1/13 Procedimiento Nº PS/00266/2015 RESOLUCIÓN: R/02550/2015 En el procedimiento sancionador PS/00266/2015, instruido por la Agencia Española de Protección de Datos a D. C.C.C., vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de junio de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., en el que declara expresamente lo siguiente: <<Mi nombre es A.A.A.. Quiero denunciar que se han realizado accesos de forma reiterada durante el último año a datos confidenciales de mi historial médico por parte de un profesional sanitario, C.C.C. (en adelante sus siglas C.C.C.), sin mi consentimiento y con una finalidad no relacionada con mi cuidado médico-sanitario, para el cual fueron captados dichos datos. Yo contraje matrimonio con el médico C.C.C. el DD/MM/AA. Durante la relación matrimonial, C.C.C. fue mi médico de cabecera. A finales de 2012, decidí cambiar de médico de cabecera y el DD/MM/AA, C.C.C. y yo nos divorciamos. Se dictó un auto de divorcio por medio de sentencia de DD/MM/AA dictada en los autos de divorcio ***/2012 del Juzgado de Primera Instancia nº1 de ***LOCALIDAD.1 (prueba 1). C.C.C. trabaja como médico para la Agencia Valenciana de Salud (Conselleria de Sanitat de la Comunidad Valenciana). Yo soy paciente y usuaria del sistema público de salud de la Comunidad Valenciana, gestionado por la Agencia Valenciana de Salud (Conselleria de Sanitat). La Agencia Valenciana de Salud (Conselleria de Sanitat) cuenta con un sistema informático denominado ABUCASIS encargado de gestionar el proceso asistencial sanitario de los ciudadanos. Éste se encarga de almacenar y facilitar la gestión de los datos médicos de los pacientes tales como historiales clínicos, resultados analíticos/pruebas médicas específicas, vacunas, etc. Está instalado en la mayoría de centros públicos sanitarios y hospitales de la Comunidad Valenciana, y cuenta con una base de datos centralizada con acceso simultáneo desde dichos centros. Los profesionales sanitarios encargados actualmente de mi cuidado médico me advirtieron de que un tercero, en concreto C.C.C., ha estado accediendo de forma reiterada (incluso más de una vez por día) a mi historial clínico durante los últimos meses. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 En la segunda prueba que se adjunta (prueba 2) se puede observar el detalle de los últimos accesos: el nombre de C.C.C., la fecha/hora y nombre de la consulta médica desde donde se hicieron. (…) Tras conocerse estos hechos, le manifesté por escrito a C.C.C. mi expreso deseo de que no siguiese accediendo a mis datos médicos, no obteniendo ninguna respuesta por su parte y comprobando a posteriori que ha hecho caso omiso a mi voluntad. Desde mi punto de vista, estos hechos suponen una grave vulneración de mi intimidad. Por otro lado, siento mucha impotencia al no poder evitar de forma inmediata que cesen estos accesos no consentidos. Con el agravamiento de que se trata de datos de carácter personal de mi salud. Les agradecería que actuasen con el objetivo de dar fin a esta situación que me parece incompatible con el marco legal español de protección de datos de las personas físicas. Esta denuncia va dirigida a la Conselleria de Sanitat de la Comunidad Valenciana. Como responsable del fichero ésta debe tutelar por el cumplimiento de la normativa vigente en materia de protección de datos de carácter personal. Desde mi punto de vista, la Conselleria es la responsable de garantizar la seguridad de sus ficheros y el acceso de los datos de acuerdo a finalidad por la que fueron captados y por el personal que le competa en cada momento.>> Aporta la denunciante certificación de la Agencia Valenciana de Salud con los accesos efectuados en su historia clínica desde el 1 de enero hasta el 4 de abril de 2014. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En septiembre de 2014 se solicita información a la Consellería de Sanitat de la Generalitat Valenciana sobre los accesos realizados a la historia clínica de la denunciante desde enero de 2013 hasta la fecha de la solicitud. También se le solicita que informe sobre la justificación de los accesos realizados por el profesional que no es su médico de cabecera. La Consellería aporta la relación de los accesos realizados a la historia clínica de la denunciante por el médico de medicina familiar que no es el encargado de su asistencia sanitaria, desde el mes de enero de 2013 hasta el mes de abril de 2014. Informa la Consellería de que de un total de 603 accesos, 496 han sido realizados por el médico de Medicina Familiar Don C.C.C., registrando información en la historia clínica el día 4 de noviembre de 2013. Añaden que los accesos realizados no tienen justificación clínico asistencial que es la única por la que este médico puede acceder a cualquier historia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 TERCERO: Con fecha 2 de junio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. C.C.C., por presunta infracción del artículo 6.1 en relación con el artículo 4.2, ambos de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: En fechas 8 y 9 de junio de 2015, se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador al denunciado, por medio del servicio de correos, con el resultado de “Ausente reparto, se dejó aviso llegada en buzón”. El 26 de junio de 2015 se publicó en el Boletín Oficial del Estado, otorgándose al denunciado plazo para efectuar alegaciones a dicho acuerdo. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” HECHOS PROBADOS PRIMERO: La denunciante ha comunicado a esta Agencia de Protección de Datos, que se han realizado accesos reiterados a su historia clínica sin su consentimiento y con una finalidad no relacionada con la asistencia sanitaria, por parte de un profesional sanitario. Manifiesta que esta persona fue su médico de cabecera durante su relación matrimonial, que decidió cambiar de médico de cabecera a finales de 2012 y que en febrero de 2013 se divorciaron. Manifiesta que ella es paciente del sistema público de salud de la Comunidad Valenciana y el médico que realizó los accesos inconsentidos a su historia clínica trabaja como médico para la Agencia Valenciana de Salud. La denunciante manifiesta que tuvo conocimiento de los accesos a su historia clínica porque se lo advirtieron los profesionales encargados de su asistencia sanitaria en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 actualidad. La denunciante aporta certificación de la Agencia Valenciana de Salud de fecha 8 de abril de 2014, con los accesos efectuados a su historia clínica desde el 1 de enero hasta el 4 de abril de 2014, en el que se aprecia que de 69 accesos, 47 fueron realizados por el médico que no es el titular de su atención sanitaria. SEGUNDO: En septiembre de 2014 se solicita información a la Consellería de Sanitat de la Generalitat Valenciana sobre los accesos realizados a la historia clínica de la denunciante desde enero de 2013 hasta la fecha de la solicitud y que informe sobre la justificación de los accesos realizados por el profesional que no es su médico de cabecera. La Consellería aporta la relación de los accesos realizados a la historia clínica electrónica de la denunciante por el médico de medicina familiar que no es el encargado de su asistencia sanitaria, desde el mes de enero de 2013 hasta el mes de abril de 2014. Informa la Consellería de que de un total de 603 accesos, 496 han sido realizados por el médico de Medicina Familiar Don C.C.C., registrando información en la historia clínica el día 4 de noviembre de 2013. Añaden que los accesos realizados no tienen justificación clínico asistencial que es la única por la que este médico puede acceder a cualquier historia. TERCERO: No consta acreditado en el expediente que el imputado en este procedimiento contara con el consentimiento para el tratamiento de los datos personales relacionados con la salud de Dª. A.A.A.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II Dispone el artículo 59.5 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones, según redacción dada por el artículo 25 de la Ley 15/2014, de 16 de septiembre, de racionalización del Sector Público y otras medidas de reforma administrativa, que: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el “Boletín Oficial del Estado” En el presente caso se han observado las prescripciones legales, tal como se ha señalado en los Antecedentes Cuarto y Quinto de la presente Resolución. III El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” V El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD define el tratamiento de datos personales en su artículo 5.t), en los siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que los accesos del imputado en este procedimiento a la historia clínica de la denunciante constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. De los hechos probados en este procedimiento, se deduce que la denunciante ha declarado que los profesionales sanitarios encargados de su cuidado médico le han advertido de los accesos reiterados de un tercero a su historial clínico durante los últimos meses. Manifiesta que la persona que ha realizado estos accesos presta sus servicios como médico de Medicina Familiar en la Consellería de Sanitat de la Generalitat Valenciana. La denunciante aporta un certificado de la Consellería con los accesos a su historia clínica desde el 1 de enero al 4 de abril de 2014, en el que se aprecia que de 69 accesos, 47 fueron realizados por un médico que, según manifiesta, no es el titular de su atención sanitaria. La Consellería de Sanitat de la Generalitat Valenciana ha informado a la Inspección de esta Agencia respecto de los accesos efectuados a