← España

PS-00004-2021

1/16 Expediente Nº: PS/00004/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 31/07/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CLÍNICAS DEL SUR, S. L. - GRUPO HOSPITEN con NIF B38031241 (en adelante, la reclamada). Los motivos en que basa la reclamación son que B.B.B., (datos en ANEXO, en lo sucesivo, la doctora) que le atendió el ***FECHA.1 en el servicio de urgencias de la clínica HOSPITEN, en ***LOCALIDAD.1, proporcionó después, el ***FECHA.5, a ***INSTITUCIÓN.1, para la que trabaja, sus datos, en el curso de una investigación reservada que la doctora misma propició a través de su actuación del día que fue atendido. Añade que les informó de datos del “día y hora que acude al servicio de urgencias, de su lugar de trabajo, el motivo de la visita, el aspecto que presentaba durante la visita, la medicación que le prescribe-ansiolíticos, antidepresivos, hipertensivos), y otros datos que esta doctora recoge con ocasión de su cargo y profesión y en el transcurso de una consulta médico-paciente.” Junto a la reclamación aporta: -Informe médico de urgencias firmado por la doctora, el ***FECHA.1, resumen anamnesis, paciente que acude a urgencias por necesitar su medicación habitual tratamiento. Constan sus datos de identificación, entidad “ADESLAS Funcionarios” , número de historia, n episodio. ”Paciente que acude a urgencias por necesitar su medicación habitual”. Entrada 13:40, salida, 14.20. Describe los nombres de los cuatros medicamentos que le figuran. No aparecen cualificados expresamente como ansiolíticos, antidepresivos, hipertensivos, sino el nombre del medicamento. -Copia de “declaración testifical” a la ***INSTITUCIÓN.1 el ***FECHA.5, de la doctora, “médico de urgencias del Hospital “HOSPITEN, de ***LOCALIDAD.1” a efecto de sustanciar “auxilio administrativo que ha sido interesado”, ante el instructor. “Antes del inicio de la declaración se le informa del objeto de la misma así como que la misma es en calidad de testigo y de forma voluntaria.” Se aprecia que el documento lleva el sello de “Recursos humanos expedientes”. “se le informa del carácter confidencial de esta investigación y de la obligación que tiene de ser discreta sobre el contenido de su declaración”. “Manifiesta que sobre las 14:00 del día ***FECHA.1 se encontraba en su lugar de trabajo en las instalaciones de urgencias del hospital HOSPITEN, que en ese momento llegó a la sala de espera que estaba vacía un hombre que vestía con una camiseta blanca con un chaleco abierto (…) en forma reflectante, así como una placa colgada del cuello que no parecía una placa real con un escudo cuya simbología no pudo reconocer. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Que en esos momentos su compañero de recepción le informa a la dicente de la llegada de dicha persona la cual requería una medicación habitual que normalmente le hacía el doctor C.C.C. Que comprobado por la dicente el historial de dicha persona y su aspecto infundieron sospechas. Que en ese momento su compañera, la enfermera, llamó a la ***INSTITUCIÓN.1 para verificar que dicha persona era ***PROFESIÓN.1 aportando el nombre de la misma …. y le confirmaron que la misma era ***PROFESIÓN.1 y estaba de baja. Que dicha persona quería que le prescribiesen su medicación habitual para lo cual dijo que era ***PROFESIÓN.1 que vivía en Madrid que ahora lo habían trasladado a ***PROVINCIA.1 y que se encontraba en una operación antidroga que no había tenido tiempo de recoger sus recetas. Que en ese momento la citada persona enseñó a la dicente la medicación que tomaba, tratándose de un hipertensivo, un ansiolítico y un antidepresivo y quería que la dicente le recetara los mismos medicamentos a través de receta del ISFAS. Que dicha persona se encontraba nervioso y evasivo, en actitud chulesca y algo intimidante. Que la dicente tenía la impresión de que si no hubiera accedido a recetar la medicación dicha persona hubiera reaccionado de forma incorrecta. Que la dicente recetó dichos medicamentos a la citada persona y la misma se marchó.” SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, con fecha 30/09/2020, se traslada la reclamación a la reclamada. Con fecha 29/10/2020, se recibe respuesta de la reclamada, en concreto del DPD indicando: -El reclamante ya les había presentado a ellos una reclamación el 3/08/2020 que se comenzó a gestionar, teniendo una reunión con el, el 