PS-00204-2022

1/17  Expediente Nº: EXP202200999  RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HOSPITAL RECOLETAS PONFERRADA, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 20 de julio de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento Nº: PS/00204/2021(EXP202200999) PROPUESTA DE RESOLUCION DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, HOSPITAL RECOLETAS PONFERRADA, S.L. con CIF.: B47767793 , (en adelante “la parte reclamada”), en base al escrito presentado por D. A.A.A., por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y atendiendo a los siguientes: ANTECEDENTES: PRIMERO: Con fecha 10/01/22, tuvo entrada en esta Agencia, escrito presentado por la parte reclamante, en la que indicaba, entre otras que: “PRIMERO.- El 07/12/21 acudí a la Clínica Recoletas a que me realizaran unos análisis pautados. Cuando llegó mi turno enseñé el volante y me pidieron la tarjeta del seguro para gestionar el servicio, tras esto me dieron la Tablet y me dijeron “tiene que firmar este documento de protección de datos para poder procesar la información”, yo cogí el dispositivo electrónico y me puse a leerlo y le dije, “no estoy de acuerdo con los puntos 2 y 3 del formulario que habéis marcado (uno era compartir mi información con empresas terceras y el otro para recibir propaganda)”; la empleada de la clínica me dijo: “entonces no podemos atenderle, sin su firma no se puede gestionar nada”, yo le recordé que yo no me negaba a firmar el documento sino los ítems marcados por ellas, yo firmaría SOLO con el primer ítem que decía “autorizo a la clínica a gestionar mis datos personales…” (estoy parafraseando el documento porque nunca C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 recibí copia alguna) entonces ella hizo algo en la Tablet y me la volvió a pasar y en ese momento aparecían desbloqueados todos los ítems y yo puede marcar los que estimé oportunos tras lo cual firmé con mi rúbrica. Finalmente apareció la enfermera en la cabina de urgencias y me fui con ella a hacer la analítica. Tras salir de allí rellené la reclamación que aparece en este mismo documento y que acompaño también de forma individual. En esta reclamación también hacía constar, una más, que nadie me había facilitado una copia de lo que había firmado ni siquiera una forma de acceder a lo firmado como establece la ley. (cuya justificación se acompaña como Doc. Núm. 1). SEGUNDO.- En la Clínica pedí hablar con gerencia para hacer constar mi malestar con todo lo ocurrido pero ese día no había nadie y me ofrecieron poner una reclamación asegurándome que me llamaría un gerente en esa semana. El gestor de redes de RECOLETAS me pidió un email donde me preguntaban el Centro en el que había tenido una mala experiencia, tras decírselo esa misma tarde (15 de diciembre) una gerente de la Clínica se puso en contacto conmigo para pedirme disculpas y asegurar que había hablado con la responsable de lo que había sucedido la cual le había confirmado que ellas siempre rellenaban los datos porque la gente era mayor y me dijo que efectivamente esto era ilegal y no se iba a repetir y que me contestaría por escrito la reclamación presentada. La respuesta llegó el 7 de enero y es la que ven anexada a este documento y en un archivo separado. A mí, a pesar de decirlo en la reclamación, aún no me han dado la copia de la hoja que firmé aquel día ni medio alguno para acceder ella”. Junto con el escrito anterior se aporta la siguiente documentación: - Copia de la hoja de reclamación (Nº 00XX) interpuesta ante la Clínica, sellada con fecha 07/12/21 donde, entre otras, denuncia los mismos hechos expuestos ante esta Agencia e indicados anteriormente y dónde, además, denuncia ante la dirección del centro lo siguiente: o - “(…)no me han facilitado el documento firmado como establece la ley”. Copia del escrito de contestación a la reclamación Nº 00XX, fechado el 03/01/22, donde la Clínica le informa al reclamante en los siguientes términos: “Me dirijo a usted en respuesta a su escrito de Reclamación con número de registro 0XX con fecha de entrada en nuestro Servicio de Atención al Paciente el pasado 7 de diciembre de 2021, en la que muestra su malestar por los inconvenientes derivados al tener que firmar el documento de la Ley de Protección de Datos. Sentimos profundamente el incidente acaecido y le agradecemos su reclamación para proceder a revisar el cumplimiento de la normativa de protección de datos por parte del hospital. