1/6 Expediente Nº: E/06833/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por el SERVICIO CANARIO DE SALUDCOMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL relativo a la ejecución del requerimiento de la resolución de referencia R/02217/2013 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00017/2013, seguido en su contra, y en virtud de los siguientes, ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia AP/00017/2013, a instancia de Dª. A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción de los artículos 5 y 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/02217/2013, de fecha 14 de noviembre de 2013 por la que se resolvía REQUERIR al SERVICIO CANARIO DE SALUDCOMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL “para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que constaten el cumplimiento de lo previsto en los artículos 5 y 20 de la LOPD, en concreto se deberá informar a los pacientes y a los trabajadores de los extremos recogidos en el citado artículo 5 de la LOPD con relación al tratamiento de sus datos personales, y deberá procederse a la publicación de la disposición de creación del fichero de “prevención de riesgos laborales” en el Diario Oficial correspondiente y a su inscripción en el Registro General de Protección de Datos”. Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/06833/2013. SEGUNDO: Con fecha 26 de febrero de 2014, se traslada a la Inspección de Datos de esta Agencia expediente de investigación iniciado con fecha 07/11/2013, con la finalidad de realizar comprobaciones sobre las medidas requeridas al COMPLEJO HOSPITALARIO INSULAR MATERNO INFANTIL, mediante Resolución de fecha 14 de noviembre de 2013, relativa al Procedimiento de declaración de infracción de Administraciones Públicas con referencia AP/00017/2013. Con fecha 1 de abril de 2014, se recibe en esta Agencia escrito del Servicio Canario de Salud, COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR-MATERNO INFANTIL, en el que pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1.1. Con relación al deber de Información recogido en el artículo 5 de la LOPD, el Complejo Hospitalario ha procedido a dar cumplimiento al mismo a través de carteles informativos dirigidos a los pacientes y usuarios del Servicio Canario de Salud, situados en las entradas de los Hospitales, Centros de Atención Especializada, Unidades de Salud Mental, así como en lugares estratégicos del Complejo Hospitalario. Asimismo, en la Unidad de Atención al Empleado se ha colocado el correspondiente cartel con la información dirigida a los trabajadores del Centro. Se adjunta copia de los citados carteles. 1.2. Se ha creado un grupo de trabajo multidisciplinar, integrado por personal adscrito al Servicio de Calidad, de Informática, de Enfermería, de Servicios Generales y Asesoría Jurídica, al objeto de hacer un seguimiento del cumplimiento de la LOPD. 1.3. Con relación a la inscripción del archivo de Prevención de Riesgos Laborales, toda vez que dicha Unidad depende jerárquicamente de la Secretaría General Técnica de la Consejería de Sanidad, la cual ha transmitido que se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero conforme a lo establecido en el Decreto 5/2006, de 27 de enero, por el que se regulan los ficheros de datos de carácter personal de la Administración Pública de la Comunidad Autónoma de Canarias, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado a esta Agencia. Se adjunta documentación correspondiente. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II El artículo 5 de la LOPD establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo, que las mismas sean “determinadas, explícitas y legítimas”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. El artículo 20 de la LOPD señala que: “1. La creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el “Boletín Oficial del Estado” o Diario Oficial correspondiente”. 2. Las disposiciones de creación o de modificación de ficheros deberán indicar: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6
- a)La finalidad del fichero y los usos previstos para el mismo.
- b)Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos.
- c)El procedimiento de recogida de los datos de carácter personal.
- d)La estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo.
- e)Las cesiones de datos de carácter personal y, en su caso, las transferencias de datos que se prevean a países terceros.
- f)Los órganos de las Administraciones responsables del fichero.
- g)Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición.
- h)Las medidas de seguridad con indicación del nivel básico, medio o alto exigible. 3. En las disposiciones que se dicten para la supresión de los ficheros se establecerá el destino de los mismos o, en su caso, las previsiones que se adopten para su destrucción” Dicha infracción aparece tipificada como grave en el artículo 44.3.
- a)de la LOPD que considera como tal “Proceder a la creación de los ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el Boletín Oficial del Estado o Diario oficial correspondiente”. En el procedimiento de referencia AP/00017/2013 se declaró la infracción de los artículos 5 y 20 de la LOPD porque la entidad denunciada no cumplía con el deber de información previsto en el artículo 5 de la LOPD a los pacientes y trabajadores del centro y por la falta de inscripción del fichero de datos personales correspondiente al Servicio de Prevención de riesgos laborales porque no se había dictado disposición de creación de dicho fichero. Con fecha 1 de abril de 2014, el COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR-MATERNO INFANTIL ha manifestado con relación a las medidas requeridas, que: Con relación al deber de Información recogido en el artículo 5 de la LOPD, el Complejo Hospitalario ha procedido a dar cumplimiento al mismo a través de carteles informativos dirigidos a los pacientes y usuarios del Servicio Canario de Salud, situados en las entradas de los Hospitales, Centros de Atención Especializada, Unidades de Salud Mental, así como en lugares estratégicos del Complejo Hospitalario. Asimismo, en la Unidad de Atención al Empleado se ha colocado el correspondiente cartel con la información dirigida a los trabajadores del Centro. Se adjunta copia de los citados carteles. Se ha creado un grupo de trabajo multidisciplinar, integrado por personal adscrito al Servicio de Calidad, de Informática, de Enfermería, de Servicios Generales y Asesoría Jurídica, al objeto de hacer un seguimiento del cumplimiento de la LOPD. Con relación a la inscripción del archivo de Prevención de Riesgos Laborales, toda vez que dicha Unidad depende jerárquicamente de la Secretaría General Técnica de la Consejería de Sanidad, la cual ha transmitido que se inició en noviembre de 2013, procedimiento de elaboración normativa de la Orden de creación del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 conforme a lo establecido en el Decreto 5/2006, de 27 de enero, por el que se regulan los ficheros de datos de carácter personal de la Administración Pública de la Comunidad Autónoma de Canarias, previéndose su aprobación y publicación próximamente, de lo cual se dará oportuno traslado a esta Agencia. Se adjunta documentación correspondiente. III En el supuesto presente, del examen de las medidas adoptadas por el SERVICIO CANARIO DE SALUD-COMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, se considera que se han adoptado las medidas de orden interno adecuadas para la corrección de las infracciones declaradas en el procedimiento de referencia que impidan que pueda producirse una nueva infracción de los artículos 5 y 20 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al SERVICIO CANARIO DE SALUDCOMPLEJO HOSPITALARIO UNIVERSITARIO INSULAR MATERNO INFANTIL, y a Dª. A.A.A.. 3. COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es