31/08/2020, manifestando en dicha reunión la posibilidad de una denuncia, cuando se aprecia por fechas que ya la había interpuesto. Aporta copia de dicho escrito en el que indica el reclamante que acudió el ***FECHA.1 al servicio de urgencias del hospital HOSPITEN en ***LOCALIDAD.1. “Ha tenido conocimiento que el ***FECHA.2, se inició una información reservada en el seno laboral de la institución a la que pertenece, ***INSTITUCIÓN.1, como consecuencia de una llamada telefónica que realizó ese día ***FECHA.1 una enfermera de hospital en ***LOCALIDAD.1”. “En el marco de la citada información reservada, la doctora dijo tratarse de la facultativa que recetó el día ***FECHA.1 la medicación que forma parte del tratamiento farmacológico que normalmente viene tomando el dicente. Esta doctora fue previamente al acto advertida de la no obligación de manifestar, al tratarse de un acto interno laboral que forma parte de un acto administrativo dentro del exclusivo seno interno de la ***INSTITUCIÓN.1 y tras ser informada de lo anterior, manifestó libre y voluntariamente: “Que el que suscribe se personó en ese centro hospitalario a los efectos de que se prescribieran una medicación que normalmente le recetaba el doctor …. médico de ese hospital, información que debe quedar salvaguardada en el más estricto secreto profesional …” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 “Que comprobada su historia médica y su aspecto le infundieron sospechas. Que en ese momento su enfermera llamó a la ***INSTITUCIÓN.1 para verificar que dicha persona era (…), aportando su nombre y le confirmaron que la misma era un ***PROFESIÓN.1 y que estaba de baja médica”. “Que dicha persona quería que le prescribiesen su medicación habitual para lo cual dijo que era ***PROFESIÓN.1, en este último punto asevera esta doctora que el señor utilizó su cargo público para que le recetaron las pastillas que forman su tratamiento y que normalmente le son prescritas en hospital en ***LOCALIDAD.1” - Aporta copia de documento 2, escrito de la ***INSTITUCIÓN.1 de ***FECHA.5, a la reclamada informándole de la llamada telefónica procedente del Hospital recibida el ***FECHA.1 informando de la persona y que “les estaba requiriendo fármacos ansiolíticos”, pidiendo conocer la identidad del personal facultativo, sanitario o administrativo que “tuvieron algún tipo de contacto o atendieron mediamente a dicha persona” -Sobre las causas que han motivado la infracción, indica que “quizás los profesionales que le atienden temían una suplantación de identidad o situación de riesgo, “provocado por el comportamiento errático del propio paciente”, lo que los lleva a un exceso de celo haciendo la llamada. Prevalecería la seguridad del Centro y del paciente que estaba “pidiendo la expedición de recetas de medicamentos de unas características determinadas, a los cuales es muy difícil acceder“ y que “los centros sanitarios están acostumbrados a ver suplantaciones de personas a fin de conseguir acceder a los servicios obtener medicación etcétera.” -“El contexto de lo declarado por la doctora ante el requerimiento de la ***INSTITUCIÓN.1 queda fuera del ámbito de esta explicación, ya que se realiza en un escenario de absoluta confidencialidad entre la ***INSTITUCIÓN.1, y la persona que es llamada a testificar el centro, habiendo recomendado a su personal la colaboración con las Fuerzas y Cuerpos de Seguridad del Estado sin poder intervenir más decisiones”. -Como acciones tomadas, destacan las siguientes:  Los expedientes disciplinarios están en trámite.  La reclamación se anotó en el sistema de incidencias.  Se ha enviado un escrito al reclamante tras recibir el traslado de la reclamación. de la copia que aporta del mismo, entregado el 23/10/2020 no se indica nada de que se hace por la reclamación de la AEPD, sino referencias al curso que sigue su queja en el seno de la reclamada. Interesa destacar del citado escrito lo siguiente: “Hemos tenido conocimiento a través de su reclamación del contenido de la entrevista mantenida el pasado 11 de mayo de 2020 entre (…) de la ***INSTITUCIÓN.1 y la doctora que le atendió y le prescribió la medicación que usted requería y constaba en su Historia Clínica. La actuación de Hospiten ***LOCALIDAD.1 se limitó a recibir un oficio de la ***INSTITUCIÓN.1 de ***PROVINCIA.1, Destacamento (…), solicitando los nombres del personal de guardia el día ***FECHA.1, lo que les fue