PS-00034-2018

1/13 Procedimiento Nº PS/00034/2018 RESOLUCIÓN: R/00827/2018 En el procedimiento sancionador PS/00034/2018, instruido por la Agencia Española de Protección de Datos a la entidad AMBULEVANTE S.L., UTE, vista la denuncia presentada por la Conselleria de Sanitat Universal i Salut Pública de la Generalitat Valenciana, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de octubre de 2017 ha tenido entrada en esta Agencia un escrito del Responsable de Seguridad de la Información de la Conselleria de Sanitat Universal i Salut Pública de la Generalitat Valenciana (en lo sucesivo el denunciante), en el que expone que han tenido constancia de una probable violación de seguridad que afectaría a los datos de salud de numerosas personas, por parte de la UTE AMBULEVANTE, con la que la Consellería mantiene un contrato de prestación de servicios en las Unidades de Servicio de Ayuda Médica Urgente (SAMU) y Soporte Vital Básico (SVB). Concretamente han podido constatar que Técnicos de Emergencias Sanitarias (TES) pertenecientes a dicha UTE, realizan copia de datos de incidentes que atienden las unidades de SAMU y de SVB. Dichos datos son: fecha y hora, origen y destino del trayecto que realiza la unidad, nombre del TES, nombre y apellidos del paciente, número de tarjeta sanitaria y diagnóstico. Se anexa, copia del “Contrato de Gestión de Servicios Públicos por Concierto” firmado entre la Agencia Valenciana de Salud y la entidad AMBULEVANTE S.L., UTE y la imagen de una pantalla en la que se registra la información denunciada usada por los TES, en formato Excel. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 11 de diciembre de 2017, se realiza una inspección en los locales de la entidad Ambulancias Edetanas, S.L., perteneciente a AMBULEVANTE, S.L. UTE, a la que corresponde el listado remitido con el escrito de denuncia, encontrándose presente el Gerente de la citada UTE y la Administradora de Ambulancias Edetanas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 S.L., poniéndose de manifiesto los siguientes hechos en el transcurso de la citada inspección: 1. La entidad Ambulevante UTE, S.L. está compuesta por nueve empresas que realizan el transporte de los enfermos. 2. Cada una de estas empresas tiene asignados diferentes Departamentos de Salud, pudiendo ser solicitado el Servicio de ambulancia desde el Centro de Información y Coordinación de Urgencias (CICU), que depende directamente de la Consellería, desde el Centro de Salud asignado a cada empresa, el Hospital o el propio enfermo. 3. La UTE cuenta con dos tipos de transporte sanitario: 3.1.1. TNA (Transporte No Asistido), gestionado por cada una de las empresas y que puede ser solicitado desde los diferentes puntos expresados en el apartado anterior. 3.1.2. Transporte Urgente, relativo a las Unidades del Servicio de Ayuda Médica Urgente (SAMU) y Unidades de Soporte Vital Básico (SVB). Este tipo de Transporte los gestiona directamente el CICU, dependiente de la Consellería. Cuando el servicio es solicitado por el CICU, hay que cumplimentar un documento denominado HOJA ASISTENCIAL proporcionada por la Consellería. La empresa de la UTE solo la cumplimenta en el caso de Soporte Vital Básico, no obstante cuando se trata de Ayuda Médica Urgente (SAMU), el que cumplimenta dicho documento, es el personal facultativo y se encargan de gestionarlo directamente con la Consellería. 4. Las Hojas Asistenciales cumplimentadas por el personal de la empresa de la UTE, son remitidas a la Consellería mensualmente, mientras tanto son custodiadas en formato papel en un armario cerrado con llave, ubicado en los locales de cada una de las entidades, teniendo acceso a dicha documentación, únicamente una persona encargada. 5. Además de la HOJA ASISTENCIAL, desde cada una de las empresas se cumplimenta un parte de trabajo por día y ambulancia, en el que según manifiesta el Gerente de la UTE debe constar: La fecha, la hora, origen y destino del servicio. No obstante en la empresa en la que se realiza la presente inspección, se solicita la entrega de varios de estos partes, verificándose que constan los siguientes apartados: Hora de llamada, Activación, Hora de asistencia, Hora de finalización, Trayecto/destino, Paciente, Diagnóstico e Incidencias. 6. Con fecha 19 de octubre de 2017, se remitió un correo electrónico desde la UTE a todas las empresas que la componen, dando instrucciones para que se dejaran de anotar en los partes de trabajo, cualquier tipo de datos personales. 