PS-00537-2024

1/31  Expediente N.º: EXP202311059 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable al SERVICIO ARAGONÉS DE SALUD con NIF Q5000442C (en adelante, SALUD). Los hechos que se pone en conocimiento de esta autoridad son: La parte reclamante expone que ha recibido de la reclamada un oficio, de fecha 14/07/2023, por medio del cual se le comunica que se ha impuesto a una tercera persona una sanción de un mes de suspensión de funciones como autora de una falta disciplinaria de carácter grave, tipificada según el artículo 72.3. apartado

1. c)de la Ley 55/2003, de 16 de diciembre, del Estatuto Marco del personal estatutario de los servicios de salud como "El incumplimiento de sus funciones o de las normas reguladoras del funcionamiento de los servicios, cuando no constituya falta muy grave." Solicita una indemnización ya que el procedimiento disciplinario que ha dado lugar a la sanción arriba señalada versaba sobre accesos ilegales a su historia clínica. Junto al escrito, se aporta copia del referido oficio remitido por ***PUESTO.1 del SALUD a quien reclama y en cuyo asunto se consigna “Comunicación Resolución en Expediente Disciplinario”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SALUD, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23/08/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 21/09/2023 se recibe en esta Agencia escrito de respuesta indicando, entre otras cosas, lo siguiente: "(…) El Responsable de la actividad de Tratamiento de Historia Clínica Electrónica es la Dirección-Gerencia del Servicio Aragonés de Salud (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 El Servicio Aragonés de Salud cuenta con una Política de Seguridad (…), un Manual de Normas de Uso de los Sistemas de Información (…) y un Decálogo de Seguridad (…), que de forma periódica se publicita a los trabajadores mediante emailing masivo o cursos formativos, para que les sirva como referente a la hora de establecer pautas de trabajo seguras en su trabajo diario. De igual forma, el Servicio Aragonés de Salud cuenta con un Comité de Seguridad de la Información, un Responsable de Seguridad y Delegado de Protección de Datos. Asimismo, existe una Web interna sobre Seguridad de la Información (https://seguridad.salud.aragon.
2. es)con información de interés para cumplir con la normativa de protección de datos. El Registro de accesos o trazabilidad de los accesos a los Sistemas de Información es una de las medidas de seguridad con las que el Servicio Aragonés de Salud cuenta desde hace más de una década, en cumplimiento de la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter Personal y concretamente para dar cumplimiento al artículo 103 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Dicho artículo era de obligado cumplimiento como medida de seguridad para ficheros de nivel alto, estando así catalogado el fichero “Historia Clínica Digital Única de Aragón”, (…). Posteriormente, con la aparición del Esquema Nacional de Seguridad en el año 2010 (…) se publica en BOA de 14/04/2015 la Orden de 16 de marzo de 2015, del Consejero de Sanidad, Bienestar Social y Familia, por la que se aprueba la Política de Seguridad de las Tecnologías de la Información y la Comunicación en el Servicio Aragonés de Salud y se crean el Comité de Seguridad de la Información y la figura del Responsable de Seguridad. El Esquema Nacional de Seguridad cuenta con una serie de principios básicos y de requisitos mínimos entre los que se encuentra expresamente el Registro de Actividad (…). Para dar cumplimiento a lo anterior y procedimentarlo, el Comité de Seguridad aprobó un procedimiento para la Gestión de las Solicitudes de Accesos (Trazabilidad) a Historia Clínica Electrónica en el Servicio Aragonés de Salud, que cuenta con un formulario de solicitud no preceptivo (modelo CS-003), adjunto a este informe. Por tanto, la solicitud de trazabilidad en el Servicio Aragonés de Salud, se rige por este procedimiento interno y existen formularios de solicitud y de respuesta, así como de justificación de accesos a los profesionales del SALUD. Los accesos son auditados y en caso de existir duda, el expediente completo se deriva a la Dirección de Recursos Humanos del Servicio Aragonés de Salud (…), para que el Servicio de Política de Personal inicie actuaciones dirigidas a depurar las posibles responsabilidades disciplinarias. El expediente que nos ocupa, se inició a solicitud de la interesada A.A.A. (la parte reclamante), que presentó a través de Registro Oficial en fecha 8 de marzo de 2023 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 un formulario de Solicitud de Registro de Accesos a su Historia Clínica Electrónica desde el 1 de abril de 2021 hasta el 8 de marzo de 2022. El Centro de Gestión Integrada de Proyectos Corporativos (CGIPC) del Servicio Aragonés de Salud obtuvo la información solicitada realizando un estudio de trazabilidad de los accesos a la Historia Clínica en el período marcado por la solicitante. Con ello, el ***PUESTO.2 emitió respuesta el día 16 de marzo de 2022 (…), enviando a la solicitante información de los accesos producidos en su Historia Clínica Electrónica: ─ ─ ─ Fechas concretas de estos accesos. Categoría profesional de los empleados que habían accedido. Centro al que figuraban adscritos. El Centro de Gestión Integrada de Proyectos Corporativos (CGIPC) auditó dichos accesos en el período marcado por la solicitante, observando como sospechoso los realizados por el login "***REFERENCIA.1" (asociado a B.B.B.), por lo que, siguiendo el protocolo del Comité de Seguridad del Servicio Aragonés de Salud, la Dirección del CGIPC, en fecha 16 de marzo de 2022, remitió al ***SECTOR.1 un "Cuestionario de Justificación de accesos" para su entrega y cumplimentación a la empleada que había accedido a la ***APLICACIÓN.3 de la solicitante (…). Con fecha 23 de marzo de 2022, el Gerente de ***SECTOR.1 hace entrega del formulario a B.B.B. (…). El 30 de marzo de 2022, el Gerente del ***SECTOR.1 remitió al CGIPC el informeresumen de valoración de accesos, así como la contestación a la justificación de accesos por parte de la profesional que había accedido (…). En base a los informes anteriores, en fecha 5 de abril de 2022, el director del CGIPC remitió el expediente completo al Servicio de Política de Personal dependiente de la Dirección de Recursos Humanos del Servicio Aragonés de Salud incluyendo los antecedentes documentales correspondientes a este asunto, al objeto de que el Servicio de Inspección del Servicio Aragonés de Salud iniciara las actuaciones que permitieran depurar, si procediere, las posibles responsabilidades disciplinarias (…). 2) La decisión adoptada a propósito de esta reclamación. Al respecto se adjunta Informe del Servicio de Política de Personal, con la decisión de incoar expediente disciplinario a B.B.B. (…). A la par, se han revisado los permisos de esta empleada y la Gerencia del ***SECTOR.1 ha indicado a través de una nota interior que se le deben eliminar los permisos de acceso a las aplicaciones de Historia Clínica Electrónica (…). 3) Informe sobre las causas que han motivado la incidencia que ha originado la reclamación A los profesionales del Servicio Aragonés de Salud se les concede el permiso para acceder a la aplicación de Historia Clínica Electrónica, en función de su categoría y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 puesto, para la realización exclusiva de las funciones que les han sido encomendadas, tal como recoge el artículo 16 de la Ley 41/2002. Los accesos son auditados posteriormente y en caso de existir sospechas de uso indebido, se le solicita al profesional correspondiente que justifique sus accesos. A la vista de los accesos de los profesionales y del Informe de su correspondiente Gerencia de Sector, se pueden iniciar, si procede, las actuaciones oportunas para depurar la posible responsabilidad disciplinaria de los empleados. 4) Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia Se ha acordado con el Servicio de Gestión de Recursos Humanos del Servicio Aragonés de Salud, enviar un escrito a los Servicios de Personal de los sectores sanitarios para recordarles que cuando haya un cambio de destino de personal perteneciente a Gestión y Servicios, deben de comunicarlo al Servicio de Informática, con el fin de que revisen y ajusten los permisos a las aplicaciones informáticas, incluyendo las de Historia Clínica, según las nuevas funciones. Se van a establecer revisiones periódicas de los permisos a ***APLICACIÓN.3 que tiene el personal de Gestión y Servicios." El escrito de respuesta al traslado de la reclamación se acompaña de los siguientes Anexos: ─ Anexo 1. ORDEN SAN/1104/2022, de 8 de julio, por la que se aprueba la Política de Seguridad de la Información del Servicio Aragonés de Salud (Boletín Oficial de Aragón núm. 143 de 25 de julio de 2022). ─ Anexo 2. Manual de Normas de Uso de los Sistemas de Información del Servicio Aragonés de Salud. Normativa de Gestión de Seguridad. Versión 3.7, 10 de noviembre de 2021. Comité de Seguridad de la Información ─ Anexo 3. Decálogo de Seguridad. Buenas prácticas en el uso de los Sistemas de Información del SALUD. ─ Anexo 4: Copia del formulario de Solicitud del Registro de Accesos a su Historia Clínica Electrónica, desde el 1 de abril de 2021 hasta el 8 de marzo de 2022, presentado el 8/03/23 por la parte reclamante. La parte reclamante motiva su solicitud alegando “Divulgación de mi enfermedad entre compañeros de trabajo y discriminación por esta causa.” ─ Anexo 5. Respuesta, de fecha 16.03.2022, del ***PUESTO.2 en la que se informa a la parte reclamante de los accesos producidos en su Historia Clínica Electrónica y, en particular, de las fechas concretas de estos accesos, de la categoría profesional de los empleados que habían accedido y del centro de adscripción. ─ Anexo 6. Comunicación, de 16.03.2022, de la Dirección-Gerencia del Centro de Gestión Integrada de Proyectos Corporativos del SALUD dirigida a la Gerencia del ***SECTOR.1 por el que se solicita se remita el modelo CS001 (Cuestionario de Justificación de Accesos), para su cumplimentación, a la empleada del Sector que accedió al historial clínico de quien reclama. Se solicita, también, la posterior devolución del citado cuestionario, debidamente cumplimentado, acompañado del correspondiente recibí e informe de valoración sobre la base de la justificación expuesta por la empleada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 ─ Anexo 7. Oficio, de 16 de marzo de 2022, por el que el Gerente de ***SECTOR.1 informa que se ha hecho entrega, para su cumplimentación, del cuestionario CS001 a la profesional que presuntamente había accedido a la historia clínica electrónica de la parte reclamante. Se acompaña, además, del recibí del cuestionario firmado por dicha trabajadora, con fecha 23.03.2022, y del formulario cumplimentado. En el apartado “Justificación de los accesos citados” se declara que “Tenía acceso por estar trabajando durante un tiempo en documentación clínica. En este momento estoy trabajando con ella en el ***CENTRO.1 y con ella presente accedimos en algunos momentos a petición de ella”. ─ Anexo 8. Nota interior, de fecha 24.03.2022, del Gerente del ***SECTOR.1 dirigida a la Dirección Gerencia del Centro de Gestión Integrada de Proyectos Corporativos del SALUD, por la que se envía la documentación relativa a la referida justificación de accesos. En el texto de la comunicación se indica que “La Gerencia del Sector entiende que debe contrastarse si los accesos se produjeron en presencia y a petición de la solicitante”. ─ Anexo 9. Comunicación de 5.04.2022 de la Dirección Gerencia del Centro de Gestión Integrada de Proyectos Corporativos del SALUD dirigida al Servicio de Política de Personal dependiente de la Dirección de Recursos Humanos del SALUD, por la que se remite la documentación derivada del procedimiento llevado a cabo tras la petición de registro de accesos a su historia clínica de la parte reclamante con objeto de que se inicien las actuaciones que permitan depurar las posibles responsabilidades disciplinarias. ─ Anexo 10. Documento de 30.08.23. Comunicación del Servicio de Política de Personal al Jefe de la Unidad de Apoyo, Administración y Gobernanza por el que se emite informe, en contestación a la reclamación presentada por la parte reclamante ante la Agencia Española Protección de Datos, como consecuencia de los accesos indebidos a su historia clínica. En la comunicación se indica que, con motivo de tales accesos, con fecha 23.01.2023, se incoó un expediente disciplinario a la empleada responsable cuya tramitación se resolvió con fecha 22.05.2023 con la imposición de una sanción disciplinaria de un mes de suspensión de funciones por la comisión de una falta disciplinaria de carácter grave. TERCERO: Con fecha 26 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Al objeto de investigar la ocurrencia de los hechos descritos, en fecha 16 de enero de 2024 se realiza una solicitud de información al SALUD. En fecha 23 de enero de 2024 tiene entrada en la sede electrónica de la AEPD escrito del SALUD en el que traslada que ha recibido dos notificaciones de esta Agencia que no ha podido descargar porque el NIF indicado es incorrecto. En fecha 24 de enero de 2024 se envía de nuevo el requerimiento de información al SALUD, indicando el NIF correcto, y en fecha 8 de febrero de 2024 tiene entrada en la sede electrónica de esta Agencia la respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 En fechas 4 de abril de 2024, 23 de septiembre de 2024, 10 y 29 de octubre de 2024 se solicita al SALUD ampliación y/o aclaración de la información aportada y en fechas 19 de abril de 2024, 8 y 25 de octubre de 2024 y 15 de noviembre de 2024 tienen entrada las respectivas respuestas. A continuación, se expone el resultado de las actuaciones de investigación. Historia Clínica Electrónica (***APLICACIÓN.3) Se relacionan las funcionalidades de la aplicación ***APLICACIÓN.3 implantada en el SALUD y la información y documentación clínica que los distintos profesionales gestionan. Asimismo, se describen las políticas de control y de trazabilidad de los accesos: - Funcionalidades o “Búsqueda de pacientes y acceso a su información clínica y administrativa. o Listado de pacientes: acceso a agendas y al estado de las plantas de los diferentes centros y hospitales. o Registro y gestión de la información clínica: historia clínica resumida, información sobre los diagnósticos del paciente, constantes, antecedentes, medicación, alergias, informes, escalas, gestión de contactos con los diferentes centros asistenciales y curso clínico anotaciones y evoluciones, es decir, datos que faciliten la toma de decisiones por parte del profesional. o Prescripción de tratamientos mediante Receta Electrónica y/o prescripción hospitalaria. o Acceso a dietas en el pase de planta. o Petición de pruebas complementarias: radiología, laboratorio, anatomía patológica, interconsultas, etc. Y visualización de resultados de dichas pruebas complementarios, ya sea cronológicamente, asociadas a un episodio o por tipo de prueba. o Petición de ambulancias. o Gestión de incapacidades temporales. o Listados para mejorar la disponibilidad de la información al profesional para la toma de decisiones, así como para la gestión clínica e indicadores de calidad. o Generación de informes para la gestión clínica (informes de seguimiento, informes de pruebas, etc.) o destinados al paciente como resumen de su asistencia (informes de alta, informes de consulta, etc.) o Protocolo quirúrgico: inclusión en lista, preoperatorio, informe de anestesia, hoja circulante y procedimiento quirúrgico”. - Información y documentación clínica gestionada o “De forma generalizada para personal sanitario (médico, enfermería, farmacia, trabajador social, …) excluida la categoría de TCAE (Técnicos en Cuidados Auxiliares de Enfermería), la información clínica accesible sería:  Historia Clínica Resumida  Episodios (Diagnósticos) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31  Curso Clínico (anotaciones y evolutivos)  Pruebas radiológicas  Pruebas laboratorio  Anatomía Patológica  Constantes  Antecedentes  Alergias  Escalas  Incapacidades temporales  Informes de resultados de pruebas  Informes de seguimiento e informes clínicos de alta  Información quirúrgica o La categoría TCAE sólo tiene acceso:  Listado de pacientes desde el que sólo pueden acceder a:  Dietools (gestión de dietas)  Registro de constantes o El personal administrativo o no sanitario no tiene acceso a la información clínica, salvo excepciones debidamente justificadas por su Responsable y siempre para el ejercicio de sus funciones en su puesto de trabajo”. - Políticas de control de acceso “En cuanto a políticas de control de acceso y registro, los permisos de acceso se asignan mediante roles, los cuales pueden ser asignados a una persona siguiendo varios procedimientos: o Procedimiento automatizado asociado a la contratación. De acuerdo a la categoría profesional y servicio de contratación de un trabajador, se le asigna un rol predefinido que le permite realizar las acciones y visualizar la información necesarias para realizar las funciones propias de su puesto de trabajo. o Procedimiento manual. Los servicios de informática y el personal de Atención a Usuarios pueden de forma manual asignar roles específicos que no dependen de la categoría profesional porque hacen referencia a funcionalidades específicas. Estos roles normalmente no habilitan para ver información adicional a la permitida por la categoría profesional. o Procedimiento para personal externo. En caso de que exista un convenio de colaboración que habilite para el acceso a la información de la Historia Clínica Electrónica, los permisos de acceso se gestionan de forma manual de forma centralizada, siguiendo las prescripciones del convenio y previa firma de acuerdo de confidencialidad”. Se aporta como Anexo 1 el documento “La Identidad en el Servicio Aragonés de Salud”. En dicho documento se describen las herramientas que gestionan los repositorios de los usuarios y las autorizaciones para que éstos accedan a las aplicaciones o recursos. - Trazabilidad de los accesos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 “El Registro de accesos o trazabilidad de los accesos a los Sistemas de Información es una de las medidas de seguridad con las que el Servicio Aragonés de Salud cuenta desde hace más de una década. (…) Actualmente la Política de Seguridad del SALUD ha sido sustituida por la ORDEN SAN/1104/2022, de 8 de julio, para adecuarla a la nueva normativa de protección de datos europea y española y está en fase de revisión constante. Se aporta como Anexo 2 la ORDEN SAN/1104/2022. En cuanto a políticas de trazabilidad y supervisión de accesos, el Comité de Seguridad aprobó un procedimiento para la Gestión de las Solicitudes de Accesos (Trazabilidad) a Historia Clínica Electrónica en el Servicio Aragonés de Salud, que cuenta con un formulario de solicitud no preceptivo (modelo CS003)”. Se aporta el procedimiento “Gestión de las Solicitudes de Accesos a Historia Clínica Electrónica en el Servicio Aragonés de Salud”, fechado el 24 de agosto de 2016 y revisado el 11 de marzo de 2019, como Anexo 3. En el procedimiento se recoge: “El procedimiento se iniciará mediante solicitud del interesado, que debe dirigirse al ***PUESTO.2, responsable del tratamiento de datos de Historia Clínica Electrónica (en adelante, ***APLICACIÓN.3). Este tratamiento comprende todos los sistemas de información incluidos en los Decretos 114/2010 y Decreto 30/2015, definidos en su día como fichero de Historia Clínica Digital Única de Aragón. […] Si los accesos registrados están justificados en el contexto de la asistencia sanitaria que ha recibido el solicitante, la Dirección Gerencia del Servicio Aragonés de Salud archivará el caso, sin perjuicio de las medidas a adoptar por cualquier otra vía, ajena a la disciplinaria, que considere el solicitante. Este archivo será comunicado por el CGIPC al Sector o Sectores afectados que, a su vez, lo pondrán en conocimiento de los empleados implicados. Los antecedentes documentales se conservarán por la Dirección del CGIPC durante un plazo máximo de dos años. En cambio, si de la información obtenida, surgen dudas acerca de la procedencia de algunos de los accesos y su conformidad a derecho, o si se diera el caso, al que se ha hecho referencia en el apartado 8, de cuestionarios no cumplimentados, la Dirección del CGIPC enviará todos los antecedentes documentales correspondientes a la Dirección de Recursos Humanos del Servicio Aragonés de Salud, para que el Servicio de Política de Personal inicie actuaciones dirigidas a depurar las posibles responsabilidades disciplinarias, informando a la Dirección Gerencia del Servicio Aragonés de Salud del resultado de las mismas”. Registro de Actividades de Tratamiento (RAT) Se aporta como Anexo 4 el RAT del SALUD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 Asimismo, se comprueba que el siguiente enlace conduce a una aplicación que permite consultar los Registros de Actividades de Tratamiento de datos de carácter personal del Gobierno de Aragón, incluyen los del SALUD. https://protecciondatos.aragon.es/registro-actividades/searchFiles_initSearch.action En particular, la actividad de tratamiento Historia Clínica Digital del Servicio Nacional de Salud corresponde al identificador n.º 978. Análisis de Riesgos Se aporta como Anexo 5 el documento que recoge el análisis de riesgos para los sistemas de información en el marco del proyecto eHDSI (Infraestructura de Servicios Digitales de Salud Electrónica) y se comprueba que entre las amenazas identificadas se encuentran: - “[A.6]: Abuso de privilegios de acceso [A.7]: Uso no previsto: uso indebido de la historia clínica de pacientes, mediación, resultados pruebas diagnósticas, etc. [A.11]: Acceso no autorizado (phishing, malware, etc.)”. Y entre las acciones de mitigación existentes se recogen: - “(…)”. Como Anexo 6 se aporta el documento “Medidas de seguridad comunes en las TIC del Gobierno de Aragón”. AST es la Entidad Pública Aragonesa de Servicios Telemáticos que, tal como establece su ley de creación, Ley 7/2001, de 31 de mayo 2001, actúa como proveedor principal ante la Administración de la Comunidad Autónoma de Aragón para la cobertura global de las necesidades de ésta en relación con los servicios, sistemas y aplicaciones para la información y las telecomunicaciones: “AST da servicio a todo el SALUD, incluido todos los centros de salud, centros de especialidades y de los trece hospitales de la comunidad autónoma (consultar el listado completo en https://www.aragon.es/-/sectores-sanitarios). Si bien es cierto que el SALUD gestiona directamente algunos servicios TIC. Sin embargo, muchos de los servicios horizontales (DNS, correo electrónico, VoIP, salida a internet, etc.) siguen prestándose por parte de AST”. Mecanismos para evitar accesos indebidos a ***APLICACIÓN.3 El SALUD manifiesta que a sus profesionales se les concede permiso para acceder a la ***APLICACIÓN.3, en función de su categoría y puesto, para la realización exclusiva de las funciones que les han sido encomendadas, tal como recoge el artículo 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (en adelante, Ley de Autonomía del Paciente) y añade: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 “(…). Se aporta como Anexo 9 de la entrada ***REFERENCIA.2 la plantilla del Acuerdo de Confidencialidad. (…)”. Se aporta como Anexo 10 una Circular de uso seguro de medios tecnológicos corporativos, Circular Conjunta de la Dirección General de Administración Electrónica y Sociedad de la Información y de Aragonesa de Servicios Telemáticos por la que se establecen los criterios de uso seguro de los medios tecnológicos. Se aporta como Anexo 11 el informe “Iniciativas de seguridad a nivel global en la Administración de la Comunidad Autónoma de Aragón”. En el marco de las actuaciones de investigación