proporcionado en el contexto de una solicitud formal de colaboración en una investigación. Sin embargo, desconocemos las advertencias que las Fuerzas y Cuerpos de Seguridad del Estado le hicieron a la doctora en su declaración, si bien confiamos en que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 misma actuó en la convicción de estar colaborando con los agentes en la instrucción de un delito bajo secreto sumarial…”  En documento 13, consta envío de una nota informativa a todos los empleados con el fin de recordarles sus obligaciones en materia de Protección de Datos. Se significa la comunicación de información de los pacientes a través de distintos medios, teléfono entre otros, con referencia también a meras conversaciones. El escrito no lleva fecha.  Se ha ampliado la información al personal sobre la existencia y las funciones y el canal de comunicación con el DPD.  Se recomienda realizar nuevos cursos de Protección de Datos de forma periódica con especial atención al colectivo médico, de enfermería, administración, auxiliares y todos aquellos que tengan contactos con pacientes o familiares. Aporta: -Copias de dos documentos de “compromiso de confidencialidad” que aparecen firmados por la enfermera 29/10/2019) y la doctora (20/11/2019). Tratan de la información y datos de carácter personal a los que pueda acceder o conocer por razón de su trabajo, se contiene que no se “ proporcionará información a ninguna persona ni facilitará información en el curso de su trabajo y el deber de mantener la reserva, para no revelar información que contenga datos de carácter personal como deber de secreto inherente a su trabajo, en especial sobre el tratamiento que pueda hacer de datos de salud, acatando que su infracción podría dar lugar a sanciones disciplinarias”. “Antes de firmar este impreso le rogamos que lea detenidamente la información sobre Protección de Datos que se presenta adjunta”. Adjunta un folleto informativo “manual de usuario de Protección de Datos y seguridad de la información“, actualizado octubre 2020 de 19 folios. -Copias de escritos, de ***FECHA.3 a la doctora con el recibí y a la enfermera de ***FECHA.4. En el de la doctora, pone de manifiesto que por una reclamación del reclamante, “usted y una enfermera con fecha ***FECHA.1 avisaron vía telefónica al cuartel de la ***INSTITUCIÓN.1 a fin de averiguar si el señor” reclamante “era ***PROFESIÓN.1 o no, como él mismo les había hecho saber en su asistencia a urgencias en el hospital” .”Además de ello, según manifiesta la reclamación recibida con fecha ***FECHA.5, usted facilitó dentro de la investigación interna abierta al Sr… (…) información confidencial de dicho paciente, como la medicación recetada, confidencialidad que usted no puede vulnerar bajo ningún concepto”. En la misma carta entregada a la enfermera le indica que “parece que usted con fecha ***FECHA.1 solicitó información vía telefónica al Cuartel de la ***INSTITUCIÓN.1, a fin de averiguar si el sr. ,,, era ***PROFESIÓN.1 o no, como el mismo les había hecho saber en sus asistencia a Urgencias. Dicha llamada que usted no debió realizar habida cuenta que el señor … compareció a nuestro centro como usuario de su tarjeta sanitaria privada, ha conllevado a una investigación interna al reclamante lo que ha conllevado a la reclamación por parte del usuario a nuestro hospital”. Les indica a ambas que su conducta es constitutiva de incumplimiento contractual grave por parte de sus obligaciones presididas por la buena fe, de acuerdo con el artículo 40.3 k del convenio colectivo del sector, considerando como falta muy grave el quebrantamiento o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 violación de secretos de obligada reserva. Dentro de este tipo se incluye cualquier conducta que dé a conocer el proceso patológico de los pacientes o que afecta a la intimidad de estos. -Se observa pues que en los hechos imputados a ambas empleadas, se ciñe a lo sucedido el ***FECHA.1 en consulta, y no figura mención alguna a la declaración de la doctora ante la ***INSTITUCIÓN.1, en consonancia con la manifestación que ha realizado sobre el contexto en el que declara. TERCERO: Con fecha con fecha 16/12/2020 la reclamación fue admitida a trámite. CUARTO: Con fecha 16/04/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a CLÍNICAS DEL SUR, S. L. - GRUPO HOSPITEN, con NIF B38031241, por la presunta infracción de los artículos 5.1.

