PS-00175-2021

1/14  Expediente Nº: PS/00175/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 17/09/2018, tuvo entrada en esta Agencia escrito de reclamación presentado por DÑA. A.A.A. (reclamante) relativo a una presunta vulneración del contra el organismo autónomo ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS (ERA), adscrito a la CONSEJERÍA DE SANIDAD Y SERVICIOS SOCIALES, desde 2019 denominada de DERECHOS SOCIALES Y BIENESTAR. Considera que se ha vulnerado el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD), debido a que existe documentación de la historia clínica (HC) de su padre, fallecido el 2/10/2016, en dos expedientes administrativos, el de responsabilidad patrimonial, instado por ella, en relación con la estancia de su padre en residencias: RP XX/2017, y otro, el XX/982, estimando que:

1. a)En el expediente de RP, hay incorporadas tres páginas de personas no interesadas, que nada tienen que ver con el asunto.
2. b)En el expediente de RP figura incorporado en la “Página 19 del fichero documentación Adtva. Parte I” “Informe clínico” de su padre sin motivo, ya que su origen fue para un propósito distinto.
3. c)Figura incorporado en el RP en la “Página 3 del fichero documentación Adtva. Parte I”, (posteriormente la reclamante aludirá a página 5 como corrección) un “Informe de salud” de su padre, del que aporta copia, fecha de 30/06/2015, firmado por el médico Geriatra que indica que se recomienda iniciar un tratamiento y que “previamente se ha tratado este tema con su hija de forma telefónica, pero en ese momento consideró que el inicio de tratamiento podría tener mas perjuicio que beneficio”. Valora la reclamante que se emitió sin conocimiento real de la salud de su padre, “a petición de la Directora del geriátrico “CPRM ***GERIÁTRICO.1” y no contenía todos los datos de la información clínica, considerando que ocultaba información. Según la reclamante, el propósito de dicho informe era que su padre usara un determinado medicamento, enfrentando a ese facultativo con los habituales “que le seguían”. Manifiesta que el informe “ya fue usado irregularmente en el expediente XX/982 del ERA “fundamentando razones para su expulsión del centro“, enterándose de esa finalidad no legitima cuando accedió a sus documentos, octubre 2015. Indica que tras ese conocimiento, el propio “geriatra firmante” en enero de 2016, “se ofreció a realizar otro informe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 enmendando el previo”. ”Este informe corrector se remitió al ERA como adjunto en el segundo recurso de alzada al expediente XX/982”. Manifiesta que “Como tutora de su padre, tras su fallecimiento, requirió la devolución de todos los informes médicos al organismo autónomo ERA dependiente de la Consejería de Servicios y Derechos Sociales”, “una vez hubo finalizado las razones para su tenencia”. “Supuestamente, se habían entregado en su totalidad en enero 2017, aunque se deduce de este expediente de RP que no es así, pues siguen circulando y usándose para razones que considera ilegítimas”, contrarias a los propósitos del firmante del mismo, pues se ·ha incorporado de nuevo como fundamento al expediente RP XX/2017,que es un clon del XX/982, omitiendo sin embargo las alegaciones y el informe del mismo geriatra enmendado el previo de enero 2016, con lo que se constata su uso con mala fe y la parcialidad en la resolución del expediente.” Aporta: -copia de escrito de puesta en conocimiento de los hechos referidos el 31/08/2018 al DPD, en el que amplia las razones por las que entiende no se deberían haber incorporado al expediente los documentos médicos de su padre. También se refiere a que en los datos que se le dan en enero de 2017 por el ERA, (anexo dos de ese escrito), “tengo únicamente informes comunicados por el SESPA, no todos como se puede verificar. La información generada por los enfermeros y auxiliares de los centros geriátricos me ha sido denegada en la práctica, se me entregó un mini informe reelaborado solo por los enfermeros de un geriátrico, a pesar de la resolución estimatoria de la AEPD 2990/2016”.Tambien refiere presuntas irregularidades en la tramitación del expediente RP. - Copia de escrito de ***FECHA.1, de la reclamada a la reclamante, referencia con el procedimiento de la AEPD de tutela de derechos TD/001652/2016, resolución R 2990/2016, (en el que según la reclamante refiere, instaba la “devolución de toda su historia clínica”), gestionado como no atención del derecho de acceso, resuelto el 