E-08099-2014

1/11 Expediente Nº: E/08099/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades PARTNER LINE S.A. (CLINICA DATOR), CENTRO CLINICO EL BOSQUE S.A., CLINICA GINECOLOGICA CALLAO S.L.U.P., y CLINICA GINECOLOGICA DE ZARAGOZA S.L., en virtud de denuncia presentada por Doña A.A.A., en representación de la ASOCIACION DE ABOGADOS CRISTIANOS, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de diciembre de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en representación de la ASOCIACION DE ABOGADOS CRISTIANOS, en el que declara que varias clínicas, han desechado en contenedores públicos, varios documentos con datos personales de sus pacientes y en algunos casos datos de salud. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 9 de abril de 2015, se realiza una inspección en el CENTRO CLINICO EL BOSQUE, S.A., en la que se pone de manifiesto lo siguiente: 1 La CLINICA es responsable, entre otros, del fichero GESTION DE PACIENTES, inscrito en el Registro General de Protección de Datos con el código E.E.E.. 2 El documento aportado por los denunciantes, no corresponde a un listado de citaciones ya que toda la gestión de pacientes, incluidas las citas, se realizan de forma informatizada y aunque se impriman nunca se elaboran de forma manual. 3 Dicho documento podría haber sido realizado por la trabajadora social del Centro para realizar su trabajo con alguna de las pacientes a solicitud de las mismas, con el fin de dirigirse a ellas por su nombre y apellidos y no con el número que se asocia a cada paciente. 4 En varios sitios de la CLINICA existen carteles informativos de la “Guía de Reciclaje” de todo tipo de residuos, entre los que se encuentra respecto del Papel y Cartón “triturar siempre documentos no válidos”. En la Inspección han aportado copia del citado cartel. 5 A todos los trabajadores de la CLINICA con acceso a datos de carácter personal, se les entrega un documento que contiene las normas de seguridad, entre las que se encuentra la obligación de destruir cualquier documento que se vaya a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 eliminar y no dejar a la vista ningún documento que contenga datos de carácter personal. En la Inspección han aportado copia del citado documento que forma parte del Documento de Seguridad de la CLINICA. 6 Los trabajadores firman la recepción del citado documento. A este respecto los inspectores tienen acceso al listado de firmas de los trabajadores que han recibido el mismo en el que figura la firma de la trabajadora social. 7 En la Inspección, la trabajadora social manifiesta que desconoce cómo ha podido llegar dicho documento a manos de los denunciantes, ya que todos los documentos que tiene que desechar los destruye en la máquina trituradora ubicada en su despacho situado detrás de la recepción por lo que no es fácil la entrada de ningún paciente cuando ella no se encuentra en él. Así mismo, manifiesta que nunca deja encima de su mesa ningún documento que contenga datos de los pacientes. 8 En la Inspección se ha tenido acceso al Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde constan las medidas de seguridad establecidas por la empresa para la destrucción de la documentación en papel. Se ha recabado copia parcial de dicho documento donde se detallan los criterios de archivo y almacenamiento de los tratamientos no automatizados. 9 En la Inspección se accede a un listado de las pacientes citadas, verificando que se obtiene de forma automatizada y que no coincide con el documento aportado. 10 En la Inspección se accede al fichero de PACIENTES, con objeto de verificar los datos de las 16 personas, cuyos nombres y apellidos constan en el documento aportado por los denunciantes, comprobando que 9 de ellas constan en el mismo y del resto, o bien no se encuentran o hay coincidencia entre dos o más con el mismo nombre y apellidos. Así mismo se comprueba que las fechas de atención en la CLINICA de las 9 pacientes encontradas corresponden a los primeros días de marzo de

1. 11 Se ha constatado que la CLINICA dispone de seis destructoras de papel, situadas en Administración, Recepción, Despacho de la Trabajadora Social, Quirófano, Control de consultas y Despacho de Relaciones Públicas, no obstante, la mayoría de la información se trata de forma automatizada por lo que se genera muy poca documentación en papel que deba ser destruida. 12 Así mismo, se comprueba que el despacho de la trabajadora social se encuentra cerrado con llave, la cual está en poder de las personas de recepción y que los archivadores que hay en el interior del despacho también están cerrados con llave custodiada por la propia trabajadora social. TERCERO: Con fecha 26 de marzo de 2015, se realiza una inspección en CLINICA GINECOLOGICA DE ZARAGOZA S.L., en la que se pone de manifiesto lo siguiente: 1 La CLINICA atiende a sus propios pacientes y a pacientes de ARAGONESA DE MEDICINA Y CIRUGIA S.L., (en adelante AMEC), de la que son encargados de tratamiento, de acuerdo con el contrato de prestación de servicios suscrito entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 ambas, con fecha 9 de septiembre de 2013, del que han aportado una copia. 