← España

PS-00411-2015

1/28 Procedimiento Nº PS/00411/2015 RESOLUCIÓN: R/03053/2015 En el procedimiento sancionador PS/00411/2015, instruido por la Agencia Española de Protección de Datos a las entidades CENTRO DE ESTUDIOS NEUROLOGICOS VARELA DE SEIJAS S.L. y HOSPITAL RECOLETAS CUENCA S.L.U., vista la denuncia presentada por Asociación de Consumidores y Usuarios en Accion (FACUA), y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 16 de agosto de 2014 el director de la Agencia remite una Nota Interna a la Subdirección General de Inspección de Datos en la que manifiesta: <<Ante las noticias publicadas en prensa referentes a la posible cesión de datos de pacientes del Hospital Virgen de la Luz a la clínica privada Recoletas, se insta a la Subdirección General de Inspección de Datos a que inicie de oficio Actuaciones Previas de Investigaciones tendentes a acreditar estos hechos.>> Con fecha 16 de septiembre de 2014 tiene entrada en esta Agencia un escrito de la Asociación de Consumidores y Usuarios en Acción (FACUA) en el que declara: <<PRIMERO.- FACUA ha tenido conocimiento de la cesión de los datos personales y médicos de los pacientes que se encuentran en lista de espera en el citado Hospital Virgen de la Luz, de titularidad pública, al Hospital Recoletas Cuenca, situado en la (C/.........1) Cuenca, de titularidad privada. SEGUNDO.- Que el objetivo de esta cesión es derivar pacientes a un centro médico privado y aligerar así la lista de espera del centro público de manera irregular, sin consentimiento de los pacientes y con un mensaje falso (que indica que la comunicación se produce en nombre del hospital público), con la intención de confundir a los afectados. TERCERO.- Que el hospital privado que recibe los datos personales e informes médicos de manera fraudulenta los utiliza para obtener un beneficio económico a través del tratamiento de unos pacientes que no han solicitado sus servicios. QUINTO.- Que el artículo 7 de dicha ley, relativo a los datos especialmente protegidos, establece en su punto 3 que “los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga uno ley o el afectado consienta expresamente”. SEXTO.- Que, dado que no existe una ley de rango similar a la Ley Orgánica mencionada anteriormente y que los afectados no han expresado su consentimiento previo a la cesión de los datos, especialmente protegidos de acuerdo a la norma, el hospital arriba mencionado está incumpliendo la ley, sin que el hecho de que exista un convenio de colaboración entre el centro público y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/28 el privado le exima de su obligación de cumplir con lo especificado en la norma SÉPTIMO.- Que el hospital denunciado también incumple el artículo 9 de dicha ley, sobre la seguridad de los datos, que expresa que “el responsable de/fichero y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado”. OCTAVO.- Que, asimismo, incumple el artículo 10 de la Ley orgánica 15/1999, sobre el deber de secreto, que indica que “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos”. NOVENO.- Que, además, incumple el artículo 44.3.b de la Ley 15/1999 anteriormente mencionada, que recoge que es una infracción grave “tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”.>> Con fecha 16 de febrero de 2015 tiene entrada en esta Agencia un escrito de la Asociación de Consumidores y Usuarios en Acción (FACUA) en el que realiza ampliación de la denuncia: <<Que tras la presentación de la mencionada DENUNCIA, esta Asociación ha podido comprobar cómo en un periódico de tirada nacional se ha filtrado un informe interno del Servicio de Salud de Castilla la Mancha SESCAM, con el título “Información reservada ordenada instruir en fecha 2 de septiembre sobre la posible vulneración de la Ley Orgánica de Protección de Datos en la transmisión de información de pacientes de neurofisiología a un centro concertado desde el Hospital Virgen de la Luz de Cuenca”. Que en el mencionado informe se recogen como hechos probados los siguientes: “3. Los listados eran de pacientes en lista de espera de pruebas de Neurofisiología donde además de los datos de filiación y la fecha en que tenían la cita para la prueba en el HVL figura un pequeño resumen clínico del médico peticionario justificando la solicitud. Estos listados se mandan en formato Excel sin encriptaciones. 4. La Clínica Recoletas reenvió íntegramente estos listados a su empresa subcontratada, Varela de Seijas, ubicada en Madrid, que empieza a telefonear a los pacientes para darle cita “.>> SEGUNDO: Tras la recepción de la Nota Interna del Director y de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha 19 de septiembre de 2014 se realizó una visita de inspección al Hospital Virgen de la Luz de Cuenca (en adelante HVL). Durante la misma los representantes del HVL realizaron las siguientes manifestaciones en respuesta a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/28 cuestiones planteadas por los inspectores: El HOSPITAL es un organismo público dependiente de la Gerencia del Servicio de Salud de la Comunidad de Castilla - La Mancha (SESCAM), dependiente de la Consejería de Salud de la Comunidad Autónoma de Castilla-La Mancha. El SESCAM suscribió un Convenio de vinculación con una serie de entidades sanitarias externas para la prestación de servicios sanitarios al mismo. Dicho convenio incluye un Anexo II denominado CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS, en base al cual se les concede acceso a los datos de los pacientes en calidad de encargados del tratamiento. Examinado dicho contrato se encuentra que dedica su estipulación quinta a CONFIDENCIALIDAD Y RESPONSABILIDAD, en la que se recoge que el contrato se realiza de conformidad con el art. 12 de la LOPD. Dispone igualmente el contrato de un ANEXO II titulado CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS, en el que amplia y detalla la estipulación quinta, constituyendo a RECOLETAS en encargado del tratamiento en nombre y por cuenta del SESCAM y que sus actuaciones se ceñirán a las instrucciones que reciban del mismo. Por su parte el HVL ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, (en adelante RECOLETAS), complementario del mencionado contrato suscrito por el SESCAM, para la realización de electromiografías y electroencefalogramas. El contrato contempla la realización de unas 650 pruebas en total, de las que se han ejecutado unas 300. Entiende el HVL que el encargo del tratamiento incluido en el anexo II citado en el Convenio con el SESCAM cubre igualmente la cesión de datos en este contrato. Examinado dicho contrato, se trata de un contrato menor fechado el 23 de abril de 2014, suscrito por el HVL y RECOLETAS. Dedica su cláusula cuarta a la PROTECCION DE DATOS, donde se recoge el deber de confidencialidad de RECOLETAS y que los datos no se utilizarán con fines distintos de los que figuran en el acuerdo, comprometiéndose a adoptar el nivel de protección de los datos de acuerdo a lo estipulado en el RLOPD. Se producen dos casos diferentes de derivación de pacientes a entidades externas: - Los derivados por la ejecución del contrato suscrito por el SESCAM, en cuyo caso, el propio HVL solicita a los pacientes la elección del centro en que realizar las pruebas. Solamente se remiten datos a los centros respecto de los pacientes que han aceptado la derivación. - Los derivados del contrato suscrito con RECOLETAS, en cuyo caso, entiende el HVL que parte de la ejecución del mismo supone la obligación de RECOLETAS de realizar las llamadas para concertar la fecha de ejecución de las pruebas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/28 En este segundo caso, el HVL envía por correo electrónico los datos de los pacientes que tendrán que ser convocados por RECOLETAS para la realización de las pruebas, el cual realiza las llamadas, realiza las pruebas y remite los resultados al HVL, en formato papel, donde se escanean e integran en la Historia Clínica de los pacientes. Los inspectores de la Agencia solicitan al representante de HVL que les permita el acceso a los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: Se accede a la aplicación de correo electrónico de la persona que realiza el envío de los datos de los pacientes que ha de convocar RECOLETAS. Informan los representantes de la entidad que dichos envíos se realizan a la cuenta .....