E-05047-2015

1/14 Expediente Nº: E/05047/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS, S.A.U., HOSPITAL MONCLOA, S.A.U., HOSPITAL DE LA INMACULADA CONCEPCION, S.A.U., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de julio de 2015, tuvo entrada en esta Agencia un escrito remitido por el SERVICIO MADRILEÑO DE SALUD dando traslado de una reclamación de Doña A.A.A. en la que declara lo siguiente: Respecto a la reclamación de fecha 24/2/2015 formulada por Doña A.A.A. se recoge lo siguiente: En fecha de 30/1/2015 recibió una llamada desde el HOSPITAL INMACULADA DE GRANADA, para recordarle que tenía una operación quirúrgica programa al día siguiente. En dicha llamada le pidieron que confirmara sus datos de identidad, fecha de nacimiento y DNI, datos que conocía el hospital y que eran correctos. Afirma que ni tenía programada la citada intervención ni nunca había sido atendida en dicho hospital contactó con el mismo al objeto de solicitar explicaciones sobre la procedencia de sus datos. Desde el hospital le comunicaron que se había producido un error y que sus datos procedían de una prueba de ecografía y mamografía que se realizó en fecha de 31/1/2014 en el HOSPITAL MONCLOA de Madrid en el marco de un programa de detección del cáncer de mama organizado por la Comunidad de Madrid. En base a lo anterior, denuncia que se hayan cedido los datos de su historia clínica desde la Comunidad de Madrid a ASISA sin su autorización. Junto a la reclamación formulada por Doña A.A.A. el Servicio Madrileño de Salid aporta los siguientes documentos: Informe de fecha 19/5/2015 remitido por el Gerente del HOSPITAL MONCLOA a la Consejería de Sanidad dando explicaciones sobre la reclamación de Doña A.A.A.. En dicho informe se recoge lo siguiente: Todos los centro sanitarios del GRUPO ASISA disponen de un sistema informático centralizado de cara a una historia clínica centralizada con el fin de facilitar una asistencia médica adecuada al paciente independientemente del centro médico del grupo al se traslade en un momento dado. Lo anterior, señalan, se realiza con arreglo a la normativa de protección de datos personales y con el fin de garantizar la confidencialidad y seguridad de los datos los pacientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Los datos de Doña A.A.A. figuran en el citado fichero al haber sido tratada en el HOSPITAL MONCLOA que pertenece al GRUPO ASISA al que asistió como consecuencia de su participación en el programa XXXX, llevado a cabo en dicho centro. Fruto de un error se contactó con Doña A.A.A. a la que se confundió con otra paciente. Error que ha sido subsanado. Finalmente señalan que se ha atendido la petición de Doña A.A.A. en el sentido de solicitar la cancelación de sus datos médicos mediante el bloqueo de dichos datos para que únicamente resulten accesible a los efectos legales recogidos en la normativa vigente. Escrito de fecha 19/5/2015 remitido por el Gerente del HOSPITAL MONCLOA a Doña A.A.A. facilitándole explicaciones sobre lo ocurrido. Informe de fecha 9/4/2015 realizado por la OFICINA DE SEGURIDAD de la Dirección General de Sistemas de Información Sanitaria del Servicio Madrileño de Salud relativo a la reclamación efectuada por Doña A.A.A.. En dicho informe se recoge lo siguiente: Que en el “Acuerdo Marco para la realización de procedimientos diagnósticos en el ámbito de la Comunidad de Madrid, de referencia A.M. Diagnósticos 2010” suscrito entre el Servicio Madrileño de Salud y los centros adjudicatarios para llevar cabo las pruebas de mamografías en el ámbito de la Comunidad de Madrid se detecta que la cláusula 25 del Pliego de Prescripciones Administrativas del concurso se dispone el cumplimiento de la Ley Orgánica 15/1999, si bien existe alguna deficiencia formal con los adjudicatarios del correspondiente contrato de prestación de servicios. Se recoge también que revisado el “Acuerdo Marco para la realización de mamografías digitales en unidades fijas y pruebas complementarias derivadas, en la Comunidad de Madrid 2014” se puso también de manifestó la necesidad de incorporar al mismo el correspondiente contrato de encargado del tratamiento para su firma por los centros adjudicatarios ante la “carencia existente del mismo en al actual Acuerdo Marco”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha de 3/3/2016 se solicita información a ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS, S.A.U. (ASISA) quien remite escrito de respuesta recibido en fecha de 17/03/2016 en el que la entidad