la historia clínica de la denunciante por el médico de medicina familiar que no es el encargado de su asistencia sanitaria, desde el mes de enero de 2013 hasta el mes de abril de 2014. Informa la Consellería de que de un total de 603 accesos, 496 han sido realizados por el médico de Medicina Familiar Don C.C.C., registrando información en la historia clínica el día 4 de noviembre de 2013. Añaden que los accesos realizados no tienen justificación clínico asistencial que es la única por la que este médico puede acceder a cualquier historia. En el presente procedimiento no hay constancia de consentimiento para el tratamiento de datos personales realizado. Si constan acreditados los accesos del imputado a la historia clínica de la denunciante, en el listado aportado al presente expediente por la Consellería de Sanitat de la Generalitat Valenciana que manifiesta que no tienen justificación clínico asistencial. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. En este caso no se está ante uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud de la denunciante. Por tanto corresponde al imputado acreditar que contaba con ese consentimiento inequívoco de la afectada para el acceso a los datos personales contenidos en su historia clínica. VI Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que el imputado ha utilizado los datos contenidos en la historia clínica de la denunciante para una finalidad distinta de la prevista en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. El artículo 7 de esa misma Ley, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último, como ya se ha visto, en su artículo 16 determina cuales son los “Usos de la historia clínica”: En este procedimiento se ha acreditado que el imputado ha accedido a los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 relativos a la salud de una paciente para una finalidad incompatible con aquella para la que fueron recogidos los datos: la asistencia sanitaria, el tratamiento médico o la gestión de servicios sanitarios. El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. El hecho constatado del acceso a los datos personales especialmente protegidos de la denunciada sin su consentimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 6.1 en relación con el 4.2 ambos de la LOPD. VII El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto D. C.C.C. trató los datos personales de la denunciante relativos a su salud, sin que se haya acreditado que se cuente con el consentimiento de la afectada ni con habilitación legal, tal y como establece el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
- b)de dicha norma. VIII Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 i. j. terceras personas. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De conformidad con el análisis realizado se ha incurrido en la infracción descrita. Así, ha quedado acreditado que D. C.C.C. ha tratado los datos de salud de una paciente sin su consentimiento, constituyendo tal conducta la infracción grave tipificada en el artículo 44.3.b). Respecto de la aplicación del artículo 45.5 considerando la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, como atenuantes, en especial circunstancias tales como el volumen de negocio, al tratarse de una persona física, el hecho de que no consten beneficios obtenidos como consecuencia de la comisión de la infracción ni conste reincidencia por comisión de infracciones de la misma naturaleza, lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sanción correspondiente a una infracción leve. En consecuencia, constatada la comisión de la infracción imputada, se observa, como se ha expuesto, la concurrencia de circunstancias que, si bien no eximen del cumplimiento de la norma, sí permiten apreciar una cualificada disminución de la culpabilidad imputada respecto de la comisión de dicha infracción, por lo que se estima que procede la aplicación del artículo 45.5 de la LOPD respecto de la misma, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en este caso, valorados en aplicación de dichos criterios, permiten, que en este caso se considere procedente que se fije la cuantía de la sanción en 2.500 euros, al haberse constatado una disminución cualificada de la culpabilidad y teniendo en consideración, como agravante, la circunstancia de la naturaleza de los datos objeto de tratamiento indebido, datos de carácter personal relacionados con la salud. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. C.C.C., por una infracción del artículo 6.1 en relación con el artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la LOPD, una multa de 2.500 € (dos mil quinientos euros), de conformidad con lo establecido en el artículo 45 .1, .2, .4 y .5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C., y a Dª. A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es