2 Los documentos aportados por los denunciantes son: dos facturas, una de ellas “ficticia” en la que figura como paciente el nombre del antiguo gerente y que se emitiría a modo de prueba, un informe de una prueba médica que se entrega al paciente y lo que parece ser listados de agendas de citaciones. 3 Respecto a los documentos que se entregan a los pacientes (factura, informe), el representante de la CLINICA ha manifestado que han podido ser desechados por ellos mismos y respecto a las hojas de citaciones, desconoce cómo han podido llegar a manos de los denunciantes, ya que habitualmente la agenda de citaciones no se imprime sino que se visualiza directamente en el ordenador y por otro lado, todos los documentos que dejan de ser necesarios, se destruyen mediante una trituradora existente en la clínica. 4 Todos los trabajadores de la clínica son informados de las normas de seguridad, entre las que se encuentra la obligación de destruir cualquier documento que contenga datos personales. Además en los contratos de trabajo firman una cláusula de confidencialidad. En la Inspección se ha recabado copia parcialmente anonimizada de dicha cláusula firmada por uno de los trabajadores. 5 En la inspección se ha tenido acceso al Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde constan las medidas de seguridad establecidas por la empresa para la destrucción de la documentación en papel. Se ha recabado copia parcial de dicho documento donde se detallan las funciones y obligaciones del personal. 6 LA CLINICA es responsable del fichero de Pacientes, inscrito en el Registro General de Protección de Datos con el código G.G.G., además, como encargada de tratamiento la CLINICA tiene acceso al fichero de Pacientes de AMEC inscrito en el Registro General de Protección de Datos con el código C.C.C.. 7 En la Inspección se ha accedido a la aplicación ARCHIMED, que gestiona los ficheros de pacientes de la CLINICA y de AMEC, donde se han realizado las siguientes comprobaciones: a. La persona cuyos datos figuran en el documento aportado y que es el resultado de una para prueba médica, consta como paciente; no obstante, dicho informe no se puede obtener e imprimir desde el ordenador en el que se realizan las comprobaciones, ya que solo se puede obtener desde el ordenador situado en el Servicio de Radiología. b. Desde el ordenador del Servicio de Radiología se accede a dicha paciente, obteniéndose el informe de la prueba realizada, con fecha 19 de febrero de 2014, comprobándose que no coincide exactamente con el documento encontrado, por lo que se accede a la historia clínica de la paciente en papel verificando que el informe automatizado coincide con el que se archiva en la historia, que según manifiestan, es una copia de la que se entrega a la paciente. El representante de la CLINICA manifiesta que solo puede modificar éste informe el Técnico de Radiología. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 c. La persona cuyo nombre y apellidos figura en una de las facturas aportadas, consta como paciente, y según manifiesta el representante de la CLINICA, es paciente de AMEC ya que no consta la identificación de la CLINICA en la factura, obteniéndose copia de la factura de fecha 19 de febrero de 2014 que coincide con el documento aportado con la denuncia. d. Se accede a la agenda de citaciones del día 17 de febrero de 2014 del Dr. I.I.I., comprobándose que en el documento aportado consta la misma información que en la agenda original y que las personas cuyo nombre y apellidos constan son todos pacientes de la CLINICA; no obstante, en el documento mostrado la información esta repetida dos veces y según la fecha que figura de obtención del listado se ha realizado en dos horas diferentes. e. Se accede a la agenda de citaciones del día 17 de febrero de 2014 del Dr. H.H.H., comprobándose que no coincide con el documento mostrado. f. Se accede a la agenda de citaciones del día 19 de febrero de 2014 de Radiología, comprobándose que ese día no hay ningún paciente citado; no obstante, se realiza la búsqueda de una paciente de las que aparece en el documento encontrado, comprobándose que la prueba que aparece asociada a la misma en el listado se realizó con fecha 30 de julio de 2014, por lo que se accede al listado de ese día comprobándose que no coincide con el documento encontrado. g. Se accede a la agenda de citaciones del día 