20/12/2016, “… se encuentra a su disposición la historia clínica requerida y documentación de la salud de su padre, que figuraba en el Centro polivalente de recursos para personas mayores CPRM ***GERIÁTRICO.1, para que pueda retirarla”. En el petitum de los hechos de la resolución de la TD, indicaba: “ejerció derecho de acceso a la historia clínica de su padre frente la entidad ERA- CONSEJERÍA DE BIENESTAR SOCIAL Y VIVIENDA, y manifiesta haber recibido únicamente un informe elaborado por el personal de enfermería. Requiere que le sean entregados copia de la historia clínica así como todos los informes elaborados tras sus reclamaciones relativas a las incidencias sufridas por su padre y los registros de incidencias correspondientes al personal auxiliar de los distintos CPR en los que ha estado su padre.” El resuelve, precisaba: “…ESTIMAR la reclamación formulada... e instar a la entidad CONSEJERÍA DE BIENESTAR SOCIAL Y VIVIENDA para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la reclamante certificación en la que se facilite el acceso completo a la historia clínica requerida y demás documentación que contenga datos relativos a la salud de su padre, o deniegue motivada y fundamentadamente el acceso solicitado, pudiendo incurrir en su defecto en una de las infracciones previstas en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo.” Al respecto, indica que le han sido entregados únicamente informes generados por el SERVICIO DE SALUD DEL PRINCIPADO DE ASTURIAS (encargado de la asistencia sanitaria) en enero 2017, no todos, pues la información generada por enfermeros y auxiliares de los centros geriátricos me ha sido denegada en la práctica, “a pesar de la resolución estimatoria emitida por la resolución R 2990/2016”, refiriéndose a la citada tutela de derechos TD/001652/2016. SEGUNDO: En fecha 31/10/2018, se dictó resolución acordando la INADMISIÓN de la reclamación en el expediente E/08309/2018, siendo recurrida en reposición por la reclamante, RR 841/2018, expresando, entre otros motivos: -Reitera la cuestión de la incorporación de los informes de salud al expediente administrativo , la validez del informe de 30/06/2015. -Pone de manifiesto “la vulneración del derecho de cancelación de datos de salud en poder de ERA”, lo que se me concedió aparentemente cuando devolvieron la mayoríaque no todos-los informes médicos, “una vez que habían finalizado las razones para su tenencia por el contrato adquirido ””ya que mi padre había fallecido”. “Precisamente este informe en discordia es uno de los que no se me ha devuelto, ni tampoco el informe que lo rectifica”. Ni el informe de 30/06/2015, ni el enmendado en enero de 2016 (12/01/2016) le habían sido entregados, y que no había obtenido respuesta del traslado de su escrito del DPD a la Consejería -Alude a aspectos no referidos en la reclamación como “el derecho de rectificación que hemos requerido cuando mi padre vivía” no se nos ha concedido. Aportaba entre otras: - Copia del informe de salud de 30/06/2015 y del informe clínico de 12/01/2016 que manifiesta, lo rectifica, y mezclando las referencias a que aporta copia de la HC del “Centro de Salud de Sabugo”. -Copia del escrito de 23/08/2018 dirigido a la reclamada en relación con la instrucción del expediente RP del que se le había entregado copia Con fecha XX/02/2019, se resuelve: “PRIMERO: DESESTIMAR el recurso de reposición interpuesto contra la Resolución de esta Agencia dictada en fecha 31 de octubre de 2018 SEGUNDO: INSTAR a la Subdirección General de Inspección de Datos para que analice la reclamación formulada por la recurrente en relación con la desatención de su derecho de acceso, dándole el trámite que corresponda.” TERCERO: Dicha resolución motivó la apertura del expediente E/02410/2019. De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 los hubieren designado, y con la finalidad señalada en el referido artículo, el 4/03 y 31/05/2019, se dio traslado de su reclamación a la CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS (en adelante, la RECLAMADA) para que procediera a su análisis y diera respuesta en el plazo de un mes. En fecha 18/06/2019, la reclamada manifiesta:
4. a)Reconoció la incorporación errónea en las seis páginas intercaladas en el expediente RP que no se correspondían con la documentación relativa al mismo, aceptando la equivocación y justificándola como resultado de la ingente documentación que formaba parte de este -un total de 750 páginas-. Aporta en ANEXO II copia de dichas páginas.
