E-09437-2018

1/5 Procedimiento Nº: E/09437/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el HOSPITAL UNIVERSITARIO SAN AGUSTÍN (SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS), en virtud de reclamación presentada por Don. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes HECHOS PRIMERO. Con fecha 12 de junio de 2018, tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el reclamante o interesado), mediante el que formula reclamación contra la Gerencia del HOSPITAL UNIVERSITARIO SAN AGUSTÍN (en lo sucesivo HUSA) y el Jefe de Servicio de Pediatría del mismo por el envío de informes médicos referidos a su hijo menor de edad por correo electrónico sin cifrar, pudiendo accederse a su contenido sin introducir contraseña. El reclamante aporta copia de dos correos electrónicos enviados, con fechas 10 de marzo y 13 de junio de 2017, al correo electrónico del reclamante desde la dirección de correo de la Secretaria de Pediatría del mencionado Hospital adjuntando sendos informes médicos referidos al hijo menor del reclamante. SEGUNDO: Con fecha 31 de julio de 2018, se trasladada la reclamación presentada al HUSA, para que comunicase al reclamante el resultado final de las acciones llevadas a cabo al respecto, debiendo aportar ante esta Agencia tanto las comunicaciones intercambiadas sobre este particular con el reclamante como, en particular, la siguiente información: - Especificación de las causas que han motivado la incidencia que ha originado la reclamación. - Detalle de las medidas adoptadas para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. - Cualquier otra documentación que considere relevante. TERCERO: Con fecha 17 de septiembre de 2018, se registra de entrada en esta Agencia escrito al que se adjunta contestación del Gerente del Área Sanitaria 3 del Servicio de Salud del Principado de Asturias y el Jefe de Servicio de Pediatría del HUSA, en los que, en síntesis, se indica: En octubre de 2016 el reclamante envió a la Secretaría del Servicio de Pediatría del HUSA informes médicos con datos de salud concernientes a su hijo mediante correo electrónico sin utilizar ningún mecanismo de cifrado o protección con contraseña. C/ Jorge Juan, 6 28001 – Madrid No obstante haber sido informando de la conveniencia de utilizar los www.aepd.es sedeagpd.gob.es 2/5 mecanismos habituales de acceso a la información clínica relativa a su hijo (correo certificado), el reclamante solicitó en reiteradas ocasiones el envío de dichos informes mediante correo electrónico. Tras la información e instrucciones impartidas por la Gerencia, con fecha 28 de diciembre de 2017 se informa al reclamante de que no se le enviaran más informes médicos a través del correo electrónico, ofreciendo el uso del correo postal o comunicación directa con el Servicio de Atención al Usuario. Con fecha 7 de enero de 2018, el reclamante expresa su disconformidad con la medida adoptada, manifestando su preferencia por el correo electrónico. Durante el mes de mayo de 2018 se adoptaron una serie de medidas para la implantación y seguimiento del RGPD en el ámbito del área sanitaria, entre las que se encuentra la aprobación y difusión entre los profesionales de una serie de instrucciones para mejorar los aspectos relacionados con la gestión de datos y accesos a las historias clínicas, gestión de sistemas y aplicaciones. Además, para una mejor aplicación de esta normativa se intensificará la información y seguimiento de la misma, implicando a los responsables en sus ámbitos de competencia. Con fecha 6 de noviembre de 2018 se registra de entrada en esta Agencia escrito procedente del Gerente del Área Sanitaria 3 del Servicio de Salud del Principado de Asturias, al que se adjunta copia del escrito de respuesta enviado con fecha 29 de octubre de 2018 al reclamante, en el que, entre otros extremos, se señala: Que en octubre de 2016 el reclamante envió a la Secretaría del Servicio de Pediatría del HUSA informes médicos con datos de salud concernientes al menor mediante correo electrónico sin utilizar ningún mecanismo de cifrado o protección con contraseña; - En el mes de diciembre de 2017, según consta en la información recabada por esta Gerencia, el Servicio de Pediatría informó al reclamante que, en lo sucesivo, la comunicación se realizaría mediante correo postal o por comunicación personal y directa, a lo que el reclamante respondió, el 7 de enero de 2018, mostrando su disconformidad con esa decisión del Servicio. La procedencia de suspender por ambas partes la sistemática de comunicación utilizada pasando a usar un mecanismo de comunicación que proteja la seguridad y confidencialidad en el traspaso de