7. Así mismo, en la Asamblea de la UTE que tuvo lugar en Alicante con fecha 17 de octubre de 2017, se informó que se había recibido del Director de Asistencia Sanitaria, un escrito con relación a la toma de datos en las Unidades SVB y SAMU, acordándose que desde esa fecha se cumplimentarían esos partes de trabajo interno, sin identificación del enfermo ni del domicilio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 8. Tras el acceso a los partes de trabajo correspondientes a la empresa donde se realiza la inspección, se verificó que: 8.1. El Parte de trabajo más antiguo es de fecha de 25/02/2012, ya que son guardados durante cinco años, siendo destruidos en ese momento. 8.2. Se comprueba que existen los siguientes datos: Horas de trabajo, trayecto, Nombre y apellidos del paciente, diagnóstico. 8.3. En el Parte de trabajo de fecha 18/10/2017, se verifica que existe la misma información. No obstante con fecha 19/10/2017, se dejaron de cumplimentar los datos identificativos del paciente, según consta en la documentación adjunta al Acta de Inspección ***ACTA.1. 9. Con relación al Listado Excel remitido por la Consellería con el escrito de denuncia, y mostrado a los presentes en la inspección, manifiestan que: 9.1. Dicho Listado corresponde a información que es cumplimentada por el profesional sanitario en los casos de un servicio de SAMU, dicha información, al parecer es incluida en ordenadores personales proporcionados por la Consellería a dichos profesionales y que en el caso de la empresa donde se realiza la presente inspección, la base se encuentra en el Hospital de Liria denominado SAMU DELTA2. 10. Las inspectoras se trasladan a dicho Hospital, acompañadas por la Administradora de Ambulancias Edetanas, S.L., y el Gerente de la UTE verificando que: 10.1.1. En un local ubicado dentro del Hospital se encuentra el Servicio de Emergencias Sanitarias, SAMU DELTA2, en el que presta servicio personal facultativo de la Consellería, así como personal de Ambulancias Edetanas, S.L. 10.1.2. En dicho local existe un ordenador propiedad del Hospital, al cual tiene acceso todo el personal que trabaja en la Unidad, tanto personal de la Consellería como de Ambulancias Edetanas, S.L., mediante un usuario y una contraseña que les proporciona el Servicio de Informática del Hospital. 10.1.3. Un empleado de Ambulancias Edetanas, S.L., accede al ordenador mediante su usuario y su contraseña, comprobando que mediante acceso a una carpeta EXCEL, se pueden visualizar diferentes ficheros en formato Excel online, (On Drive) uno por cada mes, que contienen la información relativa a la atención de pacientes por parte de la Unidad SAMU, según se comprueba en las fotografías adjuntas al Acta de Inspección. 10.1.4. La información que se encuentra en dichos ficheros es incorporada tanto por el personal facultativo como por el conductor de la ambulancia de SAMU, perteneciente a Ambulancias Edetanas, S.L. y el formato coincide con el que aparece en el Listado mostrado al comienzo de esta inspección a los representantes de la UTE y de Ambulancias Edetanas, S.L., remitido con el escrito de denuncia. 10.1.5. Mediante acceso al fichero correspondiente al mes de agosto de 2017, se comprueba que coincide con el remitido por la Consellería. Así mismo se accede al fichero correspondiente al mes de octubre de 2017, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 comprobando que a partir del día 21 de octubre se dejaron de grabar los datos personales de los pacientes, que según manifiesta la representante de Ambulancias Edetanas, se tomó esa decisión cuando recibieron el escrito de la Consellería, de fecha 26 de septiembre de 2017, en el que les solicitaba el cese inmediato de la práctica de inclusión de datos en ficheros ajenos al sistema de salud. 10.1.6. La representante de Ambulancias Edetanas manifiesta que la finalidad de este fichero es similar al de los partes de trabajo existente en la Unidad SVB, ya que como el servicio SAMU es gestionado por el CICU, ellos no tienen acceso a la información para cumplimentar un parte de trabajo manual y que necesitan tener constancia de los servicios realizados en esa Unidad por sus trabajadores. 10.1.7. No obstante, la representante de Ambulancias Edetanas, S.L, manifiesta que a partir de hoy dicho fichero será eliminado, asimismo, los partes de trabajo en papel serán modificados, eliminando también el diagnostico. Esos mismos partes serán utilizados también por SAMU, con la siguiente información: Horarios, trayecto (Población de origen y destino) e Incidencias. 