5. b)En cuanto a la incorporación de los documentos de la HC “que forma parte del expediente administrativo”, consideran que no ha incumplido la normativa, y que puede deberse a que la reclamante“ no esta de acuerdo con el contenido de la documentación del expediente de responsabilidad patrimonial o con lo que expresan los informes internos del mismo”. Aporta en ANEXO I, copia de índice de documentos del expediente RP XX/2017 referenciado y foliado hasta la 186, y documentación en numero de páginas que se agregan por cada documento desde ese momento, referenciado al tramite que se describe. Según la reclamada, son un total de 636 paginas. No se adjunta fecha alguna de cada tramite.
6. c)Aporta copia de acta de comparecencia de la representante de la reclamante el 5/04/2018 para audiencia, vista y copia del expediente, con copia del documento que le precede de la reclamada, informándole de la posibilidad del tramite de audiencia.
7. d)Aporta copia de escrito dirigido a la reclamante de 10/06/2019, dado que “ha recibido oficio de la AEPD…en relación con la reclamación de 14/09/2018…” ,“se comunica información en relación con protección de datos expdte RP XX/2017”. El escrito da respuesta a los puntos: -Sobre tres folios así como sus reversos que no son interesadas en el expediente y aparecen en el mismo. - Puntos b y c, referidos al “informe clínico” y al “informe de salud “, sobre que no dio permiso de uso para propósitos distintos a proporcionarle beneficio por medio de asistencia sanitaria, se contienen respuestas en sus apartados segundo y tercero, indicando los orígenes de los documentos, y que “el informe clínico”, resultó aportado como “informe preceptivo “ en el seno del procedimiento de RP, formando parte de dicho expediente. En relación con el informe de salud, también le explica el origen, y señala que no hizo alegaciones tras el tramite de audiencia, siendo resuelto el 28/10/2018. En fecha ***FECHA.2, tras analizarse la documentación que obraba en el expediente E/02410/2019, se dictó resolución por la Directora de la AEPD, acordando el archivo de la reclamación. En fecha ***FECHA.3, la reclamante presenta recurso de reposición, RR 603/2019 contra la resolución recaída en el expediente E/02410/2019, en el que muestra su disconformidad con la resolución impugnada, argumentando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Que la entidad reclamada no dispone de Delegado de Protección de Datos, incumpliendo lo dispuesto en el art. 37 del RGPD, (elemento nuevo que no introducía en la resolución que resuelve el archivo.) Que no ha recibido comunicación alguna por parte de la reclamada, incumpliendo lo dispuesto en el art. 65.4 de la LOPDGDD. - Que no se ha dado cumplimiento al derecho de acceso instado. Que se requiera a la reclamada para que tramite el derecho de acceso sobre la documentación que relaciona en el recurso interpuesto. - Que se acuerde el inicio de un procedimiento sancionador. Y, por último, que se declare la existencia de una indemnización a su favor, en virtud de lo previsto en el art. 82 del RGPD por el daño moral derivado de las reiteradas vulneraciones de derecho, ya que la Consejería, ante la sospecha de haber infringido la normativa en relación a los cuidados prestados a su padre y los protocolos sociales y/o sanitarios que se deberían haber seguido, nunca ha dado una información completa sobre dichos extremos. El RR se resuelve el 11/06/2020, y se contiene en HECHOS: “OCTAVO: De acuerdo con los antecedentes obrantes en esta Agencia, consta expediente de tutela de derechos TD/01652/2016, que finalizó con la resolución de fecha 20 de diciembre de 2016, por la que se acordó ESTIMAR la reclamación formulada … e instar a la entidad CONSEJERÍA DE BIENESTAR SOCIAL Y VIVIENDA para que, remitiese a la reclamante certificación en la que se facilitase el acceso completo a la historia clínica requerida y demás documentación que contuviese datos relativos a la salud de su padre, o denegase motivada y fundamentadamente el acceso solicitado, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la ya derogada Ley Orgánica 15/1999, de XX de diciembre, de Protección de Datos de Carácter Personal. El RR resuelve: “ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por…contra la resolución de esta Agencia dictada en fecha ***FECHA.2, en relación con la desatención del ejercicio del derecho de acceso a la historia clínica de su padre, desestimando el resto de las pretensiones formuladas por la recurrente, y acordar la admisión a trámite de la reclamación presentada contra la CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS.” “En fecha ***FECHA.1, la Directora Gerente del ESTABLECIMIENTO RESIDENCIAL informó a la reclamante mediante un escrito, de que la historia clínica requerida y documentación referida a la salud de su padre, -que figuraba en el Centro CPRM ***GERIÁTRICO.1 en ***LOCALIDAD.1-, estaba disponible para su retirada en las dependencias administrativas de dicho Centro. “ En fecha 1/03/2017, la AEPD, requirió a ERA, CONSEJERÍA DE BIENESTAR SOCIAL Y