PS-00351-2023

1/45 Expediente N.º: EXP202209677 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el denunciante) con fecha 29 de agosto de 2022 presentó denuncia ante la Agencia Española de Protección de Datos. La denuncia se dirige contra HM HOSPITALES 1989, S.A. con NIF A79325858 (en adelante, HM). Los motivos en que basa la misma son los siguientes: El denunciante, (…), expone distintas deficiencias de seguridad relacionadas con el mantenimiento de un servicio de software desarrollado por la misma y utilizado por todos los centros hospitalarios de la mercantil denunciada. Según expone el denunciante, "Doctoris" es un sistema de información hospitalaria completo e integral, compuesto de varias bases de datos que abarcan, desde los datos de los pacientes hasta sus experiencias clínicas, pasando por información de laboratorios o incluso las citaciones en los centros para las consultas. Indica que no es un producto instalado en HM, sino un servicio cuya infraestructura se aloja en el Centro de Proceso de Datos de la empresa tecnológica que presta servicios a la denunciada, en el que se ubican los servidores principales del servicio, en especial los servidores de bases de datos y los sistemas de almacenamiento de datos y copias de seguridad. Manifiesta que es esa compañía la que debe asegurar el funcionamiento 24/365 del sistema. En la denuncia se detallan los siguientes supuestos incumplimientos de la normativa de protección de datos: (…). Junto a la denuncia se aportan sendos hilos de mensajes electrónicos remitidos a directivos de la tecnológica de HM en fechas 11/12/2019 y 17/5/2022. El correo de 11 de diciembre de 2019 es remitido desde la dirección ***EMAIL.1 teniendo como destinatario (…), con el siguiente texto: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/45 Este correo es contestado ***EMAIL.2 con el siguiente texto: “(…)” El segundo correo se envía el 17 de mayo de 2022 (…) y se remite desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3 con el siguiente texto: “…”. SEGUNDO: Con fecha 19 de septiembre de 2022 la Directora de Agencia Española de Protección de Datos, ante las deficiencias de seguridad relacionadas con el mantenimiento de un servicio de software utilizado por todos los centros hospitalarios de la mercantil HM HOSPITALES 1989 S.A., dicta nota interior, instando a la Subdirección General de Inspección de Datos a que inicie de oficio actuaciones previas de investigación tendentes a acreditar estos hechos y su autoría. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Las actuaciones de investigación se han centrado en los siguientes puntos de control denunciados como supuestos incumplimientos a la normativa de protección de datos según documentación aportada por el denunciante: (…). En fecha 3 de abril de 2023 se realiza requerimiento de información al responsable de tratamiento HM marcado por la siguiente línea de investigación: - Analizar el contrato de encargo de tratamiento entre este responsable y TRC INFORMÁTICA, S.L. (en adelante TRC INFORMÁTICA). - Conocer los análisis de riesgos realizado por HM en relación con los tratamientos que afectan a TRC INFORMATICA, así como la acreditación de las medidas preventivas concluidas. - Conocer las evaluaciones de impacto para las actividades de tratamiento que afectan a TRC INFORMÁTICA como encargado. - En relación con el sistema de gestión hospitalaria denunciado, “DOCTORIS”, conocer:  Los tipos de datos personales que trata.  Los informes de las últimas auditorías realizadas.  Las medidas implantadas para garantizar la confidencialidad, la trazabilidad de los accesos, la confidencialidad de las personas que tienen acceso a los datos, la supresión o bloqueo de los datos y la disponibilidad ante pérdida o destrucción.  En relación con los sistemas de preproducción y desarrollo, obtener aclaración sobre si tratan datos reales o ficticios, y las medidas para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/45 garantizar la confidencialidad de los usuarios que tienen acceso al sistema. En fecha 26 de abril de 2023 se recibe respuesta al requerimiento anterior por parte de HM, de su análisis se extrae: - Se aporta copia del contrato de encargo suscrito entre HM y TRC INFORMÁTICA, de su análisis se extrae:  Tiene fecha de firma 1 de enero de 2022 y contiene la firma de ambas partes que lo suscriben.  Sobre el objeto, naturaleza y finalidad del encargo: “los servicios prestados son el desarrollo software de historia clínica electrónica y gestión de facturación, mantenimiento software y alojamiento de base de datos, requiriendo tratamiento de datos personales para estos servicios”.  Se afirma: “Que en cumplimiento del art. 28 del RGPD, el encargado ofrece suficientes garantías para implementar medidas adecuadas para proteger los derechos de los interesados y por tanto ambas partes han convenido suscribir el contrato.”  Se detallan los tipos de datos afectados por el encargo, los tipos de interesados afectados y las obligaciones y derechos tanto de responsable como encargado.  Se detalla información sobre la notificación de violaciones de seguridad, la comunicación de datos a terceros por parte del encargado, las transferencias internacionales, sobre la posibilidad de subcontratación y sobre la atención a los derechos de los interesados.  Sobre el personal autorizado para realizar el tratamiento se especifica lo siguiente:  El encargado garantiza que el personal autorizado para realizar el tratamiento se ha comprometido de forma expresa y por escrito a respetar la confidencialidad de los datos.  El encargado tomará medida para que este personal solo pueda tratar los datos siguiendo las instrucciones del responsable.  El encargado garantiza que el personal autorizado para el tratamiento ha recibido la formación necesaria para asegurar que no se pondrá en riesgo la protección de datos personales.  Sobre las medidas de seguridad implantadas, se adjunta un anexo al contrato de encargo donde se afirma: “El desarrollo del software DOCTORIS deberá contar con las siguientes medidas de seguridad en su diseño y por defecto: (…).  - El contrato incluye información de contacto de ambos DPD e información sobre las obligaciones de supresión y devolución de los datos tras finalizar el servicio contratado. Se aporta el Registro de las Actividades de Tratamiento (RAT) de HM y se afirma que las actividades afectadas por tratamientos de datos en los que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/45 interviene TRC INFORMATICA como encargado son dos, la actividad “Facturación” y la actividad “Historia Clínica Electrónica (HCE)”. En el RAT aportado se detalla la siguiente información para cada una de estas actividades: Finalidad, Legitimación, Categorías de Interesados, Criterios de Conservación, Origen de los Datos, Categorías de Datos, Categorías de Destinatarios y las Medidas de Seguridad.  Para la actividad HCE se destaca la siguiente información contenida en el RAT:  Datos: DNI o NIF, nombre y apellidos de paciente, tarjeta sanitaria, identificador de usuario, imágenes, grabaciones, firma electrónica, firma manuscrita, características personales (personalidad o comportamiento), circunstancias sociales, académicos y profesionales, detalles de empleo.  Datos categorías especiales: Origen étnico o racial, datos genéticos, salud, violencia de género, religión.  Plazos de Conservación de los datos: “Mientras dura la atención sanitaria al paciente y con posterioridad, como mínimo, 5 años contados desde la fecha de alta de cada proceso asistencial, sin perjuicio de las particularidades autonómicas 26 que resulten de aplicación, o de la naturaleza de algunos documentos que integrarán la HCE, requiriendo su conservación indefinida (detallado en Protocolo de plazos de conservación de HM HOSPITALES, normativa sanitaria)”.  Medidas de seguridad: (…).  Para la actividad FACTURACIÓN se destaca la siguiente información contenida en el RAT:  Datos: DNI o NIF, nombre y apellidos de paciente y pagador, dirección postal o electrónica de facturación, identificador de Usuario.  Datos categorías especiales: Datos de salud relativos a la prestación de la asistencia sanitaria objeto de facturación (HCE).  Plazo de conservación: “Los datos se mantendrán durante el tiempo que es necesario para cumplir con la finalidad para la que se recabaron y posteriormente para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. De conformidad con el Art. 25 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo., se conservarán durante 10 años desde la terminación de la relación de negocios o la ejecución de la operación.”  Medidas de seguridad: (…). - En respuesta a la solicitud para que aporten los análisis de riesgos de las actividades de tratamiento en las que interviene el encargado TRC INFORMÁTICA, aportan únicamente un documento de análisis de riesgos para los tratamientos de “fiscal y contable” y afirman que estos incluyen el tratamiento de la actividad “Facturación”, no se aporta análisis de riesgos para la actividad de tratamiento HCE. De este documento se extrae: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/45 Se realiza la siguiente afirmación de fechas:  “Fecha inicio del tratamiento: ya iniciado con anterioridad, pero se actualiza el 31 de Marzo de 2023 con la última implantación de DOCTORIS.  Fecha de redacción del informe: 31/03/2023”  En el análisis se adjunta la copia de un informe de cumplimiento normativo realizado para la actividad de tratamiento Facturación, del que se destaca la siguiente afirmación realizada en el apartado conclusiones del informe: (…).  Se analizan los factores de riesgo: (…).  Se concluye una evaluación de riesgo inherente MEDIO y riesgo residual MEDIO.  Se aporta un plan de acción que incluye: (…). En respuesta a la solicitud para que aporten la Evaluación de Impacto (EIPD) de los tratamientos en los que interviene el encargado TRC INFORMÁTICA, se aporta únicamente un documento con la EIPD para la actividad de tratamiento HCE “Historia Clínica Electrónica”, no aportándose la EIPD para la actividad de tratamiento “Facturación”. Del análisis de este documento se extrae:  Se realiza la siguiente afirmación de fechas:  “Fecha de inicio del tratamiento: 31-03-2023 (primera fase implantación finalizada de DOCTORIS, aunque el tratamiento ya se había iniciado a través de HOSMA con anterioridad)  Fecha de realización del informe EIPD: 15-03-2023. Versión: 3.”  Se afirma: “Tratamiento a gran escala de categorías especiales de datos personales. Tratamiento que entrañe un alto riesgo para los derechos y libertades de las personas físicas”.  