← España

PS-00368-2015

1/15 Procedimiento Nº PS/00368/2015 RESOLUCIÓN: R/02202/2015 En el procedimiento sancionador PS/00368/2015, instruido por la Agencia Española de Protección de Datos a la entidad SOCIEDAD ESPAÑOLA DE CIRUGIA Y TRAUMATOLOGIA, vista la denuncia presentada por D. C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 25 de julio de 2014 tiene entrada en esta Agencia un escrito de D. C.C.C. en el que declara que con fecha 22 de julio de 2014, ha realizado una búsqueda en Google sobre una enfermedad de la cual ha sido diagnosticado, y en uno de los resultados de la búsqueda ha verificado que se ha hecho público su historial clínico con el diagnóstico y sus datos personales en una imagen de una Resonancia Magnética. Aporta copia de su historia clínica publicada en la página web www.secot.es........, en el epígrafe “Visor web de casos clínicos de residentes en Cirugía Ortopédica y Traumatología”. La historia del denunciante se publica con el título “ A.A.A.” y figuran como autores varios médicos del Complejo H. Universitario de Badajoz. En la historia no constan datos identificativos del paciente, no obstante, se publica una imagen de una prueba diagnóstica, donde figuran el nombre y apellidos del paciente (denunciante), y su fecha de nacimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 30 de julio de 2014, se verifica que la página web www.secot.es, que pertenece a la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), dispone de un visor de casos clínicos, entre los que se encuentra la historia clínica del denunciante y la imagen con su nombre, apellidos y fecha de nacimiento. Así mismo, con fecha 9 de enero de 2015, se comprueba que dicha historia clínica y la imagen continúan publicados en la citada página web. Con fecha 5 de marzo de 2015, se realiza una inspección en la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), en relación con la publicación en su página web de la historia clínica del denunciante, poniéndose de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 1 La SECOT realiza a través de la publicación de casos clínicos en su página web, www.secot.es, una labor de divulgación de técnicas quirúrgicas y procedimientos. 2 Los casos clínicos que se publican en su página web, son facilitados de forma voluntaria por los médicos, de forma anonimizada, por lo que la Sociedad no dispone de los datos de los pacientes a los que corresponden. 3 Antes de publicar los casos en su página web, el propio médico tiene que anonimizar los informes que presenta y que carga a través de una plataforma informática. 4 En el año 2012, se convocó un concurso de “casos clínicos para residentes en cirugía ortopédica y traumatología”. La gestión del concurso se realizó por la empresa LUZAN 5 S.A. EDICIONES, con quien suscribieron un contrato de fecha 20 de abril de 2012, la citada empresa desarrolló la infraestructura necesaria para la convocatoria y la programación del visor de casos clínicos en la página web de la SECOT, según han manifestado, entre las obligaciones de la empresa, se encontraba la de verificar que los casos a publicar en la página web no contenían datos personales. 5 Por otra parte, el Comité Científico de la SECOT, compuesto por miembros de la sociedad, se encargó de la revisión, evaluación y selección de los casos publicables y aunque no era su objeto, también podía detectar algún error sobre la existencia de datos personales. 6 En la actualidad se están estudiando los procedimientos de verificación a realizar antes de publicar los casos clínicos en la página web, con objeto de mejorarlos y de minimizar al máximo los posibles errores. 7 En el caso del denunciante, no consta ningún dato personal en el informe del caso clínico, sin embargo, en la radiografía aparecían los datos de nombre y apellidos del denunciante sin que este hecho fuera detectado por todos los controles previos a su publicación, debido, en parte a que al tratarse de una imagen no permite modificar su contenido como si se tratara de un documento. 8 La SECOT no ha recibido ninguna comunicación directamente del denunciante en relación con la publicación de su caso. La primera comunicación que recibió fue mediante un correo electrónico de la Federación Estatal de Lesbianas, Gais, Transexuales y Bisexuales, con fecha 8 de enero de 2015, solicitando la retirada de la imagen con los datos personales del denunciante. Con fecha 16 de enero de 2015, la SECOT contestó a la solicitud, mediante escrito remitido por Burofax, informando de que en el momento de recibir la solicitud se había procedido a anonimizar la imagen publicada 9 En la Inspección se ha recabado una copia de las Bases de participación en el concurso del año 2012 de Casos Clínicos y de las “normas para redactar el caso clínico” que incluyen que “se debe omitir toda referencia a datos personales identificativos de los enfermos o de sus familiares” y que el autor principal debe ser socio de la SECOT. En este caso, todos los doctores que aparecen en el informe son socios. Con fecha 20 de marzo de 2015, la SECOT, ha remitido a esta Agencia la siguiente información, respecto al médico que incluyó el caso clínico del denunciante en la plataforma informática, gestionada por la empresa LUZAN 5: Esta empresa ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 manifestado que no dispone de dicha información ya que destruyeron la base de datos, según lo estipulado en la cláusula octava del Anexo al contrato firmado con la SECOT “CONTRATO DE TRATAMIENTO DE DATOS”. Con fecha 21 de abril de 2015, Dª B.B.B., ha remitido a esta Agencia la siguiente información sobre la publicación del caso clínico del denunciante en la página web de la SECOT www.secot.es. 1 Aunque en el caso clínico publicado aparecen los nombres de varios doctores, toda la documentación fue enviada por ella a través de la plataforma habilitada en su momento por la SECOT. 