se solicita al SALUD: “Descripción de las auditorias diarias que se realizan y explicación de por qué no se detectaron los accesos de A.A.A. (parte sancionada por el SALUD) a ***APLICACIÓN.3 en el período que transcurre desde el 1 de abril de 2021 hasta el 8 de marzo de 2022”. Y el SALUD responde: “El procedimiento de Solicitud de Registro de accesos de Historia Clínica que se aportó como Anexo 2 en el anterior escrito, es el que se sigue para realizar auditorías de accesos. Se inicia a solicitud de un interesado en base a una sospecha de acceso indebido. Posteriormente estos registros de accesos siempre se auditan para detectar posibles accesos indebidos, y en caso de existir duda, el expediente completo se deriva a la Dirección de Recursos Humanos del Servicio Aragonés de Salud, para que el Servicio de Política de Personal inicie actuaciones dirigidas a depurar las posibles responsabilidades disciplinarias. En ocasiones también se inician de oficio a petición de un inspector. El volumen de trabajo que da este tipo de actividad ha ido creciendo año tras año desde 2016 y hoy en día a diario se realizan auditorias de accesos; algunas de las cuales terminan en expediente disciplinario profesional. No son auditorias al azar ni se lanzan automáticamente de manera periódica, tampoco se centran en investigar los accesos de un determinado perfil de profesionales dentro del Servicio Aragonés de Salud, por ello es imposible llegar a detectar todos los accesos indebidos que estén ocurriendo en un momento dado, tan solo se detectan una parte de ellos. Y se espera que con la repercusión que el procedimiento tiene sobre los profesionales (solicitud de justificación de accesos y archivo del procedimiento o consecuencias disciplinarias en otros casos), y de otras medidas, como los cursos de formación y la divulgación de las normas de uso del decálogo de seguridad, tengan conocimiento de que los accesos a los sistemas de información se auditan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 No obstante lo anterior, el procedimiento descrito sí que sirvió en este caso para detectar los accesos de A.A.A. a la HC de la parte reclamante; no desde el primer momento, pero sí a posteriori, una vez lo solicitó la parte reclamante”. Accesos a ***APLICACIÓN.3 por la parte sancionada por el SALUD La parte sancionada por el SALUD por acceder a la historia clínica de la parte reclamante pertenece al personal del ***CENTRO.1 y ocupa el puesto de ***PUESTO.3 que no tiene acceso a ***APLICACIÓN.3. En el marco de las actuaciones de investigación el SALUD aporta el Certificado de Servicios Prestados por la parte sancionada en el ***CENTRO.1, fechado el 9 de abril de 2024, donde se indican sus puestos de trabajo y períodos desde el 8 de febrero de 2021 hasta la actualidad. En relación con los permisos de acceso que tenía asignados esta usuaria, el SALUD señala que el día 15 de febrero de 2021 el Jefe de Servicio de Administración inserta una petición en la herramienta “Solicitudes e incidencias de Informática”, en la que le solicita el acceso a los sistemas de Historia Clínica para que pueda acceder a la petición de analíticas y otras pruebas médicas para los pacientes. Se aporta como Anexo 2 la solicitud a informática, de alta en ***APLICACIÓN.1, el 9 de febrero de 2021, y en ***APLICACIÓN.2, el 15 de febrero de 2021. En relación con la aplicación ***APLICACIÓN.2, el SALUD traslada: “***APLICACIÓN.2 es el Sistema Informático del Laboratorio (SIL) actual en el Laboratorio de Bioquímica y Hematología del ***HOSPITAL.1. Incluye hardware y software, y realiza la gestión del Laboratorio de Bioquímica y Hematología y su conexión a todos los Servicios de laboratorios (***HOSPITAL.1 y otros hospitales de la Comunidad Autónoma) y Centros de Salud Integrados. […] El objeto de este módulo es poder registrar una petición electrónica al laboratorio, conocer su estado y poder consultar los resultados desde cualquier punto de la Intranet o desde Internet. Es un módulo autónomo e independiente y susceptible de ser integrado en cualquier otra aplicación de uso general del ***APLICACIÓN.1. Dialoga de forma bidireccional con el Laboratorio y lo hace en tiempo real. Sus funciones básicas son la entrada de peticiones, el control de calendario de citaciones, la impresión de etiquetas, la consulta del estado de una petición, la consulta de los resultados y la consulta de pacientes: Historial y evolución. […] Tener acceso al ***APLICACIÓN.2 no ***APLICACIÓN.3, ni a la Intranet del Sector. implica tener acceso a A día de hoy, la parte sancionada utiliza ***APLICACIÓN.2 en el desempeño de sus tareas cotidianas”. La parte sancionada por el SALUD tiene permisos de acceso a ***APLICACIÓN.3 desde el 15 de diciembre de 2020 hasta el 28 de septiembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 En el marco de las actuaciones de investigación se solicita explicación del puesto que ocupaba la parte sancionada por el SALUD desde el 15 de diciembre de 2020 hasta el 15 de febrero de 2021, y el SALUD acredita: “Durante el período indicado, la parte sancionada prestó servicios en dos Centros distintos: 1º.- En el ***HOSPITAL.1, del 16/10/2020 al 07/02/2021 en el Servicio de Admisión, con las tareas y en las circunstancias siguientes. (Anexo 2. Certificado de Servicios Prestados en el ***HOSPITAL.1, fechado el 4 de octubre de 2024, donde se indican sus puestos de trabajo y períodos) “La parte sancionada, Auxiliar Administrativa, se incorporó al SADC en la Unidad de Apoyos el 15-10-2020. El personal de Apoyos puede prestar servicio en Consultas Externas, Archivo, Gestión de camas, Servicios Centrales (laboratorio, Anatomía Patológica y Radiología), Secretaría de plantas y Lista de Espera Quirúrgica. Las tareas que principalmente se le asignaron fueron las propias del personal de apoyos: registro informático de solicitudes de citas y pruebas, atención a los usuarios en los mostradores, confección de informes de pacientes hospitalizados emitidos por los facultativos, archivo y custodia de la documentación que se genera en las distintas unidades, gestión de ingresos, traslados y altas del área de hospitalización, gestión de pacientes en el área de urgencias, atención telefónica y manipulación de historias clínicas cuando presta sus servicios en el Archivo de historias Clínicas del Hospital y en plantas. El trabajo en plantas como secretaria requiere el acceso a ***APLICACIÓN.3, con el fin de prestar apoyo administrativo a los facultativos especialistas de área de los diferentes Servicios. En fecha 15-10-2020 se solicitó, a través del sistema informático establecido, su alta como usuaria en ***APLICACIÓN.1, posteriormente, en fecha 15-122020, su alta en ***APLICACIÓN.3 dado que prestaba servicios en apoyos a plantas. En fecha 08-02-2021 se solicitó la baja en ***APLICACIÓN.1 y ***APLICACIÓN.3 con motivo de su cese el 07-02-2021. Se adjunta la siguiente documentación: o o o C/ Jorge Juan, 6 28001 – Madrid Solicitud de alta en ***APLICACIÓN.1 de fecha 15-10-2024 (Anexo 4. Solicitud al Servicio Informática del ***SECTOR.1) Solicitud de alta en ***APLICACIÓN.3 de fecha 15-12-2020 (Anexo 5. Solicitud al Servicio Informática del ***SECTOR.1) Solicitud de baja en ***APLICACIÓN.1 y ***APLICACIÓN.3 de fecha 08-02-2021 (Anexo 6. Solicitud al Servicio Informática del ***SECTOR.1) www.aepd.es sedeaepd.gob.es 13/31 2º. – En el ***CENTRO.1, desde 08/02/2021 hasta la actualidad, con las tareas y en las circunstancias de las que se informó en nuestra contestación sobre este asunto en el mes de abril pasado (reproducido en este informe) y que en lo sustancial es lo siguiente: La plaza de ***PUESTO.3 que ocupa la parte sancionada tiene asignadas en el organigrama del Servicio principalmente las tareas de Admisión y gestión de pacientes. A fin de ponerse al corriente de esas tareas, se la contrató unos días antes de la jubilación de C.C.C. y como es habitual en estos relevos se solicitó por parte del Jefe de Servicio, como superior jerárquico