← España

E-05697-2014

1/8 Expediente Nº: E/05697/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el SANTO HOSPITAL DE CARIDAD 'HOSPITAL GENERAL JUAN CARDONA', en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19 de agosto de 2014, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B., en el que declara: <<Me envían de la residencia pública Arquitecto Marcide de Ferrol para hacer una ecografía en el hospital privado Juan Cardona, allí me dicen que tengo que firmar el consentimiento para el tratamiento de los datos, al no estar de acuerdo en que mis datos los usen para cederlos a otras empresas me dicen que no me hacen la ecografía, a lo cual les digo que me lo den por escrito, y así lo hacen indicando con estas palabras "el paciente se niega a firmar la ley de protección de datos, no se realiza ecografía por este motivo" le digo a la chica del hospital que me lo firmen, solo le ponen un cuño>> Aporta el denunciante un formulario denominado “CONSENTIMIENTO PARA EL TRATAMIENTO DE LOS DATOS DE LOS PACIENTES/USUARIOS Y DEBER DE INFORMACIÓN” del Hospital, destinado a recabar el consentimiento para el tratamiento de los datos personales. Se informa de las finalidades del tratamiento, especificando: <<Sus datos serán objeto de cesión a aquellas Administraciones Públicas que determine la ley, a las entidades sanitarias particulares (mutuas y aseguradoras) responsables de su aseguramiento si corresponde y a otras empresas relacionadas directamente con la actividad del Hospital Juan Cardona (ejemplo: estudios de satisfacción o estudios de calidad asistencial).>> El impreso aparece sellado por el Hospital y anotado a mano consta "el paciente se niega a firmar la ley de protección de datos, no se realiza ecografía por este motivo" SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. De la información y documentación aportada por el Hospital se desprende: a. Manifiesta el Hospital: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 <<- Con el fin de obtener un mejor conocimiento de la opinión de los pacientes respecto al funcionamiento del HOSPITAL GENERAL JUAN CARDONA y para poder justificar ante el SERGAS (Servicio Galego de Saúde) y ante los miembros del Patronato de la FUNDACION SANTO HOSPITAL DE CARIDAD “HOSPITAL GENERAL JUAN CARDONA”, la actividad y calidad de los servicios prestados por los departamentos de Urgencias y Hospitalización de esta entidad, se han contratado los servicios de FERREIRO BOULLON & ASOCIADOS, S.L… Se adjunta también contrato de acceso por cuenta de terceros firmado con dicha entidad, ….>> Se comprueba que dicho contrato aparece firmado en fecha 18 de diciembre de 2007, constando en el mismo que la finalidad es la realización de las encuestas de los clientes: - De satisfacción de pacientes post-hospitalizados - De satisfacción de pacientes de urgencias. Los cuestionarios son remitidos a los domicilios de los pacientes, estableciéndose en el contrato: <<Para la realización de la encuesta, el CLIENTE entregará e FBA Consulting un fichero en formato electrónico (fichero MS EXCEL) con los datos de los pacientes a quienes se enviará la encuesta. Este fichero llevaré campos con el nombre y apellidos del paciente, y la dirección completa de contacto del mismo.>> Figura en el contrato una clausula titulada “Confidencialidad de los datos, derechos de autor y marcas registradas” en donde se establece medidas de limitación de finalidad, seguridad, confidencialidad y bloqueo de datos a las que se obliga la entidad encuestadora. b. Informa igualmente el Hospital que: - La única información cuyo acceso se facilita a FERREIRO BOULLON & ASOCIADOS, es el nombre y dirección de los pacientes, con la única finalidad de poder enviar la encuesta. No se facilita ningún dato relativo a la salud de los pacientes. Una vez el paciente recibe la encuesta, y voluntariamente decida participar, se incluye un sobre pre franqueado para que el paciente la devuelva cumplimentada, sin incluir ningún dato personal, pues se trata de encuestas anónimas. - Una vez FERREIRO BOULLON & ASOCIADOS reciben las encuestas (totalmente anónimas), elaboran los correspondientes estudios y remiten sus resultados al hospital. Aporta el Hospital modelo de tabla que se facilita a FERREIRO BOULLON & ASOCIADOS, verificándose que los campos de información son el nombre y dirección de los pacientes, que son estrictamente los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 relativos a la dirección proporcionada por el usuario al hospital, para poder enviar la encuesta. Informa igualmente que dicha información se envía por correo electrónico en un archivo cifrado. - Tanto las encuestas como los informes de calidad y satisfacción resultantes, son, por tanto, totalmente anónimos. Aporta modelo de las encuestas que se envía a los pacientes como, en donde se observa que la única información que contiene es la valoración de los distintos servicios hospitalarios, sin que recoja dato alguno de los pacientes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante ha facilitado el documento que se negó a firmar, denominado “CONSENTIMIENTO PARA EL TRATAMIENTO DE LOS DATOS DE LOS