← España

PS-00424-2018

1/19 Procedimiento Nº: PS/00424/2018 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de julio de 2018 se registra de entrada en esta Agencia reclamación formulada por Don A.A.A. (en adelante, el reclamante o A.A.A.) contra el SERVICIO ANDALUZ DE SALUD, (en adelante, el reclamado o SAS), por no haber atendido, a fecha de la presentación de la reclamación, el derecho de rectificación que ejercitó ante el Complejo Hospitalario de Jaén, con fecha 20 de junio de 2018, respecto de los datos de salud de un tercero que fueron incorporados a su historia clínica tras ser atendido en varias ocasiones en dicho Centro al identificarse con datos correspondientes al reclamante. Según el reclamante, dicho tercero acudió identificándose como el reclamante al Servicio de Urgencias de dicho Centro la madrugada del 20 al 21 de mayo de 2016, el día 21 de mayo de 2016 e ingresó el día 24 de mayo de 2016 para una intervención quirúrgica, dándose a la fuga el día 25 de mayo de 2016, pero sin documentación alguna que acreditará la identificación facilitada, a pesar de lo cual por parte del Centro Hospitalario no se efectuó ninguna constatación al respecto. El reclamante acompaña copia del informe de valoración inicial de 24/05/2016, Hoja de Observaciones de 25/05/2016, Hoja de Evolución y Curso clínico de Hospitalización de 25/05/2016, así como información de cuidados al alta de 25/05/2016, como correspondientes a actos médicos efectuados al suplantador. En estos documentos aparece el nombre, apellidos, sexo, fecha de nacimiento y edad del reclamante. También figura el nombre, primer apellido y número de teléfono móvil del cuidador del paciente, excepto en la Hoja de Evolución y Curso clínico de Hospitalización. En apoyo de dichas manifestaciones, también aporta copia de la Hoja de Reclamaciones presentada por su padre con fecha 7 de junio de 2016 contra el Servicio de Urgencias del Hospital Neurotraumatológico de Jaén por no haber comprobado la identidad del paciente que suplantó la identidad de su hijo. Igualmente presenta copia del escrito de contestación efectuado el 6 de julio de 2016 por el Director Médico del Complejo Hospitalario de Jaén al padre del reclamante, del que su padre obtuvo copia tras personarse en el Centro Hospitalario con fecha 6 de julio de 2017. En dicha contestación se indicaba que: “Según informe del Responsable de RR.HH del S.A.C., los profesionales aludidos procedieron según protocolo establecido en Admisión de Urgencias del Servicio de Atención la Ciudadanía del Complejo Hospitalario de Jaén. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Habitualmente, se le solicita al paciente la tarjeta sanitaria y/o el Documento Nacional de Identidad (D.N.I., en ausencia de ambos, se le pide el número del D.N.I. o sus apellidos y nombre, verificando con el paciente algunos datos personales que aparecen en la Base de Datos de Usuarios, como por ejemplo la fecha de nacimiento. Respecto al domicilio, indican que es un dato de variabilidad frecuente, dado que puede haberse producido un cambio de domicilio y no haber sido notificado en su Centro de Salud para su modificación. Asimismo, indicar que el Área de Admisión de Urgencias, tiene como función principal el registro administrativo informatizado de todo usuario que solicite atención sanitaria, siendo competencia de los usuarios, revelar los datos reales y veraces”. Correlativamente, el reclamante acredita que con fecha 12 de julio de 2017 cumplimento un formulario del SAS para ejercitar su derecho de acceso a la historia clínica completa y radiografías del mismo obrantes en el Complejo Hospitalario de Jaén, aportando también copia de la resolución adoptada con fecha 18 de septiembre de 2017 por el mencionado Complejo estimando la solicitud presentada por el reclamante. El reclamante aduce que en la historia clínica entregada, cuya copia adjunta, sigue constando una asistencia que no le ha sido prestada y unas lesiones que nunca ha sufrido, añadiendo que junto a esa documentación le fueron facilitadas pruebas médicas de un paciente de 58 años con sus datos personales (nombre y apellidos). Añade el reclamante que con fecha 20 de junio de 2018 ejerció ante el mencionado Centro Hospitalario de Jaén, derecho de rectificación en relación con los datos falsos e inexactos obrantes en los informes y pruebas médicas que identifica y detalla como incluidos en la historia clínica recibida, y cuya copia adjunta a su solicitud de ejercicio de derecho de rectificación respecto de tal información inveraz. El reclamante hace constar en la citada solicitud que: “Jamás esta parte ha ingresado en el Hospital Neurotraumatológico de Jaén en las fechas que constan en la historia clínica y mucho menos se me han practicado las pruebas médicas que constan en las mismas, al no haber tenido fractura ni lesión alguna de codos. Ni menos aún he sufrido lesión alguna de corazón, adjuntándose a mi historia clínica pruebas relativas a RMN de corazón de un paciente de 58 años. Como ya se indicó a este Organismo en fecha 7 de junio de 2016, se suplanto mi personalidad, y esta entidad continúa manteniendo en mi