@gruporecoletas.com. Aplicado el filtro A.A.A., se encuentra que aparecen 16 correos electrónicos, con fechas de emisión entre el 23 de agosto de 2013 y 26de agosto de 2014. A la vista de dichos datos, informan los representantes de la entidad que, entre dichos correos, figuran tanto los enviados en ejecución del convenio suscrito por el SESCAM, como del contrato firmado con RECOLETAS. Este sería el caso del primero de los correos, de fecha 23 de agosto de 2013. Los correos son remitidos desde la cuenta del Jefe de Sección de Administración, .....@sescam.jccm.es. Varios de los correos electrónicos tienen ficheros adjuntos. Se accede al correo electrónico de fecha 4 de julio de 2014 que, según informan los representantes de HVL contiene la primera hoja de cálculo enviada a RECOLETAS para la ejecución del contrato. En dicho correo electrónico se realiza el encargo de remisión de los datos de los pacientes para iniciar el procedimiento de cita por parte de RECOLETAS. Se accede a dicha hoja de cálculo. Se observa que para la apertura de la hoja misma no solicita clave alguna. Se observa igualmente que la hoja de cálculo contiene un total de 459 filas con datos personales (nombre, apellidos, nº de teléfono, tipo de prueba a realizar, otros datos de salud). Los representantes del HVL aportan copia del correo electrónico de fecha 4 de julio de 2014 en el que se remite a ......1@gruporecoletas.com la citada hoja de cálculo. Se accede al correo electrónico de fecha 25 de julio de 2014 dirigido a .....@gruporecoletas.com en el que se remite una segunda hoja de cálculo con pacientes. Se accede a dicha hoja de cálculo y se observa que no solicita clave alguna. Se observa igualmente que la hoja de cálculo contiene un total de 420 filas con datos personales (nombre, apellidos, nº de teléfono, tipo de prueba a realizar, otros datos de salud). Se muestran a los inspectores los documentos de retorno de las pruebas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/28 encomendadas a RECOLETAS, consistente en una serie de sobres cerrados, que son posteriormente abiertos por el personal del HVL, escaneados e incluidos en la Historia Clínica del paciente. El día 25 de mayo de 2015 se realizó visita de inspección al hospital RECOLETAS de Cuenca, durante la que los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: RECOLETAS forma parte del Grupo Recoletas, que suscribió con el SESCAM un Convenio de vinculación para la prestación de servicios sanitarios al mismo. RECOLETAS colaboran con el HVL para distintos procedimientos desde hace tiempo. En 2014 el HVL contactó con RECOLETAS debido a un problema de acumulación de pacientes en lista de espera de neurofisiología. Fruto de dicho contacto se firmó en abril de 2014 un contrato para la realización pruebas diagnósticas neurofisiológicas. Al no disponer de personal para realizar dichas pruebas, RECOLETAS, contrató en fecha 8 de julio de 2014 los servicios del Centro de Estudios Neurológicos Varela de Seijas S.L. (en adelante el CEN) domiciliado en Madrid. La entidad no dispone de documento alguno por el que el HVL autorizase ni conociese de la subcontratación del servicio, si bien los representantes del inspeccionado informan que dicha comunicación se realizó verbalmente al gerente del HVL. Desde el CEN se desplazaba un neurofisiólogo al hospital de RECOLETAS los días necesarios para realizar las pruebas concertadas. A primeros de julio recibieron por mail del HVL un listado en Excel de pacientes para citar con la información médica relacionada con la prueba a realizar para que el facultativo encargado valorara la cita según el tiempo de ejecución. El fichero Excel recibido fue reenviado a CEN en donde se encargaban desde Madrid de citar a los pacientes. No existen instrucciones por escrito de la forma en que se deben realizar las llamadas. Durante las llamadas se procedía a comprobar que el diagnostico informado por el HVL coincide con el conocido por el paciente, y se verificaba si la prueba a realizar era posible con el instrumental disponible. Verificada la posibilidad de realización de la pruebe, se concierta con el paciente la fecha concreta para su realización. RECOLETAS y el CEN utilizan la misma aplicación de informática, denominada OMISIGA, lo que permite crear una agenda compartida, donde CEN introduce el nombre y apellidos de las personas a las que se va a hacer una prueba, así como la fecha concertada. Posteriormente, en RECOLETAS se procede a completar el resto de los datos de los pacientes. Además, CEN informaba a RECOLETAS de las fechas de las pruebas, los pacientes a los que no habían podido localizar o que habían rechazado su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/28 derivación, y RECOLETAS las reenviaba al HVL. RECOLETAS desconocía si el HVL había informado previamente a los pacientes de que iban a ser citados en RECOLETAS. Durante los meses de julio y agosto siguieron recibiendo mails de HVL con pacientes derivados. Posteriormente, tras la aparición en prensa de las noticias de que una empresa de Madrid estaba llamando a los pacientes para concertar las citas, el HVL retomó la citación de pacientes. Los inspectores de la Agencia solicitaron al representante de RECOLETAS que les permita el acceso a sus sistemas de información, donde se realizaron las siguientes consultas: Se accede a uno de los ordenadores ubicados en la secretaría del director gerente y se realiza una consulta respecto de los correos recibidos del HVL remitiendo ficheros de NEUROFISIOLOGIA. Se comprueba la existencia de un correo electrónico de fecha 4 de julio de 2014 remitido desde la cuenta .....1@sescam.org conteniendo adjunto un fichero en formato Excel para proceder a la cita de los pacientes. Se accede al fichero y se comprueba que contiene los datos de 659 pacientes: el nombre, apellidos, teléfono, breve historia del paciente y solicitud de la prueba a realizar. Dicha hoja de cálculo no está cifrada ni protegida por el uso de una clave. El contrato suscrito entre Recoletas y el Centro de Estudios Neurológicos Varela de Seijas es un arrendamiento de servicios profesionales, fechado el 8 de julio de 2014. En la exposición inicial se hace constar que RECOLETAS necesita atender su servicio de neurofisiología, habiendo ofertado a CEN los servicios de electromiografía. En las estipulaciones del contrato figura que RECOLETAS, en el desarrollo de su trabajo y compromisos suscritos, tiene que realizar cierto número de electromiogramas, por lo que subcontrata a CEN para la cobertura de dicho servicio. Por su parte CEN remitirá a RECOLETAS a los profesionales adecuados de su plantilla para la prestación del servicio. En la estipulación segunda se establece que la vigencia del contrato queda limitada a la duración del contrato que tiene suscrito RECOLETAS con el HVL. Se constata además, que el contrato dispone de un ANEXO I titulado CONTRATO DE CONFIDENCIALIDAD EN LA PRESTACIÓN DEL SERVICIO. En dicho anexo figura RECOLETAS como responsable del fichero, y CEN como encargado del tratamiento, firmándose el contrato en cumplimiento del art. 12 de la LOPD. En la estipulación 3ª Seguridad de los datos personales, se expone que el Prestador del Servicio declara conocer que los datos de los pacientes son de exclusiva titularidad del Responsable y no podrá trasladar dicha información fuera de las instalaciones del responsable. En el caso de que tuviera que trasladar la información contenida en el Fichero, y previa autorización por escrito del Responsable, estará obligado a adoptar las medidas de seguridad que resulten necesarias conforme a las exigidas para el nivel alto de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/28 Se solicita el acceso a los correos enviados al CEN para realizar las citaciones. Se verifica la existencia de un correo electrónico de fecha 25 de julio de 2014 remitido desde una cuenta del grupo Recoletas a la cuenta ....