PACIENTES/USUARIOS Y DEBER DE INFORMACIÓN”, y que indica lo siguiente: “De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), el HOSPITAL GENERAL ‘JUAN CARDONA” le informa que los datos personales que se le solicitan serán objeto de tratamiento automatizado o no, en os ficheros del hospital, con la finalidad de garantizar su asistencia sanitaria, y por ello formarán parte de su historia clínica, y realizar la gestión administrativa de su asistencia. Sus datos serán objeto de cesión a aquellas Administraciones Públicas que determine la ley, a las entidades sanitarias particulares (mutuas y aseguradoras) responsables de su aseguramiento si corresponde y a otras empresas relacionadas directamente con la actividad del Hospital Juan Cardona (ejemplo: estudios de satisfacción o estudios de calidad asistencial). Se le informa también que va a ser grabado por cámaras de vigilancia a la entrada del edificio, accesos, pasillos, etc. A tenor de la LOPD, se le informa que podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición con respecto a sus datos y con las limitaciones que la ley establezca. Asimismo tiene derecho a revocar su consentimiento. Según lo anterior, D/Dña A.A.A. D.N.I n° C.C.C., manifiesto que estoy satisfecho con la información recibida y en tales condiciones EXPRESO Ml CONSENTIMIENTO al amparo de la Ley 15/1 999 sobre protección de datos de carácter personal.” En el pie del mismo y escrito a mano consta: “El paciente se niega a firmar la Ley de Protección de datos. No se realiza ecografía, por este motivo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 III El artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD dispone que el tratamiento de los datos especialmente protegidos, como son los relativos a la salud, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Este artículo 7 de la LOPD establece un régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de las esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos, el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81, de 28 de enero, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, del Parlamento y del Consejo, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. El artículo 7.3 señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 recogida en el artículo 3.
  2. h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por último, indicar que el artículo 8 de la LOPD, relativo exclusivamente a los datos de salud, establece lo siguiente: “Sin perjuicio de lo que dispone el artículo 11 respecto a la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.” III La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. IV En el supuesto denunciado, el Hospital facilitó la cláusula informativa conforme establece el artículo 5 de la LOPD, determinado: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  8. c)y
  9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La cláusula facilitada para informar y obtener el consentimiento es adecuada a lo establecido en la normativa de protección de datos, ya que indica que sus datos se incluirán en un fichero del hospital (lo que es obligatorio), el destino de los mismos, las cesiones a aseguradoras si van a pagar la prueba, y a empresas relacionadas con la actividad del propio Hospital. En esa cláusula, indican, como han explicado posteriormente, que la empresa contratada es una prestadora de servicios (no siendo necesario, por ello, informar sobre ese particular). En la hoja informativa que se facilita en la actualidad, se explica que los datos que facilitan los pacientes se cederán a otras empresas relacionadas directamente con la actividad del Hospital Juan Cardona (ejemplo: estudios de satisfacción o estudios de calidad asistencial). Lo que ha hecho el Hospital denunciado es firmar un contrato de prestación de servicios con Ferreiro Boullon & Asociados para el envío de las encuestas de satisfacción a todos los usuarios del centro sanitario. El artículo 12 de la LOPD, en su apartado 1 señala: “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento” Esto significa que el Hospital puede hacer el seguimiento de la calidad asistencial prestada entre todos los usuarios de los servicios del centro. En lugar de hacer ellos el trabajo de enviar la encuesta anónima y voluntaria a tales usuarios, lo realiza a través de un encargo, mediante contrato firmado de prestación de ese servicio. Pero como el propio artículo 12 de la LOPD señala no se considera una cesión de datos, por lo que no es preciso pedir el consentimiento a los usuarios para la comunicación de los datos básicos a una tercera empresa. En consecuencia, no se acredita que el Hospital Juan Cardona haya incumplido la normativa de protección de datos; si bien para evitar confusiones debería quitar la información acerca de la prestación de servicios contratada para el envío de estudios de satisfacción y de calidad asistencial, ya que parece que puede llevar a equívocos a los usuarios de los servicios del Centro. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución a SANTO HOSPITAL DE CARIDAD 'HOSPITAL GENERAL JUAN CARDONA' y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.