historia clínica lesiones sufridas por una tercera persona, que fue la que fue objeto de las pruebas que constan, y ello pese a las reiteradas peticiones de mis padres Don A.A.A. y Doña B.B.B., de que se subsanaran, siendo así que lo único que se ha eliminado dela misma han sido los informes relativos a los ingresos y posterior fuga del suplantador del hospital. Así, continúa reflejando mi historia clínica unas pruebas que no se me han practicado nunca y unas lesiones que no he sufrido. “ Igualmente, el reclamante puntualiza que en la fecha de presentación de la reclamación ante la AEPD no ha recibido contestación alguna al ejercicio de su derecho de rectificación, cuya copia adjunta, y en la que figura estampado el sello de registro de entrada de dicho documento en el Registro General del Complejo Hospitalario de Jaén en la fecha señalada por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 Se observa que los documentos incorporados a la historia clínica del reclamante cuya rectificación éste solicitaba se correspondían con los siguientes: Detalle del episodio, correspondiente al ingreso en Urgencias del Hospital Neurotraumatológico de Jaén con fecha 21/05/2016, asociado al NUHSA del reclamante; Cinco documentos de “Diagnóstico por Imagen de fechas 21/05/2016, donde figuran como datos identificativos del paciente el NHC, NUHSA, NUSS, nombre y apellidos, domicilio postal, localidad, código postal, provincia, sexo. Fecha nacimiento y edad, constando también la descripción del examen realizado; Petición de estudio radiológico de fecha 21/05/2016, con los datos de identificación del paciente antes indicados; Documentación clínica Informe Radiológico, con los datos de la petición vinculados al nombre, apellidos, NUHSA y fecha nacimiento del paciente, coincidentes con los del reclamante incluye, junto con el informe médico que contiene la justificación clínica, exploraciones realizadas, regiones estudiadas, hallazgos/indicación diagnostica y recomendaciones firmado por el facultativo; Informes Radiológicos de 21/05/2016, asociados a un paciente con el mismo nombre y apellidos del reclamante, pero nacido el 12 de septiembre de 1960 y que padece una dolencia coronaria. SEGUNDO: Con fecha 1 de octubre de 2018, de conformidad con el artículo 9.4 del Real Decreto-ley 5/2018, se dio traslado de la reclamación presentada por el reclamante al SAS- Complejo Hospitalario de Jaén, para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Asimismo, se requería remisión a esta Agencia, en el plazo de un mes, de contestación a los siguientes extremos: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de la reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares-. - Cualquier otra que s información que se considere relevante. El mencionado envío se intentó notificar por medios electrónicos a través de la plataforma Nottific@ que envía las notificaciones a los sistemas Carpeta Ciudadana y Dirección Electrónica Habilitada del Ministerio de Hacienda y Administraciones Públicas. Consta en el expediente que fue puesto a disposición del SAS con fecha 1 de octubre de 2018, produciéndose el rechazo automático del mismo con fecha 12 de octubre de 2018, conforme figura en la certificación emitida con fecha 12 de octubre de 2018 por el Servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada. Según los apartados 2 y 3 del artículo 43 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la notificación se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido, entendiéndose cumplida la obligación de notificar con la puesta a disposición de la notificación en la sede electrónica o en la dirección electrónica habilitada única. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 Sin perjuicio de lo cual, y de forma excepcional, con fecha 24 de octubre de 2018 se reintenta notificar el traslado de la reclamación y el requerimiento de información efectuado al SAS-Complejo Hospitalario de Jaén, obrando en el expediente certificado emitido por la Sociedad Estatal Correos y Telégrafos, SA en el que consta que el mencionado envió fue entregado el 30/10/2018 a dicho Centro Hospitalario. TERCERO: Con fecha 21 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de APERCIBIMIENTO al SERVICIO ANDALUZ DE SALUD (COMPLEJO HOSPITALARIO DE JAEN), de conformidad con lo previsto en el artículo 58.2.

  1. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), por: La presunta infracción del artículo 32.1.
  2. b)del RGPD, en su relación con lo previsto en los artículos 5.1.
  3. d)y
  4. f)del RGPD, tipificada en el artículo 83.4.
  5. a)del RGPD, de conformidad con lo previsto en el artículo 58.2.
  6. b)de la misma norma, y calificada a efectos de prescripción como grave en el artículo 73.
  7. f)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). La presunta infracción del artículo 16 del RGPD, infracción tipificada en el artículo 83.5.
  8. b)del RGPD y calificada a efectos de prescripción como leve en el artículo 74.
  9. c)de la PDPGDD. Asimismo, en dicho acuerdo de inicio se señalaba que, de confirmarse la existencia de infracción, a los efectos previstos en el artículo 58.2.