@hotmail.com. Los representantes de la entidad inspeccionada informan que esta es la cuenta del médico contratado para la realización de las pruebas. Se comprueba que existe un fichero en formato Excel al que se accede sin la introducción de una clave de acceso. Se accede a la aplicación OMISIGA y en ésta a la agenda de NEUROFISIOLOGÍA, que según informan los representantes de la entidad fue la creada para la realización de las citaciones. Se comprueba que en ella figuran una serie de citas en las que aparece el nombre, apellidos, prueba realizada, fecha y hora. Se accede a otro correo de fecha 20 de agosto de 2014, remitido a la cuenta ....@hotmail.com desde una cuenta del Grupo Recoletas en el que se adjunta un listado recibido desde el SESCAM con una relación de pacientes ya citados. Informan los representantes de la entidad que en este caso, las citas habían sido realizadas por el HVL tras la polémica surgida por las llamadas realizadas desde CEN. Se solicita el acceso al fichero Excel en el que se controlaba los pacientes a los que se les habían hecho las pruebas. Se comprueba que dicho fichero consta de múltiples hojas tituladas: Pacientes que anulan, porque no quieren hacerse la prueba. Pacientes que anulan la prueba porque no pueden en ese momento, pero que quedan pendientes de avisar. Pacientes que anulan cita y esperan su fecha de prueba en el hospital. Pacientes que no se localizan. Pacientes que ya se han realizado la prueba en el hospital. Pacientes con pruebas que no se pueden realizar aquí. Se solicita el acceso al ordenador usado por el médico que realizaba las pruebas derivadas del HVL, comprobándose que se encuentra en una habitación cerrada con llave. Informan los representantes de la entidad que está sin uso actualmente. Se realiza una consulta en dicho ordenador respecto de los informes elaborados de los pacientes con los resultados de las pruebas. Se comprueba que es necesario solicitar el acceso al servicio de informática, debido a que se encuentran en el servidor de ficheros de la entidad. Una vez concedido el acceso al servidor, se verifica que existe un directorio en el que se recoge un fichero Word por cada paciente. Se accede a uno al azar, que se imprime y se incorpora a las actuaciones. Examinado dicho documento, se encuentra que aparece el nombre y fecha de nacimiento del paciente, las indicaciones del médico que solicita la prueba, los hallazgos médicos y el juicio clínico del especialista que ha realizado la prueba. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/28 Se solicita el acceso al sistema OMISIGA y se realizan búsquedas de distintos pacientes por nombres y apellidos, extraídos de los distintos listados que se han incorporado a la presente acta. Del análisis de las consultas realizadas se desprende que RECOLETAS ha incorporado a sus ficheros únicamente los datos de los pacientes de los que realizó algún tipo de actuación médica. Solicitado al HVL que informe acerca de si se dio a RECOLETAS la autorización para la subcontratación, manifiesta: <<… no se tenía información de la subcontratación, además la normativa específica, que aunque es posible hay que comunicar esta. No se realizó ninguna autorización verbal. >> En fecha 23 de junio de 2015 la Inspección de Datos de esta Agencia realizó visita al Centro de Estudios Neurológicos Varela de Seijas. Durante la misma, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: CEN suscribió un contrato de arrendamiento de servicios profesionales con RECOLETAS el día 8 de julio de 2014. Dicho contrato consistía en la realización de un total de 500 electromiogramas. Para el desempeño de estas funciones CEN remitía a RECOLETAS un médico especialista que realizaba las pruebas en el propio RECOLETAS con los medios que le proporcionaba éste, salvo la maquinaría que la instaló CEN. RECOLETAS remitía vía correo electrónico a CEN un listado con los pacientes que previamente habían aceptado realizarse la prueba. La Gerente de CEN planificaba la realización de horarios y tiempos adecuados para cada una de las pruebas a realizar a los pacientes. Para ello, llamaba a cada paciente del listado para confirmar día y hora de la prueba, en algunos casos el paciente aceptaba pero en otros la prueba había sido realizada o simplemente la rechazaba. CEN introducía en su sistema informático los datos personales de los pacientes necesarios para poder facturar la prueba realizada a RECOLETAS: el nombre y apellidos, número de teléfono, prueba a realizar. Una vez realizada la prueba se actualizaban los datos del listado recibido de RECOLETAS con los pacientes a los que se había realizado la prueba o habían rechazado la misma por diversos motivos. Este listado se remitía vía correo electrónico. En ningún caso CEN tuvo acceso a los resultados informados de las pruebas realizadas, ya que todo ello se hacía en RECOLETAS. Los inspectores de la Agencia solicitaron al representante de CEN que les permita el acceso a los sistemas de información de la entidad realizándose las siguientes comprobaciones: Se accede al correo electrónico de la entidad ....@hotmail.com y se solicita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/28 acceder al primer correo electrónico recibido de RECOLETAS, se comprueba que este correo es de fecha 9 de julio de 2014. Se acompaña un documento en formato Excel. Accediendo al documento se comprueba que hay un total de 460 registros correspondiente a cada uno de los pacientes a confirmar cita para realizar la prueba diagnóstica incluida en el listado, que contiene datos de salud. Para acceder a dicho documento Excel no ha sido necesaria clave de acceso. Se solicita acceder a un correo electrónico desde el cual CEN remite un listado con los pacientes atendidos. Se verifica que en fecha 14 de julio de 2014 se remite un correo electrónico desde la cuenta ....@hotmail.com a una cuenta de RECOLETAS, en el que se adjunta un documento Excel, que contiene datos de salud. Accediendo al documento se comprueba que hay un total de aproximadamente 460 registros correspondiente a los pacientes, se comprueba que unos pacientes han sido citados y otros no quieren hacerse la prueba o manifiestan que se la han realizado ya. Para acceder a dicho documento Excel no ha sido necesaria clave de acceso. Se solicita acceder al sistema informático de la entidad utilizado para facturar a RECOLETAS. Se verifica que no se puede acceder a los datos de los pacientes encomendados por RECOLETAS, la representante de la entidad manifiesta que los datos de dicha agenda han sido bloqueados ya que el servicio con RECOLETAS ha finalizado. Los inspectores actuantes solicitan el desbloqueo del citado fichero, a lo que la representante de CEN accede. Se verifica que para desbloquear el fichero es necesario introducir una clave de acceso. Asimismo, una vez desbloqueado se verifica que consta una agenda denominada “PRUEBAS CUENCA” del servicio de neurofisiología. Se accede a la citada agenda, a las citas concertadas para el día 21 de julio de 2014. Se verifica que hay un total de 26 pacientes de los que sólo consta nombre y apellidos, número de teléfono y prestación a realizar. Se accede al detalle de