PS-00391-2020

(2)“La Sociedad Gestora pretende la apertura de una nueva unidad en la que presten los servicios de urgencias médicas traumatológicas motivo por el cual interesa contar con la actividad desarrollada por los PROFESIONALES.”

(3)“Los PROFESIONALES están especializados en cirugía ortopédica y traumatología actividad que prestan mediante su experiencia profesional y qué desean también llevar a cabo su actividad en el CENTRO”.

(4)Acuerdan celebrar el presente contrato de arrendamiento de servicios profesionales que se regirá por las siguientes clausulas: (4.1) Objeto del contrato y naturaleza: El contrato regula las condiciones generales en las que la Sociedad Gestora proporciona los espacios a los PROFESIONALES para el desarrollo de su actividad de consulta, siendo de aplicación la legislación civil en las cuestiones no contempladas en el presente documento. (4.2) Obligaciones de la Sociedad Gestora:  Permitir a los PROFESIONALES el acceso a las instalaciones del centro para el correcto desarrollo de la actividad derivada del presente contrato.  Proporcionar un espacio adecuado a los PROFESIONALES para que estos desarrollen su actividad de consulta, así como aquel soporte logístico y administrativo que se acordara en cada momento para que esa actividad no se vea impedida. Obligaciones de los PROFESIONALES:  Prestar los servicios profesionales contratados de forma eficiente y eficaz durante las 24 horas del día los 365 días del año. A tal efecto, los PROFESIONALES se comprometen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 en los días que de forma autónoma ellos determinen a atender a los pacientes que consultan por urgencias médicas ortopédicas y traumatológicas.  Los PROFESIONALES atenderán también las consultas individuales o conjuntas que provengan o sean consecuencia de los servicios generales del centro y correspondan a su especialidad.  Los PROFESIONALES se comprometen a cumplir con todas las obligaciones que la legislación laboral y de Seguridad Social.  Realizar sus actividades dando estricto cumplimiento a las obligaciones derivadas de la Ley Orgánica 15/999 de 13/12, de Protección de Datos de carácter personal ( LOPD) así como la adopción, implantación y cumplimiento de medidas de seguridad que resulten aplicables, de acuerdo con el Real decreto 1720 / 2007 que la desarrolla, asumiendo en exclusiva cualquier consecuencia de las infracciones que puedan producirse en esta materia en relación con las actividades realizadas en las instalaciones arrendadas y eximiendo expresamente a la Sociedad Gestora de la responsabilidad alguna. (4.3) El contrato tendrá una duración de un año que se prórroga tácitamente por iguales períodos de tiempo. (4.4) Precio y forma de pago: “Los PROFESIONALES recibirán en concepto de retribución por los servicios profesionales prestados el importe equivalente a 42 € brutos por paciente atendido en concepto de honorarios médicos devengados, previa emisión de factura en los 10 primeros días de cada mes por parte del profesional. El pago se realizará a meses vencidos, mediante transferencia en cuenta bancaria.” (4.5) Sin perjuicio del deber de coordinación inherente al trabajo en cualquier centro médico, los PROFESIONALES serán plenamente autónomos en el desarrollo de su actividad. Los PROFESIONALES deberán coordinarse oportunamente con la dirección médica del CENTRO a los efectos de garantizar el adecuado servicio a los pacientes. La asistencia deberá prestarse conforme normas éticas y deontológicas y profesionales que resulten de aplicación, y se ajustará a las normas de acreditación de la calidad impuesta por la Sociedad Gestora en cada momento, debiendo cumplimentarse en todo momento cuantos requisitos establezcan las disposiciones legales y reglamentarias sobre ordenación y prestación de los servicios médicos.” En la página 6, cláusula 7, titulada “Protección de Datos de carácter personal “, se indica: “En cuanto al aseguramiento del cumplimiento de las responsabilidades y obligaciones legales en materia de Protección de Datos se indica que para que “la Sociedad Gestora puede realizar una correcta gestión del CENTRO en función de los distintos datos en materia de asistencia, ocupación, uso de espacios, tipología de intervenciones, etc., los PROFESIONALES se comprometen a utilizar los sistemas de información hospitalaria existentes en el centro.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 De conformidad con lo establecido en el artículo 12 de la LOPD, el acceso por la Sociedad Gestora a datos de carácter personal contenidos en ficheros responsabilidad de los PROFESIONALES, bien por la utilización de los sistemas de información de la Sociedad Gestora o por la prestación de esta última de servicios comunes que impliquen el tratamiento de datos responsabilidad de los PROFESIONALES, la Sociedad Gestora asumirá la condición de encargado del tratamiento, en los términos de la LOPD, debiendo cumplir las siguientes obligaciones:  Tratar los datos personales conforme a las instrucciones que les faciliten los PROFESIONALES.  No aplicar o utilizar los datos de carácter personal con un fin distinto a los que los PROFESIONALES le indiquen, previstos en el presente contrato.  No comunicar, ceder ni permitir el acceso a los datos de carácter personal, ni siquiera para su conservación a otras personas físicas o jurídicas, con la excepción del personal de su organización que, para el cumplimiento de las funciones encomendadas a la Sociedad Gestora, necesiten acceder a los mismos. No obstante, los PROFESIONALES autorizan expresamente a la Sociedad Gestora a que en nombre y por cuenta suya pueda subcontratar con terceras entidades la ejecución de prestación del todo o parte de las funciones encomendadas en la medida en que ello resulte necesario e imprescindible para su cumplimiento y, por lo tanto, habilite a dichas terceras empresas a acceder y tratar los datos personales procedentes de los ficheros titularidad de los PROFESIONALES.  Mantener el más absoluto secreto y confidencialidad sobre los datos proporcionados por los PROFESIONALES y hacer cumplir el mismo deber al personal de su organización que intervengan en cualquier fase del tratamiento de los datos.  Destruir o devolver a los PROFESIONALES los datos personales, así como cualquier soporte documento donde conste en cualquiera de los indicados datos personales, una vez cumplida la prestación que justificó el acceso de la Sociedad Gestora a dichos datos.  La Sociedad Gestora deberá adoptar e implantar y cumplir las medidas de seguridad de índole técnica y organizativas necesarias para garantizar la seguridad e integridad de datos y evitar su alteración pérdida tratamiento de acceso no autorizado de los ficheros de datos responsabilidad de los PROFESIONALES de acuerdo con el Real decreto 1720 /2007.” Se observa que no se incluye referencia expresa a los ficheros o datos que integran la historia clínica, sino mención inespecífica. En la cláusula 8, “responsabilidad” se indica que “los PROFESIONALES son responsables de su actividad profesional en las instalaciones del CENTRO y de las consecuencias que pudieran derivarse de sus actuaciones médicas respecto a los pacientes del hospital. Los PROFESIONALES se comprometen a tener contratado cada uno de ellos mientras dure la relación profesional un seguro de responsabilidad civil.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió al traslado de la reclamación al reclamado el 15/07/2020: Con fecha 30/07/2020 (folios 57 y ss.), el reclamado manifiesta: 1) (folios 60 y ss.) El Hospital es la entidad que recoge los datos de los pacientes según lo dispone el artículo 14.2 de la ley 41/2002 de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (LAP en lo sucesivo). Igualmente, cita el artículo 17.1 de la LAP que señala la obligación de los centros sanitarios de conservar la documentación clínica, de lo que deduce que es el responsable del tratamiento. 2) El reclamante tenía arrendada su actividad libre profesional, emitiendo las correspondientes facturas en concepto de honorarios profesionales y “para lo cual el Hospital requería que el reclamante accediera y tratara por cuenta del Hospital los datos recogidos en las historias clínicas y demás documentación relativa a los distintos procesos asistenciales”. “El acceso al tratamiento de datos de los pacientes implicaba que el Hospital solo habilitaba al reclamante para llevar a cabo los tratamientos de datos (tratamiento asistencial, consulta, cotejo, recogida, acceso para soporte de software, modificación e interconexión) y únicamente cuando resulte necesario para la prevención o el diagnóstico médico, la prestación sanitaria o tratamientos médicos o gestión del servicio sanitario.” Asimismo, “el reclamante trataba los datos única y exclusivamente para los fines establecidos y procedía su tratamiento de acuerdo con las instrucciones señaladas por el Hospital como responsable del tratamiento. Igualmente, no podía tratar datos para sus propios fines ni incluir datos personales en productos o servicios ofrecidos a terceros.” “El reclamante es encargado del tratamiento” . “El reclamante en ningún momento ha actuado como responsable del tratamiento, toda vez que las medidas técnicas y organizativas apropiadas fueron aplicadas por el Hospital, en cumplimiento de la normativa de Protección de Datos”. 