1/14 Expediente Nº: E/06332/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades GENERALI ESPAÑA S.A. DE SEGUROS Y REASEGUROS, HOSPITAL DE MADRID, S.A., y OSTEOIMPLANTS, S.L., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de septiembre de 2013, tuvieron entrada en esta Agencia tres escritos remitidos por Doña A.A.A., mediante los que denuncia al Hospital Madrid Torrelodones, a Generali Seguros y a Osteoimplants, S.L., por cesión y uso indebido de sus datos, manifestando lo siguiente: Fue operada el 20 de febrero de 2012 de una fractura en el Hospital Madrid Torrelodones, procediendo a implantarle una prótesis, autorizada por la aseguradora GENERALI, no informándola de que los gastos de la prótesis no serían cubiertos por su póliza. El 11 de abril de 2013 recibe una llamada de Osteoimplants, S.L., en su domicilio particular, atendida por su madre, en la que indican que Generali Seguros no cubre el coste del implante. Le informan, así mismo, que ha sido la aseguradora quien le ha pasado sus datos de contacto. En mayo recibe una nueva llamada de Osteoimplants, S.L., reclamandole el pago de la prótesis. El 26 de junio de 2013 recibió en su domicilio una carta certificada donde se le exige hacer frente al pago del implante. Así mismo, recibe por primera vez una factura de Osteoimplants, S.L., con el desglose de importes. En ningún momento solicitó u ordenó pedido de material alguno, entendiendo que este hecho fue acorde a decisiones médicas de urgencias. Cuando le dan de alta en el hospital, le entregan un albarán con el inventario de prótesis y sistema de fijación utilizados en la operación y le indican que debe guardarlo por aparecer el número de serie de la prótesis. En el albarán no aparece su firma. Osteoimplants, S.L., dispone de un fichero inscrito denominado “morosos”. No le han comunicado la inclusión en dicho fichero. Además, no se considera cliente de dicha entidad por lo que no deberían tener sus datos. Aporta la siguiente documentación: Copia de la autorización “DOCUMENTO DE CONFORMIDAD” emitido por GENERALI ESPAÑA, SA de SEGUROS Y REASEGUROS (en adelante GENERALI) con ocasión de la prestación, solicitada por HOSPITAL DE MADRID, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Copia de la carta de OSTEOIMPLANTS, S.L., (en adelante OSTEOIMPLANTS) recibida en su domicilio. Copia de la factura emitida por OSTEOIMPLANTS Copia del albarán de implantes. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se realizó una inspección al HOSPITAL MADRID TORRELODONES, dependiente de la entidad Hospital de Madrid, S.A., con los siguientes resultados: En la Historia Clínica correspondiente a la denunciante, consta un documento de “SOLICITUD DE INGRESO URGENTE” firmado por la denunciante con la siguiente autorización : “En caso de que fuera necesaria la colocación de cualquier tipo de prótesis o implante durante la asistencia que se le preste en el Centro, el abajo firmante autoriza la comunicación a la empresa fabricante y/o distribuidora de cuantos datos sean necesarios a efectos de facturación y para garantizar su trazabilidad”. El documento es de fecha 19 de febrero de 2012. Los representantes de Hospital de Madrid, S.A., manifestaron que no se entrega copia al paciente de dicho documento ni de los consentimientos informados, sin perjuicio de que en cualquier momento pueda recabar copia de los mismos solicitando el acceso a su Historia Clínica. Los representantes de Hospital de Madrid, S.A., manifestaron que los datos de la afectada facilitados a la empresa de implantes, OSTEOIMPLANTS, son los que figuran en la hoja de implantes, (llamada albarán por la denunciante), de la cual consta en la Historia Clínica un ejemplar. Los datos que figuran en dicho documento son: Nombre y apellidos de la afectada, fecha de ingreso, fecha de nacimiento, número de cama, Compañía aseguradora (“GENERALI ESPAÑA S.A.”), número de póliza y nombre del médico responsable. Figura en diagnóstico y listado de los implantes incluyendo pegatina con número de serie. No figura domicilio del paciente ni su teléfono de contacto. Los representantes de Hospital de Madrid, S.A., indicaron que : “En