2 La información se envió siguiendo las instrucciones de la plataforma y rellenando cada apartado con los datos solicitados sobre el caso clínico. 3 Así mismo, la plataforma disponía de una aplicación para poder subir imágenes, previamente tratadas para su anonimización, como se hizo con la otra imagen que se publicó en la que se ocultaron el nombre y apellidos del paciente. 4 Días después de enviar la documentación, recibió un correo electrónico desde la dirección ....@luzan5.es, del que aporta copia, y en el que le comunican que el caso clínico que envió a Casos clínicos de residentes SECOT 2012 ha sido aprobado. 5 De dicha aprobación dio por hecho que todos los datos y las imágenes eran correctas y acordes con las normas de publicación exigidas, pasando tanto la información como las imágenes a disposición de la página web citada. 6 Aporta copia de los consentimientos informados suscritos por el denunciante, donde se le informa, entre otras cuestiones, de que “durante el procedimiento/tratamiento se podrán realizar fotografías o grabar imágenes que luego se conservarán y podrán transmitir con fines científicos y de docencia y utilizar en sesiones clínicas, juntas facultativas, conferencias, congresos, publicaciones médicas y actos científicos, sin que en las mismas figure identidad alguna del paciente”. 7 Respecto a estos consentimientos, manifiesta que sus originales se encuentran en el Servicio de Documentación Clínica del Complejo Hospitalario Universitario de Badajoz, donde se los han facilitado para su aportación a la Agencia, con el nombre, apellidos y firma del denunciante ocultos, dado que ya no presta servicios en dicho Centro. 8 En el momento de la publicación del caso clínico del denunciante prestaba sus servicios en el Complejo Hospitalario Universitario de Badajoz, en calidad de M.I.R., ya que dicho hospital es un hospital con función docente, en el que se reconoce la posibilidad de comunicación de artículos e información sanitaria para la profesión médica. 9 Desconoce las circunstancias en las que la información no se publicó en la forma correcta, habiendo sido aprobada y entiende que filtrada y testada por los responsables de la página web. TERCERO: Con fecha 2 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la SOCIEDAD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 ESPAÑOLA DE CIRUGIA Y TRAUMATOLOGIA, por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma. CUARTO: Notificado el acuerdo de inicio, SOCIEDAD ESPAÑOLA DE CIRUGIA Y TRAUMATOLOGIA mediante escrito de fecha formuló alegaciones, significando, que: “De acuerdo a las alegaciones realizadas en los apartados anteriores y del acta de inspección realizada el 5 de marzo de 2015, recogido en el Hecho Segundo del Acuerdo de Inicio de Procedimiento Sancionador, se han producido una serie de errores en las actuaciones de todos los sujetos obligados a respetar la confidencialidad y anonimización de los datos del paciente. (…) Al no haberse detectado por ninguno de los intervinientes este error en el contenido de una de las imágenes asociadas al Caso Clínico “XXXXX”, el mismo fue publicado en la página (…) titularidad de SECOT. En este sentido, se trata de un error material o de hecho implicando, por sí sólo, la evidencia del mismo, sin necesidad de mayores razonamientos, y exteriorizándose prima facie por su sola contemplación. En ningún momento fue intención de SECOT la publicación de algún archivo o contenido dentro de su visor de Casos Clínicos de cualquier dato identificativo del denunciante; es más, el denunciante en ningún momento se ha puesto en contacto directo con SECOT para informar de la publicación de sus datos de carácter personal en la imagen dentro del visor de casos clínicos.(…) DÉCIMA.- Tal y como se ha indicado en la Alegación Séptima del presente escrito, SECOT reconoce los errores materiales y formales, no intencionados, cometidos por parte del Comité Científico a la hora de verificar el contenido de las imágenes asociadas al Caso Clínico “XXXXX”, habiendo adoptado las medidas de retirada de la imagen asociada al citado Caso Clínico cuando le fue comunicado por un tercero la existencia de ese error, realizando dicha acción correctiva el 10 de Enero de 2015. UNDÉCIMA.- De acuerdo con lo establecido en el artículo 45.5
  2. d)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, solicitamos que se aprecie por parte de la Agencia Española de Protección de Datos la concurrencia de una específica, singular y cualificada disminución de la responsabilidad de la Sociedad Española de Cirugía Ortopédica y Traumatología que ha de comportar a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa de infracciones que proceda inmediatamente en gravedad a aquella en que se integra la considerada en el Acuerdo de Inicio de Procedimiento Sancionador número PS/00368/2015. Esta solicitud la fundamos en la aplicación del artículo 45.5 de la Ley Orgánica 15/1999 en los siguientes puntos: Reconocimiento espontáneo de la culpabilidad de SECOT por haber publicado dentro de su Visor de Casos Clínicos las imágenes asociadas al Caso Clínico “XXXXX” sin haber realizado un comprobación final del contenido de la imagen (…) SECOT procedió en el momento de tener conocimiento de la existencia de dicha publicación de una imagen que incorporaba datos de carácter personal a regularizar la situación de manera diligente (apartado