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Nuestras cláusulas nunca aparecen premarcadas, si bien, por error el personal de admisión las marcó en vez de explicarle las opciones para que fueran marcadas por usted tal y como marca la ley. Le informamos, que hemos recordado a nuestro personal que no se pueden marcar las cláusulas y que deben informar a los pacientes las opciones que existen cada vez que se firma una cláusula de protección de datos. Esperamos que vuelva pronto y compruebe por sí mismo que las cláusulas no aparecen premarcadas. Quedamos a su disposición para cualquier duda o para ampliar la información de su reclamación”. SEGUNDO: Con fecha 08/02/22, por parte de esta Agencia se trasladó la reclamación a la parte reclamada para que diese respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. Los intentos de notificación tuvieron como resultado lo siguiente: - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 08/02/22, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue aceptado en destino el mismo día 08/02/22, siendo el receptor: (…)- B.B.B.. TERCERO: Con fecha 10/04/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada por la reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al no recibir contestación alguna a las solicitudes hechas desde esta Agencia. CUARTO: Con fecha 20/06/22, la Directoria de la Agencia Española de Protección de Datos firma la incoación del presente procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración del artículo 6.1 RGPD, por las deficiencias detectadas a la hora de obtener el consentimiento de los pacientes para el tratamiento ulterior de sus datos personales, imponiendo una sanción inicial de 10.000 euros; y por la vulneración del artículo 15 RGPD, respecto del artículo 12 del mismo Reglamento, al no proporcionar al reclamante el acceso al documento sobre protección de datos firmado en la Tablet, imponiendo una sanción inicial de 10.000 euros. QUINTO: Con fecha 13/07/22 la entidad reclamada formuló, en síntesis, las siguientes alegaciones a la incoación del expediente: “Con fecha 07/12/21 el paciente acude al centro a primera hora de la mañana para realizarse unos análisis, momento en que se generan largas colas de pacientes que acuden al hospital a la realización de análisis clínicos en ayunas, junto con resto de pacientes que acuden a consultas, cirugías programadas, etc. Las empleadas de admisión, ante la gran afluencia de pacientes, en el contexto actual de pandemia, y el desasosiego por disolver dicha cola y procurar que se cumplan con las medidas de seguridad para evitar el contagio decidieron de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 forma puntual para agilizar la cola premarcar las casillas de los pacientes, algo que nunca debió suceder. Se puede observar en Doc. 2 contestación al paciente el contenido de las casillas de la cláusula existente ese día que pueden ser o no marcadas: ฀ Consiento el tratamiento de mis datos personales ฀ Consiento el envió de comunicaciones comerciales por medios electrónicos sobre actividades, eventos o servicios prestados que pueda resultar de su interés. ฀ Autorizo a facilitar información presencial o telefónicamente, a terceras personas que lo soliciten, únicamente en lo relativo a su estancia en el centro, así como el número de