E-07272-2019

1/14  Procedimiento Nº: E/07272/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por COLEGIO OFICIAL DE ODONTÓLOGOS Y ESTOMATÓLOGOS DE BIZKAIA (en adelante, el reclamante) tiene entrada con fecha 21/06/2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra NATURDENTAL PLUS, S.L., c/ Gernikako Arbola 2, Barakaldo, (en adelante, la reclamada). Los motivos en que basa la reclamación son que la clínica NATURE DENTAL PLUS S L, sita en calle Gernikako Arbola, de Barakaldo (sede social) ha cerrado con una importante repercusión en la prensa y que la Fiscalía ha abierto diligencias preliminares en un juzgado de Barakaldo, mientras que la propiedad del local promovía un procedimiento judicial de desahucio de la reclamada. Finalizado dicho procedimiento con el lanzamiento, los bienes que estaban dentro del local fueron declarados “abandonados”, entre ellos los historiales clínicos de los pacientes. Aclara que el propio colegio no tiene competencias para la custodia de historiales clínicos. Considera que dicha documentación debe ser recogida tratada y entregada a los afectados, de acuerdo con la normativa vigente en materia de Protección de Datos. Indican que han enviado un escrito sobre estas consideraciones a la reclamada y a la Delegación Territorial de Salud, Identifica al responsable de la reclamada como A.A.A. (A.A.A. en lo sucesivo) . SEGUNDO: Con fecha 23/07/2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: La Subdirección General de Inspección de Datos para el esclarecimiento de los hechos objeto de la reclamación, procedió a la realización de las siguientes actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos: A) Con fecha 1/06/2020 el Inspector de Datos solicita a la reclamada: 1. Estado y situación actual de las historias clínicas. 2. Si ha recogido las historias clínicas del local de la clínica y en caso contrario, motivo de su abandono. 3. Número de historias clínicas existentes a fecha de cierre de la clínica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 4. Medidas de seguridad técnicas y organizativas aplicadas a las historias clínicas, en formato papel y digital, antes y después del cierre de la clínica. 5. Medidas adoptadas para facilitar el acceso de los pacientes a sus historias clínicas, en formato papel y digital, antes y después del cierre de la clínica. 6. Acreditación de las comunicaciones establecidas con los pacientes con motivo de sus historias clínicas a raíz del cierre de la clínica. 7. Copia de contrato firmado con CAREDEN. El envío cursado mediante notificación telemática dio como resultado, según certificado, su rechazo automático al transcurrir el periodo desde su puesta a disposición (art 43 ley 39/2015). A) Con fecha 1/06/2020 el Inspector de Datos solicita a CLÍNICAS CAREDEN SLU: 1.Número de historias clínicas existentes a fecha del traspaso. Con fecha 16/06/2020, se recibe respuesta (folio 61 y ss.) en la que no alude a este aspecto. 2. Detalle del procedimiento de traspaso seguido a NATURDENTAL PLUS S.L en relación con las historias clínicas. En su respuesta no alude a este aspecto concreto. 3. Acreditación de las comunicaciones establecidas con los pacientes con motivo de sus historias clínicas a raíz del traspaso. En su respuesta no alude a este aspecto concreto. 4. Copia de contrato firmado con NATURDENTAL PLUS S.L. Aporta copia de contrato franquicia CAREDENT BARAKALDO de 29/03/2011 entre B.B.B., (B.B.B. en lo sucesivo) administrador de CLINICAS CAREDEN SL, franquiciador, con A.A.A., (A.A.A.) de NATURDENTAL PLUS SL, franquiciado (folios 65 y ss.). Se indica que el franquiciador tiene como objeto social el montaje, instalación, administración de clínicas. En la cláusula ocho se indica que el franquiciado “Desea establecer y explotar por cuenta propia y a su riesgo y ventura una clínica todo ello de conformidad con lo previsto en el presente contrato y sus anexos, respetando en todo momento el sistema y política comercial y de imagen de la red CAREDENT, y en consecuencia asume el riesgo de su actividad empresarial bajo su única y exclusiva responsabilidad como empresario independiente y autónomo.” No se menciona extremo alguno sobre protección de datos del servicio profesional prestado. Se aporta