3) Sobre las causas que han motivado la incidencia que origina la reclamación y medidas adoptadas, indica: a. “El Hospital cuenta con un procedimiento de gestión de la contratación mercantil y de encargado de tratamiento por el cual se regula el tratamiento de datos de carácter personal de las historias clínicas por parte de los médicos externos.” b. “Ante la incidencia, van a revisar el procedimiento de gestión LOPD en los contratos mercantiles.” c. “Se procede a informar a todos los facultativos de la existencia del procedimiento de gestión de Protección de Datos en los contratos mercantiles y se traslada a la importancia de la correcta gestión siguiendo el procedimiento establecido.” TERCERO: Con fecha 22/10/2020 se acuerda la admisión a trámite de la reclamación. Con fecha 12/11/2020 también se remitió una copia al reclamado. En la admisión a trámite se indica expresamente que no cabe recurso administrativo conforme al artículo 112.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). CUARTO: El reclamado presenta escrito indicando que son alegaciones, referidos al acuerdo de admisión a trámite. Se resumen en las siguientes: 1) En cuanto a la responsabilidad del tratamiento, custodia y almacenamiento de datos de los pacientes por parte del Hospital, indica que el contrato firmado de 1/10/2012 era para prestar el servicio de urgencias médicas traumatológicas, siendo la relación entre las partes mercantil. “Dicha relación consistía en que el Hospital subcontrató al reclamante para que prestara sus servicios a los pacientes del Hospital, incluso las claves de acceso con las compañías de seguros pertenecen al Hospital y no al reclamante, por lo que el reclamante solo atendía a los pacientes que el Hospital le citaba. En ningún caso atendió a sus propios pacientes en las instalaciones del Hospital” “Por los servicios prestados al Hospital, el reclamante emitió facturas en concepto de honorarios profesionales del Hospital pago al reclamante.” 2) “Debido a un error involuntario en la redacción de la cláusula Séptima del contrato, se indicó que el Hospital asume la condición de encargado de tratamiento cuando lo que realmente quiso decir es que el Hospital era responsable del tratamiento. “A pesar del error consignado en el contrato, desde que se inició la relación contractual con los PROFESIONALES, y en particular con el reclamante, el Hospital ha actuado siempre como responsable del tratamiento y el reclamante ha actuado como encargado de tratamiento.” 3) Cita los informes del Gabinete Jurídico de la AEPD 359/2002 y 449/2004 para considerar que el Hospital es la entidad que recoge los datos del paciente, como, además, una obligación que la LAP impone a los centros sanitarios. 4) El Hospital, considerando la naturaleza del ámbito contexto y los fines del tratamiento, aplicó las medidas técnicas y organizativas apropiadas para garantizar y demostrar que el tratamiento es conforme con la normativa de protección de datos, destacando también la implementación de las medidas de seguridad con la obligación de las personas que traten datos personales bajo su autoridad de seguir las instrucciones del Hospital (artículo 25 del RGPD). 5) Tiene un registro de actividades del tratamiento que le permitirá demostrar su cumplimiento, cuenta con una instrucción técnica de gestión del registro de actividad de tratamiento. También manifiesta que tiene diferentes procedimientos implementados para el cumplimiento de la normativa de Protección de Datos. 6) El reclamante no ha actuado nunca como responsable del tratamiento y tampoco ha cumplido sus obligaciones establecidas en el artículo 24 del RGPD. Tampoco puso ningún reparo ni objetó oposición alguna cuándo prestaba sus servicios. 7) El Hospital era el que “estableció el sistema de información utilizada en lugar de almaceC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 namiento, los proveedores etcétera”. “El reclamante nunca trató los datos de los pacientes para sus propios fines ni tampoco los incluyo en productos o servicios ofrecidos a terceros” “En todo momento, el reclamante cumplió las medidas técnicas y organizativas contenidas en las políticas, procedimientos, instrucciones técnicas y cláusulas elaboradas por el Hospital como responsable del tratamiento, en cumplimiento de la normativa de Protección de Datos”. 8) El Hospital ha cumplido todas las obligaciones de custodiar y almacenar los datos de los pacientes. 9) ”El servicio de urgencias traumatológicas de un Hospital es un servicio central del mismo, como el servicio de radiología y otros que tienen esta misma consideración lo que en el ámbito sanitario quiere decir que son servicios a los que los pacientes acuden solicitando una atención sanitaria concreta, pero no de un facultativo concreto, es decir, no son pacientes de un facultativo que acuden a su consulta privada, ni por tanto son pacientes del facultativo, sino pacientes que acuden a recibir una asistencia sanitaria de urgencias cuyos servicio central presta el Hospital.” 10) El Hospital era el que facturaba directamente a los pacientes o a sus compañías aseguradoras por dicha asistencia y “era el facultativo el que emitió las facturas en concepto de honorarios profesionales que el Hospital pagó al mismo, actuando el facultativo por cuenta del Hospital.” 11) Considera que los contratos no son lo que las partes dicen que son, cita entre otras la sentencia del Tribunal Supremo, sala primera de 18/12/2019 recurso 1458 /2016, “Los contratos son lo que son, según su naturaleza jurídica, y no lo que las partes dicen que son (irrelevancia del nomen iuris, por todas, sentencias 765/2010, de 30 de noviembre; y 335/2013, de 7 de mayo)”. Afirma que “el contrato recogió un error que el propio desarrollo de la relación y obligaciones asumidas por cada parte reveló su verdadera naturaleza.” QUINTO: Con fecha 1/02/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a IDCQ HOSPITALES Y SANIDAD, S.L.U., con CIF B87324844, por la presunta infracción del artículo 28.3.

1. g)del RGPD, de conformidad con el artículo 83.4
2. a)del RGPD, y 74.
3. k)de la LOPDGDD. ORDENAR eventualmente, y según resulte de la instrucción a IDCQ HOSPITALES Y SANIDAD, S.L.U., las medidas relacionadas con lo dispuesto en el artículo 58.2
4. d)del RGPD.” “a los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1/10 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de multa administrativa de 100.000 euros.” SEXTO: El reclamado efectúa alegaciones el 17/02/2021, indicando: 1- Reitera que existe un error involuntario en la cláusula séptima del contrato de 1/10/2021, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 donde se indicaba que “los profesionales se comprometen a utilizar los sistemas de información hospitalaria existentes en el CENTRO”, lo que no se corresponde si es que el Hospital fuera un encargado de tratamiento. Se invirtieron las partes, denominando “encargado de tratamiento” a la Sociedad Gestora (esto es al Hospital) y a los profesionales que arrendaban sus servicios para el Hospital, como “responsables del fichero”. Considera que tanto el reclamante como el resto de los facultativos que forman parte del contrato siempre han adoptado la posición jurídica de encargado de tratamiento respecto al Hospital, siguiendo las instrucciones de este último en relación al acceso a los sistemas de información y en consecuencia a las historias clínicas de los pacientes del centro sanitario. El reclamante nunca asumió la posición de responsable del tratamiento, pues fue una vez extinguida la relación, que reclamó la “laboralidad de la misma”. El reclamante, tras la sentencia, “valiéndose del error en la redacción de dicha cláusula aprovecha para reclamar las historias” “de los pacientes que atendió en las urgencias del Centro”. La propia redacción de dicha cláusula permite la interpretación de que el reclamado es responsable del tratamiento pues se señala: “los profesionales se comprometen a utilizar los sistemas de información hospitalaria existentes en el centro”, lo cual no correspondería si el hospital fuera un encargado de tratamiento. Con independencia de ello manifiesta que desde que se inició la relación contractual y en particular con el reclamante, el Hospital siempre ha actuado como responsable del tratamiento y el reclamante como encargado. No ha vulnerado el articulo 28.3.