habitación Hospital Recoletas Ponferrada S.L. - CIF: B-47767793, inscrita en el Registro Mercantil de Valladolid al Tomo: 1.521; Folio: 111, Hoja: VA-29098 – Inscripción 1 La primera casilla es fundamental puesto que si los pacientes no consienten no se pueden tratar sus datos. En cuanto a la segunda casilla, el consentimiento para el envío de comunicaciones comerciales existe un error humano a la hora de adaptar la casilla a la firma en las tablets. La base de legitimación de esta finalidad es el interés legítimo, amparado en una evaluación de impacto previa a su implantación en nuestras cláusulas informativas. Por tanto, en el formato de cláusula en papel que se implantó existía una casilla en negativo que en caso de ser marcada por los pacientes se rechazaba el envío de estas comunicaciones. Si bien, al transcribirse dicha cláusula a la Tablet el consentimiento, por error, la casilla pasa a ser positiva no adecuándose a la base de legitimación contemplada. Al observar esta incidencia se ha tomado la decisión de modificar la base de legitimación de esta finalidad, que, a partir de finales de marzo de 2022 ha pasado a ser consentimiento. El personal de admisión conocía que esta finalidad en origen se basaba en el interés legítimo y que por tanto se encontraba en negativo en nuestra cláusula de protección de datos en papel. La última casilla como se puede observar se aplica a pacientes en caso de ingreso en el hospital para dar información a terceras personas, nunca a terceras empresas, es una cláusula que se puso para que los pacientes puedan decidir si quieren que demos su número de habitación o información sobre su estado a familiares, amigos o personas vinculadas. El marcado de esta casilla no aplica al servicio prestado a este paciente por ser ambulatorio, en caso de ingreso hospitalario el procedimiento siempre es volver a preguntar al paciente sobre este punto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Tras la firma del documento, el paciente no solicitó en admisión copia de la cláusula informativa a pacientes firmada, pues de haberlo hecho se le hubiera entregado. El paciente, ese mismo día, 7 de diciembre de 2021, presentó una reclamación que fue resuelta por la gerente del centro en tiempo y forma. Que con anterioridad a la respuesta por escrito el paciente mantuvo una conversación con la gerente relacionada con la reclamación interpuesta en la que se le dio contestación verbal a la reclamación, no refiriéndola en la contestación que lo que quería era copia de lo firmado, motivo por el que no se vio la necesidad de incluir esa información en la contestación, pues de lo contrario sin duda la hoja de protección de datos hubiera sido anexada. Que con fecha 8 de febrero se recibió notificación de la AEPD en la que se nos traslada la reclamación interpuesta por el paciente y por parte de la AEPD se nos solicita más información. Que como se observa en el Doc. 4 que debió ser enviado con fecha 8 de marzo de 2022 a la AEPD y no tuvo entrada por fallo de los sistemas informáticos, desde el momento en el que se recibe la reclamación se comienzan a implantar todo tipo de medidas y controles para asegurar que no vuelve a suceder nada similar. TERCERO.- LA OBTENCIÓN DEL CONSENTIMIENTO En el momento del suceso según se informa al paciente en la hoja de protección de datos existen dos bases de legitimación del tratamiento: - La gestión del servicio médico solicitado como base de legitimación del tratamiento de los datos sanitarios. En este sentido, aunque se incluye una casilla para reforzar el hecho de que el paciente sea consciente de que estamos tratando sus datos la base de legitimación es la contenida en el artículo 6.1.

1. b)del RPGD. - El interés legítimo para el envío de comunicaciones comerciales sobre el servicio médico requerido. Siendo por tanto la base de legitimación la contenida en el artículo 6.1.