  10. d)del RGPD las medidas correctivas que podrían imponerse al reclamado en la resolución que se adoptase consistirían en ORDENARLE la adopción de medidas técnicas y organizativas adecuadas para garantizar la exactitud, seguridad y confidencialidad de los datos personales y de salud incorporados y tratados en las historias clínicas de los pacientes, amén de ordenar la habilitación de mecanismos que permitan atender sin dilación indebida, cuando así proceda, el derecho de rectificación de los datos personales inexactos incluidos en las historias clínicas de los pacientes tratados. Dicho acuerdo de inicio fue notificado por el Servicio de Correos con fecha 23 de abril de 2019. CUARTO: Notificado el citado acuerdo de inicio, con fecha 9 de mayo de 2019 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba: - Que al tener constancia de la suplantación de identidad, han venido trabajando en las rectificaciones correspondientes, quedando ultimadas con fecha 05/02/2019. - Enumeran en orden cronológico los siguientes hechos acontecidos relacionados con la reclamación, las causas y consecuencias provocadas por los mismos, aportando como justificación la documentación que se cita como anexo: 1. Con fecha 21/05/2016 el paciente accidentado (suplantador de la identidad) ingresó en el Servicio de Urgencias del Hospital Neurotraumatológico, alegando que no disponía de ninguna acreditación física en ese momento, por lo que realizadas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 preguntas establecidas por protocolo para su identificación, el paciente facilitó los datos del reclamante. 2. A partir de ahí, el Hospital le fue facilitando al paciente la documentación necesaria para las sucesivas visitas al centro, dando por buena su acreditación con dicha documentación, reincidiendo en el error. 3. El día 07/06/2016 una persona presentó una reclamación en el centro, (anexo 1), indicando una posible suplantación de identidad, sin identificarse como el padre del afectado, sin solicitud explícita de rectificación, y sin acredita la fuente de información que le llevo a detectar los errores. Esta reclamación fue entendida como un posible error en el protocolo de identificación de los pacientes en Admisión, y en esos términos se elaboró la respuesta emitida por el Director Médico del Centro con fecha 06/07/2016, donde no se incluyeron datos clínicos, (anexo 2) 4. El reclamante no presentó solicitud de rectificación de sus datos hasta el 20/06/2018, lo que apoya mediante el anexo 3. Como la solicitud no se efectuó mediante el procedimiento ARCO, sino a través de escrito dirigido al Centro, dicha petición se retrasó, no siendo hasta el día 05/12/2018 (anexo 4) que se abrió una solicitud ARCO de oficio cuya tramitación finalizó el día 14/02/2019, hecho comunicado al reclamante mediante acuse de recibo el día 19/02/2019 (anexo 5). 5. Con fecha 22/03/2019 el reclamante volvió a solicitar copia de su historia clínica (anexo 6), que fue contestada con fecha 27/03/2019 (anexo 7) y recibida con fecha 01/04/2019, pudiendo constatar que los episodios reclamados ya no se encuentran en su historia clínica. Que, por tanto, ha quedado satisfecho el ejercicio del derecho a Rectificación de la historia clínica del paciente. -Que se han adoptado una serie de medidas a fin de evitar que se reproduzcan incidencias similares. QUINTO: Con fecha 17 de octubre de 2019 la Instructora del Procedimiento fórmula propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se imponga al SERVICIO ANDALUZ DE SALUD- COMPLEJO HOSPITALARIO DE JAEN, una sanción de apercibimiento, de conformidad con lo previsto en el artículo 58.2.
  11. b)del RGPD, por las siguientes infracciones: - Infracción del artículo 32.1.
  12. b)del RGPD en su relación con lo previsto en los apartados
  13. d)y
  14. f)del artículo 5.1 de la misma norma, tipificada en el artículo 83.4.
  15. a)del RGPD. -Infracción del artículo 16 del RGPD, tipificada en el artículo 83.5.
  16. b)del RGPD. En dicha propuesta se indicaba que, de no haberse acreditado la subsanación de la situación irregular descrita con anterioridad a la emisión de la resolución que procediese, y de conformidad con lo previsto en el artículo 58.2.
  17. d)del RGPD, por la Directora de la Agencia Española de Protección de Datos se ordenase al SERVICIO ANDALUZ DE SALUD (COMPLEJO HOSPITALARIO DE JAEN), que procediera a atender íntegramente la solicitud de ejercicio de derecho de rectificación formulada por el reclamante, extrayendo de la historia clínica del mismo el informe radiológico de fecha 10 de enero de 2017 con datos de salud de otro paciente e incluyéndolo en la historia clínica del paciente en cuestión. Asimismo, se proponía ordenar la ejecución de las medidas técnicas y organizativas necesarias para que las operaciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 tratamiento se ajusten a lo dispuesto en el artículo 16 del RGPD en su relación con lo previsto en el artículo 12.1, 3 y 4 de la misma norma. Dichas medidas se habrían de adoptar, en su caso, en el plazo de un mes computado desde la fecha en la que se notifique la resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento. SEXTO: Notificada la citada propuesta de resolución, con fecha 31 de octubre 2019 el reclamado presentó escrito de alegaciones manifestando lo siguiente en relación con las actuaciones llevadas a cabo en relación con el ejercicio del derecho de rectificación: “Esta atención se canaliza a través de la Unidad ARCO, que registra, en aplicación informática al efecto, la solicitud de rectificación y realizada el seguimiento de la misma con las Unidades clínicas afectadas y la comprobación de resolución. En el caso del reclamante, D. A.A.A., tras registro de la Reclamación, se elevó para su resolución a Servicios de Apoyo del SAS-SAP-, dado que la rectificación de datos solicitada exigía una modificación en el módulo DIRAYA-DAE- y dicha rectificación no puede realizarse a nivel local. Tras las actuaciones