copia acuerdo entre franquiciadora de franquiciada de 22/11/2018 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 (folio 115 y ss.) en el que ambas partes acuerdan de mutuo acuerdo no continuar con los compromisos derivados del referido contrato con fecha de efectos a partir del 1/12/2018. En el punto 9 se indica “tratamientos realizados o pendientes”, significando que “A.A.A. y NATURDENTAL PLUS SL asumen la responsabilidad y obligaciones derivadas de todos los tratamientos ya efectuados así como la obligación de realizar en su caso devolver todos los tratamientos pendientes de realizar a los pacientes de la clínica dental de Barakaldo” así como las “obligaciones derivadas de aquellos tratamientos abonados y/o financiados que no han sido consumidos por los pacientes devoluciones reparaciones y repeticiones”. Añade B.B.B. que como entidad franquiciadora su objeto es exclusivamente la instalación y explotación de la marca bajo el sistema de franquicia y sobre el tratamiento de datos personales, su seguimiento control así como generación de historias clínicas o cualquier otra operación que implica tratamiento de datos, CAREDEN no ha tenido ni tiene acceso a la base de datos de ninguna de las clínicas franquiciadas incluida de NATURDENTAL PLUS S.L. sino que el establecimiento de explotación de la clínica los realiza la entidad franquiciada por cuenta propia, asumiendo el riesgo de su actividad empresarial bajo su única y exclusiva responsabilidad según se dispone en la cláusula octava del contrato de franquicia. B) Con fecha 1/06/2020 el Inspector de Datos solicita a BILBOTAX ABOGADOS SL (representante de la propietaria del local alquilado a la reclamada) información relativa a las historias clínicas de pacientes en la clínica de la reclamada, con motivo del cierre de la clínica. A las cuestiones planteadas, manifestó: 1.Estado y situación actual de las historias clínicas. Con fecha 8/06/2020 remite escrito de respuesta (folios 24 y ss.). Manifiesta que Bilbao tags es el despacho qué representa a los abogados de la propietaria y arrendadora del local ocupado por la sociedad NATURDENTAL PLUS S.L. para el desarrollo de su actividad como clínica dental. Indica que, tras varios meses de impago de las rentas mensuales, se procedió a una demanda judicial por impago y desahució, obteniendo finalmente sentencia favorable y lanzamiento efectivo. Manifiesta que “nada más recuperar el local”, la propiedad del mismo estableció contacto con el Colegio Oficial de Odontólogos y posteriormente con el Departamento de Salud del Gobierno Vasco qué se hizo cargo de los historiales clínicos Aporta: -copia de contrato de arrendamiento para uso distinto de vivienda de 2/02/2011 entre la arrendadora, DIFESA INVESTMENTS SL y la reclamada como arrendataria, tratándose de un local comercial en la calle Gerikako Arbola núm. 2 de Barakaldo, (GA) por una duración de 10 años extendiéndose. Como destino, se indica que se indica que el arrendatario destinará el inmueble única y exclusivamente a clínica médico dental. -Copia de informe de acta de inspección de centros sanitarios efectuado en la calle GA, nombre del centro CAREDEN CLÍNICAS, fecha 7/06/2019. En la cumplimentación manual de las actas se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Se levanta la presente acta dado que “la sociedad DIFESA a Investment SL propietaria del local ubicada en GA de Barakaldo donde se emplazaba hasta su cierre el 18/02/2019 el centro sanitario CARE DEN clínicas, cuya autorización sanitaria se encontraba concedida a NATURDENTAL PLUS S.L. ha comunicado a esta Delegación Territorial de Vizcaya que una vez recuperada vía judicial la posesión del local han comprobado la existencia en la misma de diversa documentación clínica sobre tratamientos de los pacientes de la clínica dental accediendo al local a través de autorización de la representante de DIFESA “ “Durante la inspección se observa la existencia de 4 archivadores de 4 cajones cada uno de ellos”, “ con documentación o historias clínicas, ordenadas de modo numérico del 1 al 5358” “en uno de los cajones se introduce documentación que se encontraba abandonada junto a 12 CDs des y 3 pendrives, encima de los archivadores”. “Dado que la documentación los