En esta EIPD se adjunta la copia de un informe interno de cumplimiento normativo realizado para la actividad de tratamiento HCE, conteniendo las siguientes afirmaciones en el apartado de conclusiones: (…).  Se realiza una descripción del tratamiento y del ciclo de vida de los datos, analizándose cada una de las siguientes operaciones de tratamiento: captura, registro, uso, comunicación y supresión. Para cada operación se especifica el tipo de datos que trata, el origen de los datos, las medidas de seguridad implantadas y las tecnologías involucradas.  Se identifican y evalúan los siguientes factores de riesgos: (…).  Se aportan los siguientes controles para reducir el riesgo:  Establecer medidas de concienciación y formación del personal implicado en las operaciones de tratamiento de datos personales.  Establecimiento de medios técnicos para la detección automática de brechas de datos personales.  Se concluye con riesgo inherente MEDIO y residual total MEDIO.  - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/45 Se afirma que los siguientes riesgos son transferidos a TRC INFORMÁTICA SL: (…).  Se concluye con un plan de acción que incluye los siguientes controles:  Controles para reducir el riesgo por incumplimiento normativo: (…).  Controles para reducir los riesgos para los derechos y libertades de los interesados: (…).  Controles destinados a transferir el riesgo: (…).  Se analiza la necesidad y proporcionalidad del tratamiento llegándose a la siguiente conclusión: “La evaluación de la necesidad y proporcionalidad del tratamiento respecto a su finalidad es adecuada y puede procederse a la gestión de riesgos”.  Se aportan las siguientes conclusiones de la EIPD: (…). En respuesta a la solicitud para que aporten la última auditoría específica realizada para el sistema de información hospitalaria DOCTORIS se contesta: “HM HOSPITALES no ha realizado auditoría al sistema de información DOCTORIS pues su implantación en el grupo hospitalario es reciente”. En respuesta a la solicitud para aporten las medidas técnicas implantadas para garantizar la confidencialidad de los tratamientos, contestan: (…). En respuesta a la solicitud para que acrediten las medidas para garantizar la trazabilidad de los accesos: (…). En respuesta a la solicitud para que acrediten las medidas para garantizar la disponibilidad ante la posible pérdida, destrucción o daño accidental: (…). En respuesta a la solicitud para que acrediten las medidas para garantizar la supresión o bloqueo una vez finalizado el plazo de conservación: (…). No obstante, existen pruebas de que DOCTORIS no es un nuevo software, sino que muy posiblemente se trata de la evolución de uno ya existente (HOSMA) y que ambos dan soporte a la misma actividad de tratamiento HCE (Historia Clínica Electrónica). En relación con los sistemas de preproducción o desarrollo de DOCTORIS se afirma:  Que las pruebas relativas a la implantación o modificación de DOCTORIS no se realizarán con datos reales.  Que los perfiles de acceso a datos de HM se hacen por desarrolladores autorizados. Se aporta un listado con nombre y apellidos de estas personas autorizadas y se afirma que existen “desarrolladores varios” que acceden a Preproducción, pero con datos desnormalizados. Se aporta documento acreditando la certificación ISO 27001:2017 por parte del encargado de tratamiento, TRC INFORMÁTICA SL.  - - - - En relación con el tratamiento de la Historia Clínica Electrónica (HCE) por parte de HM HOSPITALES y el encargado TRC INFORMÁTICA, se diligencian en el transcurso de esta investigación las siguientes evidencias de noticias publicadas en portales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/45 relevantes de internet sobre la implantación del sistema de información que da soporte a la Historia Clínica Electrónica: - Noticia publicada por el portal web de TRC INFORMÁTICA sobre el proyecto de desarrollo del aplicativo de Gestión Hospitalaria Doctoris para el cliente HM HOSPITALES, constando como fecha del proyecto desde el año 2010 hasta la actualidad. - Noticia publicada en varios portales web de salud en el año 2011 con el titular “HM Hospitales ha implantado la historia clínica electrónica en todos sus centros” donde se afirma que HM ha terminado de implantar la Historia Clínica Electrónica en todos sus centros bajo un único sistema conocido como HOSMA DR, y que se pretendía avanzar en el desarrollo de nuevas aplicaciones que mejoren su funcionamiento. - Noticia publicada en portal web computing.es en el año 2013 sobre la revolución tecnológica en HM Hospitales y que anuncia la nueva implantación de HOSMA 2.0 como evolución de la Historia Clínica Electrónica realizada por HM de la mano con TRC INFORMÁTICA. En fecha 30 de mayo de 2023 se decide realizar requerimiento de información al denunciante, marcado por la siguiente línea de investigación: - Contrastar la información aportada por HM. - Solicitar la aportación de pruebas en contrario en relación (…). En fecha 7 de junio de 2023 se recibe respuesta a dicho requerimiento anterior, de la respuesta recibida se pueden extraer las siguientes consideraciones: - - - Afirma que “HOSMA 1.0, HOSMA 2.0, y DOCTORIS no son en absoluto tres sistemas diferentes, sino evoluciones de los frontends del mismo sistema, con diferentes tecnologías según el momento y con funcionalidades tanto diferentes como solapadas.” En relación con las auditorías, afirma que desde hace años la empresa KPMG hace auditorías al sistema completo (antes HOSMA y ahora DOCTORIS) pero que no existe una auditoría exclusiva para el sistema DOCTORIS, ya que este es solo una evolución del frontend del sistema completo de información hospitalaria. (…). En fecha 31 de mayo de 2023 se decide realizar nuevo requerimiento de información a HM marcado por la siguiente línea de investigación: - Que se acredite la existencia de un protocolo para gestionar las brechas de seguridad, tal y como se afirma en respuesta al primer requerimiento. - Que se acredite la existencia de una Evaluación de Impacto de fecha anterior a la aportada (15 de marzo de 2023) ya que el inicio del tratamiento es bastante anterior a esta fecha. - Solicitar copia del último informe de auditoría realizado por la empresa KPMG, según se incluía en el plan de acción de la Evaluación de Impacto que nos aportaban. - (…). - Que se acredite que los sistemas de preproducción trataban datos ficticios y no reales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/45 En fecha 12 de junio de 2023 se recibe respuesta al requerimiento anterior, de su análisis se extrae: - El escrito lo firma el Delegado de Protección de Datos de HM (D. B.B.B.). - Se adjunta y acredita la existencia de protocolo de gestión de brechas de seguridad, documento con fecha de creación diciembre de 2020 y que recoge aspectos para identificar, clasificar y valorar la dimensión y alcance de los posibles incidentes de seguridad que pueda sufrir la organización, así como establecer un plan de actuación interno de prevención, mitigación y de cumplimiento. - A nuestra solicitud para que aporten la Evaluación de Impacto (EIPD) realizada en momentos previos al inicio de tratamiento, se aporta un nuevo documento de EIPD realizada para la actividad HCE, de su análisis se extrae:  El documento no está firmado y tiene fecha de creación de 16 de diciembre de 2020.  Incluye el análisis de la necesidad de llevar a cabo la EIPD.  Se afirma que se ha realizado un análisis de riesgo inherente y que se aporta en documento adicional anexo junto al plan de acción, no obstante, no se localizan estos documentos adicionales.  Se afirma que “Una vez evaluados los potenciales riesgos se concluye que el tratamiento no supone una amenaza para los derechos y libertades de los pacientes”.  En la EIPD no se realiza análisis de necesidad, idoneidad y proporcionalidad del tratamiento.  En la EIPD no se lleva a cabo una descripción sistemática del tratamiento. - En respuesta a nuestra solicitud para que confirmen y acrediten la realización de auditoría al sistema de información clínica por parte de la empresa KPMG, se aporta un documento que tiene como título “Informe legal comprensivo de los riesgos e impacto jurídico asociado a un ciberincidente, incluyendo recomendaciones y buenas prácticas”, con fecha de creación 12 de septiembre de 2022. - En relación con nuestra solicitud para que acrediten el (…). - En relación con la acreditación del uso de datos ficticios por los sistemas de preproducción afirman: “Se informa que las pruebas realizadas tienen lugar en un entorno de PRE-PRODUCCIÓN en el que se simulan situaciones con bases de datos ficticias generadas a través del empleo de técnicas como simulación de ruido y perturbación de datos.”. Se aporta captura de pantalla de DOCTORIS con una muestra muy reducida de 12 registros de supuestos pacientes ficticios. En fecha 31 de mayo de 2023 se decide realizar nuevo requerimiento de información al encargado TRC INFORMÁTICA marcado por la siguiente línea de investigación: - Solicitar copia del informe de la última auditoría realizada por KPMG. - Solicitar el registro de actividades de tratamiento como encargado. - Solicitar acreditación de las medidas implantadas para garantizar la trazabilidad de los accesos a las historias clínicas. - Solicitar la acreditación de los procedimientos establecidos para la supresión y bloqueo de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/45 En fecha 13 de junio de 2023 se recibe escrito por parte de TRC INFORMÁTICA solicitando ampliación de plazo que se responde favorablemente en fecha 14 de junio de 2023 otorgando plazo adicional de 5 días. En fecha 3 de julio de 2023 se recibe respuesta al requerimiento anterior por parte de TRC INFORMÁTICA, de su análisis se extrae: - En respuesta a nuestra solicitud para que aporten copia de los informes de auditoría realizados por la empresa KPMG a los sistemas de gestión de información hospitalaria afirman: “KPMG es la empresa auditora de nuestro cliente HM HOSPITALES 1989 S.A y no es la empresa auditora TRC INFORMÁTICA, en consecuencia, no podemos aportar las copias de los informes requeridos”. - En relación con el listado y acreditación de las medidas implantadas para garantizar la trazabilidad de los accesos a las Historias Clínicas Electrónicas se acredita las mismas medidas que previamente se habían acreditado en la respuesta de HM HOSPITALES, en concreto:  Se acredita el registro de los intentos de acceso al sistema Doctoris.  Se acredita el registro de los distintos módulos del sistema visitados por el usuario (opciones del programa).  