realizadas por SAP, una vez que se accede a DAE, puede comprobarse que, en el Historial Clínico de D. A.A.A. no figura, en el árbol de episodios, ningún episodio que no corresponda a la atención prestada a este paciente, si bien, en el apartado Histórico de Peticiones_Pruebas de Imagen, figuran una serie de solicitudes, fechas en 2016, que no le corresponden. Al plicar sobre dichas solicitudes, aparecen Pruebas de Imagen nominadas de forma inequívoca a otro paciente: FGC. Consultado al respecto con SAP, nos informan de la no posibilidad, en principio, de eliminación en DAE de estas solicitudes de Pruebas de Imagen directamente por el Hospital, al tratarse de un registro ya pasado en el tiempo, al igual que otro tipo de registros históricos. Por ello, se ha contactado, posteriormente, con personal responsable de ejecución del módulo de Petición de Pruebas de Imagen-PDI-, petición ratificada mediante comunicación de oficio vía ARCO, para la eliminación en DAE de las solicitudes de imagen ya mencionadas o indicación de que no corresponden a D. A.A.A.. De esa comunicación de oficio aún no se ha obtenido respuesta. En tanto, a nivel del Hospital Universitario de Jaén, se ha procedido a las siguientes actuaciones: 1. Al acceder mediante PDI a los datos de D. A.A.A., se hace constar, en el apartado de observaciones de PDI , que “la petición actual se ha vinculado a un paciente incorrecto y la petición correcta es la que tiene el código….” (el de petición correcta). 2. Al vaciado de las pruebas de imagen mencionadas de la Historia Clínica de Dl A.A.A. y al volcado definitivo a su titular (FGC), de modo que: 2.1 Se han creado nuevas Peticiones de Imagen a D. FGC, en las que se han volcado las imágenes y los informes de resultados, con sus fechas de realización. Y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 2.2 en la Historia Clínica de D. A.A.A. ha quedado solamente el registro de las solicitudes, sin contenido alguno, en tanto se resuelve definitivamente a la solicitud de oficio desde ARCO arriba mencionada. Respecto a las medidas estructurales solicitadas, se refuerza el Circuito de acceso al Derecho de acceso o modificación de datos clínicos, mediante un seguimiento más exhaustivo de solicitudes si cabe, contemplando que, en el caso de DIRAYA, se ha constatado que, dada la imposibilidad de eliminar registros históricos directamente por el Hospital, se indica de forma expresa que no corresponden a la Historia Clínica a la que se accede sino que es una rectificación de datos. Finalmente, tanto de las actuaciones realizadas hasta ahora, como una vez se haya resuelto definitivamente este tipo de incidencia se procederá a la notificación al afectado.” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 27 de julio de 2018 se registra de entrada en esta Agencia reclamación formulada por Don A.A.A. (en adelante, el reclamante) contra el SERVICIO ANDALUZ DE SALUD (COMPLEJO HOSPITALARIO DE JAÉN) (en adelante, el reclamado o SAS), por no haber atendido, a fecha de la presentación de esa reclamación, el derecho de rectificación que ejercitó ante el Complejo Hospitalario de Jaén, con fecha 20 de junio de 2018, respecto de los datos de salud de terceros que fueron indebidamente incorporados a su historia clínica. SEGUNDO: Con fecha 7 de junio de 2016 Don A.A.A., padre del reclamante, presentó una reclamación contra el Servicio de Urgencias del Hospital Neurotraumatológico de Jaén, por no haber comprobado la identidad del paciente que facilitó los datos de su hijo al ser atendido la madrugada del 21 al 22 de mayo de 2016 en dicho Servicio, suplantando de este modo la identidad de su hijo (Don A.A.A., el reclamante), quien es paciente del Complejo Hospitalario de Jaén, (en lo sucesivo, CHJ). En el apartado 1 de la reclamación aparecen, entre otros, los datos identificativos del firmante del documento, su domicilio postal y su condición de familiar del paciente que aparece identificado en el apartado 3 de dicha reclamación, y cuya identidad fue objeto de suplantación. Los datos del paciente facilitados se corresponden con los del reclamante, coincidiendo también la dirección proporcionada en el apartado 1 de dicho documento con la que consta como domicilio del reclamante en su historia clínica. TERCERO: La reclamación presentada por el padre del reclamante, fue contestada con fecha 6 de julio de 2016 por el Director Médico del Complejo Hospitalario de Jaén, aunque no consta notificada a Don A.A.A. hasta el día 6 de julio de 2017, es decir un año después de su formulación. En dicha contestación se le indicaba que: “Según informe del Responsable de RR.HH del S.A.C., los profesionales aludidos procedieron según protocolo establecido en Admisión de Urgencias del Servicio de Atención la Ciudadanía del Complejo Hospitalario de Jaén. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 Habitualmente, se le solicita al paciente la tarjeta sanitaria y/o el Documento Nacional de Identidad (D.N.I., en ausencia de ambos, se le pide el número del D.N.I. o sus apellidos y nombre, verificando con el paciente algunos datos personales que aparecen en la Base de Datos de Usuarios, como por ejemplo la fecha de nacimiento. Respecto al domicilio, indican que es un dato de variabilidad frecuente, dado que puede haberse producido un cambio de domicilio y no haber sido notificado en su Centro de Salud para su modificación. Asimismo, indicar que el Área de Admisión de Urgencias, tiene como función principal el registro administrativo informatizado de todo usuario que solicite atención sanitaria, siendo competencia de los usuarios, revelar los datos reales y veraces”. CUARTO: Con fecha 12 de julio de 2017 el reclamante solicitó ante el SAS el ejercicio de su derecho de acceso a la historia clínica completa y radiografías del mismo obrantes en el CHJ, petición que fue estimada por dicho Centro mediante resolución de fecha de 18 de septiembre de 2017, en la que constaba que la documentación solicitada sería remitida