tres pacientes seleccionados al azar y se verifica que en el sistema informático no consta más información que la citada, la Historia Clínica aparece vacía. Se solicita acceso a la última fecha en que se hicieron pruebas, se accede a la agenda del día 27 de agosto de 2014 en la que figuran 7 pruebas, se accede al azar a una de ellas y se verifica que la Historia Clínica aparece vacía de contenido. Se solicita copia de una de las facturas emitidas por CEN a RECOLETAS y se verifica que se trata de una factura genérica, no contiene datos de pacientes. TERCERO: De todo lo anterior se desprende que, ante la denuncia de una posible cesión inconsentida de los datos personales de los pacientes del Hospital Virgen de la Luz de Cuenca a centros médicos privados, se han llevado a cabo actuaciones previas de investigación en las que se ha constatado que el Servicio de Salud de Castilla la Mancha, SESCAM, suscribió un Convenio de vinculación con una serie de entidades sanitarias externas para la prestación de servicios sanitarios al mismo. Por su parte el Hospital Virgen de la Luz de Cuenca ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, para la realización de diversas pruebas diagnósticas a los usuarios del Servicio de Salud de Castilla la Mancha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/28 Estos contratos incluyen anexos referidos al tratamiento de datos personales en el que se definen las condiciones conforme a las cuales se tratarán los datos personales a los que se tenga acceso durante el tiempo que dure el contrato. En el curso de la Inspección realizada por esta Agencia a la entidad Hospital Recoletas Cuenca SLU se comprobó que este centro procedió a subcontratar la realización de una de las pruebas diagnósticas que figuraban en el contrato con el Hospital Virgen de la Luz de Cuenca sin la autorización o conocimiento del responsable del fichero para la subcontratación del servicio, lo que podría suponer una cesión de datos sin consentimiento por parte del Hospital Recoletas Cuenca SLU. Por otra parte se comprobó que los correos electrónicos enviados desde el Hospital Recoletas Cuenca SLU al Centro de Estudios Neurológicos Varela de Seijas S.L. con los datos de los pacientes y de las pruebas solicitadas, no se encontraban cifrados por medio de contraseña, lo que podría suponer un incumplimiento de las medidas de seguridad por parte del Hospital Recoletas Cuenca SLU. En la Inspección realizada en el Centro de Estudios Neurológicos Varela de Seijas S.L. pudo comprobarse que los correos electrónicos enviados desde el Centro de Estudios Neurológicos Varela de Seijas S.L. al Hospital Recoletas Cuenca SLU con los datos de los pacientes y de las pruebas realizadas, no se encontraban cifrados por medio de contraseña, lo que podría suponer un incumplimiento de las medidas de seguridad por parte del Centro de Estudios Neurológicos Varela de Seijas S.L.. CUARTO: Con fecha 24 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Hospital Recoletas Cuenca S.L.U., por presunta infracción de los artículos 9.1 y 11, de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave y muy grave en los artículos 44.3.

  1. h)y 44.4.b), respectivamente de dicha norma, pudiendo ser sancionada, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica, la primera y con multa de 300.001 a 600.000 € de acuerdo con el artículo 45.3 de la citada Ley Orgánica, la segunda. QUINTO: Con fecha 24 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Centro de Estudios Neurológicos Varela de Seijas S.L., por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  2. h)de dicha norma, pudiendo ser sancionada, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEXTO: Notificado el acuerdo de inicio, la entidad HOSPITAL RECOLETAS CUENCA S.L.U. formuló alegaciones, significando, que: “En cuanto a la infracción del artículo 11.1 de la LOPD, tipificada como muy grave en el artículo 44.4.
  3. b)de la LOPD, consistente en ceder los datos de carácter personal a que se refieren los apartados 2, 3 y 5 de la LOPD, se reconoce espontánea y voluntariamente que HOSPITAL RECOLETAS CUENCA, S.L.U. subcontrató la realización de una de las pruebas diagnósticas de las que figuraban en el contrato con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/28 el Hospital Virgen de La Luz de Cuenca con la entidad CENTRO DE ESTUDIOS NEUROLÓGICOS VARELA DE SEIJAS, S.L., sin la autorización expresa del responsable del fichero para la subcontratación del servicio (el Hospital Virgen de La Luz de Cuenca); aunque sí con su conocimiento, si bien no se dispone de prueba fehaciente de ello ni se ha reconocido por sus responsables en la inspección llevada a cabo. (…) Por todo ello, y de conformidad con lo previsto en el artículo 8 del RD 1398/1993, y en el artículo 45.5.
  4. d)de la LOPD, procede y así se solicita la aplicación de la escala relativa a la clase de infracción que precede inmediatamente en gravedad a la propuesta; esto es, la aplicación de la escala relativa a las infracciones graves.(…) En cuanto a la infracción del artículo 9.1 de la LOPD, tipificada como grave (…) De modo que, si la comunicación se realiza utilizando protocolo SSL como es el caso de cliente emisor a servidor emisor, de servidor emisor a servidor receptor, y de servidor receptor a cliente receptor, se puede afirmar que la información no ha sido ni leída ni manipulada por terceros, teniendo en cuenta además que para el acceso a dichas cuentas de correo electrónico se necesita usuario y contraseña. 2.- Los correos electrónicos en cuestión fueron propia y estrictamente reenviados tal y como fueron recibidos desde el Hospital Virgen de La Luz de Cuenca, en la confianza de que el responsable de los ficheros había adoptado las correspondientes medidas de seguridad con respecto a los datos personales incluidos como adjuntos en los mismos.” Concluyen las alegaciones solicitando que: “1.- Tenga por efectuado reconocimiento espontáneo y voluntario de responsabilidad de HOSPITAL RECOLETAS CUENCA, S.L.U., en relación con las infracciones recogidas en el Acuerdo de Inicio de Procedimiento Sancionador. 2.- Proceda a la aplicación de la escala relativa a la clase de infracción que precede inmediatamente en gravedad a la propuesta, pasando la infracción del artículo 9.1 LOPD a ser considerada leve, y la infracción del artículo 11.1 LOPD a ser considerada grave. 3.- Aprecie las circunstancias atenuantes puestas de manifiesto en este escrito y acreditadas en el expediente y con los documentos adjuntos al mismo, en virtud de las cuales procede y así se solicita establecer las sanciones correspondientes a las infracciones reconocidas en su escala mínima.” SÉPTIMO: Notificado el acuerdo de inicio, la entidad CENTRO DE ESTUDIOS NEUROLOGICOS VARELA DE SEIJAS S.L. formuló alegaciones, significando, que: “…la infracción que se le imputa con carácter excepcional, en lo referido al correo de 14 de Julio de 2015 que se remitió desde CENTRO VARELA DE SEIJAS a RECOLETAS en formato Excel con datos de salud de pacientes, sin contraseña de apertura, es consecuencia de una excepción a los procedimientos seguidos por la citada entidad, tal y como se deduce claramente de los correos electrónicos que se aportan como prueba en el documento n° 3 en el Anexo 1 del presente escrito, en los cuales se puede comprobar que en las comunicaciones de los profesionales médicos que prestan servicios para dicho centro con el mismo, se procedían a enviar, siguiendo las instrucciones de éste, los archivos con datos de salud de pacientes cifrados con una contraseña de apertura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/28 La excepción a dichos procedimientos devino por la propia operativa seguida por el SESCAM, el HVL y RECOLETAS y por un error puntual de la persona que remitió dichos correos