  1. b)y 5.1.
  2. f)del RGPD, de conformidad con el artículo 83.5
  3. a)del RGPD.” “A los efectos previstos en el art. 64.2
  4. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP) la sanción que pudiera corresponder sería de apercibimiento.” QUINTO: Con fecha 28/04/2021, se recibe escrito del DPD, titulado “autorización“ en el que el DPD, en representación de la reclamada, indica que “autoriza” a tres personas que identifica, de HELAS CONSULTORES, a examinar o recibir el expediente y a obtener copia de los documentos que compongan dicho procedimiento, figurando el sello de la Clínica y una firma innominada. No se concreta mas que la autorización, no existiendo efectiva petición por parte del DPD ni de alguna de las personas referidas. Con fecha 1/05/2021, se recibe nuevo escrito del DPD, en representación de la reclamada, titulado “autorización“ en el que indica que “autoriza” a dos personas que identifica, de HELAS CONSULTORES, a presentar escrito de alegaciones, figurando el sello de la Clínica y una firma innominada. Asimismo, se reciben alegaciones, firmadas por el DPD, manifestando: - “En su escrito de 28/04 se ha solicitado acceso al expediente y no han tenido acceso al mismo finalizando el plazo el 4/05.” -Sobre la infracción del artículo 5.1
  5. b)del RGPD, los datos personales del reclamante se utilizaron para la prestación de la asistencia médica. Indica que fue el propio reclamante haciendo valer su condición de ***PROFESIÓN.1 y su actitud para obtener la medicación ayudado de su actitud intimidante irregular , “permitiendo y consintiendo que se usara su condición” y que ante la sospecha de una suplantación de identidad, la enfermera procedió a llamar a la ***INSTITUCIÓN.1 y “tomaran las medidas oportunas como miembro de las Fuerzas y Cuerpos de Seguridad del Estado”, si bien añade, que se hizo la llamada “sin proporcionar ningún tipo de información sobre el denunciante, ni tan siquiera que se encuentra en urgencias.” Considera que no se puede imputar “un uso distinto ilegítimo de los datos al centro ni a la enfermera ni a la doctora” porque no hay otra finalidad mas que al de al prestación de la asistencia. -En cuanto a la infracción del artículo 5.1 f del RGPD, “la supuesta falta de confidencialidad de datos del paciente que se imputa se realiza ante una situación excepcional y provocada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 por un comportamiento errático del propio paciente que induce a pensar a los profesionales que la atienden una posible suplantación de identidad o situación de riesgo, lo que les lleva a tener un exceso de celo comunicando a las Fuerzas y Cuerpos de Seguridad lo acontecido. Prima la seguridad del centro, la suya personal, y la de su paciente el cual estaba exigiendo la expedición de medicamentos de unas características determinadas a los cuales es muy difícil acceder y además valiéndose de su condición de ***PROFESIÓN.1”. -Considera que el contexto declarado por la doctora ante el requerimiento de la ***INSTITUCIÓN.1 queda fuera del ámbito de este procedimiento ya que se realiza en un escenario de absoluta confidencialidad entre la ***INSTITUCIÓN.1 y la persona que es llamada a testificar. “El centro y sus profesionales siempre han colaborado con las Fuerzas y Cuerpos de seguridad del Estado ante cualquier requerimiento de esta, bajo las formalidades de petición motivada en actuaciones como diligencias citaciones oficio etc. en las que se considera que los datos de las personas implicadas son absolutamente confidenciales y forman parte de un proceso de investigación” “No ha quedado acreditado de ninguna manera que el expediente laboral al reclamante se iniciará como consecuencia de los hechos objeto de esta denuncia sino que por lo que en algún momento señala el propio paciente, al parecer viene de atrás, y el expediente disciplinario ya estaba en curso. En el contexto de las declaraciones de la ***INSTITUCIÓN.1 no consta que ese expediente interno se haya abierto como consecuencia de la llamada sino de sus antecedentes laborales de los cuales desconocen.” -La reclamada ha adoptado una serie de medidas, se informa a los servicios jurídicos y al departamento laboral por si se deducía alguna responsabilidad del centro de sus profesionales y se inició un procedimiento del interno que acabó con amonestación por escrito. El DPD tomó la iniciativa de remitir al centro que se ponga en marcha nuevo recordatorio sobre obligaciones de personal y refuerzo de la confidencialidad. Se recordaron los canales de notificación de incidencias y la realización de nuevos cursos de Protección de Datos de forma periódica. Aportan copia de: -Escrito de amonestación a enfermera, firmado el 10/11/2020. En el mismo se indica que “en relación a sus alegaciones y la reclamación del…” reclamante “Tras las mismas resulta evidente