19 de febrero de 2014 del Dr. I.I.I., comprobándose que solo coincide parcialmente con el documento encontrado. CUARTO: Con fecha 24 de abril de 2015, se realiza una inspección en la CLINICA GINECOLOGICA CALLAO S.L., en la que se pone de manifiesto lo siguiente: 1 Los documentos aportados por los denunciantes con el logotipo de la CLINICA y el encabezamiento “Ficha de Interrupción Voluntaria del Embarazo, Hoja Clínica Estadística”, no contienen nunca datos personales identificativos de las pacientes. A la paciente se le identifica con un código que solo se asigna el día en que se realiza la intervención. Para poder identificar a la paciente hay que consultar la base de datos automatizada que es donde se puede relacionar el código con la identidad del paciente. A este respecto han aportado un ejemplar del documento sin cumplimentar, donde no figuran espacios para datos personales. 2 Con anterioridad a mediados de 2014, los datos identificativos de los pacientes se registraban, además de en la base de datos, en una nota que se incluía en un sobre cerrado dentro de la historia clínica en papel. Dichas notas son similares a las que aparecen en los documentos aportados. 3 En el caso de que no se realice la intervención, la clínica no conserva ninguna ficha ni documentación del paciente, ni se incluyen sus datos en el fichero automatizado. En estos casos, la ficha o bien se entrega a la paciente si la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 solicita, o bien se destruye en el momento. 4 Respecto a la fotocopia del libro de familia aportado, podría ser de alguna paciente menor de edad, ya que en estos casos la CLINICA dentro de su protocolo, solicita la presentación de este documento junto con la autorización de padres o tutores. 5 El otro documento encontrado que contiene post-it con anotaciones manuscritas, podría ser de anotaciones realizadas por el personal de recepción que atiende las llamadas telefónicas. 6 A todos los trabajadores de la CLINICA con acceso a datos de carácter personal, se les facilita un documento que contiene las normas de seguridad, entre las que se encuentra: no dejar a la vista ningún documento que contenga datos de carácter personal. En la inspección han aportado copia del citado documento que forma parte del Documento de Seguridad de la CLINICA. 7 Los trabajadores firman un acuse de recibo del citado documento, del que han aportado una copia. A este respecto se han verificado los acuses de recibo firmados por seis de ellos. 8 El representante de la CLINICA manifiesta que desconoce cómo han podido llegar dichos documentos a manos de los denunciantes, ya que todos los documentos que se desechan se destruyen en las máquinas trituradoras ubicadas en la CLINICA. Así mismo manifiesta, que nunca se dejan encima de las mesas documentos que contengan datos de los pacientes. Así mismo, manifiesta que en varias ocasiones la CLINICA ha sido objeto de robo de documentos. Con frecuencia la CLINICA y los pacientes que acuden a ella han sido objeto de acoso por personas contrarias a su actividad que se manifiestan en la puerta de la clínica e incluso en ocasiones han accedido a su interior. 9 Se accede al Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde consten las medidas de seguridad establecidas por la empresa para la destrucción de la documentación en papel. Se obtiene copia parcial de dicho documento donde se detallan los criterios de archivo y almacenamiento de los tratamientos no automatizados. 10 La CLINICA es responsable, entre otros, del fichero HISTORIAL CLINICO, inscrito en el Registro General de Protección de Datos con el código F.F.F.. 11 Se accede al citado fichero con objeto de verificar los datos de las personas, cuyos datos identificativos constan en los documentos mostrados, comprobando que solo constan los datos de una de las fichas, a cuya historia en papel se tiene acceso, comprobando que la ficha que contiene no coincide con la ficha encontrada. 12 Así mismo se comprueba la existencia en el fichero de una paciente cuyos apellidos coinciden con los primeros apellidos del padre y de la madre que figuran en la fotocopia del libro de familia que forma parte del documento número 1, se accede a la historia clínica en papel de la citada paciente comprobando que, en un sobre cerrado, contiene una fotocopia por las dos caras de cuatro páginas del libro de familia, dos de las cuales coinciden con el documento mostrado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 13 Los inspectores de la Agencia verifican que la CLINICA dispone de cuatro destructoras de papel, situadas en Recepción, Archivo y una en cada uno de los dos despachos de los que dispone. QUINTO: Con fecha 15 de abril de 2015, se realiza una inspección a PARTNER LINE S.A. (CLINICA DATOR), en la que se pone de manifiesto lo siguiente: 1 Uno de los documentos aportados, corresponde al justificante que se entrega al acompañante del paciente, cuando así lo solicita y ha podido ser desechado por la persona a la que se entregó, ya que aunque se conserva en la ficha del paciente la referencia del justificante emitido, no se conservan en la CLINICA copia de los mismos en papel. 