por correo certificado. QUINTO: En la historia clínica facilitada por el SAS al reclamante cuando atendió el ejercicio de su derecho de acceso figuraban indebidamente incorporados a la misma los siguientes documentos con datos de salud inexactos, ya que correspondían a pruebas médicas efectuadas a terceras personas. Detalle del episodio, correspondiente al ingreso en Urgencias del Hospital Neurotraumatológico de Jaén con fecha 21/05/2016, asociado al NHC y NUHSA del reclamante; Cinco documentos de “Diagnóstico por Imagen de fecha 21/05/2016, donde figuran los datos del reclamante en los campos de paciente, NHC, NUHSA, nombre y apellidos, domicilio postal, localidad, código postal, provincia, sexo. Fecha nacimiento y edad, constando también la descripción del examen realizado en muñecas y codos ; Petición de estudio radiológico de fecha 21/05/2016, con los datos de identificación del reclamante antes indicados asociados a su condición de paciente; Documentación clínica Informe Radiológico de fecha 21/05/2016 , con los datos de la petición vinculados al nombre, apellidos, NUHSA y fecha nacimiento del paciente, coincidentes con los del reclamante y con el informe médico principal firmado por el facultativo, que contiene la justificación clínica, exploraciones realizadas, regiones estudiadas (codo derecho e izquierdo), hallazgos/indicación diagnostica y recomendaciones; Informe Radiológico de 21/05/2016, asociado a un paciente con el mismo nombre , apellidos, fecha de nacimiento y NUHSA del reclamante, en el que se describen las lesiones apreciadas en ambos codos; Informe radiológico de fecha 10 de enero de 2017 vinculado a una patología cardiaca sufrida por un paciente nacido el 12/09/1960 y cuyo número de identificación de paciente no coincidía con el del reclamante, nacido en el año 1997. Se observa que los documentos fechados en mayo de 2016 se corresponden con las pruebas médicas y resultado de las mismas efectuadas a un paciente que suplantó la identidad del reclamante, mientras que el informe fechado en enero de 2017 se corresponde con el resultado de una prueba radiológica efectuada a otro paciente. SEXTO: Con fecha 20 de junio de 2018 el reclamante presentó en el Registro General del CHJ solicitud de ejercicio de derecho de rectificación respecto de la información inexacta que figuraba asociada a sus datos personales en los documentos de su historia clínica que se detallan en el Hecho Probado anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 SÉPTIMO: Con fecha 5 de diciembre de 2018 el SAS inició la tramitación de la solicitud de ejercicio de derecho de rectificación del reclamante, procediendo con fecha 14 de febrero de 2019 a registrar de salida comunicación de fecha 7 de febrero de 2019 en la que el responsable de ARCO en CHJ indicaba lo siguiente a Don A.A.A., padre del reclamante: “Le comunico que he recibido una notificación de los Servicios Centrales del SAS, donde se me indica que los episodios de Urgencias y posterior hospitalización del paciente D. A.A.A. se le han extraído de su Historia Clínica para asignárselos a su verdadero titular, que fue el que suplantó fraudulentamente a su hijo.“ Consta que dicha comunicación fue recibida por Don A.A.A. con fecha 19 de febrero de 2019. OCTAVO: El reclamado ha aportado copia de la siguiente documentación: - Impresión de captura de registro informático relativo a la solicitud de ejercicio de derecho de acceso presentada por Don A.A.A. con fecha 22 de marzo de 2019 ante el SAS para acceder a su historia clínica en el CHJ. - Copia de la resolución de fecha 27 de marzo de 2019 acordada por el SAS comunicando a Don A.A.A. la estimación de su solicitud de acceso a las anotaciones reseñadas en su petición, notificada con fecha 1 de abril de 2019. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1 y 2, 56.2, 57.1 y 58.2 del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), reconocen a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los artículos 1 y 2.1 del RGPD disponen lo siguiente: “Artículo 1. Objeto 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Artículo 2. Ámbito de aplicación material C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “15) <<datos relativos a la salud>>: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; De conformidad con las definiciones recogidas en los reseñados apartados 1 y 2 del artículo 4 del RGPD el SAS lleva a cabo un tratamiento de datos personales y de datos relativos a la salud de los pacientes que son atendidos en los centros e instalaciones de dicho servicio, de tal modo que resultan identificados o pueden resultar identificables. III En primer lugar, se imputa al reclamado la falta de implementación de las medidas técnicas y organizativas necesarias para garantizar un nivel de seguridad adecuado al riesgo derivado del tratamiento de datos de salud de los pacientes (categoría especial de datos personales conforme a lo dispuesto en el artículo 9.1 del RGPD), en orden a impedir la vulneración de los principios de exactitud y confidencialidad de los datos tratados en las historias clínicas, tal y como se desprende de la valoración del conjunto de hechos analizados en relación con dicha conducta. El artículo 32.1.
  18. b)del RGPD, relativo a la “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (…)
  19. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 (…) 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. “ Por su parte, los apartados 1.
  20. d)y
  21. f)y 2 del artículo 5 del RGPD, bajo la rúbrica “Principios relativos al tratamiento”, establecen que: “1. Los datos personales serán: (…)
  22. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (<<exactitud>>);” “
  23. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)” 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” Por su parte, en cuanto a los “Principios de protección de Datos”, los artículos 4.1 y 5 de la LOPDGDD determinan: 4. Exactitud de los datos. 1. Conforme al artículo 5.1.