que usted no facilitó información alguna sobre medicamentos del paciente, pero lo cierto es que por el hecho de ir uniformado de ***PROFESIÓN.1 el reclamante, usted no debió comprobar su identidad ante (…) la ***INSTITUCIÓN.1 ya que los pacientes del hospital son pacientes independientemente de su condición, la única comprobación que debió realizarlo era respecto de su estado de salud y su tarjeta sanitaria”. Declara cometida la infracción como incumplimiento contractual grave, de acuerdo con el Convenio colectivo del sector, e impone la sanción. -Mismo tipo de escrito, dirigido a la doctora, de 6/11/2020, con el literal “habiendo realizado la empresa igualmente una comunicación a doña… por la llamada realizada a la ***INSTITUCIÓN.1 , aunque si bien es cierto , y habida cuenta que al señor …, tras dicha llamada le han abierto una investigación interna, donde usted ha comparecido y ha informado parece ser de la medicación que éste le solicitaba, a pesar de que dicha información prestada debía ser confidencial, lo cierto es que no lo ha sido tanto y por ello el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 señor A.A.A., ha presentado una reclamación al hospital…” Declara cometida la infracción como incumplimiento contractual grave, de acuerdo con el Convenio colectivo del sector, e impone la sanción. -Aporta copia de oferta de 3/09/2020, con aceptación por la reclamada del presupuesto, para formación de protección de datos de carácter personal. SEXTO: Pese a no haber cursado petición formal de remisión de copia de expediente ni dirección a la que ser enviado, en escrito de 6/05/2021, se remitió copia del expediente a la reclamada, ampliando el plazo de alegaciones. SÉPTIMO: Con fecha 7/12/2021, se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO del expediente iniciado a CLÍNICAS DEL SUR, S. L. - GRUPO HOSPITEN, con NIF B38031241, por vulneración de los artículos 5.1.
  6. f)y 5.1.
  7. b)del RGPD, de conformidad con el artículo 83.5
  8. a)del RGPD, y a efectos de prescripción en el artículo 72.1.
  9. a)de la LOPDGDD, con sanción de apercibimiento.” OCTAVO: Con fecha 22/12/2021 se reciben alegaciones manifestando su conformidad con la propuesta por cuanto no pudo actuar de otra forma distinta a como lo hizo. HECHOS PROBADOS 1) El reclamante, (…), acudió el ***FECHA.1 a servicio de urgencias del Hospital “HOSPITEN, de ***LOCALIDAD.1 donde antes se le dispensaba su medicación por el doctor que ese día no estaba, figurando en su lugar la Doctora B.B.B.. que era la primera vez que le visitaba. El reclamante resultaba identificado a través de la tarjeta sanitaria y desde el momento en que se presentó, 13h 40, según el registro de asistencia, según la Doctora. manifestó ante la ***INSTITUCIÓN.1 (con posterioridad, el ***FECHA.5 declara en el seno del expediente disciplinario contra el reclamante) le infundió sospechas por su aspecto: “vestía con una camiseta blanca con un chaleco abierto en cuya parte posterior aparecían las letras ***PROFESIÓN.1 en forma reflectante, así como una placa colgada del cuello que no parecía una placa real con un escudo cuya simbología no pudo reconocer.” manifestándole su compañero de recepción que requería una medicación habitual que normalmente le hacía otro doctor. Según declaración de la Doctora, comprobó el historial clínico del reclamante en el que figuraban cuatro medicamentos, y “su compañera, la enfermera, llamó a la ***INSTITUCIÓN.1 para verificar que dicha persona era tal”, “aportando el nombre”, “y le confirmaron que si era”, que “ Estaba de baja”. 2) El reclamante, afectado por el procedimiento disciplinario señala (lo pone de manifiesto en la reclamación frente a la reclamada de 3/08/2020) que el inicio de la información reservada se produce el ***FECHA.2, a consecuencia de la llamada de ***FECHA.1 con lo que probablemente ni se apercibió en la consulta que se llamó para verificar su identidad. 3) La doctora en la declaración ante la ***INSTITUCIÓN.1 manifestó además, “que dicha persona quería que le prescribiesen su medicación habitual para lo cual dijo que era ***PROFESIÓN.1 que vivía en Madrid que ahora lo habían trasladado a ***PROVINCIA.1 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 que se encontraba en una operación antidroga y que no había tenido tiempo de recoger sus recetas. Que en ese momento la citada persona enseña a la dicente la medicación que tomaba tratándose de un hipertensivo un ansiolítico y un antidepresivo y quería que la dicente le recetará los mismos medicamentos a través de recetas del ISFAS. La dicente manifestó que “le recetó los medicamentos y se marchó”. 