Se acredita el registro de consultas lanzadas a la base de datos de forma directa sin hacer uso de DOCTORIS.  Se acredita el registro de cambios realizados en la tabla pacientes. - (…). - En relación con nuestra solicitud para que acrediten las medidas para el bloqueo o supresión, afirman: (…). - Afirman (aunque no acreditan) que TRC INFORMÁTICA se encuentra certificada por la empresa OCA GLOBAL en la norma ISO/IEC 15504, ISO/IEC 33001. Anteriormente ya se había acreditado la certificación en la norma ISO/IEC 27001. En fecha 14 de junio de 2023 se decide realizar nuevo requerimiento de información al responsable de tratamiento HM solicitando la aclaración de algunos aspectos de su anterior respuesta, en concreto se solicita: - Que confirme la relación existente entre los sistemas DOCTORIS, HOSMA1 y HOSMA 2, con la finalidad de aclarar si se tratan de sistemas que dan soporte a la misma actividad de tratamiento HCE. - Teniendo en cuenta que el contrato de encargo aportado entre TRC INFORMATICA y HM tiene fecha de 1 enero de 2022, y de las evidencias obtenidas de internet sobre el inicio de este proyecto de desarrollo con fecha bastante anterior, se solicita que confirme (y acredite en su caso) la existencia de contrato de encargo con fecha anterior al aportado. - Que confirme y aporte el listado de posibles contratos de servicios con el sector público vinculados con el sistema de información hospitalaria. - Que confirmen si existieron auditorías específicas para algunos de los sistemas HOSMA o DOCTORIS en los tres últimos años con objeto de verificar las medidas implantadas y evaluar su eficacia. En fecha 21 de junio de 2023 se recibe escrito por parte de HM aportando respuesta a los dos primeros puntos del requerimiento de información y solicitando ampliación de plazo para contestar a los puntos restantes. Se contesta favorablemente otorgando plazo adicional de 5 días. Con respecto a los dos puntos contestados se extrae: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/45 - En respuesta a nuestra solicitud para que confirmen si existía un contrato de encargo firmado con fecha anterior al 1 de enero de 2022, aportan un nuevo documento con un nuevo contrato de encargo firmado a fecha 1 de junio de 2019 con las siguientes características:  Lo suscriben por un lado PROFESIONALES DE LA MEDICINA Y LA EMPRESA S.A con CIF A79272118 y de otra parte GRUPO TRC compuesto por las empresas TRC INFORMÁTICA SL (B7951315) y GRUPALIA INTERNET SA (A47436019).  Se afirma que el responsable ha contratado los servicios del encargado cuya finalidad se detalla en el manifestando segundo, no obstante, no se aportan estos anexos (manifestando) por lo que se desconoce el objeto del encargo y no se puede acreditar que el encargo esté relacionado con el sistema de historias clínicas electrónicas de pacientes.  El contrato especifica la siguiente tipología de datos afectados: datos básicos, de especial protección (convicciones religiosas y filosóficas, condenas y delitos penales, origen étnico o racial, vida u orientación sexual, violencia de género), datos que identifican características personales, académicos y profesionales, detalles de empleo, económicos, financieros y de seguros, infracciones administrativas, datos biométricos, sanitarios y genéticos. En fecha 28 de junio de 2023 se recibe respuesta al requerimiento anterior por parte de HM, de su análisis se extrae: - Se confirma que tanto “HOSMA 1.0” Y “HOSMA 2.0” son versiones anteriores a DOCTORIS, Sistema de información hospitalario utilizado por HM para la gestión de la historia clínica electrónica (HCE). - Se realiza la siguiente afirmación: “En relación con la realización de auditorías sobre cualquiera de las versiones de Doctoris en los últimos tres años esta parte informa que no ha tenido lugar ninguna. Debido a la situación de la pandemia de COVID-19, HM Hospitales se ha visto obligado a redirigir sus recursos y prioridades principalmente hacia la asistencia sanitaria y la seguridad de los pacientes y del personal, una vez superada la situación de emergencia sanitaria el Comité de Privacidad HM HOSPITALES aprobó en abril de 2023 la realización de auditorías en distintos centros para verificar el nivel de cumplimiento en relación con la normativa vigente de protección de todos los sistemas de información en el segundo semestre de este año”. - Se aporta el listado de las licitaciones con el sector público obtenidas por HM en los últimos dos años, destacando entre otras las siguientes:  Con SESCAM, en el año 2022, sobre “Asistencia sanitaria a pacientes”.  Con el Servicio Madrileño de Salud, en el año 2022, sobre “Pruebas diagnósticas”.  Con el INGESA, en 2022 y 2023, sobre “Reconocimientos médicos preventivos para empleados públicos” - Afirman que HM se encuentra actualmente en proceso de implantación del ENS, proyecto que se inicia con su primera fase en abril de 2023 y que continuará con la siguiente planificación:  Julio de 2023 se realizará la fase de “Inventario de activos, análisis de riesgos y selección de controles”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/45   Agosto y Septiembre de 2023 se realizará la elaboración o ampliación de la documentación del alcance definido. Octubre- Diciembre de 2023 fases de implantación del sistema, auditoría interna y proceso de certificación. CUARTO: Con fecha 29 de agosto de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito solicitando ampliación del plazo concedido para formular alegaciones, así como copia del expediente. Con fecha 13 de septiembre de 2023 se acordó la ampliación concedida, debiendo computarse a partir del día siguiente a aquel en que se recepcione la copia del expediente solicitado. La copia del expediente se notificó en fecha 2 de octubre de 2023. Si bien, HM presenta alegaciones en fecha 14 de septiembre de 2023, solicitando se admitan y se tengan por realizadas, a fin de ser tenidas en cuenta a la hora de emitir la resolución al procedimiento referenciado, y en su virtud proceda a anular o minorar la sanción propuesta por no concurrir los requisitos para su imposición. En sus alegaciones, en síntesis, la parte reclamada aduce: 1.- En su primera alegación, HM hace referencia a la trazabilidad afirmando que acreditó las medidas técnicas y organizativas de seguridad implantadas para garantizar la trazabilidad de los accesos a los datos personales por parte de los usuarios autorizados en su primer escrito de contestación al requerimiento de información por parte de la AEPD, de fecha 27 de abril de 2023. No obstante, a continuación, reconoce que, en la evaluación de impacto aportada en la misma fecha y realizada el 15 de marzo de 2023, se detectó que DOCTORIS no permitía registrar a qué HCE concreta había accedido cada usuario salvo que hubiera modificado los registros. Asimismo, afirman haber subsanado este problema aportando pantallazos de las pruebas que han realizado para acreditarlo. 2.- En su segunda alegación, aluden a la existencia de informes internos del responsable de HM sobre el cumplimiento normativo de estas actividades (Anexos n.º 1 y n.º 2 adjuntos a las alegaciones) destacando una serie de puntos que se recogen en las conclusiones de dichos informes del año 2023 y que se detallan a continuación:  Se detecta que los perfiles no están bien implantados (enfermería, investigadores): a este respecto aclaran haber detectado un riesgo que consideran resuelto en la actualidad y que se origina por la concesión de un perfil de investigados errónea; puesto que, algunos de los sujetos a los que se había concedido no eran investigadores sino personal de enfermería. Detalla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/45   que, para solucionarlo, adoptan en 2023 una serie de medidas como la limitación del número de usuarios que pueden administrar, modificar y crear perfiles en DOCTORIS. Se detecta que DOCTORIS permite la trazabilidad de accesos y de modificaciones, pero no permite conocer quien consulta los datos de HCE. A este respecto, se limitan a señalar que ya ha sido explicado en su primera alegación. Conservación LOGS acceso, además se conserva quién realiza la actividad, cuándo la realiza y sobre qué información, sea cual sea el usuario. Revisión de los mismos de manera mensual: proceden a detallar los plazos durante los cuales conservan los registros y los motivos por lo que lo hacen, destacando que una vez determinados los tiempos, se ha programado el borrado automático de los mismos que con anterioridad se realizaba de forma manual. 3.- En su tercera alegación, la parte reclamada alude a las auditorías para confirmar que no se ha realizado ninguna auditoría específica al software DOCTORIS en los tres últimos años y lo justifican en el constante cambio/mejora al que está sometido el programa. Añade, que lo que sí se ha hecho en este período de tiempo, es llevar a cabo dos evaluaciones de impacto que afirma, fueron aportadas a esta Agencia con anterioridad. Seguidamente, pasa a la realización de auditorías como medidas de seguridad de la actividad HCE reflejada en el Registro de Actividades de tratamiento, para sostener que sí que se han realizado. En particular, indica que se han llevado a cabo auditorías de cumplimiento normativo vinculado al tratamiento de HCE y que DOCTORIS ha sido objeto de verificación mediante un procedimiento de homologación de sistema de receta electrónica en el marco del cual se certifica que el sistema dispone de un nivel de cumplimiento adecuado. 4.- A continuación, alude al cifrado de los datos para afirmar que la base de datos de historias clínicas de pacientes DOCTORIS ha contado siempre con un sistema de cifrado de datos personales que ha sido mejorado en varias ocasiones. Continúa explicando que este sistema tenía, por defecto, un cifrado automático y que éste se ha mejorado. Prosigue explicando la manera en la que se han implementado esas mejoras y concluye diciendo que actualmente se ha finalizado el proceso de implantación del cifrado con tecnología TDE de SQL Server, incluyendo en su escrito una serie de pantallazos del sistema. 5.