  24. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.” Artículo 5. Deber de confidencialidad. 1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  25. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. En el presente caso a través de la documentación obrante en el procedimiento, consta probado que en la historia clínica del reclamante se registraron datos inexactos relativos a una serie de actuaciones y pruebas médicas efectuadas en mayo de 2016 entre el 21 y el 24 de mayo de 2016 que no le fueron efectuados al reclamante, sino a un tercero que suplantó su personalidad. Del análisis de dicha documentación se evidencia que dicha información errónea ha permanecido registrada en la historia clínica del reclamante desde el 21 de mayo de 2016, fecha en que se produjo el ingreso por Urgencias del paciente que suplantó la personalidad del reclamante , (en adelante, el suplantador), hasta el 7 de febrero de 2019, fecha en que el reclamado, a los efectos de atender la solicitud de ejercicio de derecho de rectificación presentada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 por el reclamante con fecha 20 de junio de 2018 en el Registro General de CHJ, extrajo de la historia clínica del reclamante los episodios de urgencias y posterior hospitalización que figuraban asociados a Don A.A.A. para asignárselos a su verdadero titular, que fue quien en mayo de 2016 suplantó su personalidad. Asimismo, está acreditado en el procedimiento que con fecha 10 de enero de 2017 se incorporó a la historia clínica del reclamante información relativa a un informe radiológico que, aunque se asoció al nombre y apellidos del reclamante, en realidad se corresponde con otro paciente al que le fueron efectuadas las pruebas reseñadas en dicho documento, conforme prueba que en dicho informe radiológico figura un ID del paciente (NUHSA) y una fecha de nacimiento diferentes de las del reclamante. En relación con dicha información errónea, conviene señalar que en la solicitud de ejercicio de derecho de rectificación presentada por el reclamante con fecha 20 de junio de 2018 en el Registro General del CHJ, el reclamante ponía de manifiesto que: “Jamás esta parte ha ingresado en el Hospital Neurotraumatológico de Jaén en las fechas que constan en la historia clínica y mucho menos se me han practicado las pruebas médicas que constan en las mismas, al no haber tenido fractura ni lesión alguna de codos. Ni menos aún he sufrido lesión alguna de corazón, adjuntándose a mi historia clínica pruebas relativas a RMN de corazón de un paciente de 58 años. Como ya se indicó a este Organismo en fecha 7 de junio de 2016, se suplanto mi personalidad, y esta entidad continúa manteniendo en mi historia clínica lesiones sufridas por una tercera persona, que fue la que fue objeto de las pruebas que constan, y ello pese a las reiteradas peticiones de mis padres Don A.A.A. y Doña JCLL, de que se subsanaran, siendo así que lo único que se ha eliminado de la misma han sido los informes relativos a los ingresos y posterior fuga del suplantador del hospital. Así, continúa reflejando mi historia clínica unas pruebas que no se me han practicado nunca y unas lesiones que no he sufrido. “ En paralelo, se considera que la incorporación de la información de terceros anteriormente reseñada a la historia clínica del reclamante ha supuesto una vulneración del principio de confidencialidad, toda vez que el reclamante ha tenido acceso a información de datos de salud de otros pacientes que resultaban identificables, tal y como prueba la información contenida en el anexo 4 adjuntado por el SAS en su escrito de alegaciones al acuerdo de inicio, en el que aparece el nombre, apellidos, fecha de nacimiento, DNI y NUHSA del suplantador, o se desprende del propio informe radiológico de fecha 10 de enero de 2017 incorporado a la historia clínica del reclamante, ya que a través de la información correspondiente al ID del paciente y fecha de nacimiento resulta identificable el paciente titular de los datos de salud recogidos en dicho informe. El reclamado, en su condición de responsable de dicho tratamiento, debería de haber adoptado e implementado, en forma proactiva, las medidas técnicas y organizativas que resultasen apropiadas para evaluar y garantizar un nivel de seguridad adecuado a los probables riesgos de diversa naturaleza y gravedad vinculados a los tratamientos de datos de salud realizados que pudieran afectar, entre otros, a los principios de exactitud y confidencialidad. A estos efectos se recuerda que el artículo 24.1 del RGPD, en línea con lo también dispuesto en los artículos 5.2 y 32.2 anteriormente transcritos, establece lo siguiente respecto de las obligaciones a cumplir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 por el responsable del tratamiento: “Artículo 24. Responsabilidad del responsable del tratamiento 1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.” De lo expuesto, se evidencia que el reclamado, como responsable del tratamiento objeto de estudio, no ha mostrado la diligencia que le resultaba exigible para establecer las medidas de seguridad que resultan necesarias para evitar que puedan incorporarse y mantenerse datos de salud inexactos o producirse la filtración o difusión de este tipo de datos a terceros. Dicha conducta constituye infracción a lo dispuesto en el artículo 32.1.