6. g)del RGPD porque no han actuado como encargado de tratamiento 1- El contrato se firmó con más facultativos, y caso de haberse entregado las historias clínicas de los pacientes, se habrían causado graves daños y perjuicios a los pacientes, al no haber podido acceder los demás profesionales a las historias para prestarles la asistencia médica. 2- Considerando que cae en confusión en el hecho primero de la resolución. Con fecha 2/01/2001, IBÉRICA DE DIAGNÓSTICO Y CIRUGÍA, S.L., firmó un contrato de prestación de servicios con el reclamante. Posteriormente, con fecha 1/10/2012, la misma empresa firmó un contrato de prestación de servicios con varios profesionales, entre los cuales se encontraba el reclamante, para que presten el servicio de urgencias médicas traumatológicas, en la forma y condiciones establecidas en dicho contrato. En el año 2015, IBÉRICA DE DIAGNÓSTICO Y CIRUGÍA, S.L. fue absorbida por IDCQ HOSPITALES Y SANIDAD, S.L.U. El servicio de urgencias traumatológicas de un hospital es un “Servicio Central” lo que en ámbito sanitario quiere decir que son servicios a los que los pacientes acuden solicitando una atención sanitaria concreta, en este caso urgencias del hospital, pero no la de un facultativo concreto, es decir no son pacientes de un facultativo que acuden a su consulta privada, ni por tanto son pacientes del facultativo, sino pacientes que acuden a recibir una asistencia sanitaria de urgencias cuyo servicio central presta el Hospital. 3-Los referidos servicios se facturan por el Hospital, bien directamente al paciente o bien a través de las aseguradoras de salud contratada por el paciente. En relación a la facturación con las distintas aseguradoras de salud, el Hospital tiene formalizados contratos con la mayoría de ellas, siendo el Hospital titular de las “claves de acceso” de las páginas web de las compañías, lo que significa que es el centro sanitario el obligado a registrar la actividad de todos sus asegurados y a facturar los servicios prestados aplicando las tarifas que se estipulan en los contratos suscritos con aquellas. Es el Hospital el que factura dichos servicios y “en ningún caso los profesionales que prestan servicios en nuesC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 tras instalaciones.” Conecta el reclamado, el hecho de que el reclamante no fuera titular de las claves citadas para poder facturar con que prestaba servicios por cuenta del Hospital, sin que percibiera honorarios directamente de los pacientes, tratando los datos de salud de los pacientes por cuenta del Hospital. En “ningún caso el reclamante atendió a sus propios pacientes en las instalaciones del Hospital”. Aporta en doc. 1 impresión de pantallas de páginas de inicio de acceso a diversas compañías aseguradoras de salud. El reclamante emitía facturas con tarifas fijas por servicio prestado, no por paciente determinado, en ningún caso recibió pago alguno por parte de los pacientes. Aporta documento con facturas años 2018 y 2019. Indica que en base al fundamento de derecho III de la SENTENCIA 1, el Hospital “al ser la entidad que percibe el pago de los pacientes y gestiona la atención sanitaria de los mismos, es titular de las historias clínicas de los pacientes” les da la razón en que es titular de las historias clínicas. 4- El sistema informático usado por el reclamante para atender a los pacientes era “el propio del Hospital”. El reclamado ha cumplido con las obligaciones que prevén los artículos 14 y 17 de la LAP. Esas obligaciones impuestas exceden de las instrucciones del responsable del tratamiento, imposibilitando la aplicación del artículo 28 del RGPD, y de considerar que el hospital es un encargado de tratamiento. 5- No es aplicable el artículo 17.5 de la LAP, pues el reclamante no desarrollaba su actividad de manera individual, no era responsable de la gestión y de la documentación que generaba. Además, la historia clínica puede contener episodios asistenciales del reclamante y de otros médicos de distintas especialidades del centro sanitario, razón por la que se aplica el artículo 17.4 de la LAP que supone la custodia de las historias clínicas bajo responsabilidad de la dirección del centro sanitario. 6- Adjunta copia de inscripción de ficheros en el RGPD al amparo de la LOPD art 26, del documento de seguridad y certificado de auditoria efectuado al amparo de la normativa de la LOPD y su Reglamento. En otro documento acompaña el procedimiento por el que se rige en la actualidad sobre medidas de seguridad aplicables. 7- Acompaña copia de la instrucción técnica de gestión de registro de actividades de tratamiento y el registro correspondiente. Asimismo, aporta modelos de notificaciones de brecha de seguridad y al interesado. 8- En el seno del contrato con el reclamante, el Hospital habilitaba el acceso al reclamante a los datos de pacientes para llevar a cabo: - Tratamiento asistencial - Consulta, cotejo, recogida, acceso para soporte software, modificación e interconexión, y únicamente cuando resultaba necesario para la prevención o diagnóstico médico, la prestación sanitaria o tratamientos médicos o la gestión del servicio sanitario. SÉPTIMO: Con fecha 9/07/2021, se inicia un periodo de practica de pruebas. Se dan por reproducidos a tales efectos la reclamación los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05820/2020 y alegaciones al acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 Además, se decidió recabar: 1. A reclamante y reclamado, sobre la prestación de los servicios del reclamante en Centro sanitario XXXXXXX, ***DIRECCIÓN.1, ***LOCALIDAD.2, HOSPITAL XXXXXX ***LOCALIDAD.2, deberán informar, acreditando sus manifestaciones o aportando documentos que lo confirmen si fuera posible en los puntos necesarios, los siguientes aspectos.
7. a)Se solicita que aporten copia de sentencia del Juzgado de lo Social nº 9 de ***LOCALIDAD.1, XXX/2019 de 22/07/2019 que sea totalmente legible, la aportada en la reclamación tiene extremos que no lo son. En su respuesta de 22/07/2021, el reclamado aporta copia de la sentencia. El reclamante en fecha 28/07/2021 también aporta copia de la sentencia.
8. b)Número de registros (pacientes) y antigüedad que gestionó el reclamante, y que proporción son automatizados y en otros soportes, o si existen de cada paciente registros de varios soportes. El reclamado indica que el reclamante inició sus servicios en 1998, siendo el número de pacientes atendidos por el reclamante en los últimos cinco años, en consultas por urgencias traumatológicas de unos 12.000 pacientes. El reclamante desconoce el número de pacientes, su antigüedad del primer contrato es de 2/01/2001 y el segundo de 1/10/2012. “Los primeros años realizaba las historias clínicas en fichas escritas a mano, a partir de una fecha que desconozco 2004, 2005, la informática del hospital me puso un ordenador y me explicó cómo realizar las historias clínicas en el sistema informático del hospital. Las fichas escritas a mano se destruyeron.”
9. c)Informen de la cláusula de información de recogida de datos que se proporcionaba a los pacientes cuando se recogían sus datos. Copia de las cláusulas contenidas. Reclamado aporta copia de documento 2 y 3 con la cláusula. El primer documento se refiere a cuando estaba en vigor la LOPD. Es una cláusula informativa en un impreso de XXXXXXXX, ***LOCALIDAD.2 que refiere la LAP e informa a pacientes, usuarios y público en general, de la finalidad del tratamiento de gestión y administración de servicios sanitarios , aludiendo también a la facturación de servicios. Se indica ante quien ejercitar los derechos respecto de la historia clínica. El segundo documento, es la cláusula de Protección de Datos de carácter personal ajustada al RGPD, indicando los apartados de finalidad, legitimación, destinatarios de las cesiones, derechos de las personas interesadas, procedencia de los datos, referidos entre otras circunstancias a la misma gestión de los servicios sanitarios y administración del hospital, necesarios para la asistencia sanitaria del paciente. Añade que “los pacientes atendidos por el reclamante firmaron consentimientos donde se indica claramente que el responsable del tratamiento es el hospital”. Adjunta TRES impresos con consentimientos firmados por los pacientes atendidos por el reclamante como documento nº 4, figurando como responsable “Hospital de ***LOCALIDAD.2” con la información de protección de datos, con fechas de 21/06/2018, 27/09/2018 y otro de octubre, y se adivina una firma de paciente en cada hoja. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 Reclamante indica que “no me consta que durante todo el tiempo hasta que fui cesado en el Hospital, no se proporcionaba a los pacientes ni estos firmaban ninguna cláusula de información de recogida de datos”.