archivadores se encuentra abandonada se procede a inmovilizar los archivadores con una cinta identificativa del Departamento de Salud”. En un acta del mismo tipo y modelo, de 21/06/2019, se indica “Con el fin de dar cumplimiento a la resolución de 13/06/2019 del Director de Planificación Ordenación y Evaluación sanitarias, por la que se acordó la adopción de la medida provisional de retirada de la documentación clínica de las personas pacientes del centro sanitario CAREDEN en clínicas que se encontraba ubicada en la calle Gernikako Arbola, 2, Baracaldo, y su custodia temporal por la Delegación territorial de salud en sus dependencias, se accede al local en cuestión y se procede a la retirada de los 4 archivadores de 4 cajones cada uno de ellos” que fueron anteriormente inmovilizados y que “ al momento de esta inspección se encuentra integra”, “ a las 9:30 de la mañana se realiza la recogida.” -Copia del documento que adopta la medida provisional de retirar la documentación clínica, y su custodia temporal, “con anterioridad al inicio del correspondiente procedimiento administrativo sancionador contra la titularidad de dicho centro”.(folios 38 y ss.) Como elementos de importancia en la resolución, se extractan los siguientes: -La renovación de la autorización sanitaria de funcionamiento del centro se otorgó mediante resolución 19/07/2017 por un período de 5 años finalizando el 19/06/2022 -Con fecha 12/02/2019, la unidad de ordenación sanitaria de la Delegación territorial de Vizcaya tiene conocimiento por prensa que el centro CAREDEN clínicas situada en la calle Gernikako Arbola de Barakaldo había cesado en su actividad sin haber comunicado su cierre definitivo. - Con fecha 12/02/2019, una inspectora de la unidad de ordenación sanitaria se persona en el citado centro redactando la correspondiente acta entre cuyas conclusiones se pone de manifiesto el cierre del centro. Con esa misma fecha, se requirió al administrador único A.A.A. y al socio de la entidad titular del centro, para que en el plazo de 7 días procedieran a regularizar la situación, presentando la siguiente coC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 municación:  Procedimiento de conservación de la documentación clínica generada en el centro.  Identificación de la persona que llevará la custodia de la documentación clínica generada durante la actividad asistencial.  Garantía de acceso legalmente reconocido a las historias clínicas. “El 18/02/2019, A.A.A. presenta el formulario de comunicación del cese de actividad del centro sanitario, señalando en el mismo el procedimiento de conservación de la documentación clínica, la identificación de la persona responsable de la custodia y la garantía de acceso a la documentación clínica.” No se señala en que consiste. -“Con fecha 15/05/2019 la representación del titular del local donde estaba ubicado el centro CAREDEN clínicas, pone en conocimiento de la unidad de ordenación sanitaria que una vez recuperada por vía judicial la posesión de su propiedad, han constatado que existe documentación clínica de los pacientes del centro en el local, por lo que solicita que el Departamento de Salud se haga cargo de la documentación clínica del centro.” -En el hecho séptimo se indica que “mediante conversación telefónica mantenida con el administrador único de la persona titular del centro se tiene noticia de que el 13 de septiembre del 2018 se ha producido una modificación de las escrituras sociales de la persona titular del centro entrando en la sociedad un nuevo socio, B.B.B. “ -Se indica en el hecho octavo, que el “20/05/2019 se requirió a los socios titulares del centro qué en un plazo de 7 días” “cumplieran la obligación prevista en el artículo 20 (Medidas en caso de cese de actividad) del decreto 38/2012 de 13/03, “del departamento de sanidad y consumo, sobre historia clínica y derechos y obligaciones de pacientes y profesionales de la salud en materia de documentación clínica” BOPV 29/03/2012, con indicación de que si no lo hicieran se procedería un expediente sancionador” y se añade que no atendieron al requerimiento. “Con fecha 31/05/2019, el servicio jurídico del departamento emitió un informe sobre la posibilidad de subrogarse en la obligación de custodiar y