  26. b)y 2 del RGPD, relativo a la “Seguridad del tratamiento”, en su relación con lo previsto en los apartados
  27. d)y
  28. f)del artículo 5.1 de la misma norma. Ello sin perjuicio de que el reclamado ha comunicado a esta Agencia haber adoptado medidas a fin de evitar que se reproduzcan incidencias similares, consistentes en reforzar el circuito de identificación de los pacientes en las admisiones del centro, haciendo hincapié en que el paciente siempre tendrá que presentar un documento oficial que lo identifique como tal, no bastando con la tarjeta sanitaria. IV En segundo lugar, se imputa al reclamado la falta de atención al derecho de rectificación de datos de salud contenidos en la historia clínica del reclamante con origen en las pruebas médicas realizadas a un tercero, en concreto las referidas al informe radiológico de fecha 10 de enero de 2017 vinculado a una patología cardiaca sufrida por un paciente nacido el 12/09/1960 y cuyo número de identificación de paciente no coincide con el del reclamante, nacido en el año 1997. El artículo 16 del RGPD en cuanto al “Derecho de rectificación” establece que: “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se complementen los datos personales que sean incompletos, inclusive mediante una declaración adicional.” En relación con el ejercicio de los derechos del interesado, los apartados 1, 3 y 4 del artículo 12 del RGPD, bajo la rúbrica “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, establecen lo siguiente: 1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2.(…) 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.” A su vez, el artículo 12.4 de la citada LOPDGDD, establece como una de las “Disposiciones generales sobre ejercicio de los derechos” que: “4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable. “ El artículo 14 de la LOPDGDD, bajo la rúbrica, “Derecho de rectificación”, dispone que: “Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento.” En lo que respecta al informe radiológico de fecha 10 de enero de 2017 erróneamente asociado a la historia clínica del reclamante, conviene reseñar que el reclamado, en la fecha de formulación de la propuesta de resolución del presente procedimiento, no había acreditado mediante ningún medio de prueba que hubiera adoptado medidas tendentes a suprimirla de la historia clínica del reclamante a los efectos de atender la mencionada solicitud de ejercicio de derecho de rectificación presentada por el reclamante con fecha 20 de junio de 2018 en el Registro General del CHJ. De hecho, en la comunicación remitida, con fecha 7 de febrero de 2019, por el reclamado a Don A.A.A. no se indica que se haya procedido a retirar de la historia clínica del reclamante el informe radiológico de fecha 10 de enero de 2017 correspondiente al paciente nacido en el año 1960. Además, el reclamado no atendió en el plazo de un mes previsto en el artículo 12.3 del RGPD, contado a partir de su recepción, la citada solicitud de ejercicio de derecho de rectificación, habida cuenta que aunque se presentó en el Registro General del SAS con fecha 20 de junio de 2018 no se contestó al reclamante hasta el 7 de febrero de 2019, amén de que la solicitud se respondió parcialmente, puesto que sólo se atendió la rectificación de una parte de la información reseñada por el reclamante, que era la referida a los episodios e informes fechados en mayo de 2016. Tampoco el reclamado informó al reclamante de la posibilidad de prorrogar el plazo de contestación anterior en otros dos meses. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 Asimismo, no ha comunicado al reclamante en el plazo indicado en el artículo 12.4 del RGPD las razones por las que no ha dado curso a la solicitud del reclamante en lo que respecta al informe radiológico de fecha 10 de enero de 2017. El reclamado, tras recibir el acuerdo de inicio del procedimiento, comunicó a esta Agencia haber adoptado medidas a fin de evitar que se reproduzcan incidencias similares, consistentes en incluir en el protocolo de solicitudes ARCO de Acceso y de Rectificación la posibilidad de que el usuario pueda ejercer dichos derechos por otros medios alternativos a los modelos oficiales, actuando de oficio para atenderlos en tiempo y forma, implicando para ello tanto a los miembros de la Unidad ARCO como a los del Registro General, Servicios Clínicos y Dirección. En relación con dichas medidas conviene observar que la existencia de modelos tendentes a facilitar la solicitud del ejercicio de los derechos contemplados en los artículos 14 a 22 del RGPD no exonera al reclamado de atender dichas solicitudes con arreglo a lo previsto en la normativa de protección de datos, donde no se establece un formato o mecanismo predeterminado de presentación de tales solicitudes. Por todo lo cual, dicha conducta constituye infracción a lo dispuesto en el artículo 16 del RGPD. V Los apartados b),
  29. d)e
  30. i)del artículo 58.2 del RGPD, “Poderes”, disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  31. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  32. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  33. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” A los efectos de determinar la sanción que pudieran llevar aparejada las mencionadas infracciones han de tenerse en cuenta los siguientes preceptos: El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, establece en sus apartados 4.
  34. a)y 5.
  35. b)que: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19
  36. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43.” “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  37. b)los derechos de los interesados a tenor de los artículos 12 a 22;” A su vez el artículo 73.
  38. f)de la LOPDGDD establece que: “En función de lo que establece el artículo 83.4 del Reglamento (U.E.) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: “
  39. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. Mientras que el artículo 74.
  40. c)de la LOPDGDD establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamente (UE) 2016/679 y, en particular, las siguientes: (…)
  41. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  42. k)de esta ley orgánica.” Paralelamente, el artículo 83.7 del RGPD establece que: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” En tal sentido, los apartados 1.c), 2, 4 y 5 del artículo 77 de la LOPDGDD, bajo la rúbrica “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento“, establecen que: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  43. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Con arreglo a lo expuesto, el reclamado resulta responsable de la comisión de una infracción a lo dispuesto en el artículo 32.1.
  44. b)del RGPD en su relación con lo dispuesto en los apartados
  45. d)y
  46. f)del artículo 5.1) de la misma norma, tipificada en el artículo 83.4.
  47. a)del citado texto legal y calificada como grave a efectos de prescripción en el artículo 73.
  48. f)de la LOPDGDD, pudiendo ser sancionado, de acuerdo con lo dispuesto en el artículo 58.2.
  49. b)del RGPD, con apercibimiento. Igualmente, el reclamado resulta responsable de la comisión de una infracción a lo dispuesto en el artículo 16 del RGPD, tipificada en el artículo 83.5.
  50. b)del citado texto legal y calificada como leve a efectos de prescripción en el artículo 74.