10. d)Informen cómo se contestaba y actuaban en el curso del periodo en que mantuvieron la relación, a las peticiones relacionadas con el ejercicio de derechos de los afectados referidos a historia clínica, accesos, traslados etc. Aportando acreditación si dispusieran. El reclamado indica que las solicitudes son recibidas y atendidas por el Hospital. Tiene un procedimiento en el que informa que los datos personales son responsabilidad de las entidades que forman el Grupo Hospitalario. Aporta copia de documento nº 5:” instrucción técnica para la atención de los derechos de Protección de Datos”, dirigida a empleados y facultativos, con tres versiones modificadas, desde julio 2016 a abril 2020. En ella, se regulan las condiciones generales para dar cumplimiento a la obligación legal de atender ejercicio de derechos de los afectados cuyos datos personales son tratados por GRUPO HOSPITALARIO XXXXX. Aportan en documento nº 6 solicitud de ejercicio de derechos de 2018 por un usuario en el que cita tres centros médicos del reclamado en ***LOCALIDAD.2, instando la cancelación de la historia clínica, y la respuesta dada por el reclamado el 9/06/2018. Reclamante indica “no entiendo bien la pregunta”, pero a los “pacientes atendidos en consulta se les entregaba un informe de la atención medica en consulta, a través del sistema informático del hospital, así como informe de alta a los pacientes ingresados y a los pacientes a los que se realizaba una intervención quirúrgica”.
11. e)Respondan, ¿sí han recibido y cursado, pedido o resuelto peticiones de pacientes atendidos por el reclamante para trasladar la historia clínica a instancia del reclamante?, y ¿Qué se respondió.? El reclamado indica que no. El reclamante indica que en la actual consulta que pasa en ***LOCALIDAD.2, ajena al Hospital Quirón, muchos pacientes me han preguntado sí tenía su historia clínica anterior, contestándoles que no. “Ningún paciente me ha traído su historia clínica del hospital Quirón”.
12. f)En cuanto a las relaciones con los pacientes, relación asistencial con el Hospital o centro sanitario y con el reclamante, se solicita que detallen y expliquen, distintas procedencias de los pacientes en relación con la base jurídica de la que proceden, tipo de relación que ampara la prestación de dicho servicio y si se distinguía en la base de datos o se anotaba alguna distinción en función de ello, así como el volumen de pacientes expresados en relación con los distintas bases de prestación del servicio. El reclamado indica que en bases de datos no se hacía ninguna distinción y anotación de descripciones, porque la prestación de la asistencia sanitaria se realiza en el hospital cuya historia clínica está bajo conservación y custodia del mismo como responsable del tratamiento. Adjunta como documento nº 7 “procedimiento para la gestión de admisiones” aprobado iniC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 cialmente en junio 2014 y revisado. Entre otras, se contiene la realización por el personal del reclamado de la admisión de pacientes, registrando en el sistema informático la prestación que se le va a realizar, la creación de un numero de historia clínica al paciente nuevo, “recoger las solicitudes de documentación clínica procedente de la HHCC de los pacientes”. Los pacientes pueden proceder de compañías de salud, aseguradoras y mutuas, organismos públicos, hospitales, Junta de Comunidades de Castilla la Mancha, y privados. Esta tipificación de pacientes es necesaria para la facturación de los servicios prestados por parte del hospital. Adjunta como documento nº 8, procedimiento para la facturación de las actividades realizadas en el hospital. El reclamante indica que “los pacientes que yo atendía en las instalaciones del hospital XXXXX provenían de las compañías sanitarias que el hospital tenía concertadas y de listas de espera quirúrgicas del SESCAM que el hospital concertaba con dicho organismo sanitario público”.
13. g)¿Que tanto por ciento de pacientes se estiman que procedían de modalidades de intermediación del hospital y que parte propia del reclamante? El reclamado indica que todos los pacientes proceden del hospital, y que las citaciones para todos los servicios se realizan por el servicio de admisión del hospital, según se detalla en el procedimiento para la gestión de admisiones, documento nº 7. Reclamante indica que “todos los pacientes que he atendido en el hospital, tanto en consulta como en el quirófano procedían de modalidades de intermediación del hospital y ninguno por parte”.
14. h)Indiquen si en cuanto a las intervenciones quirúrgicas que efectuaba el reclamante a pacientes privados suyos o pacientes privados procedentes de un contrato con aseguradoras médicas, existía alguna diferenciación en el tratamiento de sus bases de datos o en historias clínicas, y si figuran diferenciados el volumen atendido por esta modalidad. El reclamado indica que “No existía ni existe ninguna diferenciación en el tratamiento de las bases de datos del Hospital porque todos eran y son pacientes del Hospital.” Reclamante indica nunca ha tenido pacientes privados ni contrato con ninguna aseguradora médica todos los pacientes eran contratados por el hospital y todos figuraban en la base de datos del sistema informático del Hospital.
15. i)Indiquen si el reclamante podría tener contrato con una aseguradora médica y recibir pacientes con dicho origen, y si sucedía lo mismo con el hospital, pudiendo ser la misma aseguradora o existía algún pacto sobre dicho aspecto, o como se solventaba esta cuestión. El reclamado indica que el reclamante no podía tener contrato con ninguna aseguradora médica en relación a los pacientes atendidos en el Hospital, porque el Hospital tiene formalizados los contratos con las aseguradoras, siendo el hospital titular de las “claves de acceso” de las páginas web de las compañías, lo que significa que es el centro sanitario el obligado a registrar la actividad de todos sus asegurados y a facturar los servicios prestados aplicando las tarifas que se estipulan en los contratos suscritos con aquellas. En definitiva, la titularidad de dichas claves determina que sea el Hospital el que factura dichos servicios a sus pacientes y en ningún caso los profesionales que prestan servicios en nuestras instalacioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 nes. En el caso concreto del reclamante, nunca fue titular de dichas claves de acceso para poder facturar a las aseguradoras, lo que revela que prestaba sus servicios por cuenta del Hospital y que en ningún caso percibía honorarios directamente de los pacientes, tratando los datos de salud de los pacientes por cuenta del Hospital. Se acompaña como documento nº 9 pantallazos de las páginas de inicio de diversas compañías aseguradoras… Reclamante indica que nunca ha tenido contrato con ninguna aseguradora médica. Todos los pacientes eran concertados por el hospital.
16. j)¿Quién establecía el modo de acceso a la base de datos de las historias clínicas?, -Personas autorizadas a dicha información, detallando los aspectos, y cómo estaba organizada la citada base de datos. El reclamado indica que “el Hospital establecía y establece el acceso a las historias clínicas de los pacientes. El responsable del Departamento de Personal realiza una petición de alta de usuario a través de la aplicación de gestión de peticiones en la que adjunta un formulario con los datos necesarios para el acceso a las aplicaciones. Una vez recibida la petición, el departamento de informática realiza el alta en los sistemas de seguridad y la aplicación a las que tiene que tener acceso por su rol. En este caso al ser un profesional asistencial se le da acceso a la herramienta de historias clínicas (a través de un usuario nominativo y una contraseña que sólo conoce el profesional) IMDH, que es el modo de acceso a las bases de datos de historias clínicas.” “Es el mismo departamento de informática, el que, una vez comunicada la baja de un profesional por el departamento de Personal, procede a inhabilitar los usuarios en las aplicaciones”. El reclamante indica “Los informáticos del hospital”.