cumplimiento del RD 1591/2009 sobre la trazabilidad de Productos Sanitarios, se hace entrega a la empresa de implantes de un documento en el que figuran el nombre y apellidos de la paciente, la fecha de ingreso, la fecha de nacimiento, la Compañía Aseguradora, el número de póliza, y el médico que ha realizado la intervención, así como el listado de nombres y tipo de implantes, con su referencia. No se realiza ningún otro tipo de comunicación de datos a la empresa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 implantes. En cualquier caso, al paciente se le recaba su consentimiento expreso en el documento de ingreso, en el que autoriza “la comunicación de la empresa fabricante y/o distribuidora de cuantos datos sean necesarios a efectos de facturación y para garantizar su trazabilidad”. Se verificó que en la Historia Clínica no figuraba ningún otro tipo documento con datos de la paciente que constara que se enviara a la empresa suministradora de implantes al objeto de realizar facturación de los mismos a la paciente. Los representantes del Hospital manifestaron que EL HOSPITAL no tiene relación comercial con la empresa suministradora, no colaborando con la facturación y que la única comunicación de datos existente se realiza exclusivamente por imperativo legal con relación a la trazabilidad de las prótesis. 2. Solicitada información y documentación a GENERALI, contesta en los siguientes términos a las preguntas formuladas: “Por parte de GENERALI ESPAÑA, S.A. no se ha realiza ninguna comunicación de datos personales de la paciente a la empresa OSTEOIMPLANTS, S.L. Es esta empresa quien reclama a GENERALI SEGUROS el coste de la prótesis, contestándosele por nuestra parte que no podemos proceder al abono al ser un servicio no cubierto por la póliza. En resumen, GENERALI ESPAÑA no ha comunicado datos de carácter personal de la asegurada ni al centro médico en el que fue intervenida ni a la empresa fabricante de las prótesis. Se adjunta como documento número 2 copia de la comunicación cursada al hospital a efectos de autorizar la intervención, si bien en la misma no consta no hay datos de carácter personal. […] Como ya se ha dicho, GENERALI SEGUROS, S.A. no ha comunicado dato alguno de carácter personal de la paciente a la citada entidad, limitándose a contestar negativamente la solicitud de abono de esta.” Se verifica que sí figuran datos personales en el aludido documento número 2 que adjuntan, tales como nombre y apellidos de la denunciante, núm. de tarjeta, núm. de póliza, e incluso el diagnóstico. No obstante, dicho documento es el remitido por GENERALI a Hospital de Madrid, S.A., para la autorización de la prestación “DOCUMENTO DE CONFORMIDAD”. En dicho documento no se mencionan las prótesis. Aportan copia de la póliza suscrita por el tomador del seguro, condiciones generales y particulares. Los presentantes de GENERALI han manifestado que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 “La póliza informa sobre las exclusiones de cobertura (vid, artículo 4, número 11 de las condiciones generales), pero no incluye información específica sobre posibles comunicaciones de datos a empresas de prótesis porque dichas comunicaciones no se producen.” Se verifica que en el número 11 de dicho artículo se excluyen los gastos de “adquisición, alquiler, mantenimiento y reparación de todo tipo de prótesis” Por otro lado, el contrato de póliza incluye únicamente información al tomador sobre el tratamiento de los datos personales por parte del asegurador y “El tomador del seguro manifiesta su consentimiento expreso para tal tratamiento…”. Se realizó una inspección al OSTEOIMPLANTS, habiendo manifestado sus representantes lo siguiente: “La empresa trabaja tanto con Hospitales públicos como privados para el suministro de las prótesis e implantes necesarias en las intervenciones quirúrgicas. Uno de los Hospitales con el que trabajaban es el Hospital Madrid, SA. El procedimiento seguido con este Hospital consiste en el desplazamiento de un técnico de la empresa al Hospital, donde los médicos responsables de la intervención solicitan al técnico, según las necesidades del paciente, una determinada