y persona competente para ello, los permisos de acceso a las diferentes aplicaciones y programas informáticos necesarios para el desempeño del puesto que se le asignaba, dando como referencia para ese perfil el de su antecesora en el puesto” (Anexo 1. Certificado de Servicios en el ***CENTRO.1, fechado el 4 de octubre de 2024, donde se indican sus puestos de trabajo y períodos). En el marco de las actuaciones de investigación se solicita aclaración de si la antecesora en el puesto de la parte sancionada tenía acceso a información clínica y el SALUD manifiesta: “C.C.C. se jubiló el 11/02/2021 y no tenía permiso de acceso a Historia Clínica Electrónica. Como se informó en su día para solicitar los accesos para la parte sancionada se puso como referencia a C.C.C.. En el desempeño de sus funciones consta, según testimonio de compañeras contemporáneas, que utilizaba, además de la aplicación ***APLICACIÓN.1 (gestión de admisión), la aplicación “***APLICACIÓN.2” para petición de analíticas, razón por la cual se solicitó también para la parte sancionada”. (Anexo 3. Solicitudes a Informática). En consecuencia, se solicita al SALUD explicación de por qué la parte sancionada tuvo acceso a ***APLICACIÓN.3 desde el 10 de febrero de 2021, fecha en la que el Servicio de Informática del ***SECTOR.1 confirma la baja en ***APLICACIÓN.3 para la parte sancionada. El SALUD traslada: “Se ha revisado la base de datos de usuarios y se ha visto que la persona del Servicio de Informática que tenía que dar la baja cometió un error, hizo un cambio en el campo(...) pensando que así quitaba el acceso a ***APLICACIÓN.3 a la usuaria”. Se aportan capturas de pantalla de la modificación sobre el campo(...) en la base de datos de usuarios, modificación que el SALUD indica que no tiene ningún efecto sobre los permisos. Asimismo, aporta capturas de pantalla correspondientes al 28 de septiembre de 2023 cuando la baja de la parte sancionada en ***APLICACIÓN.3 ya es efectiva. Medidas adoptadas para evitar incidencias similares Entre las medidas adoptadas para evitar que se produzcan incidencias similares, el SALUD acredita que, en fecha 27 de septiembre de 2023, la Gerencia del ***SECTOR.1 solicita al Servicio de Informática ***SECTOR.1 que se revisen los permisos de acceso de la parte sancionada porque en el puesto de trabajo actual no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 precisa tener acceso ni a Historia Clínica Electrónica ni a Intranet Clínica del Sector, y que se den de baja estos permisos. Asimismo, aporta como Anexo 13 el escrito enviado a los Servicios de Personal de los Sectores Sanitarios para recordarles que cuando haya un cambio de destino de personal perteneciente a la Función Administrativa, deben comunicarlo al Servicio de Informática del Sector, con el fin de que se revisen y ajusten los permisos a las aplicaciones informáticas, incluyendo las de ***APLICACIÓN.3, según las nuevas funciones. En escrito de fecha 8 de febrero de 2024 el SALUD manifiesta que se han supervisado los permisos de acceso a ***APLICACIÓN.3 de todo el personal identificado y concluye que todos ellos son adecuados, basándose en las funciones del puesto de trabajo que ocupa cada profesional. QUINTO: Con fecha 24 de febrero de 2025 se acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.
3. f)del RGPD y del artículo 32 del RGPD, tipificadas en el artículo 83.5.
4. a)del RGPD y en el artículo 83.4.
5. a)del RGPD, respectivamente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó, con fecha 21 de marzo de 2025, escrito de alegaciones. El SALUD se identifica como Responsable de la Actividad de Tratamiento “Historia Clínica Digital Única de Aragón”. A continuación destaca, entre las medidas de seguridad de que dispone para evitar y minimizar posibles brechas de datos personales, la trazabilidad y el procedimiento de Solicitud de Registro de Accesos que permite auditar los accesos a la aplicación ***APLICACIÓN.3 cuando existe sospecha de acceso indebido, ya sea por parte del propio solicitante o a instancia del Servicio de Política de Personal o de la Dirección de algún Centro, así como de Juzgados, Ministerio Fiscal y Fuerzas y Cuerpos de Seguridad del Estado. Con relación al acceso indebido objeto de este procedimiento, la entidad reclamada expone que pudo ser detectado dentro del procedimiento de registro de accesos gracias a la auditoría interna realizada en el SALUD, de forma previa a la denuncia de la perjudicada ante la AEPD, y subraya su reacción al resultar sancionada la autora de los hechos reclamados por falta grave tras la tramitación del correspondiente expediente disciplinario. Asimismo, precisa que los accesos que posee el personal de Gestión y Servicios a la ***APLICACIÓN.3 de los pacientes se dan de forma excepcional y manual, a solicitud del superior jerárquico y únicamente para el uso exclusivo de las funciones encomendadas. Al respecto, reitera que el acceso indebido por parte de la empleada del SALUD se produjo debido a un error de un profesional de informática que no ejecutó correctamente la orden de eliminar los permisos en ***APLICACIÓN.3 de ésta tras cambiar de puesto de trabajo, a pesar de que así lo había solicitado su superior C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 jerárquico. Se destaca que, una vez detectado dicho error humano, los permisos fueron revocados de manera inmediata. Por último, se detallan las medidas de seguridad que el SALUD ha decidido implementar para mitigar que se vuelva a producir un error humano en la gestión de permisos en ***APLICACIÓN.3, a saber:    Dar de baja de forma automática todo permiso/rol en ***APLICACIÓN.3 que el Personal de Gestión y Servicios tenga a la hora de cambiar su puesto de trabajo. Para ello, se solicitará la inclusión de esta nueva funcionalidad en el Pliego que se está licitando para integrar la aplicación GUIA (Gestor Unificado de Identidades y Autenticaciones) en la aplicación corporativa de Gestión de Identidades del Gobierno de Aragón. Medidas adicionales y complementarias para evitar el acceso indiscriminado a las historias clínicas o Incluir una pantalla de justificación previa en el acceso a ***APLICACIÓN.3 del Personal de Gestión y Servicios cuando el paciente sea un profesional del SALUD (casi el 50% de las solicitudes proceden de personal propio). o El acceso a la ***APLICACIÓN.3 de los pacientes por parte de Personal de Gestión y Servicios que lo tengan permitido, quedará circunscrito únicamente a los pacientes del Sector Sanitario para el que trabaja dicho profesional, evitando que puedan acceder al resto de pacientes de los 7 sectores sanitarios restantes. Reforzar el procedimiento de Registro de Accesos incluyendo auditorías, de forma que se auditen proactivamente historias clínicas de pacientes de diversos sectores al azar, con el fin de detectar anomalías en los accesos, que seguirán el mismo circuito que el resto de solicitudes de registro de accesos salvo la decisión de inicio de la misma que será escogida al azar. Por todo lo expuesto, el SALUD concluye que las medidas de seguridad adoptadas funcionaron permitiendo la reacción de este organismo y que las nuevas medidas que se van a adoptar permitirán eliminar totalmente el riesgo de error humano a la hora de controlar los permisos del personal de Gestión y Servicios que se asignan de forma manual y excepcional. SÉPTIMO: Con fecha 15 de octubre de 2025 se formuló propuesta de resolución, proponiendo: - - Que por la Presidencia de la Agencia Española de Protección de Datos se declare que el SERVICIO ARAGONÉS DE SALUD (SALUD), con NIF Q5000442C, ha infringido lo dispuesto en el artículo 5.1.
6. f)del RGPD tipificada en el artículo 83.5.
7. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se declare el archivo de las actuaciones por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
8. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene al SERVICIO ARAGONÉS DE SALUD (SALUD), con NIF Q5000442C, que en virtud del artículo 58.2.