2. f)del RGPD. El RGPD también viene definido en el Considerando 47 con el siguiente tenor (…). Sin perjuicio de lo anterior, y a pesar del desafortunado incidente acaecido, el reclamante tuvo la posibilidad de leer la cláusula de protección de datos y de ser informado de la forma en que Grupo Recoletas trataba sus datos. CUARTO.- EL CUMPLIMIENTO DE LO DISPUESTO EN EL ART. 15 RGPD. En relación con el fundamento de derecho segundo en el punto IV “sobre la gestión de la solicitud de acceso realizada por el reclamante” nos remitimos a los documentos Nº 2 y 3 adjuntos a la presente reclamación para probar que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 tras la reclamación interpuesta a la AEPD se le traslado la información solicitada en cumplimiento del art. 15 RGPD. En cuanto al art. 12 RGPD tal y como se explica en la contestación a la AEPD que se adjunta como Doc. 4 la información puesta a disposición al interesado en el momento de la firma cumple con los requisitos del art. 13 RGPD. Por último, en cuanto a la contestación a la reclamación interpuesta por el interesado con fecha 7 de diciembre de 2021 en el Hospital, como se ha comentado, no se trató como un derecho de acceso sino como una queja contestando al paciente tanto verbal como por escrito entendiendo que se estaba respondiendo a sus requerimientos. QUINTO.- LAS MEDIDAS ADOPTADAS Una vez se tuvo conocimiento de lo sucedido y en cumplimiento del principio de responsabilidad proactiva se implementaron las siguientes medidas: - Formación: Tras analizar el incidente acaecido se ha decidido que la mejor forma de solucionarlo para el futuro es la formación del personal. En ese sentido, se remitió a todo el personal de la Clínica la documentación de la formación para que pudieran leerlo y además se programó una sesión de formación presencial en la Clínica en horario de 14:30 a 15:30. Se acompaña como Doc.6 la hoja de control de asistencia a dicha formación. - Revisión de los procedimientos: se ha comprobado in situ que actualmente se cumplen el procedimiento adaptado a lo dispuesto en el Reglamento en relación con la forma de obtener el consentimiento de los interesados. Control aleatorio: Se comprobó de forma aleatoria con varios consentimientos si se encontraban o no marcadas todas las cláusulas y se observó que no siempre en un mismo día se marcaban las mismas casillas por parte de los pacientes. - Creación de procedimiento estándar: ha redactado un procedimiento interno y estandarizado para el personal de admisión de Grupo Recoletas en el que incluye el detalle de la forma en que el personal de admisión debe tratar los datos, solicitar el consentimiento e información a recabar. Se adjunta procedimiento como Doc. 7. - Adaptación de la cláusula de protección de datos: Se ha decidido modificar la base de legitimación para el tratamiento de los datos con la finalidad de envío de comunicaciones comerciales. El cambio de base de legitimación de esta finalidad viene motivado por el cambio de instrumento de obtención del consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Inicialmente las cláusulas informativas de protección de datos se firmaban en papel y en cada apartado se incluían las casillas pertinentes, de forma que el paciente leía el párrafo y decidía si marcaba o no la casilla. Casilla que en la finalidad de comunicaciones comerciales era negativa (si no se marcaba se aceptaba tácitamente en base al interés legítimo) Cuando se introdujeron las tablets las casillas debían incluirse al final, todas juntas, de esa forma al adaptar las cláusulas a la Tablet quedó la casilla en afirmativo pero la legitimación seguía como interés legítimo. Finalmente, advertida esta cuestión se ha decidido modificar la base de legitimación de esta finalidad al consentimiento expreso Se ha modificado la cláusula de protección de datos puesto que se ha comprobado que la cláusula que aparece en la Tablet solicita consentimiento expreso (y no en base al interés legítimo) para el tratamiento de los datos con la finalidad de realizar comunicaciones comerciales, por este motivo se ha cambiado la legitimación del tratamiento y la redacción de esa finalidad, siendo la base de legitimación de dicha cláusula el consentimiento del interesado. Se adjunta cláusula de protección de datos actual como Doc. 8 Contestación al interesado: Como ya se ha comentado se ha contestado al interesado enviándole la cláusula de protección de datos firmada, la contestación se corresponde con el Doc. 2. SEXTO.- LA SANCIÓN PROPUESTA Conforme a todo lo expuesto entendemos que desde Grupo Recoletas se ha tenido en todo momento una actitud proactiva centrada en eliminar cualquier riesgo que pueda producirse en el tratamiento de los datos de los interesados. En ese sentido, entendemos que no ha lugar a las sanciones propuestas debido por no haber sido incumplidos los preceptos 6.1. y 15 RGPD. Sin perjuicio de lo anterior, en caso de la AEPD sí interprete que existe infracción, serían de aplicación como atenuantes los puntos del artículo 83 RGPD:
3. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; Nos remitimos a las medidas impuestas en el apartado anterior.
4. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; Inexistencia de sanciones anteriores por parte de Hospital Recoletas Ponferrada, S.L.
5. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Inexistencia de beneficios financieros obtenidos ni pérdidas evitadas, el Grupo Recoletas intentamos ser muy escrupulosos con el cumplimiento de la normativa de protección de datos, lo contrario aparte de las posibles sanciones implica deterioro de nuestra imagen de marca a nivel reputacional con la pérdida de clientes que ello puede conllevar. El Artículo 83.1. RDPG establece lo siguiente: Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias”. HECHOS PROBADOS Primero: Según el reclamante, cuando acudió a la Clínica Recoletas para realizarse unos análisis, en la recepción le dieron un Tablet para que firmara el documento de protección percatándose de que las casillas del formulario estaban premarcadas en la opción de aceptadas. Cuando se negó a aceptar los puntos 2 y 3 del formulario la recepcionista hizo algo en la Tablet y la volvió a pasar con los ítems desmarcados pudiendo entonces marcar los que el paciente estimó oportunos. Estos hechos fueron corroborados por la Clínica en el escrito remitido al reclamante como respuesta a la reclamación presentada (Nº 00XX) y donde le informan, respecto a las casillas premarcadas, lo siguiente: “(…) Nuestras cláusulas nunca aparecen premarcadas, si bien, por error el personal de admisión las marcó en vez de explicarle las opciones para que fueran marcadas por usted tal y como marca la ley (…)”. Segundo: El reclamante aporta junto al escrito presentado en esta Agencia, copia de la citada hoja de reclamación (Nº 00XX) que interpuso ante la Clínica, sellada con fecha 07/12/21 donde, además de denunciar los hechos expuestos en el apartado primero, indica a la Dirección del Centro lo siguiente: “(…)no me han facilitado el documento firmado como establece la ley”. Tercero: En el escrito de contestación a la reclamación presentada por el reclamante ante la Clínica, está, además de pedirle disculpas por los hechos acaecidos y de reconocer que las casillas se encontraban premarcadas por un hecho puntual debido a un error del personal de recepción, le informaron de que habían dado orden al personal de no volver a premarcar las casillas antes de ofrecer la Tablet a los pacientes. Pero en ningún momento se le informa al paciente sobre su solicitud de accedo al documento firmado en la Tablet. Cuarto: En el escrito de alegaciones presentado por la Clínica a la incoación del presente procedimiento sancionador se indica que se han implantado las siguientes medidas para que los hechos indicados en los puntos anteriores no vuelvan a ocurrir, aportando para ello la siguiente documentación : - Formación sobre procedimiento en materia de protección de datos. Se acompaña como Doc.6 la hoja de control de asistencia a dicha formación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 - - - - Revisión de los procedimientos: se ha comprobado in situ que actualmente se cumplen el procedimiento adaptado a lo dispuesto en el Reglamento en relación con la forma de obtener el consentimiento de los interesados. Control aleatorio: Se comprobó de forma aleatoria con varios consentimientos si se encontraban o no marcadas todas las cláusulas y se observó que no siempre en un mismo día se marcaban las mismas casillas por parte de los pacientes. Creación de procedimiento estándar: ha redactado un procedimiento interno y estandarizado para el personal de admisión de Grupo Recoletas en el que incluye el detalle de la forma en que el personal de admisión debe tratar los datos, solicitar el consentimiento e información a recabar. Se adjunta procedimiento como Doc. 7. Adaptación de la cláusula de protección de datos: Se ha decidido modificar la base de legitimación para el tratamiento de los datos con la finalidad de envío de comunicaciones comerciales. Se adjunta cláusula de protección de datos actual como Doc. 8. Contestación al interesado, enviándole la cláusula de protección de datos firmada, la contestación se corresponde con el Doc. 2. FUNDAMENTOS DE DERECHO I-Competencia Es competente para iniciar y resolver este Procedimiento Sancionador la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en la Ley LOPDGDD. II.- Sobre las deficiencias observadas en la obtención del consentimiento de los pacientes. Sobre la licitud del tratamiento de los datos personales, el considerando