prótesis o implante. El hospital es el encargado de recoger el consentimiento del paciente para la comunicación de sus datos personales a la empresa de implantes. Cuando el paciente al que se le facilita una prótesis tiene compañía aseguradora, OSTEOIMPLANTS requiere a la misma el pago de la prótesis. En caso de que la aseguradora deniegue el pago por no estar la prótesis cubierta por el seguro del paciente, OSTEOIMPLANTS solicita el pago de la misma al paciente. OSTEOIMPLANTS tiene un fichero declarado en el Registro General de Protección de Datos (RGPD) denominado “MOROSOS”, en el cual en la actualidad únicamente constan los datos de Doña A.A.A.. El fichero se encuentra en formato papel. No obstante, los datos de los clientes y pacientes se encuentran informatizados, estando también inscrito en el RGPD el fichero, con la denominación “AUTORIZACIONES”. […] El fichero “MOROSOS” es de uso interno de la entidad y no es consultable por ninguna otra empresa o entidad, siendo su finalidad el registro de los impagos que se producen como consecuencia de la actividad de la empresa. Contiene básicamente copia de las facturas impagadas. En el caso concreto Doña A.A.A., el Hospital solicitó a OSTEIMPLANTS sus servicios para la provisión de implantes en la intervención que se realizó a la citada persona. Una vez facilitados los implantes, el Hospital entrega a OSTEOIMPLANTS una “hoja de Implantes” y un documento de conformidad o autorización de la Compañía de Seguros. Estos documentos se facilitan a la salida del quirófano o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 dentro de la caja del instrumental que se devuelve, en el caso de que no se desplace ningún comercial a la intervención. Si el hospital no facilita la autorización, OSTEIMPLANTS en caso de necesitarlo, solicita a la Compañía de Seguros que se lo facilite. En el caso concreto de la afectada, no acudió ningún técnico a la intervención, no recordando si el documento de conformidad se lo facilitó el Hospital dentro de la caja de instrumental o fue remitido por la Compañía de Seguros.” […] Cuando la Compañía de Seguros deniega el pago a OSTEOIMPLANTS, ésta le solicita los datos de contacto del paciente para requerir el pago al mismo, ya que en la Hoja de implantes no figuran, sí constando su nombre y apellidos, nº de póliza y Compañía de Seguros. […] En la mayoría de los casos, los datos de contacto son solicitados vía telefónica, a través del Departamento de Autorización del Servicio de Atención Telefónica de las Compañías de Seguros. En ocasiones son solicitados vía fax, pero en el caso concreto de la afectada, al no constar fax, los datos fueron facilitados vía telefónica. En concreto, GENERALI facilitó los números de teléfono de la afectada que constan en los ficheros de OSTEOIMPLANTS, No obstante, no puede asegurar que GENERALI le suministrara los datos del domicilio, pudiendo haber sido facilitados por la propia afectada o su madre en los contactos telefónicos mantenidos al intentar recuperar la deuda. Por otro lado, dentro del procedimiento de reclamación de la mencionada factura, la propia afectada facilitó los datos de su mediador de seguros como interlocutor para gestionar el trámite de la factura, estableciéndose el intercambio de una serie de correos electrónicos y llamadas telefónicas, pudiendo ser dentro de estas comunicaciones telefónicas donde se obtuvo el dato del domicilio postal de la afectada. […] OSTEOIMPLANTS tiene suscrito un acuerdo de comunicación de datos de carácter personal con el Hospital de Madrid, SA, […] Además, OSTEOIMPLANTS, en su ánimo de cumplir con la legislación de Protección de Datos de Carácter Personal, ha solicitado a las Compañías de Seguros la suscripción de Acuerdos similares, habiendo recibido como respuesta que el flujo de datos tiene la consideración de comunicación de datos para la cual ya recaban las Compañías de Seguros el consentimiento expreso de sus asegurados. […] En cualquier caso, los datos facilitados por GENERALI a OSTEOIMPLANTS se encuentran enmarcados en la reclamación de una factura pendiente, no incluyéndose ningún tipo de datos de salud, limitándose