conservar las historias clínicas Se citan en fundamentos de derecho varias disposiciones sobre la historia clínica de la Ley 41/2002 de 14/11 básica Reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, del Artículo 18, 19.4 y 20 del decreto 38/ 2012 de 13/03. El fundamento de derecho séptimo indica qué se considera que existen razones suficientes para considerar que se pueden producir la pérdida, destrucción o desaparición de la documentación clínica mencionada, poniendo en riesgo los dereC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 chos de información clínica y acceso a la historia clínica de las personas afectadas, que sirve para apoyar la medida provisional de retirar la documentación clínica de los pacientes del centro y su custodia temporal por la Delegación territorial de salud resolviendo adoptar la medida provisional mencionada y su custodia, así como son su notificación a la reclamada indicando que esta medida provisional deberá ser modificada confirmada o levantada en el acuerdo de inicio del correspondiente procedimiento administrativo sancionador contra la titularidad del centro sanitario CAREDEN clínicas en Barakaldo 2. Número de historias clínicas existentes. No responde, se deduce que puede carecer de esta información. 3. Si se han recogido las historias clínicas del local arrendado y en caso contrario, motivo de su abandono. Se ha respondido en el punto uno. 4. Medidas tomadas con relación a la conservación de las historias clínicas, en formato papel y digital después del cierre de la clínica. Se ha respondido en el punto uno. 5. Copia de contrato de arrendamiento firmado con CAREDEN y NATURDENTAL PLUS S.L. Se contesta que no es parte para disponer de dicho contrato. 6. Si ha establecido comunicaciones con los pacientes con motivo de sus historias clínicas a raíz del cierre de la clínica. Se considera que no es parte para dicha actuación. A) Con fecha 1/06/2020 el Inspector de Datos solicita a COLEGIO OFICIAL DE ODONTÓLOGOS Y ESTOMATÓLOGOS DE VIZCAYA, información relativa a las historias clínicas de pacientes en la clínica NATURDENTAL PLUS S.L., con motivo del cierre de la clínica, en concreto: 1. Documentación e información de las que puedan disponer sobre la situación actual de las historias clínicas. Se contestó con fecha 12/07/2020 (folios 44 y ss.) Indicando que “verbalmente”, el Departamento de Salud les han informado que los ficheros físicos fueron recogidos por la Dirección Territorial de salud del Gobierno vasco, indicando que han sido aportados a un procedimiento penal en el juzgado 3 de Barakaldo en el que se han “abierto diligencias previas tratando de ser una estafa contra A.A.A.”. 2. Evidencias de las que puedan disponer sobre el abandono de las historias clínicas y su número. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 Indica que no tienen evidencia alguna de ninguna de estas cuestiones. “Los afectados eran los que nos informaban de lo que estaba sucediendo y por ello se trasladó a la Delegación territorial de salud “. 3. Copia de documentación e información que les haya proporcionado tanto NATURDENTAL PLUS S.L., la Delegación Territorial de Salud de Bizkaia así como el abogado de la propiedad del local, con relación a las historias clínicas. Manifiesta que no dispone de esta documentación. Aporta copia de un correo electrónico dirigido al Colegio por el que el colegio identifica como titular de la clínica, A.A.A., de 17/05/2019, indicando que le es imposible retirar y custodiar los historiales de los pacientes que “hasta el momento del lanzamiento del desahucio estaban en su poder bajo llave y alarma en el local, dado que está en una situación de ruina e insolvencia personal que le imposibilita económica y materialmente poder hacerse hacer cargo de la retirada, custodia y entrega de los mismos” Manifiesta que “desde el momento del cese de la actividad, el señor B.B.B., socio de la mercantil y administrador de hecho de NATURDENTAL PLUS , médico, dueño y franquiciador de la marca CAREDEN, “me pidió autorización para hacerse cargo de la recogida y entrega de los historiales de los pacientes” “así como la entrega de las llaves al Colegio de Odontólogos para que las recogiera la persona que el designase, C.C.C., titular