1/7 Expediente Nº: E/05051/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la FUNDACION JIMENEZ DIAZ, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de junio de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que declara lo siguiente: 1. Que ha trabajado como Enfermera/Supervisora de Calidad en la Fundación Jimenez Díaz desde el 5/4/1989 hasta el 16/1/2015. 2. Con motivo de los actos iniciados por la gerencia del Centro tendentes a resolver su relación laboral se ha accedido a su historia clínica sin su consentimiento así como de forma indebida e injustificada al realizarse de manera ajena a toda actividad asistencial por lo que dicho acceso resulta su juicio de forma contraria a las normas que regulan el tratamiento de los datos de carácter personal. 3. En fecha de 16/1/2015, la empresa le comunica la resolución de la relación laboral por motivos disciplinarios, evidenciándose, a su juicio en dicha notificación el mencionado acceso indebido a los datos de su historia clínica. Junto a las denuncias se aportaron los siguientes documentos: Parte de la notificación, de fecha 16/1/2015, dirigida por la Fundación Jimenez Díaz a Doña A.A.A. en la que se recoge textualmente: “… El pasado día 17 de noviembre, la Directora de Calidad tuvo conocimiento de que durante los meses de septiembre y octubre, Ud. Ha estado realizando sesiones de rehabilitación y fisioterapia durante su horario laboral sin pedir autorización, ni a ella, ni a RRHH, y ocultando esta circunstancia a su superiora, quien se entera de estos hechos, una vez finalizada la rehabilitación y por terceros. Requerida información al respecto al Dr. B.B.B. (Director del Servicio de Rehabilitación), se ha podido comprobar que ha recibido un tratamiento continuado entre los días 16 de septiembre y 16 de octubre, con 18 asistencias, también en jornada de mañana, de entre 40 minutos y una hora de duración, teniendo en cuenta que su jornada laboral es de 8 a 15 horas, se concluye que ha realizado esta actividad personal durante su jornada laboral. Sirva como ejemplo los registros que constan de su asistencia a rehabilitación los días 29 de agosto a las 13:30, el 9 de octubre a las 10:50 horas y el 16 de octubre, a las 9:20 horas. Durante actividad particular de rehabilitación Ud. ha abandonado su puesto de trabajo…”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 1. La FUNDACIÓN es una sociedad cuyo objeto social es la explotación y gestión del Hospital Universitario Fundación Jiménez Díaz. 2. Para dicha función la FUNDACIÓN cuenta con una serie de ficheros conteniendo datos de carácter personal entre los que se encuentra el denominado PACIENTES FUNDACION JIMENEZ DIAZ, inscrito en el Registro General de Protección de Datos con el código ***CÓD.1 y cuya finalidad declarada es la de “Gestión de los datos de los pacientes e historia clínica y de las tareas administrativas derivadas de la prestación asistencial. Encuesta de opinión de los pacientes sobre los servicios recibidos”. 3. En fecha de 16/1/2015, la empresa comunicó mediante escrito a Doña A.A.A., en su calidad de Enfermera/Supervisora de Calidad de la FUNDACION la resolución de la relación laboral por motivos disciplinarios fundamentados, entre otros aspectos, en la asistencia a sesiones de rehabilitación y fisioterapia dentro de su jornada laboral y durante los meses de septiembre y octubre de 2014, evidenciándose, a juicio de la denunciante, un acceso indebido a los datos de su historia clínica. 4. Durante la inspección se ha accedido al fichero PACIENTES FUNDACION JIMENEZ DIAZ realizándose las siguientes comprobaciones: 4.1. Se realiza una búsqueda al registro de accesos de dicho fichero a partir del nombre A.A.A., y en el periodo comprendido entre el 29/8/2014 y el 16/1/2015 obteniéndose un listado con los diferentes accesos que sobre los datos de dicha persona se han realizado. 4.2. En el listado de accesos obtenido se observa lo siguiente: 4.2.1.Consta un acceso realizado por Doña C.C.C., usuaria que pertenece a Administración, y en concreto al departamento de Admisión, y que realizó un acceso, de fecha de 16/10/2014, a los datos de Doña A.A.A., si bien según consta en el registro de accesos que no accedió a los datos médicos de dicha paciente al no figurar el carácter “S” en la columna de Datos médicos de dicho acceso. 4.2.2.Constan accesos realizados por el médico de rehabilitación Don D.D.D., constatándose que dicho facultativo ha realizado diversos actos médicos a Doña A.A.A. con reflejo en la historia clínica de dicha paciente según consta en los registros encontrados. 