exclusivamente los números de teléfono. Los datos relativos al implante realizado a la afectada han sido facilitados por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Hospital, con el que mantienen suscrito el referido acuerdo de comunicación de datos de carácter personal. OSTEOIMPLANTS cuenta con dos únicos socios y no cuenta con más trabajadores. El Volumen de Facturación aproximado es de unos doscientos mil euros anuales. Conscientes del carácter de los datos personales que tratan, han contratado los servicios de una empresa externa para que les realice una auditoría de Protección de Datos. “ En la inspección se recabó copia del DOCUMENTO DE CONFORMIDAD o autorización de la intervención realizada a la afectada emitida por la Compañía de Seguros, GENERALI, que obraba en poder de OSTEOIMPLANTS. Coincide con el aportado tanto por la denunciante, como por GENERALI y EL HOSPITAL. Durante la inspección efectuada se comprobó que en el fichero denominado “AUTORIZACIONES” de la entidad OSTEOIMPLANTS constan los siguientes datos de contacto de Doña A.A.A.: domicilio “(C/....................1), Madrid”. Teléfonos “***TEL.1” y “***TEL.2”. Se recabó copia de la factura emitida por OSTEOIMPLANTS a GENERALI, del escrito de denegación del pago recibido de dicha Compañía de Seguros, de la factura emitida por OSTEOIMPLANTS a Doña A.A.A., de la carta que le fue remitida para requerirle su pago, de la carta de reclamación de ALAE ABOGADOS en representación de la afectada recibida por OSTEOIMPLANTS, de uno de los contactos mantenidos por correo electrónico con el corredor de seguros, y de dos correos electrónicos intercambiados con los abogados de la afectada, de fechas 10 de julio de 2013 y 11 de septiembre de 2013. En ninguno de estos documentos se incluyen los datos de contacto de la afectada. Si figura una mención a su origen en el correo remitido el 10/07/2013 por el abogado de OSTEOIMPLANTS al abogado de la afectada, en el que se cita: “la dirección de facturación de la Sra. A.A.A. y su número de teléfono, y que estos datos han sido proporcionados por la aseguradora GENERALI al rechazar el pago de la prestación” También se recabó copia del último informe de auditoría realizada a OSTEOIMPLANTS por la entidad Servicios Avanzados de Protección de Datos SL, y del acuerdo de comunicación de datos de carácter personal suscrito con el Hospital de Madrid, SA, figurando en el mismo que para la prestación del servicio de suministro ,OSTEOIMPLANTS SL tiene necesidad de disponer de datos de carácter personal de los pacientes y que el hospital de Madrid los comunicará exclusivamente con el fin de la prestación por OSTEOIMPLANTS de los servicios de suministro y seguimiento de trazabilidad de productos, así como la posible facturación de materiales que deba abonar, de forma directa, el paciente. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la cesión y tratamiento indebido de sus datos por parte del Hospital Madrid, la compañía de seguros Generali y la entidad Osteoimplants, S.L. Con carácter previo procede señalar que el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD establece el régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que se califica en el citado artículo como “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto de los datos de salud, el Legislador español, siguiendo al Consejo de Europa (artículo 6 del Convenio 108/81 del Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al Derecho Comunitario (artículo 8 Directiva 95/46/CEE, de 24 de octubre), los considera como especialmente protegidos y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Ello quiere decir que, solamente en estos supuestos específicos, dichos datos podrán ser tratados. La Ley 15/1999 incorpora a su art. 7 un apartado 6, que determina: “No obstante lo dispuesto en los apartados anteriores podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.” El precepto transcrito viene pues a posibilitar que todos los datos que se consideran en los apartados 2 y 3 anteriores del mismo artículo como especialmente protegidos, entre los que se encuentran los relativos a la salud, puedan ser tratados sin las exigencias especiales de protección que al respecto se señalan. En el caso concreto de los datos de salud sin la exigencia del consentimiento expreso del afectado o sin que una Ley así lo disponga por razones de interés general (art. 7.3). Pero el régimen excepcional del art. 7.6 requiere la concurrencia de dos requisitos:
- a)que el tratamiento de dichos datos “resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios”; también en el supuesto de que el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona cuando el afectado esté incapacitado, según precisa el segundo párrafo del propio art. 7.6. Y
- b)que el tratamiento de datos se realice por un profesional o por otra persona obligada a equivalente secreto. En el supuesto objeto de la presente denuncia, en relación con el Hospital de Madrid y el uso de sus datos, ha quedado acreditada la concurrencia de ambos requisitos: la necesidad de prestar asistencia médica y la realización de la misma por profesionales sanitarios. En cuanto a la cesión de sus datos por parte del Hospital de Madrid a la compañía de seguros, la denunciante firmó un documento en el que consta lo siguiente “En caso de que fuera necesaria la colocación de cualquier tipo de prótesis o implante durante la asistencia que se le preste en el Centro, el abajo firmante autoriza la comunicación a la empresa fabricante y/o distribuidora de cuantos datos sean necesarios a efectos de facturación y para garantizar su trazabilidad”. En consecuencia, el Hospital denunciado uso los datos de la denunciante para prestarla asistencia sanitaria y los cedió a la entidad de implantes con el consentimiento por escrito de la Sra. A.A.A.. III Respecto a la entidad aseguradora Generali denuncia Doña A.A.A. que ha cedido sus datos a terceros para la reclamación de la deuda. GENERALI ESPAÑA, S.A., no ha realizado ninguna comunicación de datos personales de la paciente a la empresa OSTEOIMPLANTS, S.L. Es esta empresa quien reclama a GENERALI SEGUROS el coste de la prótesis, contestándosele por parte de la aseguradora que no procede el abono al ser un servicio no cubierto por la póliza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 El Servicio Jurídico del Estado de esta Agencia Española de Protección de datos, emitió un informe acerca de la conformidad con lo dispuesto en la LOPD en el tratamiento de los datos de salud por las compañías aseguradoras en el supuesto de seguros relacionados con la salud, así como la comunicación por las entidades sanitarias que realicen los distintos actos médicos cubiertos por esa modalidad de seguro de los datos resultantes de dichos actos médicos a las compañías aseguradoras. En el informe se indicaba lo siguiente: “1. En cuanto a la transmisión de los datos por parte de los centros sanitarios a las entidades aseguradoras, en cualquiera de los supuestos a los que se refería la consulta respondida a través del mencionado informe (repercusión del gasto sanitario o examen médico derivado del cuestionario de salud) se concluía que la misma habría de ser considerada una cesión o comunicación de datos de carácter personal. En este sentido, se afirmaba que dicha transmisión no podía considerarse amparada por lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, en los siguientes términos: “Para que sea posible la incardinación de la relación entre ambas entidades en el segundo de los supuestos citados, será preciso que los centros puedan ser considerados simples encargados del tratamiento de la entidad aseguradora, definiendo el artículo 3