  3. b)del artículo 45 de la Ley Orgánica 15/1999) (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Que SECOT no obtiene ningún beneficio a través del uso de dicha imagen, sino sólo pretende incentivar la investigación médica dentro del ámbito de la traumatología. Por la concurrencia significativa de los siguientes criterios establecidos en el artículo 45.4 de la Ley Orgánica 15/1999…” Concluyen las alegaciones solicitando que se aprecie la concurrencia de una disminución de la responsabilidad de la Sociedad Española de Cirugía Ortopédica y Traumatología que ha de comportar el establecimiento de la cuantía de la sanción aplicando la escala relativa de infracciones que proceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente Procedimiento Sancionador. QUINTO: Al haberse reconocido la responsabilidad por la entidad imputada, procede la aplicación de lo dispuesto en el artículo 8.1 de Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva al Director de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: Se ha constatado, en fechas 30 de julio de 2014 y 9 de enero de 2015, que la página web www.secot.es, que pertenece a la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), dispone de un visor de casos clínicos, entre los que figura una historia clínica con una imagen en la que constan los datos identificativos del denunciante de este procedimiento: nombre, apellidos y fecha de nacimiento. SEGUNDO: Con fecha 5 de marzo de 2015, se realiza una inspección en la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), en la que se pone de manifiesto que: La SECOT realiza una labor de divulgación de técnicas quirúrgicas y procedimientos con la publicación de casos clínicos en su página web, www.secot.es,. En el año 2012, se convocó un concurso de “casos clínicos para residentes en cirugía ortopédica y traumatología” que se gestionó por una empresa. El Comité Científico de la SECOT, compuesto por miembros de la sociedad, se encargó de la revisión, evaluación y selección de los casos publicables. Los representantes de la entidad denunciada manifiestan que en el caso del denunciante, no consta ningún dato personal en el informe del caso clínico, sin embargo, en la radiografía aparecían los datos de nombre y apellidos del denunciante sin que este hecho fuera detectado por todos los controles previos a su publicación, debido, en parte a que al tratarse de una imagen no permite modificar su contenido como si se tratara de un documento. TERCERO: Manifiestan que la primera comunicación que recibieron solicitando la retirada de la imagen con los datos personales fue por correo electrónico el 8 de enero de 2015 y que con fecha 16 de enero de 2015, la SECOT contestó a la solicitud, mediante escrito remitido por Burofax, informando de que en el momento de recibir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 solicitud se había procedido a anonimizar la imagen publicada. En la Inspección realizada se recaba una copia de las Bases de participación en el concurso del año 2012 de Casos Clínicos y de las “normas para redactar el caso clínico” que incluyen que “se debe omitir toda referencia a datos personales identificativos de los enfermos o de sus familiares” y que el autor principal debe ser socio de la SECOT. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 16 puntos 1 a 3, sobre los usos de la historia clínica, que: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos.” Por otra parte en el artículo 17, en su apartado 6 referido a la conservación de la historia clínica establece lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. Por último, el artículo 19 de la citada Ley 41/200 indica: “Derechos relacionados con la custodia de la historia clínica. El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  6. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
  7. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 En lo que respecta al concepto de “fichero” el artículo 3.
  8. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  9. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
  10. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  11. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  12. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
  13. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
  14. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, establece el contenido mínimo del documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
  15. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. De los hechos probados en este procedimiento, se deduce que la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), en su calidad de responsable del tratamiento de los datos de salud del visor de casos clínicos publicado en su página web, debió adoptar las medidas necesarias para impedir cualquier acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que en la imagen publicada en el visor de casos clínicos de su página web figuraban los datos identificativos del denunciante de este procedimiento. La necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El artículo 5.1.