11. El Gerente de la UTE, hace entrega a las inspectoras de una copia parcial del Pliego de Prescripciones Técnicas del contrato de gestión suscrito con la Consellería el 01/01/2014. En dicho Pliego se especifica, entre otros, los datos mínimos que deben de cumplimentarse en cualquier solicitud de servicio de traslado de pacientes, que son los que constan en la HOJA ASISTENCIAL S.V.B., proporcionada por la Consellería. Así mismo, en su apartado 12, se especifica que la empresa se compromete a facilitar a la Consellería toda la información que les sea requerida, tanto a nivel individual como agregado, para el seguimiento del servicio y su integración con los sistemas de información de la Consellería, asegurando la trazabilidad del servicio, favoreciendo una mejor evaluación de la calidad del servicio a los pacientes, por las unidades SAMU, o SVA, SVB y TNA. 12. En el apartado 7 de dicho Pliego de condiciones, constan una serie de datos que deben aparecer en cualquier solicitud de traslado de pacientes, donde figura, entre otros, datos relativos a la lesión/situación facturable, Estado del paciente (si ha sido hospitalizado o no). TERCERO: Con fecha 13 de febrero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad AMBULEVANTE S.L., UTE, por presunta infracción del artículo 7.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como muy grave en el artículo 44.4.

1. b)de dicha norma, pudiendo ser sancionada, con multa de 300.001 a 600.000 € de acuerdo con el artículo 45.3 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad AMBULEVANTE S.L., UTE mediante escrito de fecha 7 de marzo de 2018, formuló alegaciones significando, entre otras cosas, que: “…La UTE trata los datos personales en virtud de la prestación a realizar con motivo de un Contrato de Gestión de Servicios Sanitarios con la Consellería Valenciana de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Salut del que es parte. Pero es que además, el tratamiento de dichos datos es absolutamente necesario para la prestación del servicio de traslado de pacientes a los centros hospitalarios con las debidas garantías de seguridad y sanitarias tanto para los pacientes, como para los técnicos de ambulancia y los facultativos médicos en su caso. (…) En el pliego de prescripciones técnicas se enumeran asimismo taxativamente los datos personales que ha de contener cualquier solicitud de servicio efectuada por la Administración entre los que se encuentran tanto datos identificativos como sanitarios. Es decir, Ambulevante tiene acceso al tratamiento y almacenamiento de estos datos a través del contrato con Consellería Valenciana de Sanidad y base a los términos y condiciones estipulados en el mismo…” Concluyen sus alegaciones solicitando el archivo de las actuaciones por la no comisión de infracción alguna a la LOPD, entre otras cosas. QUINTO: Con fecha 22 de marzo de 2018 se inició un período de práctica de pruebas, acordándose practicar las siguientes Incorporar al expediente del procedimiento, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/06165/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00034/2018 presentadas por AMBULEVANTE S.L., UTE. Todo ello con su correspondiente documentación adjunta. Requerir a la Conselleria de Sanitat Universal y Salut Pública de la Generalitat Valenciana la aportación de constancia del uso de los datos personales de los pacientes, por parte de la entidad Ambulevante SL UTE, para fines distintos de la prestación del servicio de traslado de pacientes a los centros sanitarios, en virtud del contrato de gestión de servicio público suscrito con esa Consellería. SEXTO: Con fecha 18 de abril de 2018 tiene entrada en esta Agencia un escrito de la Consellería de Sanitat Universal i Salut Publica de la Generalitat Valenciana en el que se expone: “En respuesta a su escrito fechado el 3 de marzo en el que requería a esta Consellería “la aportación de constancia del uso de los datos personales de los pacientes, por parte de la entidad Ambulevante SL UTE, para fines distintos de la prestación del servicio de traslado de pacientes a los centros sanitarios, en virtud del contrato de gestión de servicio público suscrito con esa Consellería”, le informo de lo siguiente: A esta Consellería le consta que durante los incidentes de urgencias el personal de dicha empresa recogía información