- En su quinta alegación la parte reclamada alude nuevamente a conclusiones recogidas en sus informes internos. En particular, analiza los siguientes extremos:  Los datos personales se mantienen durante más tiempo del necesario respecto de los fines, sin ser estos fines de archivo en interés público, investigación científica, históricos o estadísticos. Comienza su explicación reconociendo que fue en la EIPD realizada en marzo de 2023 donde se detectó el riesgo de mantener los datos más tiempo del necesario de acuerdo con el fin del tratamiento. Ahora bien, argumenta que, debido a la naturaleza y extensión de los centros con los que cuenta, repartidos por todo el territorio nacional, se han de tener en cuenta disposiciones normativas diversas, variando los tiempos según los criterios que deban C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/45 aplicarse a cada centro de referencia citando diversos ejemplos autonómicos en los que se establecen periodos de conservación distintos para finalmente decir que han fijado un criterio unívoco para todos ellos.  El proceso tiene lugar de forma manual y se requiere automatizar procesos con la finalidad de cumplir con el Protocolo de plazos de conservación de HM HOSPITALES: consideran que es necesaria la intervención de un profesional sanitario para determinan si procede o no la eliminación de los datos de la historia clínica, refiriéndose a sus Instrucciones técnicas y de mejora de los registros en Dharma (Anexo nº 3) a modo de aclaración.  Se ha detectado que DOCTORIS no permite supresión/bloqueo automático y debe realizarse de forma manual. Doctoris no dispone de un proceso automatizado de bloqueo y supresión de datos personales, sino que debe realizarse manual por lo que existe riesgo de incumplimiento en lo que respecta al principio de limitación de plazo de conservación: a este respecto, incide nuevamente en que se ha implementado un mecanismo que permite bloquear los datos de salud en DOCTORIS asi como el borrado automático de los mismos una vez que haya transcurrido el plazo de tiempo establecido al efecto. 6.- Finalizan su exposición refiriéndose a la aplicación en el procedimiento del agravante de Intencionalidad o negligencia por entender que éste no resulta de aplicación. Fundamentan la inaplicabilidad del mismo en los siguientes aspectos:

1. a)Las investigaciones de la AEPD tienen su origen en la denuncia de un antiguo empleado, no en la concurrencia de un incidente de seguridad o la reclamación de un paciente;
2. b)Son conscientes de la importancia del tratamiento de datos de salud a gran escala y prueba de ello es la realización de dos evaluaciones de impacto por su parte, las referidas con anterioridad de diciembre de 2020 y marzo de 2023, Cuyo objeto es el de evaluar y minimizar los posibles riesgos que puedan afectar a la privacidad y seguridad de los datos de los pacientes;
3. c)Consideran haber demostrado que el sistema de gestión de historias clínicas cuenta con medidas de seguridad y con protocolos de seguridad informática para evitar accesos no autorizados. A lo anterior añaden haber realizado acciones de concienciación y formación de su personal para reforzar la cultura de privacidad y el adecuado tratamiento de información sensible;
4. d)Destaca el hecho de que se encuentran actualmente en proceso de implantación del Esquema Nacional de Seguridad (ENS)
5. e)Por último, aluden a su plena colaboración con la administración durante toda la investigación. Junto con dichas alegaciones HM adjuntó la siguiente documentación: ANEXO N.º 1: Informe de análisis de necesidad de EIDP del tratamiento. ANEXO N.º 2: Informe final de valoración del cumplimiento del procedimiento de homologación de sistema de receta médica privada electrónica. ANEXO N.º 3: Instrucciones técnicas y de mejora de los registros en DHARMA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/45 SEXTO: Con fecha 30 de septiembre de 2023, se recibe en esta Agencia Española de Protección de Datos una ampliación de la denuncia presentada por D. A.A.A. en fecha 29 de agosto de 2022. En dicha ampliación de la denuncia se hace constar que (…). SÉPTIMO: Con fecha 8 de abril de 2024 se notificó la apertura del periodo probatorio y se requirió a HM la siguiente documentación e información: Informe del resultado de las auditorías llevadas a cabo en los distintos centros para verificar el nivel de cumplimiento en relación con la normativa vigente de protección de todos los sistemas de información en el segundo semestre de 2023, de conformidad con el PLAN SEMESTRAL DE AUDITORÍAS DEL SISTEMA DE GESTIÓN DE PRIVACIDAD (SGP). OCTAVO: Notificada la apertura del periodo probatorio, con fecha 26 de abril de 2024, la entidad presentó escrito en el que afirma haber llevado a cabo la auditoría de sus centros ubicados en Málaga y haber pospuesto para el segundo semestre de este año la del centro de Arganda conforme a su plan de semestral de auditorías, sin hacer referencia al resto de sus centros. Asimismo, adjunta la siguiente documentación: ANEXO Nº1: Resultados de la Auditoría llevada a cabo en los centros de Málaga. ANEXO Nº2: Registro del Delegado de Protección de Datos ante la Agencia Española de Protección de Datos, de Desarrollos Asistenciales Sur, S.L. ANEXO Nº3: Registro como Delegado de Protección de Datos de HM HOSPITALES 1989 S.A. NOVENO: Con fecha 11 de junio de 2024 se formuló propuesta de resolución, proponiendo se sancione a HM HOSPITALES 1989, S.A., con NIF A79325858, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, con una multa 200.000 € (DOSCIENTOS MIL EUROS). DÉCIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito alegaciones en fecha 26 de junio de 2024. En sus alegaciones, en síntesis, la parte reclamada manifiesta: 1.- En su primera alegación, HM hace referencia al cifrado de datos e indica que el instructor del expediente da a entender que HM Hospitales considera que el cifrado en cabina no es suficiente y por eso planificaron el cifrado por software DES de SQL, procediendo a indicar los aspectos cruciales en su compromiso con la seguridad de datos así como en el equilibrio de la prestación de asistencia sanitaria y la garantía en la disponibilidad de los datos. Consideran que el cifrado previamente utilizado por HM HOSPITALES ya proporcionaba un nivel de seguridad que superaba el mínimo procediendo a describir los estándares de cifrado que usaban, el hecho de que el cifrado lo realizaban a nivel de firmware y las ventajas de las unidades de autocifrado utilizadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/45 2.- En su segunda alegación, HM se refiere a los informes de las distintas auditorías: (…). En este último informe se hace referencia a las áreas de mejora de IT del software DOCTORIS. 3.- En su tercera alegación, HM alega la buena diligencia en la elección del encargado del tratamiento, en garantía de la aplicación de las medidas técnicas y organizativas apropiadas, dejando constancia de los certificados con los que cuenta dicho encargado del tratamiento. 4.- En la cuarta alegación, HM hace referencia a cada uno de los extremos en los que considera que este Organismo ha basado la falta de medidas de técnicas y organizativas adecuadas al tratamiento: - El sistema de cifrado. - La utilización de datos ficticios en entornos de pruebas de preproducción y desarrollo. - Inexistencia de trazabilidad de los accesos al sistema de gestión hospitalaria por partes de los usuarios que accedan a las historias clínicas. - La realización de auditorías. - Los perfiles de los usuarios. Concluye que ha demostrado el grado de cumplimiento (en todo, o en parte) de cada uno de esos aspectos con la documentación aportada durante el procedimiento. 5.- En la quinta alegación, HM hace referencia al principio de proporcionalidad, establecido en el artículo 29 de la Ley 40/2015 de Régimen del Sector Pública en la imposición de sanciones por parte de las Administraciones, y concretamente, considera los siguientes criterios: - Grado de culpabilidad o intencionalidad. - Continuidad o persistencia en la conducta infractora. - Naturaleza de los perjuicios causados. - Reincidencia. Todo lo anterior, le lleva a concluir que procede anular el procedimiento o, en su defecto, minorar la cuantía de la sanción propuesta por entender que no concurren los requisitos para su imposición. Junto con dichas alegaciones HM adjuntó la siguiente documentación: ANEXO N.º 1: Documento sobre características técnicas que garantiza el proveedor Fujitsu así como certificado de TRC INFORMÁTICA relativo al cifrado. ANEXO N.º 2: Informe de Auditoría de KPMG. ANEXO N.º 3: Relación de certificaciones concedidas a TRC INFORMÁTICA. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/45 PRIMERO: Ha quedado acreditado, tal y como consta en el expediente y en su propia página web ***URL.1, que HM HOSPITALES 1989, S.A. con NIF A79325858 y domicilio en Plaza Conde Valle De Suchil, 2 - 28015 Madrid, es un grupo hospitalario privado que presta sus servicios a nivel nacional disponiendo de 49 centros distribuidos en el territorio español, en particular en la Comunidad de Madrid, Galicia, Castilla y León, Castilla-La Mancha, Cataluña y Andalucía. SEGUNDO: Consta en el expediente, mediante escrito aportado por Don A.A.A. en fecha 6 de junio de 2023, el siguiente enlace ***URL.2, que permite acceder a la publicación del registro como marca de la aplicación ““Doctoris” en fecha 16 de noviembre de 2017, solicitada por TRC INFORMÁTICA S.L. TERCERO: Consta probado en el expediente, mediante escrito presentado por Don A.A.A. en el marco de las actuaciones de investigación realizadas, que “Doctoris” es el software de gestión hospitalaria utilizado por HM HOSPITALES 1989, S.A. Consta en el expediente que la aplicación informática “Doctoris” es una evolución de Hosma (Hosma 1.0 y Hosma 2.0 ). Hosma 1.0 se implantó aproximadamente en 2008. La entrada en funcionamiento de Hosma 2.0 fue aproximadamente 2013. Hosma 3.0 no existió y Hosma 4.0 es “Doctoris” CUARTO: Consta acreditado en el expediente, concretamente, en el informe de cumplimiento normativo anexionado al Análisis de Riesgos relativo a la protección de datos de fecha 31 de marzo de 2023, que el tratamiento de datos que realiza HM HOSPITALES 1089, S.A. recae sobre las siguientes categorías de datos:   “Datos básicos: Datos personales que no correspondan a categorías especiales de datos ni a condenas y delitos penales, por ejemplo: nombre, dirección, e-mail, teléfono, edad, sexo, firma, imagen, aficiones, patrimonio, datos bancarios, información académica, profesional, social, comercial, financiera, etc. Categorías especiales de datos: Datos relativos al origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos que permitan la identificación unívoca de una persona, datos relativos a la salud o a la vida y orientación sexuales.”. QUINTO: Consta en el expediente que dicho tratamiento, tal y como consta en el Informe de análisis de necesidad de Evaluación de Impacto de Datos Personales, aportado HM HOSPITALES en fecha 14 de septiembre de 2023, es a gran escala. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/45 SEXTO: Consta en el expediente, contrato de encargado del tratamiento aportado por HM HOSPITALES 1989, S.A. en fecha 26 de abril de 2023 y firmado entre este, como responsable del tratamiento, y TRC INFORMÁTICA, S.L., como encargado del tratamiento, en fecha 1 de enero de 2022, con la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/45 SÉPTIMO: Consta probado en el expediente, mediante escrito presentado por HM HOSPITALES en fecha 28 de junio de 2023, las referencias a los siguientes contratos firmados entre HM HOSPITALES y el sector público para la prestación de asistencia sanitaria, desde el año 2022: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/45 OCTAVO: Consta en el expediente Informe de cumplimiento normativo, correspondiente al Análisis de Riesgos relativo a la Protección de Datos realizado en fecha 31 de marzo de 2023 y bajo la coordinación de Doña C.C.C.. En el Tratamiento de Facturación, Registro de las obligaciones fiscales y contables sujetas a la actividad económica, se hace constar la siguiente información: NOVENO: Consta en el expediente las siguientes evaluaciones de impacto relativas a la protección de datos: EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS HISTORIA CLÍNICA ELECTRÓNICA de fecha 16 de diciembre de 2020. EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS de fecha 15 de marzo de 2023. DÉCIMO: Consta en el expediente Informe de Evaluación de Impacto relativa a la Protección de Datos HM HOSPITALES 1989, S.A., de fecha de realización el 15 de marzo de 2023 y bajo la responsabilidad de Don D.D.D., delegado de protección de datos. A dicha Evaluación de Impacto se anexa Informe de cumplimiento normativo, en el que consta literalmente: UNDÉCIMO: Conforme a documentación aportada por HM HOSPITALES en fecha 14 de septiembre de 2023, se considera acreditado que la deficiencia que presentaba su sistema de gestión de historias clínicas relativa a la trazabilidad de la actividad de intentos de login en el sistema y de usuarios que han accedido, la actividad de acceso a los diferentes módulos, incluyendo a qué historia clínica se ha accedido, así como el tipo de información o parte de la historia clínica que se ha consultado, ha sido subsanada tras constatarse en la evaluación de impacto realizada en marzo del 2023. DUODÉCIMO: Consta en el expediente, en las alegaciones al acuerdo de inicio presentadas por HM HOSPITALES en fecha 14 de septiembre de 2023, la siguiente afirmación relativa a la limitación realizada en su última revisión respecto al número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/45 usuarios que pueden acceder al sistema de gestión “Doctoris” “… el número de usuarios con permisos de crear, modificar perfiles, de forma que en la actualidad solamente hay 12 usuarios que pueden administrar, modificar y crear perfiles en Doctoris con el objetivo de tener un control más reforzado sobre la creación y asignación de perfiles…”. DECIMOTERCERO: Consta en el expediente, en las alegaciones al acuerdo de inicio presentadas por HM HOSPITALES en fecha 14 de septiembre de 2023, acreditado documentalmente que este ha procedido a programar un mecanismo que permite bloquear los datos de salud en “Doctoris”, para impedir su tratamiento, incluyendo su visualización, cuando proceda. Dicho mecanismo establece un plazo de tiempo y una vez superado se procederá al borrado automático de los datos bloqueados. DECIMOCUARTO: Consta en el expediente que HM HOSPITALES disponía de un cifrado automático en los sistemas de almacenamiento de disco y que actualmente se ha finalizado el proceso de implantación del cifrado de las bases de datos en reposo utilizando tecnología TDE de SQL Server. DECIMOQUINTO: Consta en el expediente, Plan Semestral de Auditorías de fecha 27 de mayo de 2023, PLAN SEMESTRAL DE AUDITORÍAS, en el que se dice textualmente: “ “…se reconoció la necesidad de llevar a cabo una auditoría en los centros ubicados en Málaga que se incorporaron al grupo en el año 2022, con el fin de verificar la adopción de los procesos establecidos por la Organización, en particular, aquellos relacionados con el Sistema de Gestión de Privacidad (SGP) de los centros de Desarrollos Asistenciales Sur, S.L. Los centros hospitalarios implicados en esta auditoría son: • Hospital HM Málaga. • Hospital HM Gálvez. • HM Santa Elena. • HM El Pilar. El propósito principal de esta auditoría es asegurar que los centros hospitalarios mantengan el alto nivel de cumplimiento exigido desde HM Hospitales aplicando las políticas y procedimientos internos establecidos para garantizar la privacidad y seguridad de la información de los pacientes y del personal médico. A través de una revisión exhaustiva, se busca identificar incumplimientos y áreas de mejora en la gestión de la privacidad de los datos de carácter personal en estos centros…” (el subrayado es de esta AEPD). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/45 derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento...”. En el presente caso, HM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. Si bien, TRC realiza esta actividad en su condición de encargado del tratamiento, dado que trata datos personales por cuenta del responsable del tratamiento, de conformidad con el citado artículo 4.8 del RGPD. En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas de seguridad para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/45 En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
6. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
7. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
8. c)tomará todas las medidas necesarias de conformidad con el artículo 32(…). 4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/45 Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. III Alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas por HM se debe señalar, según el orden expuesto, lo siguiente: ALEGACIONES HM indica: Primera. En cuanto al cifrado de datos. En la propuesta de resolución, esta Agencia señala que " En contestación a lo alegado, esta Agencia debe significar que en el momento en el que se iniciaron las actuaciones de investigación, así como en el momento en el que se inició el presente procedimiento sancionador HM disponía del nivel mínimo de cifrado, correspondiente al sistema operativo y a la base de datos". Aunque entendemos la preocupación, creemos necesario volver a indicar que el instructor da a entender que HM Hospitales considera que el cifrado en cabina no es suficiente y por eso planificamos el cifrado por software DES de SQL. Deseamos subrayar varios aspectos cruciales que demuestran nuestro profundo compromiso con la seguridad de los datos: 1. Suficiencia del Cifrado por Hardware: Contrario a lo sugerido, el cifrado por hardware implementado en nuestra cabina de discos proporcionaba seguridad equivalente al cifrado DES de SQL. La única limitación detectada fue que la capacidad de la base de datos estaba restringida al espacio disponible en la cabina, una limitación que no compromete la efectividad del cifrado en sí. 2. Implementación del Cifrado TDE de SQL: La transición al cifrado por software TDE de SQL fue una medida proactiva para eliminar las restricciones de tamaño de la base de datos y no una respuesta a una deficiencia de seguridad. Este cambio refleja la política de HM HOSPITALES mejora continua en las prácticas de seguridad. En HM HOSPITALES, la prestación de asistencia sanitaria es nuestra actividad principal. Mientras que la seguridad de los datos es crucial, es igualmente importante garantizar la disponibilidad de estos datos para la atención continua de los pacientes. A continuación, detallamos cómo hemos manejado este equilibrio: 1. Atender a nuestros pacientes: Nuestro proceso de implementación del nuevo cifrado se ha planificado con el objetivo de asegurar que la atención a los pacientes no se vea interrumpida. Esto ha implicado en ocasiones posponer las actualizaciones de cifrado para mantener la accesibilidad continua de los datos clínicos necesarios para la atención. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/45 2. Inclusión de Nuevos Centros: La expansión de nuestra red con la adición de seis nuevos hospitales trajo consigo desafíos significativos en términos de integración de datos y gestión de la infraestructura tecnológica. A pesar de estos desafíos, nos aseguramos de que las medidas de cifrado se implementaran sin comprometer la integridad o la seguridad de los datos. 3. Equilibrio entre seguridad y accesibilidad: Entendemos que el acceso rápido y seguro a los datos médicos es vital para una atención efectiva. Por ello, nuestras soluciones de cifrado están diseñadas para garantizar tanto la protección de los datos como su accesibilidad inmediata cuando los profesionales sanitarios lo requieren. Este enfoque demuestra nuestra dedicación a proporcionar una atención médica de alta calidad, garantizando que las medidas de seguridad de datos apoyen nuestra misión principal y no obstaculicen la atención al paciente. Por último, queremos volver a resaltar que el cifrado previamente utilizado por HM HOSPITALES ya proporcionaba un nivel de seguridad que superaba el mínimo indicado por la AEPD: 1. Alta Seguridad: Utilizábamos estándares de cifrado avanzados como AES128 y AES-256, garantizando que los datos estuvieran protegidos contra accesos no autorizados. Estos métodos de cifrado son extremadamente robustos y ampliamente reconocidos por su eficacia. 2. Cifrado a Nivel de Firmware: Al cifrar datos a nivel de firmware (por LUN), asegurábamos que la protección de datos se aplicara a toda la unidad lógica, proporcionando una capa adicional de seguridad directamente integrada en el hardware. 3. Unidades de Autocrifrado (SED): Las unidades de autocrifrado que utilizaban cifrado de hardware en lugar de firmware ofrecían ventajas significativas, como: 3.1. Rendimiento: No había pérdida de rendimiento ya que el cifrado no cargaba el sistema. Esto era crucial en entornos que requieren alta disponibilidad y rendimiento constante. 3.2. Seguridad Mejorada: El cifrado a nivel de hardware es menos susceptible a ciertos tipos de ataques que podrían afectar a soluciones basadas en software o firmware. 