de la Clínica CAREDEN”. A) Con fecha 4/06 y 30/07/2020 el Inspector de Datos solicita a A.A.A. información relativa a las historias clínicas de pacientes en la clínica NATURDENTAL PLUS S.L., con motivo del cierre de la clínica, en concreto: 1. Estado y situación actual de las historias clínicas. Con fecha 8/10/2020 (folios 162 y ss.) se recibe su respuesta, señalando que el Departamento de salud del Gobierno Vasco les comunicó la retirada de la documentación clínica de pacientes de la Clínica CAREDEN BARACALDO y su custodia hasta que se determine su destino definitivo. Manifiesta que aporta copia de memoria dirigida al Juzgado de lo Mercantil, donde relata lo acontecido que llevó a “esta situación“. Manifiesta que, cerradas las instalaciones, se facilitó las autorizaciones a B.B.B., dueño de la marca CAREDEN y socio de NATURDENTAL PLUS SL para que designe a quien considere, manifiesta que este se va a hacer cargo de los tratamientos en curso en su otra clínica de CAREDEN SANTUXTU así como de los historiales clínicos. 2. Número de historias clínicas existentes a fecha de cierre de la clínica. -Manifiesta que no lo recuerda, que cada ficha de paciente contenía sus datos personales, cuestionario de salud, tratamiento propuesto, presupuesto, consentimientos, intervenciones y saldo. “El número otorgado a cada paciente lo numeraba el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 propio sistema empleado por todas las clínicas CAREDEN, sen propias o franquiciadas, que es el programa BUCALIS-propio de la marca-. Todas las clínicas diariamente vuelcan toda la información expuesta con anterioridad a central, así como los cierres de caja diaria. Todas las fichas de pacientes en formato papel, se guardaban físicamente en armarios ficheros metálicos, cerrados con llave en la propia clínica, con cierre de seguridad y sistema de alarma conectado a la policía”. -Aporta copia de acuerdo de inicio de procedimiento sancionador, de 24/06/2019, del Departamento de salud del Gobierno Vasco contra clínica CAREDEN, en c Gernikako Arbola 2, bajo Baracaldo, titularidad de NATURDENTAL PLUS SL. (folios 164 y ss.) En el mismo como hechos, se indica que “el 12/02/2019, ante noticias en la prensa de posibilidad de cierre del centro no comunicado, se persona la inspección sanitaria en el local”, “constatándose la veracidad de dicho extremo”, “requiriendo el mismo día al administrador único de la sociedad” A.A.A. sobre la conservación de las historias clínicas. “El 15/05/2019, la propietaria del local arrendado recupera judicialmente la posesión del local, en el que existe documentación clínica de pacientes, requiriendo el 20/05/2019 a los responsables para que cumplan con la obligación de la historia clínica” Se le imputa una infracción grave del artículo 36.2.

1. b)4ª de la Ley 8/1997, de 26/06, de Ordenación Sanitaria de Euskadi, pudiendo ser sancionada con una cantidad de 3005,07 a 15.025,30 euros, según el artículo 37 de la ley 8/1997. Se propuso en dicho acuerdo de inicio una sanción inicial de 5.000 euros. - Aporta copia de escrito dirigido al juzgado de lo Mercantil de Bilbao como documento dos, solicitando concurso de acreedores voluntario y apertura de fase de liquidación (folios 170 y ss.). Manifiesta que el centro clínico está cerrado desde el 6/02/2019, estando toda la documentación, historiales clínicos de los pacientes en la misma. Relata la situación económico-financiera de la clínica y la posibilidad y ofrecimiento que efectuó el titular de las clínicas franquiciadoras, CAREDEN, para adquirir NATURDENTAL. Manifiesta que se ha tenido conocimiento por la prensa de que se está siguiendo un procedimiento de desahucio del que el administrador único desconoce su estado, y que el órgano de administración de la compañía es el administrador único, A.A.A.. Manifiesta que una vez cerradas las instalaciones acudió a la Delegación de sanidad territorial del País Vasco a dar cuenta de lo sucedido y al colegio de Odontólogos a informar de la situación y facilitar en la medida de lo posible la debida custodia y entrega de los historiales clínicos de los pacientes, depositando las llaves de la clínica en el Colegio de Odontólogos, con pleno conocimiento de su Presidente siendo él mismo quien