4) A la reclamada le constaba un escrito que la ***INSTITUCIÓN.1 le remitió, fechado a ***FECHA.5, informándole de la llamada telefónica recibida el ***FECHA.1 procedente del Hospital sobre que tenían allí una persona y que “les estaba requiriendo fármacos ansiolíticos”, pidiendo a reclamada conocer la identidad del personal facultativo, sanitario o administrativo que “tuvieron algún tipo de contacto o atendieron mediamente a dicha persona”. 5) A la reclamada le constaba la entrada de una reclamación del reclamante de 3/08/2020, días después de haber presentado ante la AEPD, 31/07/2020, manifestando su versión de lo sucedido. 6) La reclamada acredita que antes de acontecer los hechos, contaba con el documento entregado, a la Doctora y a la enfermera, denominado “compromiso de confidencialidad” entre los que se incluyen advertencias sobre el uso y manejo de los datos, sus peligros, entre otros confidencialidad, con respecto al acceso a la información, la no revelación de datos ni información, y en concreto sobre los datos de salud, en el que los pacientes tienen el derecho a la intimidad y confidencialidad, así como la seguridad de la información y que conocen y acepta el documento interno: “manual de usuario de protección de datos y seguridad de la información”. Se incluye que el incumplimiento podría implicar sanciones disciplinarias o reclamaciones por la empresa de daños económicos o reputacionales causados. Además:  La reclamación se anotó en el sistema de incidencias.  Se envío una nota informativa a todos los empleados con el fin de recordarles sus obligaciones en materia de Protección de Datos.  Se ha ampliado la información al personal sobre la existencia y las funciones y el canal de comunicación con el DPD.  Iniciaron procedimientos disciplinarios a la doctora y a la enfermera en septiembre de 2020, con ocasión de la reclamación del reclamante, y antes de abrir la AEPD acuerdo de inicio. Ambas fueron sancionadas por los hechos puestos de manifiesto en la reclamación por su empresa antes del acuerdo de inicio y como consecuencia de la puesta en marcha de la reclamación del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El RGPD define en su artículo 4: 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” La LOPGDD en su artículo 70 ”Régimen sancionador”, determina en su número 1.
  10. a)que “están sujetos al régimen sancionador establecido en el RGPD y en la presente ley orgánica:
  11. a)Los responsables del tratamiento”. Se deriva del RGPD la distinción entre responsable del tratamiento y empleado de este, por ejemplo al referirse al Delegado de Protección de Datos, en su considerando 97:”… Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento”, y las funciones de este en el artículo 39 del RGPD “
  12. a)informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;”. Con ello, se quiere significar, que los cargos o empleados del responsable del tratamiento, al llevar a cabo tratamientos de datos de carácter personal en el desempeño de sus funciones, se hallan en el círculo del responsable del tratamiento, que es el que debe establecer directrices y difusión de la información de modo que se consiga una aplicación uniforme en la forma de actuar en el desarrollo de las tareas relacionadas con el tratamiento de datos. El desempeño habitual y las rutinas ordenadas por el responsable en el ejercicio de sus funciones como uniformidad en las respuestas y las tareas a desarrollar en asuntos relacionados con protección de datos cobra así, especial relevancia. Se deriva del RGPD la distinción entre responsable del tratamiento y empleado de este, que tiene efectos de ser facultado para tratar los datos personales bajo su autoridad y en su nombre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 Con ello, se quiere significar, que tanto los cargos decisorios de responsabilidad cómo los empleados que actúan por cuenta del responsable del tratamiento, al llevar a cabo tratamientos de datos de carácter personal en el desempeño de sus funciones, en el seno de su estructura, se hallan en el círculo de poder de dirección y actuación de dicho responsable del tratamiento, también en lo que afecta a la implementación de su política de protección de datos (gobernanza de datos). III Sobre la llamada para verificar identidad del reclamante, si bien parece que previamente se identifica al paciente o pudo haber sido identificado para la finalidad a la que acude a la consulta, se significa que la doctora pudo acceder a su historia y verificar que era el mismo, desconociendo la necesidad por la que se produce la llamada a la ***INSTITUCIÓN.1. Previsiblemente se expondrían los antecedentes, para que dieran lugar a motivación para llevar a cabo la información reservada que sucede después. Esta identificación, da lugar a que la ***INSTITUCIÓN.1 conozca como mínimo que se hallaba en urgencias, y circunstancias añadidas que motivan que , según indica la reclamada, al día siguiente se inician actuaciones reservadas. Ello supone por parte de la reclamada una infracción del artículo 5.1.