3.3. Cumplimiento Normativo: El uso de estos niveles de cifrado ayudaba a HM HOSPITALES a cumplir con diversas regulaciones de protección de datos y seguridad de la información. Se aporta como enlace la información facilitada por el fabricante de la cabina sobre la seguridad del sistema de cifrado utilizado para mayor clarificación: https://www.fujitsu.com/global/products/computing/storage/disk/eternusdx/featur e/strsys-d11.html C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/45 Se acompaña igualmente como ANEXO I documento adicional informativo sobre las características técnicas que garantiza el proveedor Fujitsu así como certificado de nuestro proveedor TRC INFORMATICA relativo al cifrado de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/45 En contestación a lo alegado, esta Agencia Española de Protección de datos debe insistir en el hecho de que el sistema de base de datos SQL Server que disponía HM tiene su propio sistema de cifrado, un nivel mínimo de cifrado para el tratamiento de datos personales. Dicho nivel mínimo cifrado suponía que, en el supuesto de pérdida de control física del sistema habría dificultad de acceso; sin embargo, en el supuesto de acceso indebido al sistema no existiría barrera que impidiera el acceso a los datos y documentos. Este sistema de cifrado vino a reforzar y completar el sistema de cifrado configurado por defecto en el propio servidor del sistema. Y así lo reconoce la propia entidad reclamada en su escrito de alegaciones de fecha 14 de septiembre de 2023, en el que manifiesta expresamente: “En el momento de las alegaciones se encontraba en período de implantación –a fecha de hoy ya implantado- el sistema TDE, que viene a mejorar el que ya existía en ese momento, el sistema de cifrado realizado por el “Controller Module” de la cabina de almacenamiento. HM HOSPITALES únicamente trasladó información en sus 11 anteriores escritos sobre el proceso de mejora del software de Hosma a Doctoris, y el nuevo y adicional proceso de cifrado que se estaba llevando a cabo con el objetivo de implantar el cifrado con tecnología TDE de SQL Server en el sistema de información de historias clínicas. El modelo de la cabina de almacenamiento utilizada por el sistema de información de historias clínicas DX200 S4 dispone y disponía de un cifrado automático en los sistemas de almacenamiento de disco mediante la tecnología AES de 128 bits o Fujitsu Original Encryption, garantizando que los datos estén protegidos cuando se usan y durante las transferencias de datos a instalaciones de archivado a otra ubicación…” (El subrayado es de este organismo). Es evidente que si se viene a mejorar el que ya existía es porque el sistema de cifrado implantado era insuficiente; y todo ello, a pesar de que la tipología de los datos objeto de tratamiento exigía el mejor sistema de cifrado existente y el más adecuado al riesgo del tratamiento de dichos datos a gran escala y categorías especiales de datos personales, entre otras cuestiones, no pudiendo serlo, como se ha acreditado, con un sistema establecido por defecto en el propio servidor del sistema. Su insuficiencia en relación a los riesgos es lo que determina la comisión de la infracción y la imposición de la sanción. En consecuencia, es evidente la falta de un sistema de cifrado de datos personales acorde a los posibles riesgos estimados. Tal y como se ha hecho constar en el hecho probado sexto HM HOSPITALES ha venido celebrando contratos con el sector público para la prestación de asistencia sanitaria, desde el año 2022: Por tanto, desde ese momento HM HOSPITALES está obligada al cumplimiento del Esquema Nacional de Seguridad, de conformidad con lo previsto en el artículo 2 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/45 Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, que establece: “Artículo 2. Ámbito de aplicación. 1. El presente real decreto es de aplicación a todo el sector público, en los términos en que este se define por el artículo 2 de la Ley 40/2015, de 1 de octubre, y de acuerdo con lo previsto en el artículo 156.2 de la misma. 2. Asimismo, sin perjuicio de la aplicación de la Ley 9/1968, de 5 de abril, de Secretos Oficiales y otra normativa especial, este real decreto será de aplicación a los sistemas que tratan información clasificada, pudiendo resultar necesario adoptar medidas complementarias de seguridad, específicas para dichos sistemas, derivadas de los compromisos internacionales contraídos por España o de su pertenencia a organismos o foros internacionales. 3. Este real decreto también se aplica a los sistemas de información de las entidades del sector privado, incluida la obligación de contar con la política de seguridad a que se refiere el artículo 12, cuando, de acuerdo con la normativa aplicable y en virtud de una relación contractual, presten servicios o provean soluciones a las entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas”. Asimismo, debemos insistir en lo preceptuado en la DA 1ª de la LOPDGDD, que establece: “Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. 1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679. 2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado. En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.”. Por otro lado, tampoco debe olvidarse lo dispuesto en el artículo 3 del ya citado Real Decreto 311/2022, que dispone expresamente que: “Artículo 3. Sistemas de información que traten datos personales. 1. Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/45 al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los requisitos establecidos en el presente real decreto.” En relación con el cifrado, el Esquema Nacional de Seguridad establece: 5.7.3 Cifrado de la información [mp.info.3]. Para el cifrado de información se estará a lo que se indica a continuación: dimensiones C nivel bajo medio alto no aplica no aplica aplica
9. a)La información con un nivel alto en confidencialidad se cifrará tanto durante su almacenamiento como durante su transmisión. Sólo estará en claro mientras se está haciendo uso de ella. [...] En consecuencia, el cifrado se debe aplicar a:
10. a)La dimensión de confidencialidad,
11. b)Los datos en el nivel alto, y
12. c)Los datos almacenados (en reposo). Hacer   uso de un cifrado correcto implica lo siguiente: Que el sistema de cifrado que se emplee no esté comprometido, es decir, que en el momento de utilizarlo no se conozca forma alguna de romperlo. Que se disponga de un sistema de gestión de claves adecuado y robusto, así como de un procedimiento de administración de material criptográfico, en general. A la hora de seleccionar un método de cifrado, aparte de tener en cuenta los dos puntos anteriores, se deberá tener en cuenta que las opciones disponibles cuentan con distintas características, por lo que será necesario analizar y elegir el sistema de cifrado que más se adecúe al servicio en el que se quiere integrar, es decir, si se va a utilizar para el envío de información a un tercero, si se requiere de cifrado en reposo...etc. Dicho lo anterior, debemos insistir en que el sistema de base de datos SQL Server que disponía HM tenía su propio sistema de cifrado, un nivel mínimo de cifrado para el tratamiento de datos personales. En consecuencia, HM no se preocupó de valorar y evaluar si dicho sistema de cifrado era o no suficiente para garantizar un nivel de seguridad adecuado al riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/45 Dicho nivel mínimo cifrado suponía que, en el supuesto de pérdida de control física del sistema habría dificultad de acceso; sin embargo, en el supuesto de acceso indebido al sistema no existiría barrera que impidiera el acceso a los datos y documentos. Este sistema de cifrado vino a reforzar y completar el sistema de cifrado configurado por defecto en el propio servidor del sistema. En consecuencia, es evidente que HM no disponía de sistema robusto de cifrado para garantizar un nivel de seguridad adecuado al riesgo en el tratamiento de los datos personales. HM continúa diciendo que Segunda. Auditorías. Esta parte quiere hacer las siguientes consideraciones sobre los siguientes comentarios realizados por esta Agencia: “No se ha acreditado la realización de auditorías en el sistema de información DOCTORIS (ni en sus versiones anteriores) para garantizar las medidas técnicas y organizativas de seguridad implantadas”. En relación con los comentarios realizados por esta Agencia respecto a la falta de acreditación de auditorías en el sistema de información DOCTORIS (y sus versiones anteriores) para garantizar las medidas técnicas y organizativas de seguridad implantadas, esta Parte quiere hacer las siguientes consideraciones: Es posible que haya existido cierto malentendido a lo largo del Procedimiento, imputable en todo caso nuestra Parte, pues todo lo contrario a la afirmación planteada por este Organismo, HM HOSPITALES tiene diversos cauces para acreditar la revisión continua de su Sistema de Gestión de Privacidad. En anteriores alegaciones, se aportó acreditación documental de la revisión por parte del Departamento DPO de las nuevas adquisiciones por parte del grupo hospitalario, en este caso, los centros hospitalarios de Málaga. Esta revisión se materializa en auditorías denominadas de cumplimiento normativo, donde se realiza un primer diagnóstico de cumplimiento (CUMPLE/NO CUMPLE/NO APLICA) tomando en consideración el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Estas auditorías quedan planificadas principalmente cuando se produce alguna modificación estructural en una determinada sociedad (transformación, absorción, fusión, trasmisión, …) o se traspasa un negocio o actividad, o si cesa en la actividad. En este sentido, dada la expansión del grupo hospitalario, quedaron planificadas la elaboración de este tipo de auditorías en la red de hospitales de la provincia de Málaga, tal y como ha quedado acreditado en anteriores alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/45 Distintas a estas auditorías, HM HOSPITALES revisa desde el diseño o como consecuencia del cumplimiento del artículo 24.1. del RGPD “Dichas medidas se revisarán y actualizarán cuando sea necesario” tal y como hemos expuesto en anteriores alegaciones y que entendemos que para mayor claridad debemos aportar en estas: 1. Informe de Auditoría externalizada de Cumplimiento del Procedimiento de Homologación de Sistema de Receta Médica Privada Electrónica. Con motivo de la certificación de los sistemas de prescripción y repositorios de prescripciones del sistema de receta electrónica privada se realizó una auditoría exhaustiva sobre el software DOCTORIS certificando su cumplimiento con los estándares requeridos para la operación segura y confiable dentro del ámbito de la receta médica privada electrónica. Aportamos como Anexo Nº II el informe completo en el que se demuestra la rigurosidad con la que se evalúa la seguridad y el cumplimiento del software objeto de sanción. 2. Informe de Auditoría de KPMG. Anualmente, HM HOSPITALES es auditado de forma externalizada por la entidad KPMG, una firma de auditoría de renombre internacional. En estas auditorías se revisa el software DOCTORIS, entre otras cuestiones. Dada la naturaleza confidencial del contenido completo del informe, el acceso directo a toda la información del mismo no era posible; No obstante, para aclaración de este apartado consideramos proporcionar en el mismo Anexo Nº II los resultados del año 2023 de KPMG. La presentación subraya que DOCTORIS cumple con criterios de seguridad específicos y confirma que las medidas de protección de datos están adecuadamente implementadas y son efectivas. En contestación a lo alegado, esta Agencia únicamente recordó a HM que el artículo 32. del RGPD establece la necesidad de “verificación y evaluación” de las medidas técnicas implementadas por el responsable: Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (…)
13. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. Por tanto, es evidente que se trata de un principio que establece para los responsables y encargados la obligación “proactiva” del cumplimiento de la norma y ello a través de la implantación de medidas técnicas y organizativas de seguridad que sean apropiadas. Dichas medidas además deben ser revisadas y actualizadas, periódicamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/45 Es la propia entidad la que afirma que “… en los últimos tres años, no se ha hecho ninguna auditoría específica sobre el software…” justificando la ausencia de estas en el hecho de que DOCTORIS está en constante cambio/mejora, sin que esos cambios ni mejoras se hayan hecho constar. Si bien, HM afirma, y así consta en el expediente, que “una vez superada la situación de emergencia sanitaria el Comité de Privacidad HM HOSPITALES aprobó en abril de 2023 la realización de auditorías en distintos centros para verificar el nivel de cumplimiento en relación con la normativa vigente de protección de todos los sistemas de información en el segundo semestre de este año…”. Constatado el hecho de que Informe aportado por HM en periodo probatorio corresponde al Informe de Resultados de la Auditoría llevada a cabo únicamente en los centros ubicados en Málaga, como consecuencia de su incorporación al grupo en el año 2022, sorprende que, en este momento del procedimiento HM aporte; a pesar de lo afirmado, un informe de fecha enero de 2021, en el que consta, expresamente: Por tanto, se deja constancia que dicha auditoría, únicamente, tiene por objeto el Sistema de Receta Electrónica Privada utilizada por parte de HM Hospitales y no “DOCTORIS” como software de gestión hospitalaria utilizado por HM HOSPITALES 1989, S.A. Si bien, en el informe de diciembre de 2023 de KPMG presentado y al que hace referencia la entidad reclamada en sus alegaciones se hace referencia brevemente a las áreas de mejora IT respecto al software “DOCTORIS”. Es de resaltar y conviene dejar constancia de ello en esta resolución, que dicho informe contiene expresamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/45 Evidentemente, dicha auditoría no responde a un cumplimiento de la obligación que tiene el responsable del tratamiento de verificación, evaluación y valoración de la eficacia de las medidas técnicas y organizativas implantadas, en el presente caso, en el software de gestión hospitalaria utilizado por HM HOSPITALES 1989, S.A. “DOCTORIS” para garantizar la seguridad del tratamiento. En relación a las áreas de mejoras de IT respecto al software “DOCTORIS” mencionar que, en todo caso, se refiere a mejoras en el entorno del software y no de mejoras del software con la finalidad de garantizar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos personales llevado a cabo por el citado software. HM continúa diciendo que: Tercera. Garantía de cumplimiento del Encargado del Tratamiento. En referencia a la elección del proveedor del sistema de gestión de Historia Clínica, TRC INFORMÁTICA, S.L., queremos informar que dicho proveedor cumple con lo estipulado en el artículo 28.1 del RGPD, que establece lo siguiente: "Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado". En consonancia con esta afirmación, el artículo 28.5., del RGPD señala que La adhesión del encargado del tratamiento a un código de conducta aprobado a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/45 tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo”. Así pues, TRC INFORMATICA, S.L., aporta como ANEXO N.º III las certificaciones que en la actualidad tiene concedidas y que evidencian no solo el compromiso y cumplimiento normativo por parte del proveedor TRC INFORMATICA, S.L., sino también la diligencia de HM HOSPITALES a la hora de seleccionar al Encargado del tratamiento, asegurando que todas las medidas técnicas y organizativas apropiadas están implementadas para garantizar la protección de los derechos de los interesados. Se aporta al Anexo referenciado los siguientes Certificados: ▪ Certificado por OCA-Instituto de Certificación, SLU del sistema de gestión medioambiental de TRC conforme la norma UNE-EN ISO 14001:2015. ▪ Certificado por OCA-Instituto de Certificación, SLU del sistema de gestión de servicios de T.I. conforme la norma ISO/IEC 20000-1:2018. ▪ Certificado por OCA-Instituto de Certificación, SLU del sistema de gestión de la seguridad de la información de TRC conforme la norma UNE-ISO/IEC 27001:2017. ▪ Certificado por OCA-Instituto de Certificación, SLU del sistema de seguridad y salud laboral de TRC conforme la norma UNE-EN ISO 45001:2018. ▪ Certificado por OCA-Instituto de Certificación, SLU del sistema de gestión de la calidad de TRC conforme la norma UNE-EN ISO 9001:2015. ▪ Certificado por OCA-Instituto de Certificación, SLU de madurez del software de TRC conforme la norma ISO/IEC 15504. ▪ Certificado por OCA-Instituto de Certificación, SLU de tecnología de la información de TRC conforme la norma ISO/IEC 33001:2015. ▪ Certificado por IMQ IBÉRICA de conformidad con el Esquema Nacional de Seguridad nivel Alto. ▪ Certificado por OCA-Instituto de Certificación, SLU de conformidad con el Esquema Nacional de Seguridad nivel Medio. Renovada por nivel Alto. En contestación a lo alegado, debemos mencionar que esta Agencia Española de Protección de Datos en ningún momento, ha puesto en duda la diligencia de HM HOSPITALES a la hora de seleccionar al Encargado del tratamiento ni el compromiso ni el cumplimiento normativo por parte del proveedor y encargado del tratamiento TRC INFORMATICA, S.L. Si bien, esta Agencia Española de Protección de Datos celebra las certificaciones que tiene concedidas TRC INFORMATICA, S.L. La entidad alega que: Cuarta. De la demostración durante el procedimiento del cumplimiento del artículo 32 del Reglamento General de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/45 HM HOSPITALES ha mostrado un compromiso firme con el cumplimiento de las medidas de seguridad y protección de los datos de carácter personal, mantenimiento y mejorando las medidas ya implementadas. La AEPD fundamenta la investigación y establece una propuesta de sanción inicial de 200.000 euros por el incumplimiento de varios puntos de control, cuyo grado de cumplimiento (en todo, o en parte) se ha demostrado con la documentación aportada en los distintos escritos de alegaciones a la AEPD como se detalla a continuación: I. Sobre la falta de medidas para garantizar la confidencialidad de los datos, este Organismo debería validar que el cifrado previamente utilizado por HM HOSPITALES proporcionaba un nivel de seguridad que superaba el mínimo indicado por la AEPD (cifrado por hardware implementado en nuestra cabina de discos proporcionaba seguridad equivalente al cifrado DES de SQL.), y que se ha mejorado con la implantación de un sistema de cifrado utilizando tecnología TDE de SQL Server. En contestación a lo alegado, este organismo debe insistir en el hecho de que si HM ha mejorado el sistema de cifrado es porque dicho sistema era insuficiente e inadecuado al nivel de riesgo en el tratamiento de datos, tal y como está probado. II. Sobre el posible uso de bases de datos reales utilizadas para pruebas en sistemas de preproducción y desarrollo, se demostró y quedó suficientemente acreditado que se utilizan datos ficticios en entornos de prueba. En contestación a este punto, debemos hacer constar que nada se ha alegado por esta Agencia Española en relación al uso de bases de datos reales para pruebas en sistemas de preproducción y desarrollo. No obstante, celebramos que se utilicen datos ficticios en entornos de prueba. III. En relación con la posible inexistencia de trazabilidad de los accesos al sistema de gestión hospitalaria por parte de los usuarios que consultan las historias clínicas, se aportó y se da por reproducido documento elaborado por TRC que demuestra con pantallazos del programa DOCTORIS la trazabilidad de los usuarios que acceden a los datos de las historias clínicas de pacientes. En contestación a lo alegado en relación a la trazabilidad, esta Agencia Española de Protección de Datos ya apuntó en la propuesta de resolución que celebraba que por parte de HM HOSPITALES se hubieran subsanado las deficiencias detectadas a lo largo de la tramitación del presente procedimiento sancionador en relación a la trazabilidad. Si bien es cierto, tal y como consta en el hecho probado décimo, en el Informe de cumplimiento normativo que acompaña al Informe de Evaluación de Impacto relativa a la Protección de Datos HM HOSPITALES 1989, S.A., de fecha de realización el 15 de marzo de 2023 y bajo la responsabilidad de Don , delegado de protección de datos, consta literalmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/45 Por otro lado, la subsanación de dichas deficiencias dejaba clara la insuficiencia y debilidad de las medidas técnicas y organizativas de seguridad implantadas para garantizar la trazabilidad de los accesos a los datos personales por parte de los usuarios autorizados, y, por tanto, la comisión de la infracción. En este sentido, se hizo constar la sentencia de la AN de 9 de febrero de 2023 (rec. 770/2022) que dice: “(…) Las medidas de seguridad implementadas con posterioridad, no afectan a la comisión de la infracción y contrariamente a lo pretendido por la actora no pueden amparar la aplicación de una eximente, sin perjuicio de que hayan sido tomada en consideración como atenuante del artículo 83.2.