4.2.3.Constan accesos realizados por la médico de rehabilitación Doña E.E.E., constatándose que dicha facultativa ha realizado diversos actos médicos a Doña A.A.A. con reflejo en la historia clínica de dicha paciente según consta en los registros encontrados. 4.2.4.Constan accesos realizados por el médico de oncología Don F.F.F., constatándose que dicho facultativo ha realizado diversos actos médicos a Doña A.A.A. con reflejo en la historia clínica de dicha paciente según consta en los registros encontrados. 4.2.5.Constan accesos realizados por el médico de radiología G.G.G., constatándose que dicho facultativo ha informado, en fecha de 11/11/2014, una prueba radiológica realizada a Doña A.A.A. a petición del facultativo Don F.F.F., con reflejo en la historia clínica de dicha paciente según consta en el registro encontrado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 4.2.6.Constan accesos realizados por el médico de Ginecología H.H.H., constatándose que dicho facultativo ha atendido en diversas ocasiones a la paciente Doña A.A.A. a petición del facultativo Don F.F.F., con reflejo en la historia clínica de dicha paciente según consta en el registro encontrado. 4.2.7.Constan accesos realizados por la fisioterapeuta Doña I.I.I., no figurando que haya dejado reflejo en la historia clínica ya que los fisioterapeutas, si bien precisan de acceder a la historia clínica para consultar la prescripción de los pacientes, no realizan informes de sus actuaciones, aunque si solicitan a través de la historia la revisión por el facultativo correspondiente, situación que aparece reflejada en la historia clínica de Doña A.A.A.. 4.3. De los puntos anteriores se desprende que no consta acceso alguno a los datos médicos de Doña A.A.A. que no corresponda a personal facultativo que ha atendido a la paciente. 4.4. Adicionalmente, el representante de la FUNDACIÓN ha manifestado que la información relativa a la asistencia por parte de Doña A.A.A. a sesiones de rehabilitación y fisioterapia durante los meses de septiembre y octubre de 2015 y a los que se alude en el citado escrito de fecha de 16/1/2015 fueron confirmados con el médico responsable de dicha unidad y tras constatarse que Doña A.A.A. se ausentaba de forma reiterada de su puesto alegando que se encontraba en rehabilitación, situación que fue admitida por la citada empleada cuando se la solicitaron las debidas explicaciones en su momento. Por lo que no se precisó ni se realizó en ningún momento accesos a la historia clínica ni a datos médicos de la citada empleada para constatar la situación descrita. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 diciembre, define el tratamiento de datos personales en su artículo 5.t), en los siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que los accesos del imputado en este procedimiento a la historia clínica de la denunciante constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. La denunciante ha declarado que se han producido accesos a su historia clínica con finalidades diferentes a las establecidas en la normativa sectorial e incumpliendo, asimismo, la legislación de protección de datos al no haber solicitado su consentimiento para los accesos producidos con la finalidad de resolver el contrato laboral que mantenía con la Fundación Jiménez Díaz. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Realizada visita de Inspección a la Fundación se ha constatado que todos los accesos efectuados en el período indicado por la denunciante estaban justificados por actuaciones médicas, aportando el detalle de los accesos realizados y de la justificación de cada uno de ellos. El artículo 7.3 de la LOPD señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De la citada definición resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin él difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
- a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En el presente caso, no consta la existencia de actos de la afectada que revelen que efectivamente dio su consentimiento al denunciado para el tratamiento realizado de sus datos de salud, pues consta la presente denuncia a la AEPD; lo que revela precisamente la inexistencia de ese consentimiento expreso necesario para el acceso efectuado. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. Por tanto, ha quedado acreditado que los accesos realizados y constatados a la historia clínica de la denunciante estaban exceptuados del consentimiento por tratarse de tratamientos necesarios para el diagnóstico médico y la prestación de asistencia sanitaria. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 5. PROCEDER AL ARCHIVO de las presentes actuaciones. 6. NOTIFICAR la presente Resolución a FUNDACION JIMENEZ DIAZ y a Doña C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es