2 El otro documento aportado parecen ser post-it o notas de alguna de las personas que atendían el teléfono, no pudiendo identificar la letra de ninguna de las que están en la actualidad. 3 En varios sitios de la CLINICA existen carteles informativos de la existencia de destructoras y de la obligatoriedad de destrucción de todo tipo de documento y papel no necesario para su archivo. Han aportado copia del citado cartel. 4 Todos los trabajadores de la CLINICA con acceso a datos de carácter personal, son informados de las normas y protocolos de seguridad existentes en la CLINICA que se encuentran descritos en los documentos “Protocolo de buenas prácticas en Protección de Datos” y “Manual de funciones y obligaciones del personal”, que incluye un documento que firman todos los trabajadores. Han aportado copia de dichos documentos. A este respecto, los inspectores comprueban la existencia de unas carpetas en el despacho de Dirección que contiene 44 documentos firmados por los trabajadores de la CLINICA. 5 El “Protocolo de buenas prácticas en Protección de Datos” incluye las normas sobre destrucción de documentos que contengan datos personales y desaconseja la utilización de apuntes y post-it y, que en caso de utilización, deberán ser destruidos de la misma manera en las destructoras de papel y nunca deberá anotarse en ellas datos personales. Así mismo incluye la norma de no dejar documentos que contengan datos de carácter personal en lugares comunes o de fácil acceso para personal ajeno a la CLINICA. 6 La representante de la CLINICA manifiesta que desconoce cómo han podido llegar los documentos mostrados a manos de los denunciantes, ya que todos los documentos que tiene que desechar se destruyen en las máquinas trituradoras existentes. Así mismo, manifiestan que nunca dejan encima de las mesas o en lugares de acceso ningún documento que contenga datos de los pacientes. 7 Se accede al Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde constan las medidas de seguridad establecidas por la empresa para la destrucción de la documentación en papel. Se ha recabado copia parcial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 de dicho documento que incluye el anexo 4 “Funciones y Obligaciones del personal” y el anexo 7 “Gestión de soportes y documentos”. 8 La CLINICA es responsable, entre otros, del fichero PACIENTES, inscrito en el Registro General de Protección de Datos con el código D.D.D.. 9 Se accede al citado fichero con objeto de verificar los datos de las personas, cuyos nombres y apellidos constan en los documentos encontrados, comprobando que la paciente cuyos datos figuran en el justificante del acompañante consta en dicho fichero. Se obtiene copia del justificante que se emitió. 10 En el mismo fichero se realiza una búsqueda de los nombres que aparecen en los post-it y notas que forman parte del otro documento, verificando que un nombre y apellidos figura en el fichero y también se ha encontrado una coincidencia de nombre y primer apellido. 11 Se ha comprobado que la CLINICA dispone de cinco destructoras de papel, situadas en recepción de entrada, recepción de la primera planta, control de enfermería, despacho de atención a la mujer y despacho de la trabajadora social, no obstante, la mayoría de la información se trata de forma automatizada por lo que se genera muy poca documentación en papel que deba ser destruida. SEXTO: Con fecha 4 de agosto de 2015, se recibió escrito de la Clínica Ginecológica Callao, acompañando el sobreseimiento provisional y archivo de la causa de la denuncia presentada en la vía penal por los mismos hechos, dictada por el Juzgado de Instrucción nº 11 de Madrid, en el que consta el siguiente razonamiento jurídico: “En este caso procede el sobreseimiento provisional de la causa, conforme al art. 641.1 en relación con el citado art. 779.1, ambos de la Ley de Enjuiciamiento Criminal, al no existir motivos para la continuación del procedimiento por no considerar debidamente justificada la posible comisión de los delitos objeto de la denuncia. La instrucción de la causa no permite tener por corroboradas las irregularidades denunciadas. En concreto, en cuanto al posible delito de descubrimiento o revelación de secretos, no consta que los imputados, como responsables de cuatro clínicas, transmitieran a terceros datos reservados de los pacientes de las mismas. Tales responsables