que no era necesaria para la prestación del servicio contratado. Esta constancia se basa en numerosos testimonios de trabajadores de la Conselleria y de la UTE, a los que se añade una foto de una de las pantallas de introducción de datos utilizada al efecto por el personal de la empresa. La foto aludida en el párrafo anterior y otros documentos relevantes al caso se enviaron a la Agencia Española de Protección de Datos en octubre de 2017 acompañando la notificación del incidente, por lo que deben de estar en su poder y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 formar parte del expediente.” HECHOS PROBADOS PRIMERO: La Conselleria de Sanitat Universal i Salut Pública de la Generalitat Valenciana ha denunciado una probable violación de seguridad por parte de la UTE AMBULEVANTE, con la que mantiene un contrato de prestación de servicios en las Unidades de Servicio de Ayuda Médica Urgente (SAMU) y Soporte Vital Básico (SVB). Manifiestan que Técnicos de Emergencias Sanitarias (TES) pertenecientes a dicha UTE, realizan copia de datos de los incidentes que atienden las unidades de SAMU y de SVB y que se habrían aprovechado los datos a los que tiene acceso para la prestación del servicio, para otros fines. Dichos datos son: fecha y hora, origen y destino del trayecto que realiza la unidad, nombre del TES, nombre y apellidos del paciente, número de tarjeta sanitaria y diagnóstico. Aportan copia del “Contrato de Gestión de Servicios Públicos por Concierto” firmado entre la Agencia Valenciana de Salud y la entidad AMBULEVANTE S.L., UTE y la imagen de una pantalla en la que se registra la información denunciada usada por los TES, en formato Excel. SEGUNDO: Con fecha 11 de diciembre de 2017, se realiza una inspección a la entidad Ambulancias Edetanas, S.L., perteneciente a AMBULEVANTE, S.L. UTE, a la que corresponde el listado remitido con el escrito de denuncia, durante la que manifiestan que la UTE está compuesta por nueve empresas que realizan el transporte de los enfermos. Cada una de estas empresas tiene asignados diferentes Departamentos de Salud, del Servicio Valenciano de Salud. TERCERO: De cada servicio se cumplimenta un documento denominado HOJA ASISTENCIAL proporcionada por la Consellería. Se cumplimenta, bien por personal facultativo de la Consellería o por personal de la UTE, según los casos. Además, desde cada una de las empresas se elabora un parte de trabajo por día y ambulancia. En la empresa en la que se realiza la presente inspección, se comprueba que constan los siguientes datos: Hora de llamada, Activación, Hora de asistencia, Hora de finalización, Trayecto/destino, Paciente, Diagnóstico e Incidencias. CUARTO: Informan que el 17 de octubre de 2017 se llevó a cabo una Asamblea de la UTE en Alicante, en la que se informó que se había recibido del Director de Asistencia Sanitaria, un escrito con relación a la toma de datos en las Unidades SVB y SAMU, acordándose que desde esa fecha se cumplimentarían esos partes de trabajo interno, sin identificación del paciente ni del domicilio. Durante la inspección de la AEPD se accede a los partes de trabajo de la empresa donde se realiza la inspección y se verifica que a partir de esa fecha dejaron de cumplimentarse los datos identificativos del paciente. QUINTO: Respecto del listado Excel remitido por la Consellería con el escrito de denuncia, manifiestan durante la inspección que corresponde a información que es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 cumplimentada por el profesional sanitario en los casos de un servicio de SAMU, que se incluye en ordenadores personales proporcionados por la Consellería a dichos profesionales y que en el caso de la empresa donde se realiza la inspección, la base se encuentra en el Hospital de Liria denominado SAMU DELTA2. SEXTO: La inspección se trasladó al Servicio de Emergencias Sanitarias del citado Hospital en el que prestan servicio tanto personal facultativo de la Consellería como personal de ambulancias Edetanas. Se comprueba que existe un ordenador del Hospital al que accede todo el personal que trabaja en la Unidad, mediante usuario y contraseña. Que durante la inspección un empleado de Ambulancias Edetanas accede al fichero Excel remitido por la Consellería con su denuncia y se comprueba que a partir del día 21 de octubre de 2017 se dejaron de grabar datos personales de los pacientes. SÉPTIMO: Durante la inspección el Gerente de la UTE, entrega una copia parcial del