1/4 Expediente Nº: E/05887/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el HOSPITAL GENERAL UNIVERSITARIO REINA SOFIA, en virtud de denuncia presentada por FACUA CONSUMIDORES EN ACCION, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de septiembre de 2014, tuvo entrada en esta Agencia un escrito remitido por FACUA CONSUMIDORES EN ACCION en el que declara: <<PRIMERO.- FACUA ha tenido conocimiento de la cesión de los datos personales y médicos de algunos pacientes atendidos en el citado Hospital General Universitario Reina Sofía, de titularidad pública a, al menos, un centro ortopédico de titularidad privada de la misma localidad. SEGUNDO.- Que el objetivo de esta cesión es derivar pacientes a un centro privado, sin consentimiento de los pacientes y con un mensaje falso (que indica que son personal sanitario externo), con la intención de confundir a los afectados. TERCERO.- Que el centro privado que recibe los datos personales e informes médicos de manera fraudulenta los utiliza para obtener un beneficio económico a través del tratamiento de unos pacientes que no han solicitado sus servicios… QUINTO.- Que el artículo 7 de dicha ley, relativo a los datos especialmente protegidos, establece en su punto 3 que “los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente”. SEXTO.- Que, dado que no existe una ley de rango similar a la Ley Orgánica mencionada anteriormente y que los afectados no han expresado su consentimiento previo a la cesión de los datos, especialmente protegidos de acuerdo a la norma, el hospital arriba mencionado está incumpliendo la ley. SÉPTIMO.- Que el hospital denunciado también incumple el artículo 9 de dicha norma, sobre la seguridad de los datos, que expresa que “el responsable del fichero y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado”. OCTAVO.- Que, asimismo, incumple el artículo 10 de la Ley Orgánica 15/1999, sobre el deber de secreto, que indica que “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 NOVENO.- Que, además, incumple el artículo 44.3.b de la Ley 15/1999 anteriormente mencionada, que recoge que es una infracción grave “tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. DÉCIMO.- Que, específicamente, el artículo 44.3.d de la Ley 15/1999 anteriormente mencionada considera como infracción grave “la vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. UNDÉCIMO.- Y que, de la misma manera, el artículo 44.3.h de la misma ley considera como infracción grave “mantener los ficheros locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”.>> La entidad no aporta prueba alguna de dichas acusaciones. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Solicitada información al HOSPITAL, de la respuesta recibida se desprende: a. Niega mantener relación contractual alguna con ninguna ortopedia ni facilitarle datos. b. El HOSPITAL dispone de un documento para que los pacientes ingresados que precisan una órtesis, que ha de ser elaborada por una ortopedia, puedan autorizar, si lo desean, al Servicio donde permanecen ingresados a contactar con la ortopedia elegida por el paciente, para que acuda al centro a tomar las medidas necesarias para elaborar la órtesis prescrita. Aporta copia del citado documento, mediante el que se recaba la autorización del paciente y se indica la ortopedia elegida. c. Aporta copia del Documento de Seguridad. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El primer hecho denunciado se concreta en la cesión de los datos personales y médicos de algunos pacientes atendidos en el citado Hospital General Universitario Reina Sofía, de titularidad pública a, al menos, un centro ortopédico de titularidad privada de la misma localidad, sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 El artículo el artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, que señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” El Hospital Universitario denunciado ha aportado un modelo de autorización para que inicien la gestión de la órtesis prescrita por un Servicio del Centro. En dicho documento se informa de la voluntariedad de que el Hospital gestione la tramitación de la órtesis, siendo firmado por médico y afectado o su representante legal. Asimismo, incluye una cláusula informativa completa y la posibilidad de revocar la autorización. En consecuencia, el Centro cuenta con el consentimiento por escrito del paciente para facilitar sus datos a una ortopedia con la finalidad de gestionar la elaboración de la órtesis prescrita. Asimismo, el Hospital ha acompañado copia del Documento de Seguridad, no existiendo ninguna prueba, ni siquiera indiciaria, de su incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a HOSPITAL GENERAL UNIVERSITARIO REINA SOFIA y a FACUA CONSUMIDORES EN ACCION. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es