9. d)del RGPD, en el plazo de seis meses, acredite haber procedido al cumplimiento de las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 o La adopción de las medidas que SALUD ha anunciado que iba a implementar para garantizar la seguridad de los tratamientos de datos personales en lo que respecta a la gestión de permisos en ***APLICACIÓN.3, así como el seguimiento y evaluación de tales medidas. OCTAVO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, no constan alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 8 de marzo de 2022 la parte reclamante presentó al SALUD, a través de Registro Oficial, un formulario de Solicitud de Registro de Accesos a su Historia Clínica Electrónica desde el 1 de abril de 2021 hasta la fecha de la solicitud. SEGUNDO: El 16 de marzo de 2022 el CGIPC del Servicio Aragonés de Salud obtuvo la información solicitada realizando un estudio de trazabilidad de los accesos a la Historia Clínica en el período marcado por la solicitante, observando como sospechosos los realizados por el login "***REFERENCIA.1" asociado a B.B.B., una empleada que ocupa el puesto de ***PUESTO.3 en unos de sus centros sanitarios, por lo que activó el protocolo del Comité de Seguridad del SALUD establecido al efecto. TERCERO: Con fecha 5 de abril de 2022, por parte de la Dirección Gerencia del CGIPC se dio traslado al Servicio de Política de Personal dependiente de la Dirección de Recursos Humanos del SALUD de la documentación derivada del procedimiento llevado a cabo tras la petición de registro de accesos a la historia clínica de la parte reclamante, al objeto de que el Servicio de Inspección del SALUD iniciara las actuaciones que permitieran depurar, si procediere, las posibles responsabilidades disciplinarias. CUARTO: Con fecha 23 de enero de 2023, por Resolución del Director Gerente del SALUD, se incoa expediente disciplinario a B.B.B. cuya tramitación concluyó con Resolución del Director Gerente por la que se impone a A.A.A. una sanción disciplinaria de un mes de suspensión de funciones, como autora de una falta disciplinaria de carácter grave tipificada según el artículo 72.3. apartado
10. c)de la Ley 55/2003, de 16 de diciembre, del Estatuto Marco del personal estatutario de los servicios de salud como “El incumplimiento de sus funciones o de las normas reguladoras del funcionamiento de los servicios, cuando no constituya falta muy grave“. QUINTO: Con fecha 14 de julio de 2023 la Dirección-Gerencia del SALUD comunica a la parte reclamante la resolución del expediente disciplinario incoado con motivo de la auditoría de accesos a la aplicación ***APLICACIÓN.3 realizada por el SALUD tras la solicitud de la parte reclamante de 8 de marzo de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 SEXTO: La empleada sancionada por el SALUD tuvo permisos de acceso a ***APLICACIÓN.3 desde el 15 de diciembre de 2020 hasta el 28 de septiembre de 2023, a pesar de haber sido reasignada, con fecha 08/02/2021, a un nuevo puesto de trabajo en el que tales permisos no eran necesarios ni pertinentes para el ejercicio de sus funciones. La baja en ***APLICACIÓN.1 y ***APLICACIÓN.3 se solicitó, el 08/02/2021, con motivo de su cese en el puesto de trabajo anterior el 07/02/2021, pero no se hizo efectiva, según manifiesta la reclamada, debido a un error de la persona del Servicio de Informática encargada de tramitar la baja de dichos permisos. SÉPTIMO: El 27 de septiembre de 2023 la Gerencia del ***SECTOR.1 solicitó al Servicio de Informática la baja de los permisos de B.B.B. en ***APLICACIÓN.3 por no ser necesarios para el desempeño de las funciones de su puesto de trabajo. La baja se hizo efectiva el 28 de septiembre de 2023 como consta acreditado en la documentación que aporta el SALUD, a tal efecto, en su escrito de respuesta a requerimiento de información de esta Agencia de 15/11/2024. OCTAVO: Consta en el expediente que a los profesionales del SALUD se les concede el permiso para acceder a la aplicación de Historia Clínica Electrónica, en función de su categoría y puesto, para la realización exclusiva de las funciones que les han sido encomendadas, tal como recoge el artículo 16 de la Ley 41/2002. Para ello existe una aplicación llamada GUIA, que dispone las altas y bajas del personal sanitario de forma automática. Sin embargo, el personal de Gestión y Servicios, como el personal administrativo no sanitario, no dispone de dichos permisos, salvo que, por las funciones a desempeñar, necesite dicho acceso que se asigna de forma manual y excepcional a solicitud del superior jerárquico. NOVENO: Entre las medidas de seguridad destinadas a evitar y minimizar posibles brechas de seguridad de datos personales, el SALUD dispone del procedimiento para la Gestión de las Solicitudes de Accesos (Trazabilidad) a ***APLICACIÓN.3 en SALUD, aprobado por su Comité de Seguridad, que permite auditar los accesos a la aplicación ***APLICACIÓN.3 cuando existe cualquier sospecha de acceso indebido, ya sea por parte del propio solicitante o a instancia del Servicio de Política de Personal o de la Dirección de algún Centro, así como de Juzgados, Ministerio Fiscal y Fuerzas y Cuerpos de Seguridad del Estado. Este procedimiento cuenta con formularios de solicitud y de respuesta, así como de justificación de accesos por los profesionales del SALUD. Los accesos son auditados y en caso de existir duda, el expediente completo se deriva a la Dirección de Recursos Humanos del SALUD, para que el Servicio de Política de Personal inicie actuaciones dirigidas a depurar las posibles responsabilidades disciplinarias. Fue a través de dicho procedimiento que el SALUD pudo detectar los accesos indebidos de A.A.A. a la ***APLICACIÓN.3 de la parte reclamante, no de forma inmediata, sino con posterioridad a la solicitud presentada por esta última. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 El RGPD define en su artículo 4.15 los datos relativos a la salud como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” El considerando 35 del Reglamento aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Estos datos tienen la consideración de categoría especial de datos personales, según el artículo 9 del RGPD, por lo que están sujetos a una protección reforzada. De este modo, el citado precepto, en su apartado 1, establece una prohibición general de tratamiento salvo que concurra alguna de las condiciones previstas en su apartado 2. Con relación a la historia clínica, la Ley de Autonomía del Paciente contiene, entre otras, las siguientes previsiones. Su artículo 3 define la historia clínica como: “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial.” En su artículo 14.1 dispone que: “La historia clínica comprende el conjunto de los documentos relativos a los procesos asistenciales de cada paciente, con la identificación de los médicos y de los demás profesionales que han intervenido en ellos, con objeto de obtener la máxima integración posible de la documentación clínica de cada paciente, al menos, en el ámbito de cada centro.” Más adelante, en el artículo 16, se establecen los usos de la historia clínica: “1.La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 2.Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.” De conformidad con los preceptos transcritos, los datos incluidos en la historia clínica deben ser considerados datos de salud y, por tanto, se incluyen dentro de las categorías especiales de datos personales del artículo 9 del RGPD. El acceso a los datos contenidos en las historias clínicas supone una comunicación de datos que ha de considerarse tratamiento de datos de carácter personal, a tenor de lo indicado en el artículo 4.2 RGPD que considera como tal: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la entidad reclamada realiza, entre otros tratamientos, la recogida, registro y organización de los siguientes datos personales de personas físicas: nombre y apellidos, documento nacional de identidad, dirección, datos relativos a la salud etc. El SALUD realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. En particular, el responsable de la actividad de Tratamiento de Historia Clínica Electrónica es la Dirección-Gerencia del SALUD, según afirma el Delegado de Protección de Datos del mismo en su escrito de respuesta al traslado de la reclamación de fecha 21/09/2023. III Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: El SALUD destaca, entre las medidas de seguridad de que dispone para evitar y minimizar posibles brechas de datos personales, el procedimiento de Solicitud de Registro de Accesos gracias al cual pudo detectar el acceso indebido objeto de este procedimiento de forma previa a la reclamación presentada ante la AEPD. En línea con lo anterior, subraya su reacción inmediata sancionando a la autora de los hechos reclamados por falta disciplinaria grave. Asimismo, reitera que el acceso indebido se produjo debido a un error de un profesional de informática, pero que una vez detectado dicho error humano los permisos fueron revocados de manera inmediata. Conforme a ello, el SALUD concluye que las medidas de seguridad adoptadas funcionaron permitiendo la reacción de este organismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 Por otro lado, el SALUD detalla las medidas de seguridad que ha decidido implementar con relación a la gestión de permisos en ***APLICACIÓN.3, afirmando que las mismas permitirán eliminar totalmente el riesgo de error humano a la hora de controlar los permisos del personal de Gestión y Servicios que se asignan de forma manual y excepcional. A este respecto conviene precisar que dado el carácter particularmente vulnerable de los datos de salud contenidos en la ***APLICACIÓN.3, resulta esencial en cuanto a su protección no sólo el establecimiento de medidas que impidan que se efectúe cualquier tipo de acceso injustificado a dichos datos, sino también su efectiva implementación y cumplimiento. Por tanto, lo relevante en el caso que nos ocupa consiste en determinar si el SALUD incumplió los principios relativos al tratamiento contemplados en el RGPD, en concreto, el principio de confidencialidad previsto en su artículo 5.1.