Pliego de Prescripciones Técnicas del contrato de gestión suscrito con la Consellería el 01/01/2014. En dicho Pliego se especifica, entre otros, los datos mínimos que deben de cumplimentarse en cualquier solicitud de servicio de traslado de pacientes, que son los que constan en la HOJA ASISTENCIAL S.V.B., proporcionada por la Consellería. En su apartado 12, se especifica que la empresa se compromete a facilitar a la Consellería toda la información que les sea requerida, tanto a nivel individual como agregado, para el seguimiento del servicio y su integración con los sistemas de información de la Consellería, asegurando la trazabilidad del servicio, favoreciendo una mejor evaluación de la calidad del servicio a los pacientes, por las unidades SAMU, o SVA, SVB y TNA. En el apartado 7 de dicho Pliego de condiciones, constan una serie de datos que deben aparecer en cualquier solicitud de traslado de pacientes, donde figura, entre otros, datos relativos a la lesión/situación facturable, Estado del paciente (si ha sido hospitalizado o no). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad AMBULEVANTE S.L., UTE, la infracción de lo establecido en el artículo 7.3 de la LOPD. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)” (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. El artículo 7.2 de la LOPD exige para el tratamiento de datos especialmente protegidos que revelen la ideología, afiliación sindical, religión y creencias el consentimiento expreso y escrito del afectado. El artículo 7.3 reitera, para el tratamiento de los datos de salud la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
3. h)de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. De ellos resulta particularmente relevante este último extremo – que sea informada – pues sin él difícilmente concurrirán otros como que sea inequívoca y específica. En resumen, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, debe subordinarse a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica que se presta previo el conocimiento de una concreta información entre la que necesariamente ha de constar la finalidad determinada y explícita del tratamiento de que sean objeto los datos personales del afectado. Lógicamente, la concurrencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 los extremos expuestos deberá constatarse en cada caso concreto. La Consellería de Sanitat Universal i Salut Pública de la Generalitat Valenciana ha denunciado una probable violación de seguridad de los datos de salud de numerosas personas, debido a las actuaciones de un encargado de tratamiento que habría aprovechado para otros fines los datos a los que ha tenido acceso durante la prestación del servicio. Se denuncia la actuación de la entidad AMBULEVANTE S.L., UTE, con la que mantiene un contrato de prestación de servicios en las Unidades de Servicio de Ayuda Médica Urgente (SAMU) y Soporte Vital Básico (SVB). Manifiestan que Técnicos de Emergencias Sanitarias (TES) pertenecientes a dicha UTE, realizan copia de datos de los incidentes que atienden las unidades de SAMU y de SVB. Dichos datos son: fecha y hora, origen y destino del trayecto que realiza la unidad, nombre del TES, nombre y apellidos del paciente, número de tarjeta sanitaria y diagnóstico. Aportan copia del “Contrato de Gestión de Servicios Públicos por Concierto” firmado entre la Agencia Valenciana de Salud y la entidad AMBULEVANTE S.L., UTE y la imagen de una pantalla en la que se registra la información denunciada usada por los TES, en formato Excel. Recibida la denuncia se iniciaron actuaciones de investigación por la Inspección de Datos de esta Agencia que consistieron en una inspección presencial en la sede de una de las empresas que forman parte de la UTE denunciada. Durante dicha inspección se comprobó la documentación que se utiliza para llevar a cabo el servicio de transporte en ambulancia y los datos personales que se recaban para ello: Hoja asistencial y partes de trabajo. Se informó también de las instrucciones recibidas en la empresa, en septiembre de 2018, del Director de Asistencia Sanitaria sobre la toma de datos en las Unidades SVB y SAMU y de cómo se modificaron las recogidas de datos personales a partir de esas instrucciones. Se constató que en el Hospital donde prestan servicio los técnicos de ambulancias de la empresa inspeccionada, existe un ordenador al que accede mediante usuario y contraseña todo el personal de la Unidad, tanto los facultativos