17. k)¿Qué requerimientos y protocolo de seguridad tenían hasta llegar a acceder a las bases de datos de los pacientes que contenían sus historias clínicas? ¿Quién gestionaba la administración del sistema? - ¿Quién determinaba la atención del sistema informático? El reclamado indica “los informáticos del Hospital gestionan el sistema, apoyados por un proveedor externo (INDRA). Por otro lado, el Hospital tiene una Instrucción Técnica para Revisión de Accesos a Sistemas Críticos, que regulan las condiciones generales para garantizar el cumplimiento de la obligación de revisar los accesos a los sistemas de información especialmente protegida, como las historias clínicas del Grupo Hospitalario XXXXXXXXX por parte de los usuarios de los mismos. En ese sentido, dicha Instrucción Técnica señala que el acceso a la Historia Clínica en el ámbito de un centro sanitario queda limitado al propio personal sanitario que presta asistencia al paciente, a fin de garantizar su adecuado diagnóstico y tratamiento y, el personal de administración y gestión, exclusivamente en lo que resulte necesario para el ejercicio de sus propias funciones, así como los registros y revisiones de accesos a las historias clínicas”. Se adjunta la “Instrucción Técnica para la revisión de accesos a los sistemas críticos”, debidamente publicada, como documento nº 10. El documento refiere el artículo 24 del RGPD y la LAP, refiriendo el acceso a la HC para la prestación sanitaria. Informa al personal del registro de accesos, la revisión de estos y periodicidad, accesos injustificados de estas y las funciones de los Comités de Seguridad de la Información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 Asimismo, el Hospital ha realizado las correspondientes auditorías de protección de datos para comprobar el cumplimiento de las medidas de seguridad y la normativa de protección de datos vigente (en este período por la LOPD 15/99 era obligatorio que el responsable de tratamiento realice auditorías). Se adjunta el documento de seguridad versión 3.0 fecha 2016 donde se detallan las medidas de seguridad, abarcando los centros de tratamientos, equipos, sistemas, programas y soportes utilizados el HOSPITAL XXXXXXXX ***LOCALIDAD.2 que abarca tres sedes y para el personal de dicha sede , abarcando los ficheros de titularidad del HOSPITAL, que están adjuntos al presente documentos”. El documento refiere entre otras, la aplicación informatica donde se integran las historias clínicas de pacientes, digitalización y almacenamiento de imagen médica y el certificado emitido por el auditor externo XXXXX ASESORES LEGALES que realizó la auditoría, como documento nº 11, fechado a 11/07/2016. El reclamante repite: “los informáticos del hospital”
18. l)Sobre copias de respaldo de la información y los datos, ¿Como se llevaba a cabo?, periodicidad y sistemas empleados. El reclamado indica que se realizan por el equipo de sistemas, conforme señala el punto 5.1.
19. e)del documento de seguridad que consta en el documento nº 11.
20. m)Informen de cómo operaba y funcionaba el sistema de recepción que ponía el Hospital en relación con las consultas que pasaba el reclamante, y en qué consistía, indicando que herramientas informáticas se utilizaban, quien era el titular y que funciones, prestaciones o servicios ofrecía a los médicos contratados como el reclamante. Indique a que datos accedía ese servicio de recepción y quien recogía originariamente esos datos. En idénticos términos sobre el sistema utilizado para atención a pacientes para la prestación asistencial y que almacenaba las historias clínicas (software, hardware y documento de seguridad de la información, datos personales e historias clínicas que se manejaban). El reclamado indica que “el sistema de recepción de pacientes” figura documentada en el “Procedimiento para la gestión de admisiones”, documento nº 7, para lo cual el Hospital utiliza su propia herramienta informática, como producto elaborado por la empresa tecnológica INDRA. Con ella se realizan los servicios relacionados con el ámbito asistencial de consultas, urgencias y quirófano, así como la conservación de la historia clínica de paciente. El personal administrativo de Admisiones del Hospital accede a la ficha de datos personales de identificación del paciente. Para la prestación asistencial y conservación de las historias clínicas (software, hardware y documento de seguridad de la información, datos personales e historias clínicas que se manejaban) se utiliza el mismo sistema IMDH, antes indicado. Reclamante indica que el personal laboral de admisión del hospital recibía las llamadas de los pacientes y los citaban en consulta utilizando el sistema informático del Hospital. “La atención a pacientes, la prestación asistencial y el almacenamiento de las historias clínicas se realizaba siempre en el sistema informático del hospital”.
21. n)Si disponen de facturas o abonos por custodia de datos, equipos de tratamiento de datos o sistemas de información, o gastos en general en que hayan incurrido por las operaciones de tratamiento llevadas a cabo con los datos de los pacientes en atención médica/historias clínicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 El reclamado indica que contrata los servicios de mantenimiento del sistema de información y también el mantenimiento correctivo. Aporta copia de documento nº 12, “Mantenimiento del sistema de información asistencial” con INDRA (1/01/2018 a 31/12/2018) que comprende entre otros, el sistema de información asistencial para la gestión asistencial. . Cuando tenía la documentación conservada en soporte papel hospital contrató a una empresa para el archivo y custodia de la documentación adjunta factura en documento nº13. Reclamante indica “este término de corresponder al hospital”. ñ) Informen si antes de la entrada en vigor del RGPD los tratamientos y ficheros del citado hospital y servicio se hallaban inscritos en el Registro de ficheros y tratamientos de la AEPD, aportando copia de sus referencias. El reclamado indica que “Los ficheros se encontraban debidamente inscritos en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos, apareciendo como responsable de tratamiento el Hospital”. Adjunta documento nº 14, comunicados de 27/04 y 11/05/2016 de la AEPD de la inscripción de ficheros, entre ellos RESIDENTES, y PACIENTES, relacionados con la gestión de clientes e historial clínico, categoría de usuarios: clientes y usuarios. Reclamante indica “este término de corresponder al hospital”.
22. o)Adaptaciones efectuadas sobre los citados tratamientos y ficheros cuando entra en vigor el RGPD. El reclamado indica listado de procedimientos, instrucciones, guías, cláusulas y contratos que forman parte del sistema de gestión de protección de datos del Hospital, publicados por el Grupo Hospitalario XXXXXXXX en el Sistema de Calidad del Hospital y en la intranet, a razón de la adaptación a la nueva normativa de protección de datos. Aportan documento nº 15, pantallazo de procedimientos, disponibles también en la intranet, y en documento nº 16, procedimiento para elaborar el Registro de Actividades de Tratamiento contenido en la “la Instrucción Técnica de gestión de Registro de Actividades de Tratamiento. “ Reclamante indica “este término de corresponder al hospital”.
23. p)En el contrato suscrito entre reclamado- reclamante y otros médicos, figura una cláusula que indica: “De conformidad con lo establecido en el artículo 12 de la LOPD, el acceso por la Sociedad Gestora a datos de carácter personal contenidos en ficheros responsabilidad de los PROFESIONALES, bien por la utilización de los sistemas de información de la Sociedad Gestora o por la prestación de esta última de servicios comunes que impliquen el tratamiento de datos responsabilidad de los PROFESIONALES, la Sociedad Gestora asumirá la condición de encargado del tratamiento, en los términos de la LOPD, debiendo cumplir las siguientes obligaciones: ¿Qué fichero/s eran responsabilidad de los profesionales? Si los profesionales, reclamante, dictó instrucciones sobre acceso ¿A qué tipos de datos tenía que acceder el Hospital o el personal encargado del mismo, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 que finalidad?? El reclamado indica que “Ninguno de los ficheros eran responsabilidad de los profesionales”, y ya lo precisaron en alegaciones. Fue, por un error involuntario en la redacción de la cláusula que se invirtieron las partes, denominando como “encargado de tratamiento” a la sociedad gestora (esto es al Hospital) y a los profesionales que arrendaban sus servicios para el Hospital, como “responsables del fichero”. El hecho cierto es que durante todo el tiempo que duró la relación entre el Hospital y el citado facultativo -al igual que con el resto de profesionales contratados, que también son parte de dicho contrato-, todos ellos (incluido el reclamante) siempre adoptaron la posición de “encargado de tratamiento” respecto al hospital (como Responsable del fichero -hoy de tratamiento-) siguiendo las instrucciones de este último en relación al acceso a los sistemas de información, y en consecuencia al acceso a las historias clínicas de los pacientes del Centro Sanitario. El Hospital, como responsable de Tratamiento, ha cumplido con las obligaciones establecidas en los artículos 14 y 17 de la LAP, como son la conservación y custodia de la documentación clínica en condiciones que garantizan su correcto mantenimiento y seguridad, para la debida asistencia a los pacientes durante el tiempo adecuado de cada proceso asistencial. El Hospital es la entidad que recoge los datos del paciente, y lo relaciona con el artículo 14.2 y 17.1 de la LAP, considerando que la historia clínica puede contener episodios asistenciales prestados por el reclamante y o de otros médicos de distintas especialidades del centro sanitario Reclamante indica “ningún fichero es responsabilidad de los profesionales nunca habité instrucciones de acceso”. 2. A reclamante:
24. a)Tipo de equipamiento informático utilizaba en cuanto a la constancia de las consultas de los pacientes, si existía algún extremo sobre ello, contenido en acuerdos suscritos con reclamado, quien era el titular del equipo/equipos. ¿Como se implementaban los citados equipos con la conservación y almacenamiento de la información, que tipos de servidores utilizaba para ello? ¿Qué base de datos utilizaba y en que software se apoyaba?? Manifiesta que el equipamiento informático que utilizaba era propiedad del Hospital jamás ha utilizado un ordenador ni un sistema informático de su propiedad.