  51. c)de la LOPDGDD, pudiendo ser sancionado, de acuerdo con lo dispuesto en el artículo 58.2.
  52. b)del RGPD, con apercibimiento. En este caso, el reclamado puso de manifiesto en su escrito de alegaciones al acuerdo de inicio las medidas técnicas y organizativas adoptadas tanto para reforzar los protocolos de verificación de identidad de los pacientes como para implicar a diversas unidades en la agilización de la tramitación de los expedientes derivados del ejercicio de derechos. Sin embargo, en ese momento procedimental, el reclamado no acreditó haber adoptado ningún tipo de medidas a los efectos de atender el derecho de rectificación ejercido por el reclamante en cuanto al mencionado informe radiológico de fecha 10 de enero de 2017 obrante en su historia clínica. En consecuencia, en la propuesta de resolución del procedimiento se proponía a la Directora de la AEPD que, de no haberse justificado por el reclamado la subsanación total de la situación descrita con anterioridad a la adopción de la resolución que procediera acordar, se aplicase lo establecido en el artículo 58.2.
  53. d)del RGPD, ordenando al reclamado en la resolución en cuestión llevar a cabo una serie de actuaciones concretas para adecuar las operaciones de tratamiento a lo dispuesto en los preceptos del RGPD que habían resultado conculcados, debiendo aplicarse las medidas técnicas y organizativas adecuadas para garantizar la exactitud, seguridad y confidencialidad de los datos personales y de salud incorporados y tratados en las historias clínicas de los pacientes, amén de habilitar los mecanismos que permitiesen atender sin dilación indebida, cuando así procediese, el derecho de rectificación de los datos personales inexactos incluidos en las historias clínicas de los pacientes tratados. Tras recibir dicha propuesta de resolución el reclamado ha formulado escrito de alegaciones manifestando la adopción de una serie de actuaciones cuya descripción figura en el Antecedente de Hecho Sexto de esta resolución. A la vista de las mismas, y sin perjuicio de la conveniencia de las actuaciones de tipo estructural cuyo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 establecimiento se ha comunicado, en relación con las medidas adoptadas respecto de la información obrante en la historia clínica del reclamante se observa que éstas únicamente se refieren a la supresión de la información relativa a las solicitudes de pruebas de imagen y radiografías obtenidas a raíz de la realización de tales pruebas en 2016, es decir la información referida a los datos de salud de la persona que suplantó la personalidad del reclamante en mayo de 2016, identificado como FGC. Por lo que dichas actuaciones no contemplan la adopción de ninguna medida tendente a rectificar la información errónea obrante en la historia clínica del reclamante referida al informe radiológico de fecha 10 de enero de 2017, que tal y como se ha probado pertenece a otro paciente. Ello a pesar de que en la propuesta de resolución se hacía mención expresa a las medidas cuya ejecución se propondría ordenar a fin de subsanar la situación irregular descrita en relación con ese concreto episodio y al objeto de atender correctamente el derecho de rectificación ejercido por el reclamante. Sentado lo anterior, se estima conveniente ordenar la implementación de las medidas técnicas y organizativas descritas en la parte dispositivan, debiendo el reclamado remitir a esta Agencia los medios de prueba que permitan constatar no sólo la puesta en marcha y resultado de las actuaciones comunicadas en el mencionado escrito de alegaciones a la propuesta de resolución, sino también la implementación y resultado de las medidas ordenadas, conforme a lo dispuesto en el artículo 58.2.d), en la presente resolución en el plazo de un mes, a contar desde el día siguiente a la fecha de su notificación. Por lo tanto, de acuerdo con la legislación aplicable y valoradas las circunstancias concurrentes cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al SERVICIO ANDALUZ DE SALUD - COMPLEJO HOSPITALARIO DE JAEN, con NIF Q9150013B, una sanción de Apercibimiento, de conformidad con lo previsto en el artículo 58.2.
  54. b)del RPGPD, por una infracción del artículo 32.1.
  55. b)del RGPD en su relación con lo dispuesto en los apartados
  56. d)y
  57. f)del artículo 5.1) de la misma norma, tipificada en el artículo 83.4.
  58. a)del citado texto legal SEGUNDO: IMPONER al SERVICIO ANDALUZ DE SALUD- COMPLEJO HOSPITALARIO DE JAEN, con NIF Q9150013B, una sanción de Apercibimiento, de conformidad con lo previsto en el artículo 58.2.
  59. b)del RPGPD, por una infracción del artículo 16 del RGPD, tipificada en el artículo 83.5.
  60. b)del citado texto legal TERCERO: ORDENAR al SERVICIO ANDALUZ DE SALUD (COMPLEJO HOSPITALARIO DE JAEN), con NIF Q9150013B, conforme a lo previsto en el artículo 58.2.
  61. d)del RGPD, que proceda a atender íntegramente la solicitud de ejercicio de derecho de rectificación formulada por el reclamante, extrayendo de la historia clínica del mismo el informe radiológico de fecha 10 de enero de 2017 con datos de salud de otro paciente e incluyéndolo en la historia clínica del paciente en cuestión, lo que notificará al afectado y a esta Agencia. Esta medida se habrá de ejecutar y acreditar su realización ante esta Agencia en el plazo de un mes computado desde el día siguiente al que se notifique esta resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 CUARTO: NOTIFICAR la presente resolución al SERVICIO ANDALUZ DE SALUDCOMPLEJO HOSPITALARIO DE JAEN. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  62. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.