1/4 D.D.D.gin0D.D.D.gin0Expediente Nº: E/05515/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos el SERVICIO ANDALUZ DE SALUD- HOSPITAL CLINICO DE PUERTO REAL, y la entidad SOSAccidenta2, en virtud de denuncia presentada por Doña D.D.D., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de agosto de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña D.D.D., en el que denuncia al HOSPITAL CLINICO DE PUERTO REAL, por los hechos siguientes: el día 4 de marzo de 2014 sufrió un accidente de tráfico, cuando iba acompañada de su marido. Fue evacuada en ambulancia al Hospital de Puerto Real, donde permaneció ingresada una hora. Al día siguiente recibió una llamada a su móvil personal, que consta en el documento de urgencias, y quien contactaba con ella le preguntó si había sufrido un accidente de tráfico y que si pasaba por su oficina podía conseguir una suma superior a 3000 euros. Acudieron a la entidad, denominada SOSAccidenta
- Denuncian al Hospital porque es el único que pudo facilitar esa información y sus datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- El Hospital Universitario de Puerto Real envió copia de los datos relativos a la denunciante con referencia al accidente de tráfico sufrido por la misma, el día 4 de marzo de 2014, y de las tres personas que habían accedido a sus datos ese día. Se trata de la persona de admisión, el médico que la atendió y el que dio el alta por traslado a su domicilio. Por último, acompañan un informe indicando que solo se imprime un documento de alta, que se entregó a la afectada. Asimismo, se envió un parte al Juzgado de Guardia de la localidad, mediante fax, que posteriormente se archiva en el Servicio de Urgencias bajo llave. Añaden que antes de llegar al Hospital fue atendida por el Dispositivo de Urgencias de Chiclana de la Frontera y la Policía Local.
- La entidad SOSaccidenta2 expuso que los datos fueron facilitados por la propia denunciante que, junto a su esposo Don A.A.A., acudieron al despacho para encargarles la reclamación de daños y perjuicios. Se solicitó que aportasen los partes médicos de urgencia, el atestado policial y el seguro para prestarles asesoramiento. Los trabajos consistieron en facilitarles asistencia sanitaria (tienen concertado con clínicas privadas) hasta el Alta definitivo, calculo y reclamación amistosa con la compañía. Se acepta la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 oferta y se cobra la indemnización. Tras finalizar su trabajo se produjo el impago de los honorarios y se han visto abocados a acudir a la vía judicial. Acompañan documentación del siniestro y el contrato de prestación de servicios firmado por Don A.A.A. y SOSaccidenta
- FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se fundamenta en la posible vulneración del deber de guardar secreto sobre los datos personales objeto de tratamiento por parte del Hospital Universitario Puerto Real al facilitar los datos personales de Doña D.D.D. a la entidad SOSaccidenta
- El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 resguardar su vida privada de una publicidad no querida. Tras solicitar información al Hospital Universitario Puerto Real, se constata que los accesos efectuados a la historia clínica generada tras el accidente están justificados, con independencia de que los datos fuesen facilitados al Juzgado al tratarse de un accidente de tráfico con lesiones. Por otro lado, la entidad destinataria de los datos (según los hechos denunciados) ha indicado que fue la propia denunciante, junto con su marido, la que acudió a la entidad para que tramitaran el expediente de reclamación de daños derivados del accidente de tráfico. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que “Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este sentido y para este caso, no es posible acreditar si alguna de las personas que han tratado los datos de la denunciante tras su accidente de tráfico facilitó el número de teléfono móvil a SOSaccidenta2, pero si es cierto que esta entidad tiene firmado un contrato con el esposo de la denunciante para que le gestione la reclamación de daños. En consecuencia, no se ha podido acreditar ninguna infracción de la normativa de protección de datos.. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución al SERVICIO ANDALUZ DE SALUDHOSPITAL CLINICO DE PUERTO REAL, a la entidad SOSAccidenta2, y a Doña D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es