  16. g)del Reglamento de la LOPD dispone que se entenderá por “datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” No hay duda de que los datos identificativos del denunciante que aparecían en la imagen de la radiografía del visor de casos clínicos de la página web de la entidad denunciada, lleva a la conclusión de que las medidas de seguridad no evitaron el acceso de personas no autorizadas a los datos de carácter personal relacionados con la salud. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En el presente caso ha quedado acreditado que la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT) carecía de las medidas de seguridad que la Ley exige al responsable del fichero, al permitir el acceso a terceras personas no autorizadas al informe de la patología del denunciante. De acuerdo con los fundamentos anteriores, se deduce que por parte de la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que los datos personales del denunciante fueran accesibles por terceros no autorizados, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. El caso clínico publicado en la página web de la la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT) forma parte de la edición 2012 del proyecto “Casos Clínicos de Residentes en Cirugía Ortopédica y Traumatología de la Sociedad Española de Cirugía Ortopédica y Traumatología, SECOT”. En las normas para redactar los casos clínicos de este proyecto figura la advertencia: “Se debe omitir toda referencia a datos personales identificativos de los enfermos o de sus familiares (nombres propios, lugares de residencia, etc.), así como cualquier información de los mismos que no sea relevante para el caso. Igualmente, se deben eliminar los nombres de hospitales e instituciones”. Manifiesta la entidad denunciada que la obligación de anonimato de los datos identificativos de los pacientes es una práctica habitual de todo profesional médico regulada en el Código de Deontología Médica del Consejo General de Colegios Oficiales de Médicos. Que en el presente caso se produjeron una serie de errores en la actuación de todos los sujetos obligados a respetar la confidencialidad y anonimización de los datos del paciente: los profesionales médicos que elaboraron y enviaron el Caso Clínico al capturar una imagen de una radiografía con los datos del denunciante, la empresa contratada para la gestión del proyecto que debía controlar el cumplimiento de las normas de participación y por último el Comité Científico de SECOT que debía verificar el Caso Clínico y no detectó los datos incluidos en la imagen. Por otra parte la entidad denunciada ha aportado documentación de que la primera solicitud de retirada de los datos personales publicados tuvo lugar el 8 de enero de 2015 por un tercero, que el día 10 de enero se retiró la imagen asociada al Caso Clínico y que el día 16 de enero se envió respuesta por escrito al solicitante sobre la supresión de los datos personales del interesado. Manifiesta también que la Junta Directiva de la SECOT decidió revisar los procedimientos internos de verificación de los Concursos de Casos Clínicos, implantando una medida correctora al incorporar una revisión final con la finalidad de verificar que no haya datos de carácter personal en los Casos Clínicos publicados. Todo ello evidencia que se dieron todos los pasos necesarios para la pronta resolución del problema, retirando la imagen con los datos personales del denunciante e implantando nuevas medidas de seguridad para revisar la existencia de datos de carácter personal en los Casos Clínicos de su página web, para el cumplimiento del principio de seguridad de los datos, consagrado en el artículo 9 de la LOPD. En definitiva, la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT), no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para impedir el acceso a la información de carácter personal que contenía la imagen publicada, por ello, debe considerarse que ha vulnerado el principio de seguridad de los datos personales previsto en la LOPD. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28/01/1981, ratificado por España en fecha 27/01/1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección, de tal forma que, como indica el citado Convenio, tales datos “no podrán tratarse automatizadamente a menos que el derecho interno prevea garantías adecuadas” El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
  17. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT) carecía de las medidas de seguridad que la Ley exige al responsable del fichero, al permitir el acceso a terceras personas no autorizadas al Caso Clínico de un paciente en su página web. De acuerdo con los fundamentos anteriores, se deduce que por parte de la Sociedad Española de Cirugía Ortopédica y Traumatología (SECOT) se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que los datos personales de un paciente fueran accesibles por terceros no autorizados, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Expone la entidad denunciada en sus alegaciones que se retiró la imagen con los datos personales del denunciante y que se implantaron nuevas medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 seguridad para revisar la existencia de datos de carácter personal en los Casos Clínicos de su página web El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso de los supuestos previstos en el artículo 45.5 puede estimarse la concurrencia de los puntos b y d porque se regularizó la situación irregular de forma diligente y porque se reconoció espontáneamente su culpabilidad por lo que debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad. Por otro lado respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  33. a)la existencia de intencionalidad o reiteración,
  34. b)la naturaleza de los perjuicios causados,
  35. c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta que durante la tramitación del presente procedimiento se ha procedido a la regularización de la situación irregular y se ha reconocido la culpabilidad, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 2.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SOCIEDAD ESPAÑOLA DE CIRUGIA ORTOPÉDICA Y TRAUMATOLOGIA, por una infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. h)de dicha norma, una multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45 .2 .4 y .5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad SOCIEDAD ESPAÑOLA DE CIRUGIA ORTOPÉDICA Y TRAUMATOLOGIA y a D. C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.