VIVIENDA, para que remitiese a la reclamante certificación dando cumplimiento a la resolución de fecha 20/12/2016. No se obtuvo respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Con fecha 2/03/2017, también asociado a esa TD 1652/2016, se registra un escrito de la reclamante sobre discordancia de la documentación recibida en cuanto a su integración y escasez, “dando la sensación de que es información reelaborada de la original”, “la información responde al 6% del total del tiempo que estuvo en los dos establecimientos del ERA, con un 12 % del tiempo que estuvo en el CRPM ***GERIÁTRICO.1 y un 0% en el CRP ***GERIÁTRICO.2”. Acompaña un escrito de 27/02/2017, dirigido a ERA con el titulo “Fe de erratas de escrito sobre documentación clínica omitida y defectuosa” de su padre “entregada de los registros del ERA TD 1652/2016” en el que pide variar un apunte de una fecha. CUARTO: La admisión a tramite del RR da inicio al procedimiento TD 00099/2020, resuelto el 5/10/2020: “ESTIMAR la reclamación formulada … e instar a CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS con NIF S3333001J, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que haga constar que ha atendido el derecho de acceso ejercido por éste o deniegue motivadamente indicando las causas por las que no procede atender su petición. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
8. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD.” Al no constar respuesta de la reclamada, se efectuaron dos requerimientos, el 30/11/2020, y el 4/01/2021, indicando: “Una vez transcurrido el plazo otorgado para que se realizaran las actuaciones requeridas en dicha resolución sin que en esta Agencia se haya tenido constancia de éstas y habiendo recibido escrito de la parte reclamante solicitando el cumplimiento de la resolución de la Directora de la Agencia Española de Protección de Datos, se requiere a CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS para que: 1.- En el plazo de cinco días hábiles, remita a la parte reclamante certificación del cumplimiento de la resolución referenciada en los términos en ella descritos. 2.- En el plazo de diez días hábiles, notifique a esta Agencia las medidas adoptadas en cumplimiento del requerimiento efectuado en el punto anterior. Se le informa que, en su defecto, podría comportar la comisión de la infracción considerada en el artículo 72.1.
9. m)de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, que se sancionará de acuerdo con el art. 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos).” No se obtuvo respuesta. QUINTO: Con fecha de 24/08/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a la CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS, con NIF S3333001J, por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 presunta infracción del artículo 83.6 del RGPD, con un periodo de prescripción establecido en el artículo 72.1.
10. m)de la LOPDGDD de tres años por ser considerada muy grave.” “A los efectos previstos en el art. 64.2
11. b)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de apercibimiento.” No se reciben alegaciones. SEXTO: Con fecha 5/10/2021 se registra escrito de la reclamante: “Para completar la documentación del expediente, se adjunta el documento (recurso de alzada) citado en mi denuncia, con el cual se había instado a la administración denunciada a rectificar el documento que vienen utilizando ilícitamente.” Se trata de un escrito dirigido a la Consejería de Bienestar Social y Vivienda, fechado de entrada al Principado a 19/01/2016, recurso de alzada contra la resolución de 15/12/2015, de la Directora Gerente del ERA que acuerda el traslado forzoso de su padre al centro intergeneracional en Oviedo. SÉPTIMO: Con fecha 27/12/2021, se recibe escrito de la reclamante en el que con el título: “se remiten alegaciones al escrito de 30/12/2020 de la administración infractora presente en el expediente referido”, se contiene lo siguiente: - Con referencia el TD/00099/2020, sobre el que “el 3/12/2021 ha tenido acceso”, continua sin ver cumplido el derecho de acceso a la documentación de asistencia por parte del personal del ERA, ya que no ha recibido siquiera respuesta al respecto. - “Entre la documentación del TD, figura un escrito de 30/12/2020 firmado por la responsable de los datos del ERA, folio 699 y 700, que “a mi no me han enviado, que dice que en virtud de la normativa de aplicación no ha transcurrido el plazo mínimo para la supresión de un informe clínico en la historia”, referencia 29729/2020, señala que “la contestación no tiene nada que ver con el objeto del expediente TD/99/2020 iniciado por vulneración de cumplimiento de derecho de acceso y no de supresión”, “reitero la solicitud para que se incoe expediente sancionador efectuada el 16/04/2021, folios 707 y 708 del expediente). OCTAVO: Con fecha 28/03/2022 se emitió propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a CONSEJERÍA DE DERECHOS SOCIALES Y BIENESTAR DEL PRINCIPADO DE ASTURIAS, con NIF S3333001J, por una infracción del artículo 83.6 del RGPD, tipificada en el artículo 72.1.