25. b)Aporte, si dispone de algún documento entregado a reclamado y recibido por esta sobre la expresa petición de los datos de las historias clínicas que considera de su titularidad. Manifiesta que “no tiene documentos entregados al Hospital”. 3. A reclamado:
26. a)Acreditación de haber emitido instrucciones, orientaciones, aclaraciones a la otra parte sobre el tratamiento de datos, el fichero, medidas de seguridad etc. Indica que: “elabora, publica y comunica a los profesionales sanitarios la normativa interna necesaria para el tratamiento de los datos y el cumplimiento de las medidas de seguridad implantadas por el Hospital. La normativa interna ha sido publicada por el Grupo HospitalaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 rio XXXXXXXXX en el Sistema de Calidad del Hospital y de la intranet como hemos indicado en el punto 16. Asimismo, se adjunta el acuse de recibo de dicha documentación debidamente firmada por el reclamante como documento nº 17, firmado el 11/05/2015 en el que se indica que “ha recibido la normativa interna para los profesionales asistenciales y personal de administración y gestión del Hospital en relación a las medidas de seguridad de obligado cumplimiento para todos los usuarios autorizados.”
27. b)¿Qué protocolo o pautas de actuación tenía cuando alguna persona se dirigía al reclamante como prestador de la atención medica en cuestiones de historias clínicas y ejercía su derecho de acceso a sus datos de carácter personal o pedía la historia clínica? Acreditación si dispusiera de la misma. Indica que no tienen constancia de alguna petición de acceso dirigida al reclamante sobre derechos, y que en “cumplimiento de nuestro procedimiento, de haberse realizado, tendría que haber remitido la solicitud al hospital como responsable del tratamiento para su atención como en los casos de reclamaciones judiciales o de responsabilidad patrimonial”. Aporta documento 18 en el que ante una petición de documentación del servicio de inspección médica por responsabilidad patrimonial, solicitando entre otros informe del servicio de traumatología, de 18/03/2019 .
28. c)En el contrato suscrito con el reclamante se indicaba:  Realizar sus actividades dando estricto cumplimiento a las obligaciones derivadas de la Ley Orgánica 15/999 de 13/12, de Protección de Datos de carácter personal ( LOPD) así como la adopción, implantación y cumplimiento de medidas de seguridad que resulten aplicables, de acuerdo con el Real decreto 1720/2007 que la desarrolla, asumiendo en exclusiva a cualquier consecuencia de las infracciones que puedan producirse en esta materia en relación con las actividades realizadas en las instalaciones arrendadas y eximiendo expresamente a la Sociedad Gestora de la responsabilidad alguna.” En el contrato no se alude a contrato de arrendamiento alguno, sino al acceso y uso de instalaciones, se solicita aclare este aspecto. Manifiesta que el contrato no regula un arrendamiento de instalaciones por lo que es un error incluir instalaciones arrendadas porque se regula únicamente el arrendamiento de servicios profesionales. Las facturas emitidas por el reclamante corresponden únicamente a los servicios prestados en ningún caso por arrendamiento de instalaciones. Adjunta copia de facturas emitidas por reclamado a reclamante en documento nº 19, de enero a marzo 2019, figurando el descuento del IRPF, relación de tratamientos y cuantía por cada uno de ellos, indicándose “Servicio de traumatología Hospital XXXXXX ***LOCALIDAD.2”.
29. b)¿Cómo interpreta y se materializa el contenido de la cláusula del contrato, que indica?: “4.5) Sin perjuicio del deber de coordinación inherente al trabajo en cualquier centro médico, los PROFESIONALES serán plenamente autónomos en el desarrollo de su actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 Los PROFESIONALES deberán coordinarse oportunamente con la dirección médica del CENTRO a los efectos de garantizar el adecuado servicio a los pacientes. La asistencia deberá prestarse conforme normas éticas y deontológicas y profesionales que resulten de aplicación, y se ajustará a las normas de acreditación de la calidad impuesta por la Sociedad Gestora en cada momento, debiendo cumplimentarse en todo momento cuantos requisitos establezcan las disposiciones legales y reglamentarias sobre ordenación y prestación de los servicios médicos.” Manifiesta que el hecho de que se establezca esta cláusula, se refiere a que el profesional sanitario dispone de autonomía para prestar la asistencia sanitaria, realizar diagnóstico y tratar al paciente, en base a su criterio profesional y es que, el elemento principal de la autonomía profesional de la que gozan los facultativos es la garantía de que el mismo puede emitir con toda libertad su opinión profesional con respecto a la atención y tratamiento de sus pacientes, tal y como lo establece la Declaración de la Asociación Médica Mundial y el código deontológico. SEXTO: Con fecha 17/09/2021 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se archive la infracción del artículo 28.3.
30. g)del RGPD, a IDCQ HOSPITALES Y SANIDAD, S.L.U., con CIF B87324844, conforme determina el artículo 83.4
31. a)del RGPD, tipificada a efectos de prescripción según determina el artículo 74.
