1/5 Procedimiento Nº: E/07045/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: CENTRO CLÍNICO LA CHOPERA, S.L., con NIF B80707508 (en adelante, Centro Clínico) ha notificado a esta Agencia que ha tenido conocimiento de la desaparición de seis expedientes clínicos psicológicos y dos discos duros coincidiendo con el cese de la relación laboral de una profesional contratada con la especialidad en psicología. Los hechos fueron denunciados a la policía por la directora del Centro Clínico el 8 y 22/07/
- SEGUNDO: Con fecha de 2/09/2019 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación respecto de la supuesta brecha de seguridad notificada por el Centro Clínico, por lo que la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 9 y 23 de julio de
- ENTIDADES INVESTIGADAS CENTRO CLINICO LA CHOPERA, S.L. con NIF B80707508 con domicilio en PASEO DE LA CHOPERA, NUM 121 - 28100 ALCOBENDAS (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN El día 25 de septiembre de 2019, se realiza una visita de inspección en la sede de CENTRO CLINICO en la que se pudieron constatar los siguientes hechos, recogidos en el Acta de Inspección: El día 8 de julio se detectó que habían desaparecido dos expedientes clínicos, ambos correspondientes a pacientes tratados por una profesional contratada por el Centro con la especialidad de psicología. Se da la circunstancia que en las mismas fechas a esta profesional se le había comunicado que el Centro iba a prescindir de sus servicios. Posteriormente se hizo una revisión de los expedientes de los pacientes tratados por esta profesional, llegando a la conclusión de que faltaban del archivo un total de seis expedientes y además se advirtió la falta de dos discos duros pendientes de destrucción, desconociese su contenido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Estos hechos fueron denunciados en la Policía de Alcobendas en las fechas 8 y 22 de julio de 2019, denuncias que ya han sido aportadas a la Agencia Española de Protección de Datos junto con la comunicación que se hizo de la incidencia de seguridad. Los expedientes de los pacientes de la especialidad de psicología se custodian en el departamento de administración dentro de un armario cerrado con llave, ubicado en una sala adyacente al despacho de administración. Las llaves del armario las custodia las empleadas de dicho departamento. Cuando un profesional de psicología necesita un expediente, solicita la llave del armario al personal de administración y accede libremente al archivo de expedientes. Los expedientes desaparecidos contienen datos identificativos y de salud de los pacientes. El Centro ha mantenido conversaciones telefónicas con los seis pacientes (o sus representantes legales, en caso de los menores) con objeto de comunicarles el cambio de profesional. Algunos de los pacientes han decidido no continuar siendo atendidos en el Centro. No se les ha dado información respecto a la desaparición de sus expedientes, excepto a uno de los pacientes ya que éste decidió continuar el tratamiento, informándole de que su expediente había desaparecido y de que ya se habían tomado las medidas legales oportunas. No disponen de información respecto a la utilización por terceros de los datos personales contenidos en los expedientes desaparecidos, pero todo parece indicar que han sido sustraídos por la mencionada profesional para continuar con los tratamientos a estos pacientes. Los inspectores de la Agencia recabaron copia de la “CLÁUSULA DE CONFIDENCIALIDAD COLABORADORES” suscrita por la profesional que trataba a los pacientes cuyos expedientes han desaparecido, que incluye entre otras las siguientes cláusulas: o “EL COLABORADOR se obliga expresamente, sin ninguna limitación temporal, ni territorial, durante el transcurso de la relación y una vez extinguida ésta, a no facilitar a terceros, ni utilizar fuera del ámbito de la Empresa, ningún documento referente a la misma, así como a mantener la más estricta reserva y confidencialidad sobre cualquier tipo de información relativa a CENTRO CLÍNICO LA CHOPERA, S.L. de la que haya podido tener conocimiento, tanto como consecuencia del desarrollo de su actividad, como por cualquier otro medio directo o indirecto, comprendiendo el COLABORADOR que la reputación y éxito continuado de la COMPAÑÍA requieren que el secreto de la Información confidencial se mantenga y salvaguarde.” o “Todas las informaciones, registros, documentos y otros papeles confidenciales, así como