manifiesta la siguiente: 1. Señala ASISA que los datos de Doña A.A.A. figuran en los ficheros del HOSPITAL MONCLOA, SA como consecuencia de que dicha persona ha participado como paciente en el Programa de ....................... (XXXX), llevado a cabo en dicho Hospital y organizado por el Servicio Madrileño de Salud. Se aporta copia de la documentación acreditativa de dicha participación remitida por el Servicio Madrileño de Salud al HOSPITAL MONCLOA, S.A. 2. Aporta ASISA copia de pantalla donde se recogen los datos administrativos de Doña A.A.A. como consecuencia de su participación como paciente en dicho programa y que conllevó la presencia física de la misma en el HIOSPITAL MONCLOA donde se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 le practicaron las pruebas médicas incluidas en el citado programa, por lo que los datos recabados y generados como consecuencia de las pruebas quedaron incorporados al fichero de la entidad. 3. Añade ASISA que el sistema informático que da soporte a los diferentes centros médicos del grupo ASISA es común a todos ellos con el fin de poder facilitar una adecuada asistencia sanitaria a todos los pacientes y de este modo poder disponer de manera inmediata de dichos datos en cualquiera de los mencionados Centros. De esta circunstancia, según ASISA se informa en el DOCUMENTO DE INFORMACIÓN Y CONSENTIMIENTO, que en su párrafo segundo recoge “La finalidad de la recogida de datos es el tratamiento médico-sanitario y la correcta prestación de la asistencia sanitaria tanto a los usuarios de este Centro como de todos aquellos que integran el Grupo ASISA, así como completar su historia clínica única y multicentro y realizar la correspondiente gestión administrativa”. Por su parte, el párrafo tercero recoge que “Los destinatarios de esta información son todos aquellos profesionales (sanitarios y administrativos) e instituciones de asistencia sanitaria, tratamientos médicos, gestión de servicios sanitarios o seguimiento del proceso clínico y gestión administrativa, …”. 4. ASISA ha aportado copia de los escritos, ambos de fecha 19/5/2015, y remitidos por ASISA al SERVICIO MADRILEÑO DE SALUD y a Doña A.A.A., facilitando explicaciones sobre lo ocurrido. En dichos escritos se justifica lo ocurrido como consecuencia de un error administrativo sobre la base de que la historia clínica es común a todos los centros de ASISA y que los datos de la SRA. A.A.A. figuran en dicha historia al haberse practicado pruebas médicas en uno de los hospitales de ASISA en el marco del programa XXXX. Finalmente se señala en dichos escritos que se ha procedido al bloque de los datos de Doña A.A.A. para que ningún centro del grupo disponga de acceso a dichos datos que quedan en el sistema a los efectos de poder atender posibles requerimientos legales. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la cesión de los datos de la historia clínica de Doña A.A.A. desde la Comunidad de Madrid a ASISA sin su autorización. La denunciante se realizó una mamografía, en el marco del programa XXXX de la Comunidad de Madrid, en la Clínica Moncloa de Madrid, del grupo ASISA, teniendo acceso a sus datos desde el Hospital de la Inmaculada Concepción de Granada, también del Grupo ASISA. En primer lugar, referente al consentimiento por parte de los pacientes, el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos, como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. El artículo 7.3 señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
2. h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por último, indicar que el artículo 8 de la LOPD, relativo exclusivamente a los datos de salud, establece lo siguiente: “Sin perjuicio de lo que dispone el artículo 11 respecto a la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 III La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. IV En fecha 28 de febrero de 2010, el Gabinete Jurídico de la Agencia Española de Protección de Datos, emitió un informe, solicitado por un centro hospitalario público, sobre la necesidad del consentimiento de los pacientes en el caso de ser atendidos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 un centro privado, con el que mantenía un concierto para asistencia a los beneficiarios de la Seguridad Social. El informe nº 600/2009, indica lo siguiente: “Se plantea en primer lugar, si el consultante, centro médico privado que mantiene un concierto con la Administración de la Comunidad autónoma para asistencia a beneficiarios de la Seguridad Social, debe