electrónicos sin contraseña, pues ésta actuó con el convencimiento de que esa forma de proceder quedaba justificada por el contrato formalizado previamente por RECOLETAS con HVL, al que se aludía de forma expresa en la Estipulación Segunda del mencionado contrato formalizado entre CENTRO VARELA DE SEIJAS y RECOLETAS, y en la presunción de la legalidad de las actuaciones por parte de HVL, siendo éste un organismo público el que remitía inicialmente los listados de pacientes adjuntando tal documentación a través de correos electrónicos que no disponían de la correspondiente clave de acceso. (…) CENTRO VARELA DE SEIJAS ha probado mediante los correos electrónicos que se adjuntan como prueba entre sus profesionales, que la situación respecto al envío cifrado de datos de salud vía correo electrónico está plenamente regularizada y que está recogida de forma expresa en el Documento de Seguridad del CENTRO DE ESTUDIOS NEUROLÓGIOS, apartados 4.1.4. relativo a la GESTIÓN DE SOPORTES Y DOCUMENTOS y en el 4.1.7 referente a las TELECOMUNICACIONES, así como en el apartado 3 en los manuales de funciones y obligaciones del personal. (…) Por otra parte, y en virtud del principio de confianza legítima, que debe regir la actuación de las Administraciones Públicas, de acuerdo con el artículo 3.1 in fine de la LRJPAC, según el cual “Las Administraciones públicas sirven con objetividad los intereses generales y actúan de acuerdo con los principios de eficacia, jerarquía, descentralización desconcentración y coordinación, con sometimiento pleno a la Constitución, a la Ley y al Derecho. Igualmente, deberán respetar en su actuación los principios de buena fe y de confianza legítima”, considero que esta circunstancia disminuye cualificadamente la culpabilidad existente en la concreta actuación infractora realizada por CENTRO VARELA DE SEIJAS, por lo que habría que añadir este precepto como un fundamento adicional que justifique la aplicación del citado precepto 45.5 de la Ley Orgánica de Protección de Datos de Carácter Personal.” Concluyen las alegaciones solicitando: “La aplicación a este procedimiento del artículo 45.6 de la LOPD, dándose lugar al APERCIBIMENTO del CENTRO VARELA DE SEIJAS por parte de la AEPD, a fin de que, en el plazo que el órgano sancionador determine, CENTRO VARELA DE SEIJAS acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, sin imposición de sanción alguna. Subsidiariamente, en el supuesto de que CENTRO VARELA DE SEIJAS sea sancionada, se aprecie la concurrencia de los supuestos recogidos en el artículo 45.5 de la LOPD (cualificada disminución de su culpabilidad y de la antijuridicidad del hecho y regularización de la situación irregular de forma diligente) y, en consecuencia, se imponga la sanción correspondiente a una infracción leve en su grado mínimo, esto es, 900 euros.” OCTAVO: Con fecha 17 de septiembre de 2015 se inició el período de práctica de pruebas al CENTRO DE ESTUDIOS NEUROLOGICOS VARELA DE SEIJAS S.L., acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la Asociación de Consumidores y Usuarios en Acción (FACUA) y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/28 documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el CENTRO DE ESTUDIOS NEUROLOGICOS VARELA DE SEIJAS S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05547/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00411/2015 presentadas por el CENTRO DE ESTUDIOS NEUROLOGICOS VARELA DE SEIJAS S.L., y la documentación que a ellas acompaña. NOVENO: Con fecha 17 de septiembre de 2015 se inició el período de práctica de pruebas al HOSPITAL RECOLETAS CUENCA S.L.U., acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la Asociación de Consumidores y Usuarios en Acción (FACUA) y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el HOSPITAL RECOLETAS CUENCA S.L.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05547/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00411/2015 presentadas por el HOSPITAL RECOLETAS CUENCA S.L.U., y la documentación que a ellas acompaña. 3. Requerir al Hospital Recoletas Cuenca que aporte constancia de las medidas correctoras adoptadas respecto del cifrado de los datos personales con medidas de seguridad de nivel alto que se envían a través de redes inalámbricas de comunicaciones para que la información no sea manipulada por terceros. DÉCIMO: Con fecha 29 de octubre de 2015 tiene entrada en el registro de esta Agencia escrito del HOSPITAL RECOLETAS CUENCA S.L.U., en respuesta a lo solicitado en pruebas en el que se expone: “• Ubicación de los datos 1 Grupo Recoletas ha dispuesto de un centro de Datos corporativo en Madrid donde se ubican todos los servidores que albergaran la TOTALIDAD de los datos personales de nivel alto (…). Dicho proyecto se encuentra en ejecución. (…) Mientras finaliza el proceso completo, lo datos de nivel alto referentes a la historia clínica se encuentran en el centro en un servidor protegido en salas técnicas. (…) Todas las comunicaciones hacia los servidores que contienen los datos de nivel alto (gestión documental, historial clínico, correo, etc.) se realizan de manera cifrada mediante SSL/TLS. • Cifrado de datos: Se ha iniciado un proyecto de cambio de todas las estaciones de trabajo que ya han sido adquiridas y cuyo proceso de maquetación ya está finalizado, y que está previsto su Instalación en este mes de octubre de 2015 en Hospital Recoletas Cuenca. Las nuevas estaciones de trabajo disponen de un software de cifrado de datos, que hace que todos los datos vayan cifrados.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/28 DECIMOPRIMERO: Al haberse reconocido la responsabilidad por una de las entidades imputadas, procede la aplicación de lo dispuesto en el artículo 8.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva al Director de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: Se ha constatado que el Servicio de Salud de Castilla la Mancha, SESCAM, suscribió un “Convenio de vinculación” con una serie de entidades sanitarias externas para la prestación de servicios sanitarios. Dicho convenio incluye un Anexo II denominado CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS, en el que se concede a las entidades sanitarias externas el acceso a los datos de los pacientes en calidad de encargados del tratamiento. SEGUNDO: El Hospital Virgen de la Luz de Cuenca ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, en fecha 23 de abril de 2014, complementario del contrato suscrito por el SESCAM, para la realización de diversas pruebas diagnósticas a los usuarios del Servicio de Salud de Castilla la Mancha, que recoge las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad. TERCERO: El 19 de septiembre de 2014, la Inspección de Datos de esta Agencia llevó a cabo una visita a las dependencias del Hospital Virgen de la Luz de Cuenca, durante la que se informó del procedimiento de derivación de pacientes a entidades externas. En la inspección se realizaron comprobaciones en los sistemas de información de la entidad, se accedió a varios correos electrónicos enviados al centro concertado con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros adjuntos a esos correos electrónicos, que contenían los datos personales relacionados con la salud, no se encontraban cifrados por medio de contraseña. CUARTO: En el curso de la Inspección realizada por esta Agencia a la entidad Hospital Recoletas Cuenca SLU el 25 de mayo de 2015, se comprobó que este centro procedió a subcontratar la realización de una de las pruebas diagnósticas que figuraban en el contrato con el Hospital Virgen de la Luz de Cuenca con la entidad Centro de Estudios Neurológicos Varela de Seijas S.L., sin la autorización o conocimiento del responsable del fichero para la subcontratación del servicio. Se comprobó también que los correos electrónicos enviados desde el Hospital Recoletas Cuenca SLU al Centro de Estudios Neurológicos Varela de Seijas S.L. con los datos de los pacientes y de las pruebas solicitadas, no se encontraban cifrados por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/28 medio de contraseña. QUINTO: En la visita de la Inspección de esta Agencia, realizada en el Centro de Estudios Neurológicos Varela de Seijas S.L. en fecha 23 de junio de 2015, pudo comprobarse que los correos electrónicos enviados desde el Centro de Estudios Neurológicos Varela de Seijas S.L. al Hospital Recoletas Cuenca SLU con los datos de los pacientes y de las pruebas realizadas, no se encontraban cifrados por medio de contraseña. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/28 III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