14. c)del RGPD a la hora de fijar la sanción”. IV. En referencia a la realización de auditorías sobre cualquiera de las versiones de DOCTORIS, se aporta informe completo de la auditoría realizada con motivo de la certificación de la receta electrónica, y el informe elaborado por la empresa KPMG. En contestación a lo alegado, en relación a la realización de auditorías, este organismo debe subrayar que el informe elaborado por la empresa KPMG, únicamente, tiene por objeto el Sistema de Receta Electrónica Privada utilizada por parte de HM Hospitales y no “DOCTORIS” como software de gestión hospitalaria utilizado por HM HOSPITALES 1989, S.A. V. Respecto de los perfiles de usuario, informar a este Organismo nuestro fuerte compromiso en la mejora constante de aspecto, teniendo en consideración, además, que somos un grupo hospitalario que está en constante expansión. Queremos recordar a esta Agencia que en la Auditoría de KPMG aportada como observación Durante el ejercicio 2023 se ha podido observar que el Grupo ha reducido el número de perfiles (existían más de 400 y ahora existen unos 50). De igual forma hay que señalar que se ha creado una Comisión de revisión de perfiles y permisos en la que se han estado analizando, reduciendo y homogeneizando los permisos asignados en DOCTORIS. Esta comisión se mantendrá para tomar decisiones sobre nuevos accesos que se salgan del circuito habitual de asignación de perfiles definidos. Este seguimiento únicamente debiera ser valorado como actitud diligente y proactiva y no negligente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/45 En contestación a lo alegado, esta Agencia Española de Protección de datos se congratula de las medidas adoptadas con la finalidad de evitar perfiles y permisos mal implantados; si bien, debemos insistir en lo expuesto en la sentencia de la AN de 9 de febrero de 2023 (rec. 770/2022) que dice: “(…) Las medidas de seguridad implementadas con posterioridad, no afectan a la comisión de la infracción (…)”. Por último y antes de pasar a contestar a las demás alegaciones, esta Agencia debe significar la asunción de responsabilidad por parte de HM en relación con el error en la implantación de los perfiles, así como en la ausencia de un sistema de supresión y bloqueo automático. HM continúa diciendo que: En respuesta a la interpretación de la jurisprudencia del Tribunal Supremo proporcionada por la AEPD “El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998)”. HM HOSPITALES desea subrayar que las medidas de mejora en los sistemas de seguridad implementadas no son consecuencia de este procedimiento sancionador. Estas mejoras ya estaban identificadas y programadas como parte de nuestro plan de mejora continua antes del inicio del procedimiento, demostrando un compromiso proactivo y constante con la seguridad de los datos. Destacando la diligencia de HM HOSPITALES, como se evidencia en los procesos de certificación bajo el Esquema Nacional de Seguridad y la ISO 27001, reconocidos en alegaciones previas. Estos procesos de certificación son prueba de que se ha empleado la diligencia exigible para garantizar la seguridad y la protección de los datos personales de nuestros pacientes. Además, en HM HOSPITALES como ya se ha indicado previamente, la disponibilidad de los datos para la asistencia sanitaria es una prioridad que se gestiona sin comprometer la seguridad. Las medidas implementadas aseguran tanto la protección de los datos como su accesibilidad, permitiendo la prestación de un servicio de calidad a los pacientes. En conclusión, los cumplimientos antes expuestos tendrían que llevar aparejado una disminución o graduación en la cuantía de la sanción al quedar demostrado que HM HOSPITALES ha actuado con la diligencia debida, anticipando y abordando proactivamente las necesidades de seguridad en un marco de mejora continua y no como respuesta a acciones legales o administrativas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/45 En primer lugar y antes de contestar a lo alegado, no se puede estar más de acuerdo en que no cabe sanción económica si no hay concurrencia de intencionalidad o negligencia en la infracción. A tal efecto, se hace necesario referirnos a la invocada Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C807/21 (Deutsche Wohnen), que indica: “76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” (el subrayado es nuestro). En la misma línea se expresan los órganos jurisdiccionales de nuestro país. Así, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Además, el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/45 A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional de 29 de junio de 2001). En consecuencia, es evidente que en el presente caso hay negligencia por esa falta de diligencia en el cumplimiento de la normativa vigente en materia de protección de datos, no procediendo, por dicha causa, una disminución o graduación en la cuantía de la sanción. HM continúa diciendo que: Quinta. Del principio de proporcionalidad en la imposición de sanciones. El principio de proporcionalidad, tal como se establece en el artículo 29 de la Ley 40/2015 de Régimen del Sector Público, es fundamental en la imposición de sanciones por las Administraciones Públicas. Este principio indica que: ▪ 29.2: El establecimiento de sanciones pecuniarias debe prever que la comisión de las infracciones tipificadas no resulte más beneficiosa para el infractor que el cumplimiento de las normas infringidas. ▪ 29.3: La determinación del régimen sancionador y la imposición de sanciones deben observar la idoneidad y necesidad de la sanción a imponer, adecuándola a la gravedad de la infracción. La graduación de la sanción debe considerar especialmente los siguientes criterios: - Grado de culpabilidad o intencionalidad: Evaluar si hubo una intención deliberada de infringir la normativa. - Continuidad o persistencia en la conducta infractora: Determinar si la conducta infractora ha sido continua o persistente. - Naturaleza de los perjuicios causados: Considerar los daños o perjuicios causados por la infracción. - Reincidencia: Tener en cuenta si ha habido reincidencia por la comisión de más de una infracción de la misma naturaleza en el término de un año, declarada por resolución firme en vía administrativa. En el presente caso, HM HOSPITALES ha demostrado la inexistencia de una intención deliberada de infringir la normativa (artículo 32 del Reglamento General de Protección de Datos) y la inexistencia de “Continuidad o persistencia en la conducta infractora”, hechos que se pueden demostrar con los cumplimientos detallados, y la implementación adicional de mecanismos y refuerzos en las medidas de seguridad ya existentes para garantizar una mayor protección de los datos personales, que aunado a su diligencia y buena fe, debería ser un factor determinante en la evaluación de la proporcionalidad de la sanción. Asimismo, en relación con la “Naturaleza de los perjuicios causados” no ha existido reclamación o afectación de los derechos fundamentales de los usuarios, tampoco hemos tenido brechas o incidentes de seguridad que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/45 afecten o pongan en peligro los datos, ni se ha causado ningún daño o perjuicios por la infracción. En cuanto a la “reincidencia” es primera vez que se produce un incumplimiento en el ámbito objeto de denuncia (medidas de seguridad en DOCTORIS), y no existe, ni aplica el agravante de reincidencia en este tipo de conducta, haciendo necesario reconsiderar la severidad de cualquier sanción impuesta bajo estos principios. En contestación a lo alegado, debe señalarse, en primer lugar, que el artículo 29 de la Ley 40/2015 de Régimen del Sector Público (en adelante, LRJSP) no resulta de aplicación al régimen sancionador impuesto por el RGPD, en atención a que el propio RGPD tiene su propio régimen de proporcionalidad en el artículo 83 del RGPD. En relación, específicamente, con el régimen sancionador dispuesto en el RGPD, resultan de aplicación sus disposiciones de manera inmediata, directa e íntegra previendo un sistema completo que ha de entenderse, interpretarse e integrarse de forma completa, íntegra, dejando así indemne su finalidad última que es la garantía efectiva y real del derecho fundamental a la Protección de Datos de Carácter Personal. Así, en cuanto a la imposición de multas en los términos del art. 83 del RGPD, estas han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Para que dicho sistema funcione con todas sus garantías en necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos, resultando que no hay laguna legal alguna que determine la aplicabilidad del art. 29 de la Ley 40/2015. Asimismo, se ha de indicar que el art. 63.2 LOPDGDD consagra no ya el carácter supletorio (que serviría para colmar lagunas, que no existen, como hemos visto) sino el carácter subsidiario (que no supletorio) de la normativa general de los procedimientos administrativos respecto de las normas que rigen los procedimientos de la AEPD en materia de protección de datos. Dice así el art. 63.2 LOPDGDD: “2. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/45 contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos…”. El legislador español ha optado pues por el principio de subsidiariedad, que no de supletoriedad, de las normas generales de procedimiento administrativo frente a las específicas del RGPD y LOPDGDD. Dicha relación entre supletoriedad y subsidiariedad hay que entenderla, como ya lo ha hecho la Sala a la que nos dirigimos, en el sentido mencionado en la sentencia de la Audiencia Nacional de 23 de octubre de 2001 (Rec. 390/1999, ECLI:ES:AN:2001:6122), cuando recordaba que “el recurso a la subsidiariedad es una fórmula de colaboración normativa para los casos de concurso de normas, esto es, para los casos en los que resulten aplicables dos o más de ellas al mismo supuesto de hecho, de manera que la subsidiaria cede en beneficio de la primaria a la que, en su caso, complementa”, a diferencia de la supletoriedad, que tiene por objeto colmar una laguna “de tal manera que cuando un determinado supuesto no es objeto de regulación por la norma inicialmente aplicable se da paso a la supletoria, siempre, eso sí, que semejante operación no resulte, .por otras circunstancias, disconforme al ordenamiento jurídico”. En el presente caso, la norma primaria sería el RGPD, que regula expresamente en su art. 83 el principio de proporcionalidad, no siendo de aplicación la regulación del art. 29 de la ley 40/2015 precisamente por su carácter subsidiario. En segundo lugar, se ha de poner de manifiesto que el artículo 83.4 del RGPD dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
15. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” Por tanto, una multa de: - 200.000 euros, en el caso de la infracción del artículo 32 del RGPD, Se encuentran en el tramo inferior de las sanciones posibles, dando así cumplimiento al artículo 83.1 del RGPD anteriormente citado: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias.” Si bien, este Organismo debe dejar constancia que, en la graduación de la sanción y dada la especialidad de la materia, se han tenido en cuenta los siguientes criterios por imperativo del artículo 83.2 del RGPD y del apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/45 Como agravantes: -
16. b)la intencionalidad o negligencia en la infracción; Insistimos en este sentido, en lo ya argumentado respecto a la intencionalidad o negligencia en la infracción. Como agravantes:
17. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Es evidente la vinculación de la actividad empresarial y el tratamiento de los datos personales de los pacientes, significando, además que, dicho tratamiento se realizaba a gran escala, tal y como consta en el hecho probado quinto. IV Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/45 instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, consta que HM, no disponía de las medidas de seguridad razonables en función de los posibles riesgos estimados. Respecto a la adecuación de las medidas implantadas a las exigidas para sistemas con tratamientos de datos de salud e historias clínicas: Se ha constatado que el sistema DOCTORIS (y sus versiones anteriores) SÍ realiza trazabilidad de qué usuarios han accedido al sistema de información y de si estos accesos han sido correctos o fallidos, también se registra trazabilidad sobre qué módulos del sistema ha visitado cada usuario (opciones de menú utilizadas), no obstante, se han acreditado las siguientes deficiencias: (…). Existen informes internos del responsable HM sobre cumplimiento normativo de estas actividades que incluyen las siguientes conclusiones: (…). No se ha acreditado la realización de auditorías en el sistema de información DOCTORIS (ni en sus versiones anteriores) para garantizar las medidas técnicas y organizativas de seguridad implantadas. HM afirma que “En relación con la realización de auditorías sobre cualquiera de las versiones de Doctoris en los últimos tres años esta parte informa que no ha tenido lugar ninguna”. Esta carencia contrasta con la siguiente afirmación realizada en el Registro de Actividades de tratamiento en el apartado referente a las medidas de seguridad de la actividad HCE: Realización de auditorías sobre las medidas técnicas y organizativas de seguridad implantadas para verificar su correcto funcionamiento. En relación con la garantía de la confidencialidad en los tratamientos, ha quedado constatado que (…). No obstante, en relación con las medidas para garantizar la supresión o bloqueo de los datos: (…). Por lo expuesto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a HM, por vulneración del artículo 32 del RGPD. V Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de la infracción tipificada en el artículo 83.4
18. a)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/45 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
19. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
20. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VI Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
21. b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/45 Como agravantes:
22. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. HM ofrece servicios sanitarios para el cuidado y bienestar de nuestros pacientes y sus familiares mediante una oferta asistencial completa, con el compromiso de aportar valor a clientes, accionistas, empleados y al conjunto de la sociedad. Su actividad principal es la gestión de servicios sanitarios asistenciales, docentes y de investigación para el mantenimiento y mejora de la salud de la población, lo que requiere un conocimiento y tratamiento continuo de datos personales de categorías especiales de datos de sus pacientes y usuarios. Dicho tratamiento, tal y como consta en el Informe de análisis de necesidad de Evaluación de Impacto de Datos Personales, aportado HM HOSPITALES en fecha 14 de septiembre de 2023, es a gran escala. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 200.000 € (DOSCIENTOS MIL EUROS). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a HM HOSPITALES 1989, S.A., con NIF A79325858, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de 200.000,00 euros (DOSCIENTOS MIL euros). SEGUNDO: NOTIFICAR la presente resolución a HM HOSPITALES 1989, S.A. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/45 XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es