solicitar en cumplimiento de lo dispuesto en el apartado 6 de la Ley Orgánica 15/1999 el consentimiento inequívoco de sus pacientes para el tratamiento de sus datos tanto en la actividad pública como privada. El tratamiento y comunicación de datos de carácter personal, cuyo régimen aparece recogido con carácter general en los artículos 6 y 11 de la Ley Orgánica 15/1999, se encuentra, por vía de excepción, sometido a particulares restricciones en lo que a los datos de salud respecta, por el artículo 7 de la citada Ley Orgánica, cuyo apartado 3 establece como regla general que “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente”. Esta regla únicamente es matizada por la Ley Orgánica en sus artículos 7.6 y 8. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981, ratificado por España en fecha 27 de enero de 1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección. En este sentido, el artículo 8 de la Directiva 95/46/CE limita el tratamiento de datos a supuestos y finalidades concretos en los que será preciso el consentimiento, que además deberá ser expreso, del afectado o la necesidad del tratamiento con fines de asistencia sanitaria o atención de un interés vital del afectado. Esta cuestión ha sido especialmente analizada por el Grupo de Autoridades de Protección de Datos creado por el artículo 29 de la citada Directiva en su Documento de trabajo sobre el tratamiento de datos personales relativos a la salud en los historiales médicos electrónicos (Documento EP131), en el que se indica expresamente que “todos los datos contenidos en documentos médicos, en historiales médicos electrónicos y en sistemas de HME son “datos personales sensibles”. Por tanto, no sólo están sujetos a todas las normas generales sobre protección de datos personales de la Directiva, sino también a las normas sobre protección de datos especiales que rigen el tratamiento de la información sensible, contenidas en el artículo 8 de la Directiva”. En el Derecho español, establecida ya por el artículo 7.3 la regla general del consentimiento expreso para el tratamiento de los datos de salud, el artículo 7.6 establece en su párrafo primero que “podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 (datos de salud) de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto”. Igualmente, conforme al párrafo segundo del propio artículo 7.6, “También C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento”. Por otra parte, el artículo 8 de la Ley Orgánica 15/1999 establece respecto a los datos de salud que “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad”. Por consiguiente, debe entenderse que el tratamiento de datos personales relativo a la salud será posible cuando exista consentimiento del interesado o en los supuestos a que hacen referencia los citados artículos 7.6 y 8 de la Ley Orgánica 15/1999. Ahora bien, debe tenerse en cuenta, como señala el citado el Grupo de Trabajo del artículo 29 en el aludido documento, en relación con el artículo 8 de la directiva, que tratándose de una excepción a la prohibición general de tratar datos sensibles, esta excepción deberá interpretarse de forma restrictiva”. De este modo, señala que dichas excepciones “cubre solamente el tratamiento de datos personales para el propósito específico de proporcionar servicios relativos a la salud de carácter preventivo, de diagnóstico, terapéutico o de convalecencia, y a efectos de la gestión de estos servicios sanitarios, como por ejemplo facturación, contabilidad o estadísticas. No se cubre el tratamiento posterior que no sea necesario para la prestación directa de tales servicios, como la investigación médica, el reembolso de gastos por un seguro de enfermedad, o la interposición de demandas pecuniarias. También quedan fuera del alcance de la aplicación del apartado 3 del artículo 8 otros tratamientos en áreas como la salud pública y la protección social, particularmente en lo relativo a la garantía de la calidad y la rentabilidad, así como los procedimientos utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen del seguro de enfermedad (…)” II Plantea el centro médico consultante, en segundo lugar, si necesita autorización del paciente para integrar en el sistema informático del servicio de salud de su comunidad autónoma, los datos sanitarios del paciente atendido en éste, que han sido originados como consecuencia de una asistencia privada prestada en su centro, al estar incorporados a una única historia clínica. El tratamiento de datos de las historias clínicas