cualesquiera copias o extractos de los mismos, que el COLABORADOR haya realizado en el transcurso de su trabajo, serán propiedad de la sociedad y deberán ser devueltos a la misma en el momento de la extinción del contrato, no pudiendo hacer uso personal de los mismos, ni entregarlos a personas NO AUTORIZADAS, pertenezcan o no al personal de la empresa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 o “Consecuentemente, EL COLABORADOR, al terminar su empleo, entregará a la COMPAÑÍA todos los documentos y materiales que contengan información confidencial, así como cualquier otra cosa en su posesión o bajo su control, tales como dibujos, récords, diagramas, libretas de teléfonos, notas, calendarios, agendas, disquetes, libros de notas, manuales, planos, bocetos, gráficos, material de aprendizaje, formularios en blanco y documentación técnica, que de cualquier forma pertenezca al negocio de LA COMPAÑÍA, bien haya sido proporcionado al COLABORADOR por la COMPAÑÍA, o bien preparado o adquirido por el COLABORADOR mientras estuvo empleado por la COMPAÑÍA. El COLABORADOR no conservará ninguna copia de lo anterior, y a la finalización del contrato firmará un documento en el que certifique que no conserva en su poder o en poder de terceros ningún tipo de información de carácter confidencial, en cualquier formato o soporte, que sea propiedad de la COMPAÑÍA, y que se compromete a mantener y salvaguardar dicha información como confidencial de cara a terceros.” o “En caso de cese de la relación laboral entre el profesional de la salud y la empresa CENTRO CLÍNICO LA CHOPERA S.L., queda informado que deberá devolver todos los historiales clínicos de los pacientes, incluidas las imágenes, pruebas diagnósticas, modelos y cualquier información del paciente.” Los inspectores de la Agencia recabaron copia del Registro de Actividades de Tratamientos, comprobando que dicho registro incluye los siguientes tratamientos: o VIOLACIONES DE SEGURIDAD: Registro, gestión y resolución de brechas de seguridad en protección de datos. o HISTORIAL PSICOLÓGICO: psicológicos. Gestión y administración de datos Los inspectores de la Agencia recabaron copia de los anexos al informe de análisis de riesgos, que incluye entre los tratamientos “HISTORIAL PSICOLOGICO”, con un riesgo inicial alto, resultando finalmente tras las medidas reflejadas en el análisis con un riesgo final bajo. A requerimiento de los inspectores de la Agencia, el responsable del Centro remite a la Agencia Española de Protección de Datos copia del “PROTOCOLO PARA LAS VIOLACIONES DE SEGURIDAD” que recoge el procedimiento establecido de actuación ante una brecha de seguridad, que entre otros incluye información sobre las obligaciones del personal, detección e identificación de la brecha, casuísticas, obligación de comunicación por parte del Centro y notificación de la violación a la Autoridad de Control. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, de la visita de las actuaciones de inspección llevadas a cabo por los inspectores de esta Agencia, se desprende que las medidas de seguridad implantadas en el Centro Clínico eran las razonables en relación con el registro de actividades de tratamiento y análisis de riesgos que determinó un riesgo bajo para la incidencia ahora analizada. Consta, entre otras medidas de seguridad arriba indicadas, que los expedientes estaban custodiados en armarios y habitaciones cerradas con llave y necesitando permiso de la administración del centro para su acceso. Añadir también, que todos los trabajadores habían suscrito una cláusula de confidencialidad y estaban informados de las medidas de seguridad y de la obligación de su cumplimiento. Respecto a los seis expedientes desaparecidos, los titulares de cinco de ellos han abandonado el centro por decisión propia y el sexto continuó habiendo sido informado de los hechos y de las medidas legales oportunas tomadas. No consta que hayan presentado denuncia o indicios de la existencia de tratamiento de sus datos por terceros ajenos. Respecto de la desaparición de los dos discos duros, señalar que no consta tratamiento posterior de datos alguno que indique, al menos de forma indiciaria, que proceda de su contenido. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SEGUNDO: NOTIFICAR la presente resolución a CENTRO CLINICO LA CHOPERA, S.L. con NIF B80707508 y con domicilio en PASEO DE LA CHOPERA, NUM 121, 28100 ALCOBENDAS (MADRID) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es