  13. b)del RGPD que indica: “1. Los datos personales serán:
  14. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»)” Conociendo la identidad del reclamante, figurando en el relato de la doctora a la ***INSTITUCIÓN.1 que había visto la historia clínica antes, se conectan los datos conocidos para, en llamada telefónica, identificar al reclamante, circunstancia que se consigue en sentido positivo. Es de suponer que la mera identificación a través del nombre no daría lugar a que al día siguiente se le iniciaran diligencias informativas, sino que presumiblemente, gracias al presunto comportamiento o idea que les pareció observar, llevó a sumar elementos informativos al relato de hechos, sino, no se puede explicar que se tomen cartas en el asunto por la ***INSTITUCIÓN.1. la llamante. Los hechos referidos a la sensación que les infundió el reclamante a la doctora y a la enfermera no suponen que no se haya cometido la infracción, ni exonera de la comisión de la misma, quedando acreditado que los datos personales con los que se sirve para identificarle, no son los fines para los que deben ser tratados en una asistencia a consulta médica. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Las declaraciones que la doctora efectúa ante la ***INSTITUCIÓN.1, en el seno de un procedimiento administrativo disciplinario, siendo advertida de su objeto, aunque no figura por escrito, supuestamente de modo verbal, contienen los siguientes elementos: -Se reitera que se produjo la llamada a la ***INSTITUCIÓN.1 para verificar si era ***PROFESIÓN.1, figurando antes: “Que comprobado por la dicente el historial de dicha persona y su aspecto infundieron sospechas”. “Que en ese momento, la citada persona enseñó a la dicente la medicación que tomaba, tratándose de un hipertensivo, un ansiolítico y un antidepresivo y quería que la dicente le recetara los mismos medicamentos a través de recetas del ISFAS”. Ello supone por parte de la reclamada una infracción del artículo 5.1.
  15. f)del RGPD que señala: “ Los datos personales serán: tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con el articulo 5 de la LOPDGDD, que determina: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  16. f)del Reglamento (UE) 2016/679 . 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” Esta infracción puede relacionarse con el complemento de medidas que se han de contener para garantizar la confidencialidad, establecidas en el artículo 32 del RGPD, que señala: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  17. a)la seudonimización y el cifrado de datos personales;
  18. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  19. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  20. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” El Considerando 74 del RGPD dice que indica: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” . Asimismo, se debe incidir en que la causa de la revelación de los datos por parte de la doctora no guarda relación alguna con la comisión de delito o investigación. Tampoco la petición que hace de colaboración a la reclamada contiene ningún elemento que apunte en ese sentido. Se trata de una colaboración administrativa en el seno de un procedimiento tendente a depurar eventuales responsabilidades que atañen al comportamiento del reclamante, producto de lo relatado en la llamada del día de la consulta, por lo que fue citada a declarar la doctora. El inconcreto “auxilio administrativo” del que se informó a la doctora verbalmente, alude indirectamente a un procedimiento disciplinario. Salvo prueba en contrario que aporte la reclamada, no consta rasgo alguno de que se incoara algún tipo de investigación por el comportamiento del reclamante relacionado con hechos delictivos. Así, la información de la reclamada al reclamante dada en el escrito de 23/10/2020, confunde el fin para el que fue llamada la doctora y los derechos de los pacientes, entre los que figuran los datos de la historia clínica como son difundir los medicamentos que se toman que refieren el problema de salud del afectado y que goza de un sistema de protección reforzado al ser un dato “relativo a la salud”, y por tanto, de carácter especial de acuerdo con el artículo 9.1 del RGPD. Queda pues, acreditada la comisión de la infracción. V El artículo 5 del RGPD refiere los principios relativos al tratamiento de los datos