- g)de la Ley Orgánica 15/1999 al encargado del tratamiento como “La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Ello exigiría que el encargado limitara su actividad a los términos previstos en el artículo 12 de la Ley Orgánica, debiendo recordarse que el apartado 2 de dicho precepto establece que “el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento” y que “no los aplicará o utilizará con fin distinto al que figure en dicho contrato”. Pues bien, siendo la entidad que recogería los datos del asegurado un centro sanitario, debe recordarse que el artículo 14.2 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, dispone que “Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información”, añadiendo el artículo 17.1 de la propia Ley que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. En consecuencia, junto con el posible tratamiento que pudiera derivarse de la relación jurídica existente entre el centro sanitario y la entidad aseguradora, la Ley 41/2002 impone a aquél la obligación del tratamiento de los datos que hayan de incorporarse a la historia clínica del paciente, excediendo obviamente dicho tratamiento de “las instrucciones del responsable del tratamiento”, lo que determina la imposible aplicación del artículo 12 de la Ley Orgánica 15/1999 y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 imposibilidad de considerar que el centro sanitario sea un mero encargado del tratamiento de la entidad aseguradora.” En relación con el tratamiento de datos derivados de la existencia de un cuestionario de salud, el mencionado informe señala lo siguiente: “En cuanto a la comunicación por parte de los centros sanitarios de los datos que acrediten la comprobación de lo que hubiera sido declarado por el asegurado o tomados en el cuestionario de salud, debe diferenciarse el tratamiento que la propia entidad aseguradora efectúe de los datos procedentes del propio cuestionario del resultante de la comunicación de los datos a la misma como consecuencia de la realización del examen médico al que se refiere la consulta (en este segundo supuesto se encontraría el hecho denunciado). En el primero de los supuestos, el artículo 10, párrafo primero, de la Ley 50/1980, de 8 de octubre, de contrato de seguro, dispone que “El tomador del seguro tiene el deber, antes de la conclusión del contrato, de declarar al asegurador, de acuerdo con el cuestionario que éste le someta, todas las circunstancias por él conocidas que puedan influir en la valoración del riesgo. Quedará exonerado de tal deber si el asegurador no le somete cuestionario o cuando, aun sometiéndoselo, se trate de circunstancias que puedan influir en la valoración del riesgo y que no estén comprendidas en él, añadiendo el artículo 11 que “El tomador del seguro o el asegurado deberán durante el curso del contrato comunicar al asegurador, tan pronto como le sea posible, todas las circunstancias que agraven el riesgo y sean de tal naturaleza que si hubieran sido conocidas por éste en el momento de la perfección del contrato no lo habría celebrado o lo habría concluido en condiciones más gravosas”. En consecuencia los citados preceptos establecen una obligación legal del tomador o asegurado de dar respuesta a las cuestiones planeadas en el cuestionario de salud, de tal forma que dicha obligación legal vendría a eximir la necesidad de prestación del consentimiento por parte del interesado, resultando amparado el tratamiento efectuado por la entidad aseguradora por lo dispuesto en el artículo 7.3 de la Ley Orgánica 15/1999. Ahora bien, la obligación anteriormente mencionada no resulta aplicable a los supuestos en los que la entidad aseguradora exija la realización de exámenes adicionales de salud por parte del afectado ni a la comunicación a la aseguradora de los datos resultantes de los mencionados exámenes. Por ello, sería preciso que el interesado prestase su consentimiento expreso tanto a la realización del análisis por el centro sanitario como a su comunicación a la entidad aseguradora, sin perjuicio de la posibilidad de ésta de no celebrar el contrato en caso de que el interesado no prestase su consentimiento a dicho tratamiento y comunicación.” Por otra parte, se consideraba que la comunicación a la entidad aseguradora por el centro sanitario de los datos referidos a la salud de los asegurados, relacionados con los actos médicos realizados no podía tener cabida en el artículo 11.2
- c)de la Ley Orgánica, al no ser el mismo aplicable a los supuestos de cesión de datos de salud, en que la regla especial, el artículo 7.3 de la Ley Orgánica 15/1999, exige la existencia de una previsión legal específica o la prestación del consentimiento por parte del asegurado. Así, se indicaba que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 “Podría plantearse si la comunicación de los datos sería admisible como consecuencia de la existencia de una relación contractual que vincula al asegurado con la entidad aseguradora y a ésta con el centro sanitario, planteándose la aplicabilidad de lo dispuesto en el artículo 11.2