lo recogió, y que facilito autorizaciones a B.B.B. para que designara a quien considerara oportuno para recoger las llaves e ir entregando los historiales clínicos (Indica qué aporta como documento 12 relación de emails entre ambos con posterioridad al cierre de la clínica). - Aporta copia de un correo electrónico de 15/02/2019, de A.A.A. al Presidente del Colegio de Odontólogos, indicando “gracias por tu ayuda estaré en contacto contigo para según me diga B.B.B., que día o días van a entregar los historiales”. (doc. 2 bis folio 184) con otro que le precede en sentido contrario indicando “Adjunto los pacientes que han reclamado su HC en el colegio de dentistas”, con un listado de paC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 cientes -Aporta copia de correo electrónico de 12/02/2019 de B.B.B. a A.A.A. con el literal, “Eduardo si nos entregas una autorización firmada por ti para que podamos entregar las historias clínicas de los pacientes y la documentación que de ellos tenga la clínica como radiografías datos personales cuantas modelos etc. podría ser de gran ayuda.” (doc. 3 folio 187) Al anterior correo le precede otro de A.A.A. a B.B.B. del mismo día, indicando su disposición de entregar la llave de la clínica a la persona que designe B.B.B. con el fin de que se hagan cargo de los historiales y trabajos a la clínica CAREDEN Santuttxu. (folio 189) Se aporta un escrito firmado por A.A.A. de autorización de 12/02/2019, como administrador de la sociedad NATURDENTAL PLUS S.L. en el que autoriza clínicas “CAREDEN al acceso a la clínica de Barakaldo para entregar a pacientes de historiales clínicos radiografías etcétera”. La misma intención se refleja en otro correo de 7/02/2019, 16 h 07, folio 191. CUARTO: Mediante diligencia de 19/05/2020 se incluye en las actuaciones la información de la empresa NATURDENTAL PLUS S.L. obtenida en la dirección axexor.es, que proporciona servicio de consulta de información de datos de empresas. Figuran como destacados que su estado es “extinción”, sin reflejo de fecha o Boletín oficial en que se plasme, microempresa, dos empleados fijos y dos no fijos en año 2012. Aparecen 10 procedimientos ante juzgados de lo social y la información financiera del último año reflejada es de 2013. Se consulta a 15/10/2020 en internet, el registro público concursal, y figura NATURDENTAL PLUS S.L. cómo deudor, con una resolución de 8/05/2019 en el seno de un procedimiento concursal, tipo de resolución auto de conclusión del concurso, “tipo de conclusión “insuficiencia de bienes”, “contenido edicto”. Se consulta el PDF y figura juzgado de lo Mercantil 1 de Bilbao procedimiento concurso abreviado contra el deudor NATURDENTAL PLUS ES, interesando la publicación de la resolución en el registro público concursal del auto de admisión y conclusión de 8/05/2019, archivando las actuaciones por insuficiencia de la masa activa para la satisfacción de los créditos contra la masa. El mismo el mismo auto acuerda la extinción de la personalidad jurídica deudora, e indica que dicho auto no es firme porque cabe dentro del mismo recurso de apelación. QUNTO; Se verifica en la aplicación que gestiona las reclamaciones de la SGI de Datos de la AEPD, a 16/10/2020 que solamente figura contra la reclamada la presente reclamación. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 14 de la ley 41/2002 de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica indica; “1. La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro. 2. Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información. 3. Las Administraciones sanitarias establecerán los mecanismos que garanticen la autenticidad del contenido de la historia clínica y de los cambios operados en ella, así como la posibilidad de su reproducción futura. 4. Las Comunidades Autónomas aprobarán las disposiciones necesarias para que los centros sanitarios puedan adoptar las medidas técnicas y organizativas adecuadas para archivar y proteger las historias clínicas y evitar su destrucción o su pérdida accidental”. El acuerdo de inicio de procedimiento sancionador que las autoridades de salud de la CCAA del País Vasco incoan por los hechos aquí denunciados a la reclamada indica que lo ha sido por el artículo 36 1 y 2.
