convalecencia, y a efectos de la gestión de estos servicios sanitarios, como por ejemplo facturación, contabilidad o estadísticas. No se cubre el tratamiento posterior que no sea necesario para la prestación directa de tales servicios, como la investigación médica, el reembolso de gastos por un seguro de enfermedad, o la interposición de demandas pecuniarias. También quedan fuera del alcance de la aplicación del apartado 3 del artículo 8 otros tratamientos en áreas como la salud pública y la protección social, particularmente en lo relativo a la garantía de la calidad y la rentabilidad, así como los procedimientos utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen del seguro de enfermedad (…)” II Plantea el centro médico consultante, en segundo lugar, si necesita autorización del paciente para integrar en el sistema informático del servicio de salud de su comunidad autónoma, los datos sanitarios del paciente atendido en éste, que han sido originados como consecuencia de una asistencia privada prestada en su centro, al estar incorporados a una única historia clínica. El tratamiento de datos de las historias clínicas se encuentra regulado en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, cuyo artículo 14.1 consagra el principio de máxima integración de la misma, al disponer que “La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro”. En cuanto a su finalidad, el artículo 15.2 dispone que “La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”. Por su parte, los apartados 4 y 5 del artículo 17 vienen a reflejar la delimitación del responsable del fichero de historias clínicas, correspondiendo esta condición al centro sanitario en el que se produzca la asistencia sanitaria o al médico que ejerza la profesión de manera individual. Así, se dispone que: “4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. “5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 generen.” Por consiguiente, el centro sanitario consultante tiene, en relación con los pacientes que acuden al mismo, la condición de responsable del tratamiento de los datos que sean incorporados a sus historias clínicas, por lo que la comunicación de los datos de la historia clínica al Servicio de Salud de su comunidad autónoma constituirá una cesión de datos de carácter personal definida en el artículo 3
- i)de la Ley Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”, que solo cabe, por tratarse de datos de salud, como especifica el artículo 7.3 de la misma ley cuando “así lo disponga una Ley o el afectado consienta expresamente”. Debe así tenerse en cuenta que el párrafo primero del artículo 56 de la Ley 16/2003, de 28 mayo, de cohesión y calidad del Sistema Nacional de Salud, dispone que “Con el fin de que los ciudadanos reciban la mejor atención sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados con las comunidades autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el acceso a la historia clínica en los términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione.” En este mismo sentido, el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, recoge expresamente, sobre la base de la citada ley especial, la cesión de datos de salud en este supuesto en su artículo 10.5 disponiendo que “Los datos especialmente protegidos podrán tratarse y cederse en los términos previstos en los artículos 7 y 8 de la Ley Orgánica 15/1999, de 13 de diciembre” En particular, no será necesario el consentimiento del interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud. En el presente supuesto nos hallamos ante un centro privado concertado que no forma parte integrante del Sistema Nacional de Salud, aunque se encuentre vinculado con el mismo, así el artículo 44 de la Ley 14/1986, de 25 abril, General de Sanidad señala que “todas las estructuras y servicios públicos al servicio de la salud integrarán el Sistema Nacional de Salud”, añadiendo que “el Sistema Nacional de Salud es el conjunto de los Servicios de Salud de la Administración del Estado y de los Servicios de Salud de las Comunidades Autónomas en los términos establecidos en la presente Ley”. No obstante, el artículo 45 de la misma Ley 14/1986 establece que “el Sistema Nacional de Salud integra todas las funciones y prestaciones sanitarias que, de acuerdo con lo previsto en la presente Ley, son responsabilidad de los poderes públicos para el debido cumplimiento del derecho a la protección de la salud” y el artículo 90 habilita la celebración de conciertos con entidades sanitarias para la prestación de servicios. Sobre estas bases, esta Agencia ha concluido en informe de 5 de agosto de 2009 que “En consecuencia, aun no formando parte integrante del sistema Nacional de Salud, los