  6. b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
  7. c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
  8. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/28 Sintetizando las previsiones legales puede afirmarse que:
  9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
  13. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. En los hechos de este procedimiento, consta probado que el Hospital Virgen de la Luz de Cuenca ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, en fecha 23 de abril de 2014, complementario del convenio de vinculación suscrito por el SESCAM, para la realización de diversas pruebas diagnósticas a los usuarios del Servicio de Salud de Castilla la Mancha, que recoge las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad. Consta también probado que el 19 de septiembre de 2014, la Inspección de Datos de esta Agencia llevó a cabo una visita a las dependencias del Hospital Virgen de la Luz de Cuenca, durante la que se informó de cuál es el procedimiento de derivación de pacientes a entidades externas. En esta inspección se realizaron comprobaciones en los sistemas de información de la entidad, se accedió a varios correos electrónicos enviados al centro concertado con los datos de los pacientes y de las pruebas solicitadas, verificándose que los ficheros adjuntos a esos correos electrónicos, que contenían los datos personales relacionados con la salud, no se encontraban cifrados por medio de contraseña. En el curso de la Inspección realizada por esta Agencia a la entidad Hospital Recoletas Cuenca SLU el 25 de mayo de 2015, se comprobó que los correos electrónicos enviados desde el Hospital Recoletas Cuenca SLU al Centro de Estudios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/28 Neurológicos Varela de Seijas S.L. con los datos de los pacientes y de las pruebas solicitadas, no se encontraban cifrados por medio de contraseña. En la visita de Inspección realizada en el Centro de Estudios Neurológicos Varela de Seijas S.L. en fecha 23 de junio de 2015, pudo comprobarse que los correos electrónicos enviados desde el Centro de Estudios Neurológicos Varela de Seijas S.L. al Hospital Recoletas Cuenca SLU con los datos de los pacientes y de las pruebas realizadas, no se encontraban cifrados por medio de contraseña. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81 apartado 3 determina lo siguiente: “Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal: a. Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual. b. Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. c. Aquéllos que contengan datos derivados de actos de violencia de género.” Igualmente el art. 104 del citado Real Decreto, en relación con las medidas de seguridad de nivel alto establece: “Telecomunicaciones. Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” Esta es la concreta medida de seguridad de las legalmente previstas en la que se observa la vulneración del principio de seguridad de los datos, dado que en las visitas de inspección llevadas a cabo en las entidades Hospital Recoletas Cuenca S.L.U. y Centro de Estudios Neurológicos Varela de Seijas S.L., se constató que los correos electrónicos enviados entre ellas para la realización de pruebas diagnósticas, incluían ficheros adjuntos con datos relativos a la salud de los pacientes derivados que no se encontraban cifrados por medio de contraseña. El Hospital Recoletas Cuenca SLU ha manifestado en sus alegaciones que “si la comunicación se realiza utilizando protocolo SSL …, se puede afirmar que la información no ha sido ni leída ni manipulada por terceros, teniendo en cuenta además que para el acceso a dichas cuentas de correo electrónico se necesita usuario y contraseña. Los correos electrónicos en cuestión fueron propia y estrictamente reenviados tal y como fueron recibidos desde el Hospital Virgen de La Luz de Cuenca, en la confianza de que el responsable de los ficheros había adoptado las correspondientes medidas de seguridad con respecto a los datos personales incluidos como adjuntos en los mismos.” Por su parte, el Centro de Estudios Neurológicos Varela de Seijas S.L. expone en su escrito de alegaciones que: “la infracción que se le imputa con carácter excepcional, en lo referido al correo de 14 de Julio de 2015 que se remitió desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/28 CENTRO VARELA DE SEIJAS a RECOLETAS en formato Excel con datos de salud de pacientes, sin contraseña de apertura, es consecuencia de una excepción a los procedimientos seguidos por la citada entidad … La excepción a dichos procedimientos devino por la propia operativa seguida por el SESCAM, el HVL y RECOLETAS y por un error puntual de la persona que remitió dichos correos electrónicos sin contraseña, pues ésta actuó con el convencimiento de que esa forma de proceder quedaba justificada por el contrato formalizado previamente por RECOLETAS con HVL … siendo éste un organismo público el que remitía inicialmente los listados de pacientes adjuntando tal documentación a través de correos electrónicos que no disponían de la correspondiente clave de acceso. Por otra parte, y en virtud del principio de confianza legítima que debe regir la actuación de las Administraciones Públicas … considero que esta circunstancia disminuye cualificadamente la culpabilidad existente en la concreta actuación infractora realizada por Centro Varela de Seijas.” Respecto de la cuestión alegada de que la información no ha sido ni leída ni manipulada por terceros, cabe contestar que en esta ocasión se imputa la infracción de medidas de seguridad, que es una infracción de actividad que no precisa que se produzca la divulgación de la información a un tercero, hecho que sería objeto de la vulneración del deber de secreto que no se imputa en esta ocasión, siendo suficiente la mera omisión de las medidas de seguridad exigibles. Todo ello lleva a considerar que por parte de las entidades Hospital Recoletas Cuenca SLU y Centro de Estudios Neurológicos Varela de Seijas S.L. no se adoptaron las medidas de seguridad previstas en el artículo 104 del Reglamento de la LOPD según el cual, se deberá utilizar cualquier mecanismo que garantice que la información no sea inteligible ni manipulada por terceros, cuando se transmitan datos de carácter personal, a los que deban implantarse las medidas de seguridad de nivel alto, a través de redes públicas o redes inalámbricas de comunicaciones electrónicas. El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales amparados por la Constitución, sea objeto de una protección reforzada y por ello los datos personales incluidos en ese artículo disponen de unas específicas medidas de seguridad denominadas, de nivel alto, en los artículo 101 a 104 del Reglamento de la LOPD que deben aplicarse a este tipo de datos especialmente protegidos. En conclusión, cabe considerar que de los argumentos expuestos se deduce que los hechos imputados son constitutivos de una infracción grave prevista en el artículo 44.3.