personales, y en su número 2, a la responsabilidad proactiva, en el sentido de que el responsable del tratamiento será responsable del cumplimiento de los citados principios, y capaz de demostrarlo, conocido, como “compliance” que podría equivaler a, no solo cumplimiento, normativo en este caso, sino también en prevención y responsabilidad de los miembros que integran su organización y el compromiso total de sus dirigentes, un mecanismo de aseguramiento de buen gobierno y cumplimiento normativo en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Con el RGPD se busca la anticipación a la infracción o lesión de derechos, el cumplimiento con antelación para evitar así la lesión o infracción del derecho o libertad del interesado. Si bien, el binomio RGPD/LOPDGDD, no enumera específicamente cuáles sean esas medidas, se vincula especialmente a la protección de los datos de las personas físicas exigiendo una responsabilidad proactiva, y no una responsabilidad reactiva, como sucedía en el modelo anterior. Este enfoque proactivo en la “implementación permanente” de las medidas implica que las mismas ya no son estáticas (como en el modelo anterior), sino dinámicas. En consecuencia, se exige una responsabilidad proactiva, en lugar de la responsabilidad reactiva (enfoque basado en riesgos), debiéndose actuar con carácter preventivo, tener la diligencia debida para evitar tratamientos o incumplimientos no deseados en la protección de los intereses de los ciudadanos en el ámbito de su privacidad. En este supuesto, se estima, de acuerdo con los hechos probados, existían suficientes elementos previstos para el tratamiento de datos con garantías en cuanto a previsión de los riesgos existentes, difusión de información sobre protección de datos al personal, concurriendo además una ocupación activa en el incidente registrado y en su seguimiento. VI La Ley 40/2015, de 1/10 de Ley de Régimen Jurídico del Sector Público, señala en su artículo 28.1 y 4: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” “4. Las leyes reguladoras de los distintos regímenes sancionadores podrán tipificar como infracción el incumplimiento de la obligación de prevenir la comisión de infracciones administrativas por quienes se hallen sujetos a una relación de dependencia o vinculación. Asimismo, podrán prever los supuestos en que determinadas personas responderán del pago de las sanciones pecuniarias impuestas a quienes de ellas dependan o estén vinculadas.” Y en el artículo 29.3.a): “3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción. La graduación de la sanción considerará especialmente los siguientes criterios:
  21. a)El grado de culpabilidad o la existencia de intencionalidad” Los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito administrativo sancionador, entre otras, la STS de 18 marzo 2005, Rec. 7707/2000, recuerda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 “que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa”. Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, en este caso el responsable del tratamiento, conforme señala el artículo 70.1.
  22. a)de la LOPDGDD, que queda acreditada, excluyendo la imposición de una sanción únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Considerando el carácter y tipo de la infracción, las circunstancias que acontecieron en aquel momento, teniendo en cuenta el principio de culpabilidad y de proactividad, no se considera que las conductas llevadas a cabo por las empleadas de la reclamada, le resulte exigible responsabilidad alguna a esta, o le pare el perjuicio de la sanción, dado que no es posible exigirle a la reclamada una forma distinta de actuar de la que ha tenido, en cuanto el marco de cumplimiento es razonablemente adecuado para el aseguramiento de las medidas técnicas y organizativas sobre la confidencialidad de los datos y en modo alguno se acredita que la forma de actuar sea la ordinaria. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador seguido a CLÍNICAS DEL SUR, S. L. GRUPO HOSPITEN, con NIF B38031241, por vulneración de los artículos 5.1.
  23. f)y 5.1.b). SEGUNDO: NOTIFICAR la presente resolución a CLÍNICAS DEL SUR, S. L. - GRUPO HOSPITEN con entrega del ANEXO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-171221 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 ANEXO B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.