han alegado que estos datos, documentos o historiales médicos pudieron llegar a terceros al haber sido sustraídos por activistas antiabortistas (es un dato relevante común a las clínicas denunciadas que en ellas se practicaran abortos) para poder utilizarlos en posteriores denuncias contra las mismas. No consta que sea así, pero tampoco consta, siquiera de forma indiciaria, la forma que tales datos pudieran haber llegado al poder de B.B.B., quien interpuso la demanda inicial ante la Guardia Civil aportando tales documentos. En suma, ignorándose la causa o la forma en que esos documentos salieron del ámbito de las clínicas, no existen motivos indiciarios para atribuir tales hechos a sus responsables, ni, por tanto, a la continuación del procedimiento. Es más, por los representantes de tres de las cuatro clínicas denunciadas se ha aportado documentación relativa a las inspecciones favorables realizadas por la Comunidad Autónoma de Madrid y la Agencia de Protección de Datos, así como los protocolos sobre gestión de recursos, sin que conste vulneración de los mismos, ni de residuos biosanitarios del tercer grupo (el de mayor protección, que incluye los restos biológicos de los abortos) se tirasen a la basura, como se sostiene en la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 … En definitiva, no existe dato sólido alguno que permita la continuación de la causa, por lo que procede su sobreseimiento provisional” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Las entidades denunciadas están obligadas a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con el abandono en contenedores públicos de documentos que forman parte de la historia clínica, en la que se contienen datos personales y de salud de mujeres, podrían suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 91, 92.4 y 97.2, que establecen lo siguiente: Artículo
2. Control de acceso. “
3. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.
4. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.
5. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.
6. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.
7. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Artículo
8. Gestión de soportes y documentos. “
9. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo
10. Gestión de soportes y documentos. “
11. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.h) de la LOPD, que considera como tal, “ Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. III Tras la realización de las visitas de inspección en las cuatro clínicas denunciadas, se ha comprobado que todas ellas tiene documento de seguridad, tal y como establece la normativa de protección de datos; estableciendo un protocolo de destrucción de documentos en papel y firmando los trabajadores documento de confidencialidad. Asimismo, existen carteles y destructoras de papel para recordar la obligación de destruir los documentos en papel que contengan datos de carácter personal. IV Por otra parte, los hechos expuestos, en relación con el acceso por parte de un tercero a los datos personales contenidos en la documentación perteneciente al denunciado abandonada en un lugar público, podría suponer la comisión por el mismo, de una infracción del artículo 10 de la LOPD, según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, que aparece tipificada como grave en el artículo 44.3.d) de dicha norma, que califica como tal “la vulneración del deber de guardar secreto acerca del tratamiento de sus datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. El Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, en su artículo 7 establece las vinculaciones con el orden jurisdiccional penal, indicando: “
12. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas.
13. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial.
14. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que substancien.” En el supuesto denunciado, durante las actuaciones previas de investigación se comprobó que las clínicas a las que se inspeccionó tenían documento de seguridad y tenían incorporadas las medidas técnicas y organizativas para su cumplimiento. En cuanto a la posible vulneración del deber de guardar secreto, el Juzgado de Instrucción nº 11 de Madrid ha resuelto que los hechos denunciados referidos a tal vulneración no han quedado acreditados ni siquiera de forma indiciaria. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
15. PROCEDER AL ARCHIVO de las presentes actuaciones.
16. NOTIFICAR la presente Resolución a PARTNER LINE S.A. (CLINICA DATOR), CENTRO CLINICO EL BOSQUE S.A., CLINICA GINECOLOGICA CALLAO S.L.U.P., CLINICA GINECOLOGICA DE ZARAGOZA S.L. y a Doña A.A.A., en representación de la ASOCIACION DE ABOGADOS CRISTIANOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es