  14. h)de la LOPD, porque se vulneró la medida de seguridad imputada. Ahora bien, hay que tener en cuenta la concurrencia de determinadas circunstancias excepcionales en el presente caso que impiden exigir responsabilidad administrativa a las entidades imputadas por este hecho. Ambas entidades invocan el denominado principio de confianza legítima como principio rector de su actuación y manifiestan que actuaron en “la confianza de que el responsable de los ficheros había adoptado las correspondientes medidas de seguridad con respecto a los datos personales incluidos como adjuntos en los mismos”, y también exponen que “actuó con el convencimiento de que esa forma de proceder quedaba justificada por el contrato formalizado previamente por RECOLETAS con HVL … siendo éste un organismo público el que remitía inicialmente los listados de pacientes adjuntando tal documentación a través de correos electrónicos que no disponían de la correspondiente clave de acceso”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/28 En relación con esta alegación debe tenerse en cuenta el criterio establecido por la Audiencia Nacional en su sentencia de 27 de febrero de 2008 que anuló la resolución sancionadora de la Agencia, respecto del tratamiento de datos de salud llevado a cabo en un hospital, por no concurrir el elemento subjetivo de la culpabilidad. Pues bien, de acuerdo con lo expuesto en dicha sentencia de la Audiencia Nacional, en este caso cabe razonablemente pensar que los centros sanitarios tuvieron la conciencia de estar actuando con arreglo a la normativa aplicable en materia de protección de datos, puesto que interpretaron que la actuación del Hospital público les ofreció garantías sobre la acomodación a la ley y pudo inducir a error a los hospitales aquí imputados, que no consideraron necesario incrementar dichas garantías, procediendo a la adopción de medidas de seguridad adicionales a las que el hospital público facilitó. La sucesión de hechos constatada en este caso debe llevar a admitir que resulta difícil exigir a las entidades imputadas en el presente procedimiento que actuaran de forma diferente a como lo hicieron. Es por ello que estaríamos ante un caso en el que se puede considerar que los centros sanitarios habrían actuado de acuerdo con el principio de confianza legítima, de tal manera que faltaría el requisito de la culpabilidad que siempre debe estar presente en el ejercicio de la potestad sancionadora. En consecuencia, se debe concluir que, aunque ha quedado constatada la vulneración de las medidas de seguridad constitutiva de la infracción señalada inicialmente, no se puede exigir a los centros sanitarios imputados la responsabilidad administrativa correspondiente, según lo expuesto sobre el principio de culpabilidad. En este caso se considera que las entidades Hospital Recoletas Cuenca SLU y el Centro de Estudios Neurológicos Varela de Seijas S.L., habrían actuado de acuerdo con el principio de confianza legítima de forma que faltaría el requisito de la culpabilidad que debe estar presente en el ejercicio de la potestad sancionadora. Según la doctrina del Tribunal de Justicia de las Comunidades Europeas y la jurisprudencia del Tribunal Supremo, el principio de confianza legítima comporta que la autoridad pública no pueda adoptar medidas que resulten contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de aquella, y en función de las cuales los particulares han adoptado determinadas decisiones; y resulta especialmente aplicable cuando se basa en signos externos producidos por la Administración suficientemente concluyentes, unido a unos perjuicios que razonablemente se cree que no se iban a producir. El principio de confianza legítima, de construcción jurisprudencial, relacionado por el Tribunal Supremo con los principios de seguridad jurídica y buena fe en las relaciones entre la Administración y los particulares, ha sido recogido como principio al que está sometido el actuar de la Administración en el artículo 3 de la Ley de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, Ley 30/1992. Conforme a lo establecido por nuestro Tribunal Supremo, el principio de protección de la confianza legítima ha de ser aplicado "no tan sólo cuando se produzca cualquier tipo de convicción psicológica en el particular beneficiado, sino más bien cuando se basa en signos externos producidos por la Administración lo suficientemente concluyentes para que le induzcan razonablemente a confiar en la legalidad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/28 actuación administrativa, unido a que, dada la ponderación de los intereses en juego interés individual e interés general, la revocación o la dejación sin efectos del acto hace crecer en el patrimonio del beneficiado que confió razonablemente en dicha situación administrativa unos perjuicios que no tiene por qué soportar, derivados de unos gastos o inversiones que sólo pueden serle restituidos con graves perjuicios para su patrimonio, al no ser todos ellos de simple naturaleza económica". La actuación de las entidades denunciadas vulnera lo dispuesto en el artículo 9 de la LOPD. No obstante lo anterior, habida cuenta que el elemento subjetivo del dolo o la culpa ha sido enervado por aplicación del principio de confianza legítima en la actuación de la administración analizada en la presente resolución, procede el archivo de las actuaciones por falta del elemento de la culpabilidad, presupuesto necesario para el ejercicio de la potestad sancionadora, ex art. 130 de la Ley 30/1992, de 26 de noviembre, y de acuerdo con lo recogido en la Sentencia del TS de fecha 9 de marzo de 2005 (Rec 3895/2002) en relación con dicho principio: “este principio, que se garantiza en el artículo 25 de la Constitución como principio estructural básico del Derecho Penal y del Derecho Administrativo Sancionador, según refiere el Tribunal Constitucional en la sentencia 150/1991, de 4 de julio, que limita el ejercicio del ius puniendi del Estado, exige que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías ( STC 129/2003, de 20 de junio)” IV Se imputa a la entidad Hospital Recoletas Cuenca SLU una infracción del artículo 11 de la LOPD, que dispone en sus apartados 1 y 2 lo siguiente: “1.Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  15. a)Cuando la cesión está autorizada en una Ley.