2. b)4ª de la Ley 8/1997, de 26/06, de Ordenación Sanitaria de Euskadi, que indica: “1. Las infracciones se califican como leves, graves o muy graves, atendiendo a los criterios de riesgos para la salud, cuantía del eventual beneficio obtenido, grado de intencionalidad, gravedad de la alteración sanitaria y social producida, generalización de la infracción y reincidencia. 2.En desarrollo y complemento del artículo 35 de la ley General de Sanidad, y sin perjuicio de lo que establezcan otras leyes especiales, constituirán faltas administrativas, además de las ya previstas legalmente, las infracciones que a continuación se tipifican: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14
3. b)Infracciones graves: 4.ª El incumplimiento, por negligencia grave, de los requisitos, obligaciones o prohibiciones establecidas en la normativa sanitaria, así como cualquier otro comportamiento que suponga imprudencia grave, siempre que ocasionen alteración o riesgo sanitario, aunque sean de escasa entidad. Y el mismo incumplimiento y comportamiento cuando, cometidos por negligencia simple, produzcan riesgo o alteración sanitaria grave. A los efectos de esta letra, constituirá un supuesto de negligencia la omisión del deber de control o la falta de los controles y precauciones exigibles en la actividad, servicio o instalación de que se trate.” Con respecto a la conservación de la documentación, el artículo 17.1, 5 y 6 de la citada ley indica 1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen. 6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. Los artículos 18 y 19.4 del DECRETO 38/2012, de 13/03, sobre historia clínica y derechos y obligaciones de pacientes y profesionales de la salud en materia de documentación clínica en el ámbito de la CCAA de País Vasco indica: “1. Los centros, servicios y establecimientos sanitarios están obligados a garantizar la protección de los datos de carácter personal así como la custodia y confidencialidad de la información que se contiene en la historia clínica, aplicándose lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. 2. El uso de cualquier soporte documental deberá contar con las garantías que aseguren su confidencialidad, autenticidad, integridad y conservación. 3. La persona responsable del archivo de documentación clínica y quienes intervengan en cualquiera de las actividades de gestión de los mismos estarán sometidos al deber de secreto profesional, que persistirá aunque finalice su contrato laboral en estas dependencias o cualesquiera otra relación jurídica o de hecho que haya amparado la participación. 4. En el manual de uso de la historia clínica se recogerán las medidas de seguridad en la gestión de la historia clínica, de acuerdo con el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Se incluirán las medidas técnicas y organizativas, los protocolos de seguridad y los estándares a adoptar para garantizar la integridad de los datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 Artículo 19.4 “La historia clínica deberá conservarse en las condiciones que garanticen la autenticidad, integridad, confidencialidad, preservación y correcto mantenimiento de la información asistencial registrada, y que asegure una completa posibilidad de reproducción en el futuro, todo ello durante el tiempo en que sea obligatorio conservarla e independientemente del soporte en que se encuentre, que podrá no ser el original” El RGPD indica en su artículo 4.7: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; En este caso se trataría de tratamiento de datos de carácter personal contenidos en formato papel, y algún soporte físico como CD y pendrives, cuyo contenido no ha sido especificado. La infracción que se pudiera haber cometido sería la del artículo 5.1.f del RGPD que indica: “1. Los datos personales serán:
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). La eventual infracción de las medidas de seguridad en los tratamientos de datos, en este caso no automatizados, en formato físico papel, de acuerdo con la jurisprudencia de la Audiencia nacional, supone en todo caso, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos de modo efectivo y constatado se pierdan, extravíen o acaben en conocimiento de terceros, también es un mecanismo de garantía de la seguridad. Como muestra, la SAN 6-05-2009 Rec. 469/2008) entre otras, sobre supuestos similares ha establecido: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales si luego no se exige a los empleados del banco la observancia de aquellas instrucciones. En el caso que nos ocupa ha quedado acreditado que la entidad ahora demandante no prestó la diligencia necesaria en orden a la efectiva observancia de aquellas medidas de seguridad, pues de otro modo no se explica que los documentos en los que figuran datos de carácter personal apareciesen publicados en una revista de amplia difusión en la que se afirmaba que habían sido encontrados en la basura.” Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva, la responsable del fichero es, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 disposición legal, una deudora de seguridad en materia de datos, por lo que debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios, laborales o cualesquiera otros datos de carácter personal, puedan llegar a manos de terceras personas.” Cabe señalar que en el presente supuesto, se ha de acreditar que se ha revelado una pérdida de datos, extravío de los mismos o tratamiento, o algún tipo de acceso no autorizado. En el presente caso, hacerse cargo de los datos implicaría no solo su guarda sino su gestión y en su caso, atención de derechos sobre la materia de protección de datos, o a nivel de prestación de servicio médico, la continuación de tratamientos ya iniciados. Podría considerarse reprochable la falta de diligencia empleada por la reclamada, que da lugar a que el titular del local arrendado diera a conocer la existencia del armario contenedor de los datos, que estaban sin protección por cuanto no se precisó según el informe de llave para su acceso, y se encontraban sin protección posibilitando un acceso por dicho tercero. Se revela así una falta de medidas de seguridad en la falta de custodia de dichos datos que posibilita el acceso a terceros, al estar los datos en el local y haber podido antes la reclamada hacerse cargo de alguna forma de ellos pues fue advertida antes de que fuera efectivamente desahuciada del local y después. Posiblemente la explicación del administrador único a las autoridades sanitarias de las circunstancias económicas de la entidad cuando se produce el cierre y el añadido concurso solicitado hubiese sido lo más adecuado, pero hay que destacar que, desde la fecha del cierre, existe una voluntad de la reclamada de poder entregar los documentos como figura en algunos correos, al franquiciador de CAREDEN. Hay que tener en cuenta la cronología de fechas considerando que a 8/05/2019 la responsable del tratamiento, reclamada, se extingue como entidad jurídica, dejando de tener personalidad jurídica y los hechos comienzan a producirse cuando la reclamada cerró la clínica el 6/02/2019, acreditándose que cuando se produce el desahucio 15/05/2019 el administrador único disponía de la llave del local, y según manifestó, al Colegio de Odontólogos, el local estaba cerrado con llave que poseía el. También se acredita que desde febrero 2019, la reclamada a través de su administrador, que expuso sus circunstancias personales ante el juzgado de lo mercantil antes del desahucio , efectuó actuaciones tendentes a traspasar la documentación clínica, y dar respuesta a peticiones de historiales clínicos, enviando un listado de pacientes el mismo colegio de Odontólogos a la reclamada como se aprecia en el correo de 15/02/2019, de A.A.A. al Presidente del Colegio de Odontólogos indicando “gracias por tu ayuda, estaré en contacto contigo para según me diga B.B.B., que día o días van a entregar los historiales”.(doc. 2 bis folio 184) con otro que le precede en sentido contrario indicando “Adjunto los pacientes que han reclamado su HC en el colegio de dentistas”, con un listado de pacientes Se ha de hacer notar también que no se ha recibido en esta AEPD reclamación hasta la fecha por falta de atención de algún derecho contra la reclamada, sin prejuzgar lo que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 sustancie en procedimientos penales. Los hechos apuntan a que a la fecha de la Inspección de las autoridades sanitarias que proceden a precintar el armario contenedor de la información clínica, 7/06/2019, continua ésta en el establecimiento, hasta que se hicieron éstas cargo, el 21/07/2019, para asegurar la documentación e indirectamente los derechos de los pacientes como medida provisional de un procedimiento disciplinario contra la reclamada. Finalmente, se debe concluir que a consecuencia de la situación en que incurre la reclamada, desde el 8/05/2020, con el acuerdo declaratorio del Juzgado de lo Mercantil de extinción de la entidad reclamada, deviene imposible declarar la infracción a la reclamada al no ser exigible a dicha entidad por la pérdida de su personalidad jurídica, procediendo el archivo de la reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a NATURDENTAL PLUS, S.L., entidad, ya extinguida, a través de su Administrador y representante D. A.A.A., y al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1/10, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es