se encuentra regulado en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, cuyo artículo 14.1 consagra el principio de máxima integración de la misma, al disponer que “La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 En cuanto a su finalidad, el artículo 15.2 dispone que “La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”. Por su parte, los apartados 4 y 5 del artículo 17 vienen a reflejar la delimitación del responsable del fichero de historias clínicas, correspondiendo esta condición al centro sanitario en el que se produzca la asistencia sanitaria o al médico que ejerza la profesión de manera individual. Así, se dispone que: “4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. “5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen.” Por consiguiente, el centro sanitario consultante tiene, en relación con los pacientes que acuden al mismo, la condición de responsable del tratamiento de los datos que sean incorporados a sus historias clínicas, por lo que la comunicación de los datos de la historia clínica al Servicio de Salud de su comunidad autónoma constituirá una cesión de datos de carácter personal definida en el artículo 3
3. i)de la Ley Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”, que solo cabe, por tratarse de datos de salud, como especifica el artículo 7.3 de la misma ley cuando “así lo disponga una Ley o el afectado consienta expresamente”. Debe así tenerse en cuenta que el párrafo primero del artículo 56 de la Ley 16/2003, de 28 mayo, de cohesión y calidad del Sistema Nacional de Salud, dispone que “Con el fin de que los ciudadanos reciban la mejor atención sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados con las comunidades autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el acceso a la historia clínica en los términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione.” En este mismo sentido, el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, recoge expresamente, sobre la base de la citada ley especial, la cesión de datos de salud en este supuesto en su artículo 10.5 disponiendo que “Los datos especialmente protegidos podrán tratarse y cederse en los términos previstos en los artículos 7 y 8 de la Ley Orgánica 15/1999, de 13 de diciembre” En particular, no será necesario el consentimiento del interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 Nacional de Salud. En el presente supuesto nos hallamos ante un centro privado concertado que no forma parte integrante del Sistema Nacional de Salud, aunque se encuentre vinculado con el mismo, así el artículo 44 de la Ley 14/1986, de 25 abril, General de Sanidad señala que “todas las estructuras y servicios públicos al servicio de la salud integrarán el Sistema Nacional de Salud”, añadiendo que “el Sistema Nacional de Salud es el conjunto de los Servicios de Salud de la Administración del Estado y de los Servicios de Salud de las Comunidades Autónomas en los términos establecidos en la presente Ley”. No obstante, el artículo 45 de la misma Ley 14/1986 establece que “el Sistema Nacional de Salud integra todas las funciones y prestaciones sanitarias que, de acuerdo con lo previsto en la presente Ley, son responsabilidad de los poderes públicos para el debido cumplimiento del derecho a la protección de la salud” y el artículo 90 habilita la celebración de conciertos con entidades sanitarias para la prestación de servicios. Sobre estas bases, esta Agencia ha concluido en informe de 5 de agosto de 2009 que “En consecuencia, aun no formando parte integrante del sistema Nacional de Salud, los centros concertados desarrollan acciones asistenciales directamente vinculadas con el sistema, pudiendo incluso entenderse que las mismas constituyen, en cuanto sea objeto de concierto, servicios propios del mencionado Sistema.” Por consiguiente, la incorporación a la historia clínica electrónica de los datos originados como consecuencia de una asistencia prestada al paciente en el marco del concierto que mantiene con el Servicio de Salud de la comunidad autónoma, constituiría una cesión de datos que resulta conforme con la Ley Orgánica 15/1999 por encontrarse amparada en el artículo 56 de la Ley 16/2002. En este sentido se pronuncia el Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica, de la Comunidad de Galicia que dispone en su artículo 3 “La historia clínica electrónica incorporará la información correspondiente al contenido previsto en el artículo 15 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y deberes