32. k)de la LOPDGDD, con una multa de 100.000 euros.” Frente a la propuesta no se reciben alegaciones SÉPTIMO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante solicita en su reclamación, que se le impidió por la reclamada cuando se le rescindió el contrato, el acceso a datos de historias clínicas de pacientes a los que el atendió, y que lo considera contrario a la normativa de protección de datos. SEGUNDO: El reclamante aporta una sentencia del Juzgado de lo Social nº 9 de ***LOCALIDAD.1, núm. XXX/2019 de 22/07/2019 sobre despido contra la reclamada. En la misma se falla la “incompetencia de la jurisdicción social para conocer de la demanda origen de las presentes actuaciones promovida por el reclamante…” frente a la reclamada “y absuelvo a la reclamada de las pretensiones deducidas en su contra”. En el fundamento de derecho segundo, se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 se “considera que la relación jurídica entre las partes no es de naturaleza laboral porque el actor gozaba de libertad para organizar su trabajo sin estar sometido a jornada u horario ni a régimen organizativo rector o disciplinario de la demandada. El demandante por interés acuerda disponer del espacio físico en el hospital para pasar consulta y el quirófano el uso de estos elementos físicos y productivos para el demandante la demandada percibía renta el 25% de los honorarios percibidos por la actividad de consulta, el demandante no se sometía, más allá de lo que es propio en un contrato mercantil de arrendamiento de servicios a órdenes o directrices de carácter organizativo del propio hospital, el demandante tenía plena libertad de fijar su horario días de consulta, uso del quirófano, el demandante tenía la libertad del uso de las instalaciones asignadas, libertad para programar su actividad de consulta médica y quirófano, lógicamente una vez informaba la recepción del hospital de los días de consulta y horarios, debe avisar con antelación a la recepción para llevar a cabo modificaciones y cancelaciones. Fijaba sus vacaciones y la actividad quedaba suspendida. No está sometido a órdenes e instrucciones de la demandada más allá del encargo de atender a determinado paciente sobre el que debía, si aceptaba, realizar, la actividad profesional. Estaba dado de alta en el censo del RETA como trabajador por cuenta propia. Percibía retribución previa la extensión de las correspondientes facturas, de distintos importes. Que las facturas se las realizara una empleada del hospital no desvirtúa la realidad de la persona que emite la factura efectos fiscales y acreedor. Como hechos probados se indicaba: “PRIMERO: El reclamado, se dedica a las actividades hospitalarias, medicina general y especializada, y cirugía, con centros hospitalarios privados que trabajan con las aseguradoras, conciertos con la sanidad pública y pacientes privados. SEGUNDO: El 1/10/2012, las partes suscribieron un contrato de arrendamiento de servicios en cuya virtud, la demandante como médico especializado en traumatología acuerda con la demandada pasar consulta y llevar a cabo la actividad del quirófano en el Hospital XXXXXX de ***LOCALIDAD.2 (XXXX). Usando el espacio físico del hospital como consulta privada y el quirófano para llevar a cabo las operaciones programadas a sus pacientes privados y pacientes con seguro médico privado. Aportando el demandante su personal y materiales no fungibles para auxiliar en las intervenciones quirúrgicas y consultas salvo la recepción que es un servicio que le da el hospital. TERCERO: El demandante pasaba consulta en el centro hospitalario, zona de consultas, que cuenta con una recepción de llamadas, servicio que presta el recoge las llamadas y da cita a los pacientes que acuden a la consulta del demandante, respetando las indicaciones de días y horas marcadas por el demandante. Los pacientes que acuden a ser tratados por el demandante son personas procedentes de aseguradoras privadas o pacientes privados que interesan consulta con el demandante en los días y horarios fijados por el actor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 CUARTO: La retribución, los honorarios, las partes acordaron que por pasar consulta el actor percibía el 75% y el otro 25% para la demandada por el espacio físico de consulta en la recepción. Si el demandante realizaba actividad de quirófano percibirá el 100 por 100 de los honorarios y la empresa percibe como contraprestación los gastos de con cargo al paciente o la aseguradora. QUINTO: El demandante está incluido de forma voluntaria en el cuadro clínico de las aseguradoras que igualmente tienen concierto con la demandada los pacientes /asegurados eligen dentro del cuadro médico que tiene su aseguradora. El demandante percibe sus honorarios de conformidad con las tarifas fijadas por la aseguradora privada. De esta cantidad, conforme a lo acordado el demandante Percibe el 75% y el 25% la demandada. El demandante si recibía pacientes que no tuvieran un seguro privado podría cobrar directamente al paciente o que esté abonará la cantidad en la recepción del hospital y de estos horarios también el hospital percibía el 25%. La facturación del demandante depende de la actividad realizada como las consultas y quirófano, no son idénticas depende del trabajo que realiza. El demandante tiene sus medios materiales para la actividad de consulta y quirófano, el hospital le da el material fungible. SEXTO: Desde el año 2013 está encuadrado en el régimen especial de trabajadores autónomos. El demandante no tiene exclusividad y tiene actividad propia privada fuera del hospital. El demandante no está sujeto a un horario, organiza su agenda y sus días de consulta. No participaba en las actividades formativas, ni congresos realizados por la demandada no tiene acceso al portal del empleado. SÉPTIMO: La demandante una vez presentada la factura ésta es abonada en un plazo de 60 días. OCTAVO: El demandante percibió por el periodo 1/03/2018 a 28/02/2019, la cantidad de 205.267,13€ por la actividad de consulta, quirófano y por la asistencia en las urgencias de traumatología que también percibe sus honorarios por paciente tratado en el servicio de urgencias. NOVENO La empresa comunicó al actor el 26/12/2018 la extinción del arrendamiento de los servicios que unía a las partes, con efectos de 28 de febrero del 2019.” TERCERO: El reclamante tenía con la reclamada un primer contrato de prestación de servicios, suscrito el 2/01/2001 (no es el que se menciona en su sentencia de lo social), y otro de 1/10/2012, el que se menciona en la sentencia de lo social, que afecta al reclamante), entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 el reclamado (Sociedad Gestora) y varios licenciados en medicina (PROFESIONALES), cada uno en su propio nombre, entre los que figura el reclamante. El literal del contrato figura y se reproduce a efectos probatorios en el antecedente PRIMERO. CUARTO: El reclamado manifestó que la constancia en el contrato de su posición como encargado de tratamiento es por error. Se acredita: - El reclamado manifiesta que el reclamante prestó sus servicios en urgencias de traumatología. El reclamado que “Los primeros años realizaba las historias clínicas en fichas escritas a mano, a partir de una fecha que desconozco 2004, 2005, la informática del hospital me puso un ordenador y me explicó cómo realizar las historias clínicas en el sistema informático del hospital. Las fichas escritas a mano se destruyeron.” -La información de la recogida de datos se proporcionaba por el reclamado en impresos en los que se indicaba que el responsable del tratamiento es el hospital, que adjunta copias de impresos con consentimientos firmados por pacientes atendidos por el reclamante, en los que figura como responsable del tratamiento de datos, el hospital, con distintas fechas en junio, septiembre u octubre 2018. El reclamante ignoraba la existencia de esos documentos informativos según señala en pruebas. -El reclamante manifestó en pruebas que a los pacientes atendidos en consulta se les entregaba informe de la atención médica en consulta a través del sistema informático del hospital, así como informe de alta a los pacientes ingresados y a los pacientes a los que se realizaba una intervención quirúrgica. -El reclamado tiene un procedimiento para la gestión de admisiones aprobado en junio del 2014 y revisado. Se contienen indicaciones por para el personal del reclamado de admisión a pacientes, registrando el sistema informático, en la prestación que se le va a realizar, la creación del número de historia clínica al paciente nuevo, y para recoger las solicitudes de documentación clínica procedentes de la historia clínica de los pacientes. -Según el reclamado, los pacientes pueden proceder de compañías de salud como aseguradoras y mutuas, organismos públicos, Junta de Comunidades de Castilla la Mancha y privados, siendo necesaria la diferenciación de la procedencia para la facturación de los servicios prestados por parte del hospital. El reclamante indicó que los pacientes que atendían en las instalaciones del hospital provenían de las compañías sanitarias que el hospital tenía concertadas y de listas de espera quirúrgicas del SESCAM que el hospital concertaba con dicho organismo sanitario público. El reclamante indicó que todos los pacientes que atendía en el hospital tanto en consulta como en el quirófano procedían de modalidades de intermediación del hospital y ninguno por su parte. El reclamante manifestó que nunca había atendido pacientes privados ni tenía ningún contrato con ninguna aseguradora médica. Todos los pacientes eran contratados para el hospital y todos figuraban en la base de datos del sistema informático del hospital -El reclamado establecía el método y la forma de acceso a las historias clínicas de los pacientes a través de su departamento de personal, otorgando las altas de usuarios a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 de una aplicación de gestión efectuando el departamento de informática las altas en los sistemas de seguridad al personal asistencial se le daba acceso a la herramienta de historias clínicas a través de usuario y contraseña el reclamante indica que las modalidades de acceso a la base de datos de las historias clínicas era proporcionada por los informáticos del hospital. -Los requerimientos y los protocolos de