de la Consellería como los técnicos de la empresa y que a partir de las instrucciones recibidas se dejaron de grabar los datos personales de los pacientes. Durante la inspección el Gerente de la UTE, entrega una copia parcial del Pliego de Prescripciones Técnicas del contrato de gestión suscrito con la Consellería el 1 de enero de 2014. En dicho Pliego se especifican los datos mínimos que deben de cumplimentarse en cualquier solicitud de servicio de traslado de pacientes, que son los que constan en la HOJA ASISTENCIAL S.V.B., proporcionada por la Consellería. En su apartado 12, se especifica que la empresa se compromete a facilitar a la Consellería toda la información que les sea requerida, tanto a nivel individual como agregado, para el seguimiento del servicio y su integración con los sistemas de información de la Consellería, asegurando la trazabilidad del servicio, favoreciendo una mejor evaluación de la calidad del servicio a los pacientes, por las unidades SAMU, o SVA, SVB y TNA. En el apartado 7 de dicho Pliego de condiciones, constan una serie de datos que deben aparecer en cualquier solicitud de traslado de pacientes, donde figura, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 entre otros, datos relativos a la lesión/situación facturable, Estado del paciente (si ha sido hospitalizado o no). Por otra parte se observa que en ese mismo apartado 7 del citado Pliego puede leerse: “El adjudicatario deberá facilitar toda la información sobre la actividad realizada que establezca la AVS y deberá colaborar en la recogida de datos vinculados a las asistencias facturables a terceros, bien sea por el origen de la lesión o por la condición del asistido. A tal fin, deberá contar con un sistema informatizado de recogida de información y datos referentes a servicios realizados y por realizar, con el alcance que determine la AVS y de forma que permita el procesamiento y envío de los mismos en tiempo real. Este sistema almacenará también los datos de identificación de los pacientes y deberá ser compatible y con los sistemas de información de la AVS, debiendo cumplir los requisitos técnicos que establezca la AVS para su integración con dichos sistemas.” La entidad AMBULEVANTE S.L., UTE ha alegado al acuerdo de inicio, entre otras cosas, que trata los datos personales en virtud de la prestación a realizar con motivo de un Contrato de Gestión de Servicios Sanitarios con la Consellería Valenciana de Salut del que es parte. Que el tratamiento de dichos datos es necesario para la prestación del servicio de traslado de pacientes a los centros hospitalarios con las debidas garantías de seguridad y sanitarias tanto para los pacientes, como para los técnicos de ambulancia y los facultativos médicos en su caso. Expone que en el pliego de prescripciones técnicas se enumeran taxativamente los datos personales que ha de contener cualquier solicitud de servicio efectuada por la Administración entre los que se encuentran tanto datos identificativos como sanitarios. De manera que Ambulevante expone que tiene acceso al tratamiento y almacenamiento de estos datos a través del contrato con la Consellería Valenciana de Sanidad según los términos y condiciones estipulados en el mismo. La entidad denunciada concluye sus alegaciones solicitando el archivo de las actuaciones por la no comisión de infracción alguna a la LOPD. En periodo de práctica de pruebas se acordó requerir a la Consellería de Sanitat Universal y Salut Pública de la Generalitat Valenciana la aportación de constancia del uso de los datos personales de los pacientes, por parte de la entidad Ambulevante SL UTE, para fines distintos de la prestación del servicio de traslado de pacientes a los centros sanitarios, en virtud del contrato de gestión de servicio público suscrito con esa Consellería. Con fecha 18 de abril de 2018 en respuesta a lo solicitado presenta un escrito en el que informa: “A esta Consellería le consta que durante los incidentes de urgencias el personal de dicha empresa recogía información que no era necesaria para la prestación del servicio contratado. Esta constancia se basa en numerosos testimonios de trabajadores de la Conselleria y de la UTE, a los que se añade una foto de una de las pantallas de introducción de datos utilizada al efecto por el personal de la empresa. La foto aludida en el párrafo anterior y otros documentos relevantes al caso se enviaron a la Agencia Española de Protección de Datos en octubre de 2017 acompañando la notificación del incidente, por lo que deben de estar en su poder y formar parte del expediente.