- c)de la Ley Orgánica, que habilita la cesión de los datos sin contar con el consentimiento del afectado “Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros”. En este sentido, según dispone el artículo 105 de la Ley reguladora del Contrato de Seguro “cuando el riesgo asegurado sea la enfermedad, el asegurador podrá obligarse, dentro de los límites de la póliza, en caso de siniestro, al pago de ciertas sumas y de los gastos de asistencia médica y farmacéutica”. A su vez, el artículo 106 establece que “los seguros de enfermedad y de asistencia sanitaria quedarán sometidos a las normas contenidas en la sección anterior en cuanto sean compatibles con este tipo de seguros”, previendo el artículo 103, dentro de dichas disposiciones, que “los gastos de asistencia sanitaria serán por cuenta del asegurador, siempre que se haya establecido su cobertura expresamente en la póliza y que tal asistencia se haya efectuado en las condiciones previstas en el contrato”. En consecuencia, la Ley impone a la entidad aseguradora la obligación de satisfacer el gasto de asistencia sanitaria efectuado como consecuencia de la enfermedad del asegurado, lo que exigirá conocer cuál será éste, dado que la asistencia se realizará generalmente por terceros ajenos a la propia entidad aseguradora, y en consecuencia esta obligación parecería incluir un indicio de la necesidad de comunicación a la aseguradora de los datos necesarios para conocer la actividad asistencial realizada. Sin embargo, la aplicación del mencionado artículo 11.2
- c)no resulta aplicable en el supuesto analizado, dado que la propia Ley Orgánica 15/1999 viene a exigir, en el caso del tratamiento de datos relacionados con la salud de las personas la existencia, en caso de no contarse con el consentimiento del interesado, de una norma específica con rango de Ley que autorice la cesión de dichos datos. De este modo, frente a la regla general establecida en el artículo 11 de la Ley Orgánica, la propia norma restringe expresamente los supuestos contemplados en dicho precepto en caso de encontrarnos ante el tratamiento de los datos mencionados en el artículo 7.3, del mismo modo que en el caso previsto en el artículo 7.2 únicamente posibilita el tratamiento o cesión de los datos previo consentimiento expreso y por escrito del afectado. Todo ello se funda en la especial naturaleza de dichos datos, directamente vinculados con la esfera más íntima del afectado. Por ello, lo dispuesto en el artículo 11.2
- c)de la Ley Orgánica 15/1999 nunca podrá resultar de aplicación en caso de que nos encontremos ante la cesión de datos especialmente protegidos, y en consecuencia no es aplicable a la cesión efectuada por los centros sanitarios a las entidades aseguradoras, que sólo será posible si el interesado ha prestado su consentimiento a la cesión o la misma aparece habilitada por lo dispuesto en una norma con rango de Ley.” En conclusión, se señalaba en dicho informe que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 “Dicho consentimiento debería ser prestado por el asegurado en el momento de suscribir la correspondiente póliza o en su prórroga, debiendo respetar los principios contemplados en la LOPD. Al propio tiempo, en el momento de realización del acto médico debería informarse al interesado de que los datos relacionados con dicha actuación serán comunicados a la entidad con la que el mismo tenga concertado el correspondiente seguro de asistencia sanitaria, de conformidad con el consentimiento previamente prestado, dándose así nuevamente cumplimiento al deber de información consagrado en la Ley Orgánica 15/1999. Dicha información podría facilitarse mediante la inclusión de una cláusula informativa en el correspondiente volante que haya de emplearse para la realización de la prestación sanitaria o en el resguardo que resulte de la utilización por el asegurado