11. f)y si disponía de medidas técnicas y organizativas apropiadas para impedir que se produjera el acceso indebido a la aplicación de ***APLICACIÓN.3 de la que es responsable. Procede, por tanto, valorar la idoneidad de las medidas de seguridad que refiere el SALUD en su escrito de alegaciones. Con relación al procedimiento de Solicitud de Registro de Accesos, tal y como se indicó en el Fundamento de Derecho Séptimo del Acuerdo de Inicio, si bien el mismo se considera esencial para garantizar la transparencia y el derecho de acceso, resulta insuficiente para cumplir plenamente con las obligaciones de seguridad y confidencialidad que recaen sobre los responsables del tratamiento. Al tratarse de un mecanismo de control reactivo no es suficiente por sí solo, ya que no previene el acceso indebido, sino que actúa únicamente después de que el riesgo se haya materializado. Por consiguiente, la existencia de este tipo de mecanismos, sin la implementación complementaria de medidas preventivas eficaces, no permite acreditar un nivel de seguridad adecuado al riesgo como exigen la normativa en materia de protección de datos personales. Por otro lado, de la documentación que obra en el expediente, se ha constatado que la empleada del SALUD, autora de los accesos indebidos, mantuvo los permisos de acceso a Historia Clínica Electrónica e Historia Clínica del Sector desde el 8 de febrero de 2021, fecha en la que comenzó en el puesto de trabajo cuyas funciones no requerían de tales permisos, hasta el 28 de septiembre de 2023. Esta circunstancia, también, pone de manifiesto la deficiente actuación del responsable del tratamiento, al haber mantenido indebidamente A.A.A. los referidos permisos de acceso durante un período prolongado de tiempo, comprometiendo con ello la seguridad y confidencialidad del tratamiento de datos personales. Ello resulta especialmente relevante si se tiene en cuenta que con fecha 16 de marzo de 2022 el CGIPC del SALUD ya había advertido como sospechosos los accesos a ***APLICACIÓN.3 realizados por el login "***REFERENCIA.1". A su vez, con relación al control de accesos basado en roles, como medida preventiva destinada a restringir los accesos previamente autorizados, resulta pertinente subrayar que la gestión manual de los permisos excepcionales del personal de Gestión y Servicios, al carecer de la automatización, trazabilidad y validaciones propias de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 sistemas electrónicos de gestión de accesos, incrementa el riesgo de error humano, de omisiones y de accesos indebidos, comprometiendo con ello la eficacia de la medida. Debe hacerse constar, además, que no se tiene constancia de que se hayan efectuado revisiones periódicas de los permisos de acceso, circunstancia que, en este contexto, acrecienta el riesgo de accesos indebidos. Por tanto, los mecanismos de supervisión y control implantados por el SALUD para garantizar la seguridad del tratamiento se han revelado ineficaces para la detección temprana del acceso indebido. En cuanto a las medidas que tiene intención de implementar el SALUD, aunque ello refleja una conducta positiva, no desvirtúan que los hechos constatados han dado lugar a la vulneración del artículo 5.1.
12. f)del RGPD. En consecuencia, las alegaciones deben ser desestimadas. No obstante lo anterior, tras un nuevo examen de las circunstancias y de la documentación obrante en el expediente, se advierte que en el acceso indebido a la historia clínica de la parte reclamante resultó determinante, por un lado, la insuficiencia de ciertas medidas técnicas y organizativas adoptadas y, por otro, la falta de aplicación efectiva de otras medidas previstas, lo que en conjunto determinó la quiebra de la confidencialidad de los datos personales tratados. Esto se analizará con mayor detalle en el Fundamento de Derecho IV. En este sentido, la conducta infractora se subsume materialmente en la infracción del artículo 5.1.
13. f)del RGPD, en la medida en que el principio de confidencialidad de los datos personales tratados se ha visto comprometido por la falta de idoneidad de las medidas técnicas y organizativas de seguridad exigidas por dicho precepto para garantizar su protección. Por consiguiente, atendiendo a lo anteriormente expuesto, procede el archivo de las actuaciones en relación con la presunta infracción del artículo 32 del RGPD, inicialmente contemplada en el acuerdo de inicio de este procedimiento. IV Obligación incumplida. Integridad y confidencialidad La letra
14. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
15. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, el SALUD reconoce que, el 8 de marzo de 2022, a solicitud de la parte reclamante, efectuó una auditoría de accesos a la aplicación ***APLICACIÓN.3 detectándose accesos no justificados a la ***APLICACIÓN.3 de quien reclama por parte de una empleada que ocupa el puesto de ***PUESTO.3 en unos de sus centros sanitarios. Como consecuencia de dicha auditoría se abrió un expediente disciplinario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 a esa empleada que acabó siendo sancionada como autora de una falta disciplinaria de carácter grave, al constatarse una clara pérdida de confidencialidad materializada en el acceso indebido a la ***APLICACIÓN.3 de la parte reclamante. El artículo 9.1 del RGPD establece la prohibición general de tratar categorías especiales de datos personales, entre ellos, los datos relativos a la salud, si bien en su apartado 2 se recogen las circunstancias excepcionales que levantan dicha prohibición. Partiendo del hecho de que la información contenida en la historia clínica son datos especialmente protegidos del artículo 9.1 del RGPD, el acceso a los datos de salud contenidos en la misma debe ser limitado y justificado para evitar accesos no autorizados o ilícitos. Para ello, de conformidad con lo previsto el artículo 5.1.
16. f)del RGPD, se deben aplicar medidas técnicas y organizativas adecuadas de control de acceso según el rol del trabajador para garantizar que acceda solo a los datos estrictamente necesarios para el desempeño de sus funciones. En este caso, el acceso se produce por una empleada que ocupa el puesto de ***PUESTO.3 no participando en la prestación de asistencia sanitaria, por lo que, en principio, su acceso a toda la historia clínica de la parte reclamante no estaría justificado al no concurrir ninguna de las circunstancias del artículo 9.2 del RGPD. De ello, se podría inferir que las medidas técnicas y organizativas aplicadas resultaron inapropiadas, al haber permitido el acceso indebido a la historia clínica de la parte reclamante, evidenciando así su insuficiencia para proteger la confidencialidad y seguridad de los datos personales tratados. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de confidencialidad recogido en el artículo 5.1.