en materia de información y documentación clínica, y en el artículo 16 de la Ley gallega 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes. Asimismo, incorporará la información clínica generada en aquellas actuaciones sanitarias derivadas de programas de salud pública, bajo el principio de integrar toda aquella información que pueda ser relevante para una mejor asistencia futura.” Igualmente, el mismo decreto establece en su artículo 5 que “En particular, no será necesario el consentimiento de la persona interesada para la comunicación de datos personales sobre la salud a través de medios electrónicos, entre organismos, centros, servicios y establecimientos de la Consellería de Sanidad, el Servicio Gallego de Salud y el sistema nacional de salud, cuando se realice para llevar a cabo la atención sanitaria de las personas, tanto se realice con medios propios o concertados.” En consecuencia la normativa estudiada determina la incorporación al sistema de intercambio electrónico de información clínica de los datos relativos a las asistencias prestadas a los pacientes en el marco de los servicios concertados, pero no extiende dicha obligación a los datos relativos a las asistencias privadas prestadas a sus pacientes por los centros concertados, sin perjuicio del cumplimiento de los deberes que respecto a la unidad de la historia clínica impone al centro médico consultante la Ley 41/2002.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 V Durante las actuaciones previas de investigación se ha constatado que el Servicio Madrileño de Salud realiza un Plan de Prevención de Cáncer de Mama, firmando un Acuerdo Marco con Hospitales privados de Madrid para la realización de mamografías. Uno de los hospitales con los que han contratado es la Clínica Moncloa. La Clínica Moncloa, como prestadora de ese servicio, recibe los datos de las mujeres que se harán la prueba mamográfica; pero como encargada del tratamiento de los datos de salud deberá mantener en sus ficheros los datos personales y los datos médicos e informes efectuados, aunque debe comunicar al Servicio Madrileño de Salud los resultados, ya que los ha efectuado como colaborador del sistema público sanitario, según se indica en el Fundamento anterior. Cuando una paciente acude a la Clínica Moncloa (o a otro Hospital del Grupo) se le facilita un documento de información y consentimiento, en el cual se le informa expresamente de que sus datos van a ser incluidos en los ficheros de la Clínica Moncloa y en los ficheros de los demás Centros hospitalarios del Grupo ASISA, para ser tratados con las finalidades especificadas. Por tanto, la denunciante consintió en la inclusión de sus datos en los Hospitales del Grupo ASISA, para integrarlos en una historia clínica única. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado contrato entre el Servicio Madrileño de Salud y la Clínica Moncloa. En el supuesto del Sistema Sanitario Público existe habilitación legal para concertar la realización de determinadas pruebas diagnósticas para la prevención del cáncer de mama con centros sanitarios privados. La finalidad del tratamiento de los datos de los pacientes es efectuar un diagnóstico médico, por lo que no es necesario que presten el consentimiento para dicho tratamiento de datos, en este caso concreto por parte del Hospital Moncloa. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de los pacientes del Sistema Madrileño de Salud por parte del Centro privado, ni se constata la cesión de datos inconsentida denunciada. VII En relación a la llamada telefónica recibida en la que le recordaban la operación quirúrgica programada en el Hospital de Granada, una Sentencia de la Audiencia Nacional, de fecha 23 de diciembre de 2013 (Recurso C-A 341/2012), indica lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones particulares, a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional.(…) Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” Así las cosas, no se aprecia, en este caso, incumplimiento del deber de secreto. No obstante, se recuerda a la entidad denunciada que extreme las precauciones al objeto de evitar conductas como las descritas en la denuncia. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 5. PROCEDER AL ARCHIVO de las presentes actuaciones. 6. NOTIFICAR la presente Resolución a ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS, S.A.U., HOSPITAL MONCLOA, S.A.U., HOSPITAL DE LA INMACULADA CONCEPCION, S.A.U., y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es