12. m)de la LOPDGDD. La medida que debería cumplir la reclamada conforme determina el artículo 58.2.
13. c)del RGPD es atender el derecho tras los reiterados requerimientos de esta AEPD.” No se recibieron alegaciones. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 1) La reclamante presenta reclamación en la AEPD el 17/09/2018, considerando que con los datos de su padre, del que ella era tutora, fallecido el 2/10/2016, se ha vulnerado la normativa de protección de datos por parte del ERA (ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS, adscrito a la CONSEJERÍA DE DERECHOS SOCIALES Y BIENESTAR DEL PRINCIPADO DE ASTURIAS Considera la reclamante en su reclamación que, por un lado, diversa información clínica e informes de salud de su padre se han incorporado a dos procedimientos administrativos: el RP XX/2017, de responsabilidad patrimonial por funcionamiento anormal de la Administración instado por ella, en relación con la estancia de su padre en residencias, y otro anterior, el XX/982, en el que si bien no se determina el año, la reclamante manifestó que accedió a sus documentos en octubre de 2015. 2) El segundo aspecto que considera la reclamante en su reclamación, es que ejerció el derecho de “devolución de todos los informes médicos al ERA” verificándose que la AEPD resolvió como derecho de acceso no atendido su pretensión, en el procedimiento de tutela de derechos TD/001652/2016, resolución R/2990/2016 de 20/12/2016, estimando su petición y requiriendo le facilitara “el acceso completo a la historia clínica requerida y demás documentación que contenga datos relativos a la salud de su padre, o deniegue motivada y fundamentadamente el acceso solicitado”, manifestando ahora también la reclamante en 17/09/2018, que pese a que el ***FECHA.1, la reclamada le trasladó la respuesta, faltan documentos. Además, asevera que no se han cancelado los datos porque se incorporaron a los expedientes administrativos que reseñó. En fecha 1/03/2017, la AEPD, requirió a ERA, CONSEJERÍA DE BIENESTAR SOCIAL Y VIVIENDA, para que remitiese a la reclamante certificación dando cumplimiento a la resolución de fecha 20/12/2016. No se obtuvo respuesta. Con fecha 2/03/2017, también asociado a esa TD 1652, se registra un escrito de la reclamante sobre discordancia de la documentación recibida en cuanto a su integración y escasez, y que faltan documentos. 3) La reclamación fue inadmitida a tramite el 31/10/2018 , si bien fue recurrida reposición, acordándose con fecha XX/02/2019: en “PRIMERO: DESESTIMAR el recurso de reposición interpuesto contra la Resolución de esta Agencia dictada en fecha 31/10/2018. SEGUNDO: INSTAR a la Subdirección General de Inspección de Datos para que analice la reclamación formulada por la recurrente en relación con la desatención de su derecho de acceso, dándole el trámite que corresponda”. Con ello, se abrió el expediente E/02410/2019 en el que se traslada la reclamación a la reclamada y se acuerda el ***FECHA.2 el archivo de la reclamación, que es recurrido en recurso de reposición, RR 603/2019, el ***FECHA.3 y que resuelve el 11/06/2020: “ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por…contra la resolución de esta Agencia dictada en fecha ***FECHA.2, en relación con la desatención del ejercicio del derecho de acceso a la historia clínica de su padre, desestimando el resto de las pretensiones formuladas por la recurrente, y acordar la admisión a trámite de la reclamación presentada contra la CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 4) La admisión a tramite del RR 603/2019 da lugar resuelto el 5/10/2020, que resuelve: al procedimiento TD 00099/2020, ESTIMAR la reclamación formulada … e instar a CONSEJERÍA DE SERVICIOS Y DERECHOS SOCIALES DEL PRINCIPADO DE ASTURIAS con NIF S3333001J, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que haga constar que ha atendido el derecho de acceso ejercido por éste o deniegue motivadamente indicando las causas por las que no procede atender su petición. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
14. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD.” Al no constar respuesta de la reclamada, se efectuaron dos requerimientos, el 30/11/2020, y el 4/01/2021, para el cumplimiento de lo resuelto, advirtiendo de las consecuencias legales de la falta de respuesta. La reclamada no atendió los requerimientos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos XX y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Se definen los datos personales y los relativos a la salud en el artículo 4.1 y 4.15 del RGPD, como: “1) datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 15) datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 salud;” Si bien el tema de la aportación de documentos de la HC a expedientes administrativos de responsabilidad patrimonial no es objeto relacionado con la infracción imputada, ya que en los sucesivos recursos y archivos no se admitió a tramite ni se cuestiona, se debe indicar que el RGPD y la LOPDGDD califican a los datos relativos a la salud como datos especialmente protegidos, estableciendo un régimen singularmente riguroso para su obtención, custodia y eventual cesión debido a las consecuencias que su uso indebido tendría para las personas Las consecuencias se consideran tan perjudiciales que su tratamiento está prohibido a menos que se aplique una excepción de las contenidas en el artículo 9.2. a- j), siendo una de ellas la: “
15. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial”, si bien una vez levantada la prohibición general de tratamiento, debe darse algún supuesto que dé licitud al tratamiento. Es decir, además del supuesto previsto en el artículo 9.2
16. f)debe ser de aplicación alguna base jurídica del artículo 6.1 del RGPD. En este caso, la reclamante instó un procedimiento de responsabilidad patrimonial en el que señala que lo que se produce es la incorporación de datos de la HC, con lo que no está de acuerdo. La incorporación de HC a un expediente de reclamación patrimonial supone un tratamiento de datos personales, a tenor de lo indicado en el artículo 4.2 RGPD que considera como tal: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. Sobre los datos de la HC, la Ley 41/2002, de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, (LAP) señala: - artículo 14.2: “Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información”. -artículo 17.1:“Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. Por lo tanto, los datos de la HC no son susceptibles de “devolución”, al contenerse datos de asistencia y prestaciones sanitarias, ni se puede reivindicar la titularidad o propiedad de los HC como tal. De modo que la finalización de la relación contractual no puede suponer la desaparición del mundo jurídico de unos informes que contienen efectos derivados de las prestaciones asistenciales para las partes que se documentan en dichos informes. III Se imputa a la reclamada la infracción del artículo 83.6 del RGPD, que señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” La LOPGDD señala en su articulo 71:“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 , así como las que resulten contrarias a la presente ley orgánica”. El artículo 58.2 del RGPD, indica entre otros, los siguientes poderes de la autoridad de control: “
17. c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento;” Las resoluciones no cumplidas del artículo 58.2 del RGPD, son precisamente las que resolvían la tutela de derecho TD/01652/2016 de 20/12/2016 y la TD/00099/2020 de 5/10/2020, indicándose en ambas expresamente la advertencia de las consecuencias del incumplimiento de la resolución. La infracción de dicho artículo aparece reflejada en cuanto a su tipificación a efectos de prescripción, en el artículo 72.1
18. m)de la LOPDGDD con el literal en contexto: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: … […]” “
19. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” Se acredita la ausencia de respuesta en cumplimiento de lo requerido a la reclamada sobre el cumplimiento de la resolución de tutelas de derechos producido hasta en dos ocasiones. IV El artículo 58.2 del RGPD indica como poderes de la autoridad de control: “
20. c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento;” El artículo 83.7 del RGPD añade: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
21. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: “
22. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.” “2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: SANCIONAR con apercibimiento a CONSEJERÍA DE DERECHOS SOCIALES Y BIENESTAR DEL PRINCIPADO DE ASTURIAS, con CIF S3333001J, por una infracción del artículo 58.2 del RGPD, tipificada en el artículo 83.6 del RGPD, y en el artículo 72.1
23. m)de la LOPDGDD. SEGUNDO: En virtud del artículo 58.2.
24. c)del RGPD que faculta para “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento;” se le requiere para que en el plazo de quince días atienda el derecho objeto de esta reclamación. El incumplimiento de lo dispuesto podría dar lugar el ejercicio de la potestad sancionadora de acuerdo con lo señalado en el artículo 83.6 del RGPD. TERCERO: NOTIFICAR la presente resolución a CONSEJERÍA DE DERECHOS SOCIALES Y BIENESTAR DEL PRINCIPADO DE ASTURIAS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de XX de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es