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 En el presente caso la Consellería denunció que por parte de un encargado de tratamiento se habrían aprovechado para otros fines, los datos a los que ha tenido acceso durante la prestación del servicio, y ello porque los Técnicos de emergencias sanitarias de las empresas de la UTE adjudicataria del concurso de Transporte Sanitario, realizan copia de datos de los incidentes que atienden, en soportes diferentes a los necesarios para la prestación del servicio y que a tal fin facilita la Consellería. Se aportó con el escrito de denuncia, la copia del contrato de gestión de servicios públicos por concierto, suscrito entre la Agencia Valenciana de Salud y la entidad Ambulevante UTE y la imagen de una pantalla en la que puede verse un fichero con formato excell en el que se registra la información objeto de denuncia. Tras la investigación llevada a cabo por la Inspección de esta Agencia ha podido constatarse cuál es el tipo de información que la entidad denunciada recaba para la realización del servicio que tiene encomendado en virtud del contrato suscrito con la Consellería. La entidad denunciada ha alegado que el tratamiento de dichos datos es necesario para la prestación del servicio de traslado de pacientes a los centros hospitalarios con las debidas garantías de seguridad y sanitarias, y que en el pliego de prescripciones técnicas se enumeran los datos personales que ha de contener cualquier solicitud de servicio efectuada por la Administración entre los que se encuentran tanto datos identificativos como sanitarios. Por otra parte, en el Pliego de prescripciones técnicas del contrato suscrito entre ambas entidades, además de lo manifestado por la denunciada, se observa que también se menciona que el adjudicatario deberá recoger datos de las asistencias facturables a terceros y para ello contar con un sistema informatizado de recogida de información y datos de los servicios, con el alcance que determine la AVS. Este sistema almacenará también los datos de identificación de los pacientes y deberá ser compatible y con los sistemas de información de la AVS, debiendo cumplir los requisitos técnicos que establezca la AVS para su integración con dichos sistemas. En la inspección se comprobó que, tras las instrucciones recibidas de la AVS respecto de los datos que se recaban de las asistencias, dejaron de cumplimentarse los datos identificativos del paciente. En el presente caso se concluye que no ha podido acreditarse que los datos a los que ha tenido acceso la UTE adjudicataria del concurso de Transporte Sanitario de la Agencia Valenciana de Salud, se hubieran aprovechado para otros fines, según lo denunciado, o que resultaran excesivos para el cumplimiento del contrato suscrito. De manera que tras las evidencias obtenidas en las investigaciones previas llevadas a cabo, se considera que no ha quedado acreditado, con la certeza que exige la normativa sancionadora, la responsabilidad de la entidad denunciada en los hechos referidos y no se ha aportado documentación que permita probar la autenticidad de la información aportada. Respecto de la culpabilidad, la Audiencia Nacional en su Sentencia de 24 de septiembre de 2010, recurso 767/2009, expresaba: “El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita, después de la STC 76/1990, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1991, de 19 de diciembre, señaló que la culpabilidad constituye un principio estructural básico del Derecho administrativo sancionador. Por eso, como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". La infracción apreciada podría ser cometida tanto de forma dolosa como culposa, no apreciándose en este caso ninguna de las dos conductas en la entidad imputada. Por todo ello se considera que no ha quedado acreditado con la certeza que exige la normativa sancionadora la concurrencia de culpabilidad en la vulneración de la LOPD, por lo que procede el archivo de las presentes actuaciones. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las actuaciones seguidas a la entidad Ambulevante SL UTE, por infracción del artículo 7.3 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad AMBULEVANTE S.L., UTE y a la Consellería de Sanitat Universal i Salut Pública de la Generalitat Valenciana. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es