información de datos de salud del menor FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control y según lo establecido en los artículos 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver esta reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia una reclamación contra HUSA por una presunta vulneración en materia de seguridad de datos personales derivada del envío de informes médicos con datos de salud concernientes a un menor por correo electrónico sin cifrar. De conformidad con la normativa expuesta, se dio traslado de la reclamación al mencionado Hospital para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia, en el plazo de un mes, de los extremos indicados en el Hecho Segundo. Asimismo, se solicitó al HUSA copia de la comunicación remitida por el mismo al reclamante a propósito de la reclamación e informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Dicho requerimiento de información fue contestado por el citado Hospital, con fecha 17 de septiembre de 2018, en los términos que se indican en el Hecho Tercero de esta Resolución. Por otro lado, con fecha 24 de julio de 2018 se acusó recibo por esta Agencia de la reclamación presentada por el reclamante, informándole además de su traslado al HUSA y del requerimiento efectuado al mismo para que le informase del resultado final de las acciones llevadas a cabo para atender la reclamación, lo que consta se realizó con fecha 26 de octubre de 2018 desde la Gerencia del Área Sanitaria 3 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Servicio de Salud del Principado de Asturias, conforme se señala en el citado Hecho Tercero. A la vista del conjunto de elementos de juicio obrantes en el expediente, en el presente supuesto, en orden a valorar la culpabilidad del responsable del tratamiento, y sin perjuicio de la obligación del responsable del tratamiento de aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado en la transmisión de datos personales de salud por medios de comunicación electrónica, resulta relevante destacar la incidencia que la conducta mostrada por el reclamante ha tenido al inducir al HUSA a utilizar con el reclamante el correo electrónico como medio de comunicación en lugar de los mecanismos habitualmente utilizados por dicho Centro. En concreto: -En octubre de 2016 el reclamante envió mediante correo electrónico informes médicos de su hijo sin ningún tipo de cifrado o sistema de protección con contraseña a la Secretaría del Servicio de Pediatría del HUSA. -En la reclamación presentada, el reclamante reconoce haber solicitado la remisión de los informes médicos de su hijo menor de edad por correo electrónico, -Entre la documentación aportada por el reclamante obran correos electrónicos dirigidos a dicho Hospital con fechas 7 y 9 de junio de 2017, es decir, anteriores a la recepción con fecha 3 de junio de 2017 del correo electrónico al que se adjuntaba el informe médico concerniente a su hijo, en los que exige el envío inmediato de esos informes. Sentado lo anterior, una vez analizadas las razones expuestas por el citado Hospital, de las que se desprende que por parte de dicho Centro ya se habían adoptado medidas técnicas con anterioridad a la formulación de la reclamación tendentes a impedir el uso de medios electrónicos para el enviar informes médicos, optando por entregar los mismos a través de los mecanismos habitualmente utilizados (en mano o mediante correo postal), y habiéndose también reforzado el nivel de seguimiento entre los profesionales y los diferentes servicios del grado de cumplimiento de las instrucciones adoptadas para mejorar los aspectos relacionados con la gestión de datos y accesos a las historias clínicas-, a lo que hay que sumar que desde el HUSA se informó al reclamante con fecha 29 de octubre de 20018 de la procedencia de utilizar por ambas partes un mecanismo de comunicación que proteja la seguridad y confidencialidad en el traspaso de información de datos de salud del menor, y no habiendo constancia de que los informes médicos remitidos por vía electrónica al reclamante hayan resultado accesibles a terceros o manipulados por terceros, ni de que el reclamante haya vuelto a recibir informes médicos de su hijo menor por dicho canal sin cifrar, que se utilizó por ser el medio expresamente solicitado por el reclamante, se considera procedente acordar el archivo de las presentes actuaciones. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal, y evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al HOSPITAL UNIVERSITARIO SAN AGUSTÍN (SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS) y a Don A.A.A. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es