← España

PS-00468-2019

1/11  Procedimiento Nº: PS/00468/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (en adelante, el reclamante), con fecha 13 de febrero de 2019, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el Dr. B.B.B. (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: Tuvo un grave accidente el día 28 de julio de 2017, siendo ingresado en el Hospital Universitario Central de Asturias, donde estuvo en la U.C.I. y, posteriormente, en rehabilitación hasta el día 15 de marzo de 2018. El reclamante es funcionario y tiene concertada la asistencia médica con Asisa, que quería trasladarle a uno de sus centros por el coste diario de hospitalización en el Hospital mencionado. El día 19 de octubre de 2017, le enviaron un mail a su esposa (acompañan copia) indicándole que le van a trasladar al sanatorio Covadonga de Gijón, donde le atenderá el Dr. B.B.B., que dispone de los informes que le han facilitado. El traslado no se produjo porque no lo permitieron los médicos del Hospital Universitario Central de Asturias, ya que solo allí contaban con medios para la dificultosa rehabilitación. (Acompañan informe del Hospital). Asisa le indicó que pasaría el a abonar el coste del Hospital y cambió la asistencia sanitaria a la Seguridad Social, por medio de MUFACE que conocía el caso. El Dr. B.B.B. es médico del Hospital Universitario Central de Asturias y se iba a hacer cargo de su rehabilitación en el sanatorio Covadonga de Gijón, a cargo de Asisa. El mencionado doctor accedió a su historia clínica en julio de 2017, cuando ingresó; pero cuando ya no era el médico que le trataba, el día 6 de octubre de 2017, volvió a acceder a su historia clínica. Unos días después le llegó el mail de Asisa informándole del traslado y de la atención del mencionado doctor. Denuncia el tratamiento inconsentido de sus datos de salud, datos especialmente protegidos. También vulneró la obligación de informar qué iba a hacer con sus datos y el principio de confidencialidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 El Servicio de Salud del Principado de Asturias indica que ha trasladado al médico denunciado la reclamación para que alegue lo que estime adecuado; difiriendo ese Servicio las actuaciones contra el facultativo en función de que la Agencia establezca si son lícitos los accesos o no lo son. B.B.B. expuso lo siguiente: que es personal estatutario de (…) en el Hospital Universitario Central de Asturias. No le une relación alguna con Asisa, solo pasaba consulta en el Sanatorio Covadonga algunos jueves por la tarde, en la actualidad ya no lo hace. Explica que el primer acceso a su historia clínica, al ingreso, se produjo al solicitar ayuda la doctora que le atendió, debido a su experiencia. El acceso que se produjo el 6 de octubre de 2017 se debe al interés del lesionado desde el punto de vista de la investigación. El único proyecto de investigación del Hospital en el año 2014, para atención urgente a lesionados medulares fue realizado por su parte. El mecanismo causal era infrecuente, la recuperación se observa a muy largo plazo (hasta 3 años). Este acceso está amparado por el artículo 16.3 de la Ley de autonomía del paciente. Desconocía que el paciente fuese funcionario y tuviese relación con Asisa. Además, él es ***ESPECIALIDAD.1, no pudiendo realizar el tratamiento rehabilitador en el sanatorio Covadonga. TERCERO: El reclamante, tras recibir la contestación del médico denunciado, presenta nuevo escrito señalando lo siguiente: que el acceso denunciado es el del día 6 de octubre de 2017, que se produjo en las fechas en que Asisa llamaba a su esposa indicándole que estaba mejor y podía ser trasladado. No puede justificar el acceso en la Ley de autonomía del paciente, como si fuese un cajón de sastre, ni en un viejo proyecto de investigación, cuando además en la fase de rehabilitación, como el reclamado señaló, ya no le corresponde por su especialidad. Insiste en que el acceso no fue consentido. CUARTO: Con fecha 3 de junio de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. QUINTO: Con fecha 19 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1. del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el acuerdo de inicio, y publicado en el BOE al no ser posible perfeccionar la notificación, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado

  1. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. SÉPTIMO: Con fecha 1 de agosto de 2020, se acordó la práctica de las siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por Don A.A.A. y su documentación. 2. Asimismo, se solicita al Hospital Universitario Central de Asturias que nos informe de lo siguiente, en el plazo de 10 días hábiles:
  2. a)Si el Dr. B.B.B. presentó un proyecto de investigación del Hospital en el año 2014, para atención urgente a lesionados medulares.
  3. a)Si el Hospital Universitario Central de Asturias aprobó dicho proyecto de investigación.
  4. b)En caso afirmativo, duración de la investigación, tipología de pacientes que se incluirían en la investigación, información facilitada a los participantes en la investigación. La solicitud no fue entregada a su destinatario. HECHOS PROBADOS PRIMERO: El reclamante sufrió accidente, el día 28 de julio de 2017, siendo ingresado en el Hospital Universitario Central de Asturias, donde estuvo en la U.C.I. y, posteriormente, en rehabilitación hasta el día 15 de marzo de 2018. El reclamante es funcionario y tiene concertada la asistencia médica con Asisa, que quería trasladarle a uno de sus centros. SEGUNDO: El día 19 de octubre de 2017, su esposa recibió un mail de Asisa(acompañan copia) indicándole que trasladarían al reclamante al sanatorio Covadonga de Gijón, donde le atendería el Dr. B.B.B., que dispone de los informes que le han facilitado. El traslado no se produjo porque no lo permitieron los médicos del Hospital Universitario Central de Asturias, ya que solo allí contaban con medios para la dificultosa rehabilitación. (Acompañan informe del Hospital). TERCERO: El Dr. B.B.B. es médico del Hospital Universitario Central de Asturias y sería el medico que continuaría con su rehabilitación en el sanatorio Covadonga de Gijón, a cargo de Asisa. El mencionado doctor accedió a su historia clínica en julio de 2017, cuando ingresó; pero cuando ya no era el médico que le trataba, el día 6 de octubre de 2017, volvió a acceder a su historia clínica. CUARTO: El Dr. B.B.B. alegó que el acceso realizado el día 6 de octubre de 2017 se debió al interés del lesionado desde el punto de vista de la investigación. El único proyecto de investigación del Hospital en el año 2014, para atención urgente a lesionados medulares fue realizado por su parte. El mecanismo causal era infrecuente, la recuperación se observa a muy largo plazo (hasta 3 años). Este acceso está amparado por el artículo 16.3 de la Ley de autonomía del paciente. QUINTO: El Servicio de Salud del Principado de Asturias indica que ha diferido las acC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 tuaciones contra el facultativo en función de que la Agencia establezca si son lícitos los accesos o no lo son. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
  5. a)Identificación de la persona o personas presuntamente responsables.
  6. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
  7. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
  8. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
  9. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
  10. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. En aplicación del anterior precepto y teniendo en cuenta que no se han formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. III La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en su artículo 26, que recoge uno de los principios de la potestad sancionadora, el de la irretroactividad, establece lo siguiente: “1. Serán de aplicación las disposiciones sancionadoras vigentes en el momento de producirse los hechos que constituyan infracción administrativa. 2. Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones pendientes de cumplimiento al entrar en vigor la nueva disposición.” En este procedimiento, se cuestiona la licitud del acceso a la historia clínica del reclamante el día 6 de octubre de 2017, fecha en que se encontraba en vigor la LOPD. No obstante, esa Ley tipificaba como muy grave dicho tratamiento, estableciendo cuantías mínimas superiores al RGPD; por lo que se aplicará esta última norma. IV El RGPD en su artículo 5, “Principios relativos al tratamiento” dice que “Los datos personales serán:
  11. a)tratados de manera lícita, leal y transparente en relación con el interesado (<<licitud, lealtad y transparencia>>)” El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontracC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 tuales;
  14. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  15. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  16. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  17. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  18. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2.Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  19. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. (…)” El artículo 9 del RGPD establece lo siguiente: 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  20. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
  21. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  22. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  23. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  24. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  25. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  26. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  27. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  28. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
  29. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud. Los hechos denunciados se concretan en el acceso por parte del reclamado a la historia clínica del reclamante sin ninguna causa legitimadora para ello; añadiendo que ese acceso fue utilizado para informar de ello a la compañía aseguradora médica del reclamante, que le envió un correo informándole de su traslado a un centro concertado por la compañía, donde sería atendido por el reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 Alega el reclamante que su acceso del día 6 de octubre de 2017 se debió al interés del lesionado desde el punto de vista de la investigación, ya que había pilotado un proyecto de investigación del Hospital en el año 2014, para atención urgente a lesionados medulares cuya recuperación se observa a muy largo plazo (hasta 3 años). Añade que ese acceso está amparado por el artículo 16.3 de la Ley de autonomía del paciente La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” V El Centro Hospitalario en el que estuvo ingresado el reclamante y en el que presta servicio el reclamado, debe tener incorporadas las medidas de seguridad adecuadas para que los datos personales sean tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El artículo 32 del RGPD establece estas medidas de seguridad en el sentido siguiente: 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  30. a)la seudonimización y el cifrado de datos personales;
  31. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  32. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  33. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros. Ha quedado acreditado que el Hospital reclamado dispone de un control de accesos que identifica a los usuarios, fecha y hora, que accedieron a la historia clínica del reclamante. Cabe concluir, por tanto, que en el presente caso el sistema de información que gestiona la historia clínica del Hospital reclamado cumple con las medidas de seguridad relativas al control de los accesos. Por otro lado, el artículo 70 de la LOPDGDD establece quien es el responsable de las infracciones a la normativa de protección de datos, indicando: “Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  34. a)Los responsables de los tratamientos.
  35. b)Los encargados de los tratamientos.
  36. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
  37. d)Las entidades de certificación.
  38. e)Las entidades acreditadas de supervisión de los códigos de conducta…” El médico contra el que se ha dirigido la reclamación no tiene la consideración de ninguno de los responsables a los que se puede imputar una infracción. El Hospital Universitario Central de Asturias deberá evaluar si es acceso efectuado por el médico reclamado estaba legitimado, en base a las manifestaciones efectuadas por el mismo, referidas a su participación en el proyecto de investigación del Hospital del año 2014, la posible inclusión en el mismo de los datos del reclamante, o al artículo 16.3 de la LAP; o iniciar actuaciones disciplinarias si no estaba legitimado y justificado el acceso del día 6 de octubre de 2017. Por lo tanto, de acuerdo con la legislación aplicable, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador iniciado a Don B.B.B., al no ser el responsable de la infracción reclamada. SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B., al reclamante y al Hospital Universitario Central de Asturias. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  39. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.