centros concertados desarrollan acciones asistenciales directamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 vinculadas con el sistema, pudiendo incluso entenderse que las mismas constituyen, en cuanto sea objeto de concierto, servicios propios del mencionado Sistema.” Por consiguiente, la incorporación a la historia clínica electrónica de los datos originados como consecuencia de una asistencia prestada al paciente en el marco del concierto que mantiene con el Servicio de Salud de la comunidad autónoma, constituiría una cesión de datos que resulta conforme con la Ley Orgánica 15/1999 por encontrarse amparada en el artículo 56 de la Ley 16/2002. En este sentido se pronuncia el Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica, de la Comunidad de Galicia que dispone en su artículo 3 “La historia clínica electrónica incorporará la información correspondiente al contenido previsto en el artículo 15 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y deberes en materia de información y documentación clínica, y en el artículo 16 de la Ley gallega 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes. Asimismo, incorporará la información clínica generada en aquellas actuaciones sanitarias derivadas de programas de salud pública, bajo el principio de integrar toda aquella información que pueda ser relevante para una mejor asistencia futura.” Igualmente, el mismo decreto establece en su artículo 5 que “En particular, no será necesario el consentimiento de la persona interesada para la comunicación de datos personales sobre la salud a través de medios electrónicos, entre organismos, centros, servicios y establecimientos de la Consellería de Sanidad, el Servicio Gallego de Salud y el sistema nacional de salud, cuando se realice para llevar a cabo la atención sanitaria de las personas, tanto se realice con medios propios o concertados.” En consecuencia la normativa estudiada determina la incorporación al sistema de intercambio electrónico de información clínica de los datos relativos a las asistencias prestadas a los pacientes en el marco de los servicios concertados, pero no extiende dicha obligación a los datos relativos a las asistencias privadas prestadas a sus pacientes por los centros concertados, sin perjuicio del cumplimiento de los deberes que respecto a la unidad de la historia clínica impone al centro médico consultante la Ley 41/2002.” V Durante las actuaciones previas de investigación se ha constatado que el Sistema Sanitario Público de la Comunidad Autónoma de Madrid publicó, un Pliego de cláusulas administrativas particulares que ha de regir en el Acuerdo Marco de gestión de servicios públicos para la contratación procedimientos diagnósticos en el ámbito de la Comunidad de Madrid. Asimismo, se obtuvo copia de contratos de prestación de servicios entre el Hospital Universitario de Fuenlabrada y algunos Centros Privados, entre los que se encuentra el Hospital Los Madroños, que contienen todos los requisitos establecidos en el artículo 12 de la LOPD y Reglamento de desarrollo. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existen formalizados contrato entre el Servicio Madrileño de Salud y el Hospital Los Madroños. En el Pliego de Cláusulas Administrativas se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad… En el supuesto del Sistema Sanitario Público existe habilitación legal para concertar la realización de determinadas intervenciones o pruebas diagnósticas con centros sanitarios privados. La finalidad del tratamiento de los datos de los pacientes es efectuar un diagnóstico médico, por lo que no es necesario que los pacientes presten el consentimiento para dicho tratamiento de datos. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de los pacientes del Hospital Universitario de Fuenlabrada por parte del Hospital Los Madroños. VI En el supuesto presente, el Hospital Los Madroños ha firmado un contrato de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 prestación de servicios con el Hospital de Fuenlabrada por lo que realiza accesos a datos de pacientes en el marco de dicha prestación, que no supone una vulneración del deber de guardar secreto por parte del Hospital público denunciado ni una cesión inconsentida de datos, ni un tratamiento indebido por el Hospital Los Madroños. Los datos que les facilita el Centro Público son los necesarios para prestar la asistencia que tienen concertada. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a XXXXX, S.L., (titular del Hospital Los Madroños), a la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCION - FACUA, y a los denunciantes relacionados en los Anexos de esta Resolución. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es