  16. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  17. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  18. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/28
  19. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  20. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. Añade el punto 3 del citado artículo 11 de la LOPD que “será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” En sintonía con esta doctrina constitucional, la sentencia de la Audiencia Nacional de 2 de febrero de 2005, entre otras, dice lo siguiente: “El derecho fundamental a la protección de datos persigue, en suma, garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino; o dicho de otro modo, del derecho a la intimidad permite excluir ciertos datos personales del conocimiento ajeno; mientras que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Por lo tanto, el objeto de la protección de datos- de aquí su singularidad- es más amplio que el objeto de la intimidad , pues entre otras cosas, y en lo que ahora nos interesa tiene como contenidos esencial del mismo, el conferir a la persona afectada el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera intimad de la persona y la prohibición de usar de los datos a ella referente: El mismo atribuye a su titular un conjunto de poderes o facultades que se traducen en auténticos deberes para aquellos que utilizan los datos, y que son , esencialmente: el derecho a que se requiera el consentimiento para la recogida y uso de datos personales; el derecho a saber y ser informado sobre el destino y uso de los mismos; y el derecho acceder, rectificar y cancelar dichos datos. Pues solo así se puede garantizar el poder de disposición sobre los datos personales”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/28 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso ha quedado acreditado que el Servicio de Salud de Castilla la Mancha, SESCAM, suscribió un Convenio de vinculación con una serie de entidades sanitarias externas para la prestación de servicios sanitarios. Por su parte el Hospital Virgen de la Luz de Cuenca ha suscrito un contrato con la entidad privada Hospital Recoletas de Cuenca SLU, para la realización de diversas pruebas diagnósticas a los usuarios del Servicio de Salud de Castilla la Mancha. Estos contratos incluyen anexos referidos al tratamiento de datos personales en el que se definen las condiciones conforme a las cuales se tratarán los datos personales a los que se tenga acceso durante el tiempo que dure el contrato. En el curso de la Inspección realizada por esta Agencia a la entidad Hospital Recoletas Cuenca SLU se comprobó que este centro procedió a subcontratar la realización de una de las pruebas diagnósticas que figuraban en el contrato con el Hospital Virgen de la Luz de Cuenca, sin la autorización o conocimiento del responsable del fichero para la subcontratación del servicio, lo que podría suponer una cesión de datos sin consentimiento por parte del Hospital Recoletas Cuenca SLU. El artículo 21 del Reglamento de la LOPD, bajo el epígrafe “Posibilidad de subcontratación de los servicios”, expone que: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos;
  21. a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
  22. b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
  23. c)Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/28 anterior.” En la inspección realizada por esta Agencia los responsables del Hospital Recoletas Cuenca manifestaron que no disponen de documento por el que el Hospital Virgen de la Luz autorizase ni conociese la subcontratación del servicio, si bien informaron durante la inspección, de que dicha comunicación se realizó verbalmente al gerente del Hospital. En las alegaciones al acuerdo de inicio del presente procedimiento sancionador, el Hospital Recoletas Cuenca ha manifestado que “subcontrató la realización de una de las pruebas diagnósticas de las que figuraban en el contrato con el Hospital Virgen de La Luz de Cuenca con la entidad CENTRO DE ESTUDIOS NEUROLÓGICOS VARELA DE SEIJAS, S.L., sin la autorización expresa del responsable del fichero para la subcontratación del servicio (el Hospital Virgen de La Luz de Cuenca); aunque sí con su conocimiento, si bien no se dispone de prueba fehaciente de ello ni se ha reconocido por sus responsables en la inspección llevada a cabo. (…) Por todo ello, y de conformidad con lo previsto en el artículo 8 del RD 1398/1993, y en el artículo 45.5.
  24. d)de la LOPD, procede y así se solicita la aplicación de la escala relativa a la clase de infracción que precede inmediatamente en gravedad a la propuesta; esto es, la aplicación de la escala relativa a las infracciones graves” El Hospital Virgen de la Luz ha comunicado que no se tenía información de la subcontratación y que aunque la normativa contempla que es posible, hay que comunicarla y que no se realizó ninguna autorización verbal. De los argumentos expuestos se deduce que el Hospital Recoletas Cuenca SLU procedió a la subcontratación de una parte del servicio contratado con el hospital Virgen de la Luz de Cuenca sin la preceptiva autorización de este, hecho que constituye una cesión de datos de carácter personal relativos a la salud sin consentimiento, por parte del Hospital Recoletas Cuenca SLU al Centro de Estudios Neurológicos Varela de Seijas S.L., con quien se subcontrató. V El artículo 44.4.
  25. b)de la LOPD especifica que constituye infracción de carácter muy grave: “Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7.” Los hechos imputados se declaran constitutivos de una infracción muy grave prevista en el artículo 44.4.
  26. b)de la LOPD, porque la cesión o comunicación de datos de carácter personal relativos a la salud de los pacientes del hospital Virgen de la Salud de Cuenca, por parte del Hospital Recoletas Cuenca SLU, al Centro de Estudios Neurológicos Varela de Seijas S.L., se efectuó sin la concurrencia de una habilitación legal que así lo dispusiera y sin haber obtenido tampoco el consentimiento expreso de las personas afectadas para dicha cesión. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/28 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  27. a)El carácter continuado de la infracción.
  28. b)El volumen de los tratamientos efectuados.
  29. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  30. d)El volumen de negocio o actividad del infractor.
  31. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  32. f)El grado de intencionalidad.
  33. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  34. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  35. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  36. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  37. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  38. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  39. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  40. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  41. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De conformidad con el análisis realizado se considera que, con relación a la imputación del artículo 9 de la LOPD, la actuación de las entidades denunciadas vulnera lo dispuesto en dicho artículo. No obstante, habida cuenta que el elemento subjetivo del dolo o la culpa ha sido enervado por aplicación del principio de confianza legítima en la actuación de la administración analizada en la presente resolución, procede el archivo de las actuaciones por falta del elemento de la culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/28 Por otra parte y respecto de la imputación del artículo 11.1 de la LOPD al Hospital Recoletas Cuenca SLU se ha incurrido en la infracción muy grave descrita. Así, ha quedado acreditado que la entidad Hospital Recoletas Cuenca SLU subcontrató un servicio sin la preceptiva autorización o comunicación al responsable del fichero hecho que constituye una cesión de datos de carácter personal relativos a la salud sin contar con los requisitos legalmente exigidos y sin haber obtenido tampoco el consentimiento expreso de las personas afectadas para dicha cesión. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, o bien de alguna otra de las circunstancias que el mismo precepto cita. Atendidas las circunstancias del presente caso, no puede obviarse que en esta ocasión se aprecia una cualificada disminución de la culpabilidad en la actuación de la entidad imputada a efectos de la aplicación del artículo 45 .5. En este caso se considera que concurren significativamente el supuesto del apartado b del punto 5 del artículo 45 porque Hospital Recoletas Cuenca ha manifestado, en las alegaciones al acuerdo de iniciación de este procedimiento, que reconoce su culpabilidad en la infracción imputada y que solicita se proceda de conformidad con lo previsto en el artículo 8 del Real Decreto 1398/1993 y en el artículo 45.5.
  42. d)de la LOPD aplicando la escala relativa a la clase de infracción que precede en gravedad a la propuesta, la de las infracciones graves Todo ello permite apreciar la existencia de motivos suficientes para la aplicación de la facultad contemplada en el artículo 45.5 de la LOPD y establecer la sanción en la escala de infracciones que precede inmediatamente en gravedad a la aquí imputada, las infracciones graves. Por otra parte, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  43. a)la existencia de intencionalidad o reiteración,
  44. b)la naturaleza de los perjuicios causados,
  45. c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, permiten que en este caso se considere procedente proponer la imposición de una sanción en la cuantía de 40.001 € a la entidad Hospital Recoletas Cuenca SLU. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/28 PRIMERO: ARCHIVAR el procedimiento sancionador, en relación con la infracción del artículo 9 de la LOPD, por los hechos imputados a las entidades Hospital Recoletas Cuenca SLU y Centro de Estudios Neurológicos Varela de Seijas S.L. SEGUNDO: IMPONER a la entidad Hospital Recoletas Cuenca SLU, por una infracción del artículo 11.1 de la LOPD, tipificada como muy grave en el artículo 44.4.
  46. b)de dicha norma, una multa de 40.001 € (cuarenta mil un euros) de conformidad con lo establecido en el artículo 45 .2 .3 .4 y .5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a CENTRO DE ESTUDIOS NEUROLOGICOS VARELA DE SEIJAS S.L., HOSPITAL RECOLETAS CUENCA S.L.U., y a la Asociación de Consumidores y Usuarios en Accion (FACUA). CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/28 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.