E-07911-2015

1/4 Expediente Nº: E/07911/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por el Servicio Cántabro de Salud, Hospital Universitario Marqués de Valdecilla relativo a la ejecución del requerimiento de la Resolución de referencia R/02939/2015 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00053/2015, seguido en su contra, y en virtud de los siguientes, ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00053/2015, a instancia de Dª. A.A.A., con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/02939/2015, de fecha 23 de diciembre de 2015 por la que se resolvía “REQUERIR al Servicio Cántabro de Salud, Hospital Universitario Marqués de Valdecilla, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/07911/2015. En concreto deberá aportar copia del Documento de Seguridad q ue recoja las medidas de seguridad calificadas de nivel alto que se aplican a los ficheros de datos de carácter personal referidos a datos de salud.” Con objeto de realizar el seguimiento de las medidas a adoptar la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/07911/2015. SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 12 de febrero de 2016, escrito en el que informaba a esta Agencia en los siguientes términos: “En relación a su resolución R/02939/2015 en el procedimiento N° AP/00053/2015, en la cual nos solicitan que aportemos copia del Documento de Seguridad que recoja las medidas de seguridad calificadas de nivel alto que se aplican a los ficheros de datos de carácter personal referidos a datos de salud en el Hospital Universitario Marqués de Valdecilla, le adjuntamos los siguientes documentos: - Documento de Segundad relativo al Tratamiento No Automatizado de ficheros con datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 - Documento de Seguridad relativo al Tratamiento Automatizado de ficheros con datos de carácter personal.” Se aportan los dos documentos de seguridad mencionados en el escrito. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la LOPD. II El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para completar el sistema de protección de datos de carácter personal, el artículo 44.3.
2. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales citadas puede afirmarse que:
3. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
4. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 que se produzca, están, también, sujetos a la LOPD.
5. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
6. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
7. h)de la citada Ley. III En supuesto presente, del examen de las medidas adoptadas por el Servicio Cántabro de Salud, Hospital Universitario Marqués de Valdecilla, se constata que el hospital dispone del documento de seguridad previsto en el artículo 88 del Reglamento de desarrollo de la LOPD que recoge las medidas de seguridad calificadas de nivel alto que se aplican a los ficheros de datos de carácter personal referidos a datos de salud, en cumplimiento de lo requerido en la Resolución del procedimiento de Declaración de Infracción de Administraciones Públicas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al Servicio Cántabro de Salud, Hospital Universitario Marqués de Valdecilla, a Dª. A.A.A. y al Defensor del Pueblo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es