1/4 Procedimiento Nº PS/00006/2017 RESOLUCIÓN: R/00990/2017 En el procedimiento sancionador PS/00006/2017, instruido por la Agencia Española de Protección de Datos a la entidad CLINICA SAN MIGUEL, Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 06 de noviembre de 2016 tuvo entrada en esta Agencia de Protección de Datos, el escrito presentado por A.A.A. (en lo sucesivo la denunciante), en el que expone que: El domingo día 06 de noviembre de 2016 acudió al servicio de urgencias de la CLINICA SAN MIGUEL, Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra (en lo sucesivo la denunciada), sita en la calle (C/...1) de Pamplona, por un problema de salud, donde fue atendida por el doctor B.B.B.. Pues bien, una vez fue tratada, se le hizo entrega del correspondiente informe de urgencias, donde se procedía a su alta médica, si bien al leer el referido documento, comprueba que todos los datos personales que allí constaban pertenecían a otra persona (C.C.C., siendo de este modo que aquella pudo conocer sus datos. La denunciante junto con su escrito de denuncia, aporta el informe origen de la controversia, presentado con fecha 18/11/2016 ante el Registro General de la AEAT, teniendo entrada en esta Agencia el día 24 del citado mes. SEGUNDO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, se ha tenido conocimiento de que: 1.- Con fecha 06/11/2016 se hizo entrega a la Sra. A.A.A., por parte del doctor B.B.B. de un “informe de urgencias” donde constaban los datos personales de otra persona: nombre y apellidos, dirección, teléfono, historial médico y medicación que toma. 2.- El citado médico presta sus servicios en la CLINICA SAN MIGUEL, Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra. TERCERO: Con fecha 10/03/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra, CIF A-******, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley, proponiendo una sanción de 10.000 euros, por la aplicación de los criterios establecidos en los apartados 4 y 5 del artículo 45 de la LOPD. En el referido acuerdo se le concedía al interesado un plazo de diez días hábiles para formular las alegaciones y proponer las pruebas que considerara oportunas. Correos informa a esta Agencia que el citado acuerdo fue notificado a la entidad denunciada el día 20/03/2017, como así lo acredita la prueba de entrega incorporada al expediente. CUARTO: Con fecha 27 de marzo de 2017 se recibe en esta Agencia de Protección de Datos escrito de Don D.D.D., en nombre y representación de la Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra, S.A. (IMQ), fechado el 24/03/2017, en el que en síntesis expone los hechos denunciados acaecieron en la Clínica Arcángel San Miguel, S.A.U., sociedad que forma parte del Grupo IMQ, pero con domicilio social en (C/...1) (Pamplona), y con CIF A-******, y así solicita que se notifique el Acuerdo de Inicio del Procedimiento Sancionador a la precitada Clínica, por no disponer la entidad IMQ de la información/documentación necesaria para formular las alegaciones y proponer las pruebas correspondientes. QUINTO: Consultado el Registro General de Protección de Datos con fecha 29/03/2017 se comprueba que la CLÍNICA ARCANGEL SAN MIGUEL, con CIF A ******, tiene inscritos diferentes ficheros, y en concreto uno denominado “HISTORIAL CLÍNICO”, cuya finalidad es la gestión de los datos de los pacientes y de su historia clínica y de las tareas administrativas derivadas de la prestación asistencial, en el que consta como responsable del mismo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Los hechos expuestos y denunciados por la Sra. A.A.A., podrían suponer una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala. “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Infracción tipificada como grave en el artículo 44.3 letra “d” de dicha norma que considera como tal: “
- d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Pudiendo ser sancionada con multa de 40.001 € a 300.00” €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Ahora bien, dispone el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, sobre la responsabilidad, en su apartado primero: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Por su parte, dispone el artículo 89 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su apartado primero: “El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
- a)La inexistencia de los hechos que pudieran constituir la infracción.
- b)Cuando los hechos no resulten acreditados.
- c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
- d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
- e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción”. En el presente caso, los hechos denunciados pudieran suponer una infracción al artículo 10 de la LOPD, lo que se dilucidará en otro procedimiento, pero en todo caso, no se puede considerar a la entidad Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra como causante de la misma, en el sentido que ella no es responsable del fichero donde se obtuvieron los datos personales revelados, ni tiene acceso al mismo. Por ello, y Visto lo anterior, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 RESUELVE: PRIMERO: ARCHIVAR el procedimiento PS/00006/2017 seguido contra la entidad Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra de acuerdo con lo establecido en el artículo 10 de la LOPD, y el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y el artículo 89.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. SEGUNDO: NOTIFICAR la presente resolución a la Compañía de Seguros Igualatorio Médico Quirúrgico y de Especialidades de Navarra. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es