de la tarjeta a la que se refiere la consulta.” En consecuencia, para la comunicación de los datos de la denunciante por parte del Hospital de Madrid a la aseguradora, debían contar con el consentimiento de la misma. Generali ha aportado la copia de la póliza suscrita entre Doña A.A.A. y esa aseguradora en la cual consta una cláusula consintiendo que se le faciliten los datos necesarios médicos para el cumplimiento de las obligaciones nacidas del contrato de seguro. Por tanto, Generali recibió los datos adecuados de la denunciante por parte del Hospital donde se realizó la intervención, informando al mismo que no se hacía cargo de la prótesis que se le había implantado ya que no estaba cubierto por el seguro suscrito por la Sra. A.A.A.. IV Por último, Doña A.A.A. denuncia a Osteoimplants por haber usado indebidamente sus datos y haberlos cedido. En el consentimiento firmado por la denunciante al ingresar en el Hospital consta expresamente lo siguiente: “En cumplimiento del RD 1591/2009 sobre la trazabilidad de Productos Sanitarios, se hace entrega a la empresa de implantes de un documento en el que figuran el nombre y apellidos de la paciente, la fecha de ingreso, la fecha de nacimiento, la Compañía Aseguradora, el número de póliza, y el médico que ha realizado la intervención, así como el listado de nombres y tipo de implantes, con su referencia.” La previsión está contemplada en el artículo 33 del Real Decreto 1591/2009, de 16 de octubre, por el que se regulan los productos sanitarios, que establece lo siguiente: “1. Los implantes relacionados a continuación que se distribuyan en España deberán ir acompañados de una tarjeta de implantación:
- a)Implantes cardíacos e implantes vasculares del sistema circulatorio central. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14
- b)Implantes del sistema nervioso central.
- c)Implantes de columna vertebral.
- d)Prótesis de cadera.
- e)Prótesis de rodilla.
- f)Prótesis mamarias.
- g)Lentes intraoculares. 2. La tarjeta de implantación, en triplicado ejemplar, incluirá al menos el nombre y modelo del producto, el número de lote o número de serie, el nombre y dirección del fabricante, el nombre del centro sanitario donde se realizó la implantación y la fecha de la misma, así como la identificación del paciente (documento nacional de identidad, número de pasaporte), y será cumplimentada por el hospital tras la implantación. Uno de los ejemplares permanecerá archivado en la historia clínica del paciente, otro será facilitado al paciente y el tercero será remitido a la empresa suministradora. En el caso en que se haya dispuesto de un registro nacional de implantes, una copia de este último ejemplar será remitida al registro nacional por la empresa suministradora. 3. La inclusión de la información contenida en la tarjeta en la historia clínica o su remisión a la empresa suministradora o al Registro Nacional de Implantes podrá efectuarse por medios electrónicos, siempre que el sistema utilizado posea las debidas garantías para que esta información se utilice a los solos efectos previstos en este artículo. 4. La Agencia Española de Medicamentos y Productos Sanitarios tendrá acceso a los datos contenidos en las tarjetas a los fines establecidos en la Orden SCO/3603/2003, de 18 de diciembre, por la que se crean los Registros Nacionales de Implantes. En cuanto a la utilización que la entidad Osteoimplants realizó de sus datos personales, el artículo 6.2 de la LOPD determina: “ No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En este sentido, a la denunciante le fue implantada una prótesis en el Hospital de Madrid. Cuando Osteoimplants reclamó el pago de dicha prótesis a la aseguradora de la paciente, esa compañía le indicó que su póliza no cubría el costo de la prótesis implantada, por lo que lícitamente, a través de un despacho de abogados, le reclamó el pago de la misma a la denunciante; en consecuencia su actuación no vulneró la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a GENERALI ESPAÑA, S.A., DE SEGUROS Y REASEGUROS, al HOSPITAL DE MADRID, S.A., a OSTEOIMPLANTS, S.L. y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es