seguridad que existían hasta llegar a acceder a las historias clínicas en las bases de datos eran gestionados y administrados por el reclamado a través de contrato con un encargo de tratamiento externo. En este sentido el reclamante manifiesta que corría a cargo de los informáticos del hospital. -El reclamado también manifiesta que el sistema de recepción de pacientes se incluye en el procedimiento para para la gestión de admisiones efectuándose por el personal administrativo del propio hospital, mientras que el reclamante manifiesta que la admisión en el hospital de las llamadas eran recibidas en el sistema informático del hospital, y que la atención a pacientes la prestación asistencial y almacenamiento de las historias clínicas se realizaba siempre en el sistema informático del hospital -El reclamado aporta facturas por el mantenimiento de la gestión y la custodia de equipos de tratamiento de datos y sistemas de información, mientras el reclamante manifestó que estas gestiones correspondían al hospital -El reclamado acredita la inscripción de los ficheros residentes y pacientes llevada a cabo con la vigencia de la LOPD, mientras que el reclamante manifiesta que eso correspondía al hospital. -El reclamado también dispone de documentación que acredita la actualización de los tratamientos y ficheros al RGPD, así como del registro de actividades de tratamiento, mientras que el reclamante manifestó que ese término correspondía al hospital. -El reclamante manifestó que el equipamiento informático que utilizaba para la gestión de las historias clínicas era propiedad del hospital y jamás había utilizado un ordenador ni un sistema informático de su propiedad. -El reclamado: “elabora, publica y comunica a los profesionales sanitarios la normativa interna necesaria para el tratamiento de los datos y el cumplimiento de las medidas de seguridad implantadas por el Hospital. Adjunta el acuse de recibo de dicha documentación debidamente firmada el 11/05/2015 por el reclamante como documento nº 17, en el que se indica que “ha recibido la normativa interna para los profesionales asistenciales y personal de administración y gestión del Hospital en relación a las medidas de seguridad de obligado cumplimiento para todos los usuarios autorizados.” -El reclamado aporta facturas emitidas al reclamante en el que se incluyen relación de tratamientos y cuantía por cada uno de ellos, indicándose “servicio de traumatología hospital XXXXXXXX ***LOCALIDAD.2. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 4 del RGPD indica: “2). “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “6) “fichero”: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica; 7) “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) “encargado del tratamiento” o “encargado”: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” Las Directrices 07/2020 sobre los conceptos de responsable del tratamiento y encargado del tratamiento en el RGPD, adoptado el 2/09/2020 en su preámbulo indica: “Los conceptos de responsable del tratamiento, responsable del tratamiento conjunto y encargado del tratamiento desempeñan un papel crucial en la aplicación del Reglamento General de Protección de Datos 2016/679 (GDPR), ya que determinan quién será responsable del cumplimiento de las diferentes normas de protección de datos y cómo los interesados pueden ejercer sus derechos en la práctica. …” Los conceptos de responsable del tratamiento, responsable del tratamiento conjunto y encargado del tratamiento son conceptos funcionales en la medida en que tienen por objeto asignar responsabilidades de acuerdo con las funciones reales de las partes y conceptos autónomos en el sentido de que deben interpretarse principalmente de acuerdo con la legislación de protección de datos de la UE. Al examinar los cinco requisitos básicos del responsable del tratamiento, establecería indirectamente los del encargado. Los principios serían : C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 1-« persona física o jurídica, autoridad pública, servicio u otro organismo» 2-« que determine» 3-« solo o conjuntamente con otros» 4-« los propósitos y medios » 5-« del tratamiento de datos personales». En principio, no hay ninguna limitación en cuanto al tipo de entidad que puede asumir el papel de responsable del tratamiento, pero en la práctica suele ser la organización como tal, y no un individuo dentro de la organización (como el CEO, un empleado o un miembro de la junta), que actúa como responsable del tratamiento. Un responsable del tratamiento es un cuerpo que decide ciertos elementos clave del tratamiento. El control puede definirse por ley o puede derivarse de un análisis de los elementos fácticos o las circunstancias del caso. Algunas actividades de tratamiento pueden considerarse naturalmente vinculadas al papel de una entidad (un empleador a los empleados, un editor a los suscriptores o una asociación a sus miembros). En muchos casos, los términos de un contrato pueden ayudar a identificar al responsable del tratamiento, aunque no son decisivos en todas las circunstancias. Un responsable del tratamiento determina los propósitos y medios del tratamiento, es decir, el por qué y cómo del tratamiento. El reclamado formuló la política de atención de derechos, información de los mismos sobre las historias clínicas, registro de ficheros del tratamiento de datos. En este caso, implicados los datos de historia clínica, señala el artículo 14.2 de la LAP: “Cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información”, añadiendo el artículo 17.1 que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. El artículo 17.4 de la LAP establece que “la gestión de la historia clínica por los centros con pacientes hospitalizados o por los que atiendan al número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud cómo se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario.” Al propio tiempo, se matiza lo anterior, en relación con los profesionales que ejercen la medicina privadamente, disponiendo el artículo 17.5 de la LAP: “Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen”. En todo caso, la cumplimentación de la historia clínica en los aspectos relacionados con la asistencia directa al paciente será responsabilidad de los profesionales que intervengan en ella, que tienen el deber de cooperar en la creación y mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 Cobra también relevancia que entre la finalidad de la historia clínica está la directa relación del ejercicio de derechos del paciente con acceso a la documentación clínica mediante la petición de acceso a los datos que la conforman. Ambos aspectos se relacionarán en este procedimiento. Se tratará de verificar si resulta cierto que el reclamante ostenta a efectos de protección de datos la responsabilidad que se deriva de la gestión, custodia y almacenamiento que propugna y por tanto, el reclamado es a la que no corresponde dicho papel por darse los requisitos legales que la consideran no responsable de dichos datos y tratamiento, siendo inicialmente la imputada por dicho motivo. En este caso, el reclamante obtuvo una sentencia en cuestión de despido declarándose la incompetencia de la jurisdicción. El acceso a datos del reclamante se ejecutaba en virtud del contrato de arrendamiento de servicios firmado. No se acredita que el reclamante dispusiera de algún modo: técnico, organizativo, jurídico, informativo de derechos de protección de datos a los pacientes, la ordenación de los fines o medios del tratamiento de datos. El reclamante prestaba unos servicios en virtud del cual existe una relación de dependencia, en este caso no laboral, figurando una total relación asistencial entre pacientes y el centro sanitario. La consignación en el contrato suscrito con el reclamado y otros profesionales no es decisiva, y analizadas las funciones llevadas a cabo en el tratamiento de datos por ambas partes se concluye que el profesional reclamante volcaba en la base de datos su opinión diagnostica en cada atención médica que prestaba a los pacientes que acudían al reclamado, en la organización del reclamado que incluía no solo los espacios físicos, sino como aquí se acredita en el ámbito decisorio técnico, jurídico y de información de los pacientes, incluyendo sus datos. Sin los pacientes, los sistemas informáticos y las decisiones sobre implementación de información de la recogida de datos e información sobre derechos a pacientes que llevaba a cabo el reclamado, no hubiera sido posible el tratamiento de los datos. El que ha articulado los medios técnicos y organizativos ha sido el reclamado, que, por tanto, ostenta la titularidad de las obligaciones impuestas al responsable del tratamiento. Cuando a un usuario del sistema, como en este caso el reclamante se le rescinde el contrato, ha de contar con el no acceso a los datos de los que es responsable el reclamado. Ello, lógicamente, con independencia de que un paciente pueda pedir copia de su historia clínica al reclamado y acuda a sus servicios, derecho que se contempla en la LAP. No es posible convertirse en responsable del tratamiento porque el literal del contrato así lo señale, o eludir las obligaciones de responsable del tratamiento simplemente configurando el contrato de una manera determinada cuando las circunstancias de hecho dicen algo más como en este caso. No se observa que el reclamante cumpliera requisito alguno para poder ser considerado responsable del tratamiento, por lo que en modo alguno puede ser considerado a efectos de protección de datos responsable del fichero o del tratamiento, circunstancias que, si se cumplen en el reclamado, lo que implica que la infracción imputada al reclamado pase a ser un archivo por no considerarse tal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR la infracción imputada a IDCQ HOSPITALES Y SANIDAD, S.L.U., con CIF B87324844, del artículo 28.3.
33. g)del RGPD, prevista en el artículo 83.4 del RGPD, tipificada a efectos de prescripción en el artículo 74.
34. k)de la LOPDGDD, y su multa de 100.000 euros. SEGUNDO: NOTIFICAR la presente resolución a IDCQ HOSPITALES Y SANIDAD, S.L.U... TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la AEPD, P.O. la Subdirectora General de Inspección de Datos, Olga Pérez Sanjuán, Resolución 4/10/2021 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es