17. f)del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. La reclamada ha invocado distintos argumentos para justificar la ausencia de responsabilidad en los hechos objeto de análisis. Fundamentalmente, sostiene que disponía de unas medidas de seguridad que funcionaron con eficacia para corregir el incidente, atribuyendo el acceso indebido a un error humano por parte de un técnico de informática al no ejecutar correctamente la orden de eliminar los permisos a ***APLICACIÓN.3 de B.B.B.. Al respecto, cabría precisar que la mera existencia de una política de seguridad no puede justificar una vulneración del principio de confidencialidad previsto del artículo 5.1.
18. f)del RGPD. Además de existir, estas medidas deben resultar efectivas y posibilitar que el responsable del tratamiento esté en condiciones de demostrar el cumplimiento de los principios relativos al tratamiento de los datos personales. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar la quiebra de tales principios. En el presente caso, no consta acreditado que la parte reclamada contara con las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 adecuado al riesgo, con objeto de evitar el acceso de cualquier empleado a las historias clínicas de los usuarios del SALUD sin discriminación alguna. La Ley de Autonomía del Paciente, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 3/8 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico asistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 Por lo tanto, el precepto transcrito distingue varios tipos de usos según el tipo profesional y las funciones que tenga asignadas. Según la documentación que obra en el expediente, la Política de Seguridad de la Información del SALUD debe establecer un procedimiento de control de acceso de los empleados del SALUD a sus sistemas de información limitado a los usuarios, procesos, dispositivos y otros sistemas de información, debidamente autorizados y restringiendo el acceso a las funciones permitidas. Como indica el SALUD, en su escrito de respuesta al traslado de la reclamación de fecha 21/09/2023, “A los profesionales del Servicio Aragonés de Salud se les concede el permiso para acceder a la aplicación de Historia Clínica Electrónica, en función de su categoría y puesto, para la realización exclusiva de las funciones que les han sido encomendadas, tal como recoge el artículo 16 de la Ley 41/2002. Los accesos son auditados posteriormente y en caso de existir sospechas de uso indebido, se le solicita al profesional correspondiente que justifique sus accesos” Asimismo, el documento “Normas de uso de los Sistemas de Información del Servicio Aragonés de Salud” se recoge, en el apartado “Normas y criterios de buenas prácticas del uso de la información contenida en los sistemas”, que “Los usuarios sólo deben acceder a aquellos datos y recursos que precisen para el ejercicio de las funciones que les correspondan, y efectuar sólo los tratamientos que sean precisos para el cumplimiento de los fines del servicio al que estén adscritos. Para ello, se dispondrá de perfiles de acceso y una segmentación conveniente, tanto de los usuarios como de las necesidades de información”. Además, en el marco de las actuaciones previas de investigación, en su respuesta a requerimiento de esta Agencia, de fecha 08/02/2024, en el apartado 2) “Identificación de la información y documentación clínica que gestiona la aplicación ***APLICACIÓN.3 y de los distintos profesionales que pueden acceder a ella”, el SALUD indica la información y documentación clínica a la que tiene acceso el personal sanitario, excluida la categoría de TCAE (Técnicos en Cuidados Auxiliares de Enfermería). Con respecto al personal administrativo o no sanitario, se aclara que “no tiene acceso a la información clínica, salvo excepciones debidamente justificadas por su Responsable y siempre para el ejercicio de sus funciones en su puesto de trabajo”. Estos últimos permisos de acceso, en su caso, se asignan de manera manual. En el caso que nos ocupa, consta que el usuario que accedió a la información de la reclamante lo hizo haciendo uso de permisos erróneamente asignados- un error que no fue detectado- y que estaban vinculados al trabajo realizado con anterioridad. Una revisión continua de los perfiles de acceso, con identificación actualizada de los usuarios y los roles asignados- así como la comprobación periódica a través de auditorías de los mismos- resulta especialmente relevante para evitar accesos indebidos a datos de carácter personal objeto de tratamiento. A su vez, la asignación manual de permisos de acceso comporta un riesgo inherente a la seguridad del tratamiento, dado que la ausencia de automatización y trazabilidad suficientes incrementa la probabilidad de errores u omisiones que posibiliten accesos indebidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 Por otro lado, SALUD hace mención a su sistema de auditoría, que cabría calificar como reactivo y que, por lo tanto, se activa cuando se tiene indicios o conocimiento de algún acceso ilícito; circunstancias en las que dicho acceso ilícito no podría prevenirse sino, tan sólo, identificarlo y reaccionar frente al mismo. Una actuación proactiva de auditoría sería, por lo tanto, deseable al objeto de prevenir dichos accesos ilícitos. En este caso, examinada la documentación aportada, si bien se recoge el compromiso del SALUD de implementar medidas adecuadas para el control de accesos indebidos a la ***APLICACIÓN.3, no parece quedar acreditado que dichas medidas hayan sido efectivamente implantadas quedando en entredicho la suficiencia, idoneidad y eficacia de las acciones adoptadas para garantizar la seguridad y confidencialidad de los datos personales afectados. De hecho, en el escrito de respuesta al traslado de la reclamación, de fecha 21/09/2023, el Delegado de Protección de Datos del SALUD informa que, entre las medidas adoptadas para evitar que se produzcan accesos indebidos, “Se van a establecer revisiones periódicas de los permisos a ***APLICACIÓN.3 que tiene el personal de Gestión y Servicios.” Sin embargo, en los escritos de respuesta a los requerimientos posteriores de información de esta Agencia, no queda constancia de que tales revisiones periódicas se hayan implantado. El SALUD tan sólo acredita la implantación del procedimiento para la Gestión de las Solicitudes de Accesos (Trazabilidad) a Historia Clínica Electrónica. Este procedimiento permite a los pacientes titulares de las Historias Clínicas Electrónicas conocer los accesos que se hayan producido en su ***APLICACIÓN.3 en el período de tiempo que se determine en la correspondiente solicitud (formulario modelo CS-0003). Es el caso de la auditoría realizada a la empleada del SALUD que accedió indebidamente al expediente de la parte reclamante. En su escrito, de fecha 19/04/2024, el SALUD reconoce que “El procedimiento de Solicitud de Registro de accesos de Historia Clínica (…), es el que se sigue para realizar auditorías de accesos. Se inicia a solicitud de un interesado en base a una sospecha de acceso indebido.” A continuación, se añade que: “En ocasiones también se inician de oficio a petición de un Inspector. El volumen de trabajo que da este tipo de actividad ha ido creciendo año tras año desde 2016 y hoy en día a diario se realizan auditorías de accesos (por ello se hizo referencia a auditorías diarias); algunas de las cuales terminan en expediente disciplinario al profesional. No son auditorías al azar ni se lanzan automáticamente de forma periódica, tampoco se centran en investigar los accesos de un determinado perfil de profesionales dentro del Servicio Aragonés de Salud, por ello es imposible llegar a detectar todos los accesos indebidos que estén ocurriendo en la organización en un momento dado, tan solo se detectan una parte de ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 Y se espera que con la repercusión que el procedimiento tiene sobre los profesionales (solicitud de justificación de accesos y archivo del procedimiento o consecuencias disciplinarias en otros casos), y de otras medidas, como los cursos de formación y la divulgación de las normas de uso y del decálogo de seguridad, tengan conocimiento de que los accesos a los sistemas de información se auditan. No obstante lo anterior, el procedimiento descrito sí que sirvió en este caso para detectar los accesos de B.B.B. a la HC de A.A.A. (la parte reclamante); no desde el primer momento, pero sí a posteriori, una vez lo solicitó A.A.A. (la parte reclamante).” El procedimiento documentado si bien se considera esencial para garantizar la transparencia y el derecho de acceso, resulta insuficiente para cumplir plenamente con las obligaciones de seguridad y confidencialidad que recaen sobre los responsables del tratamiento. El control por parte de los afectados es un control reactivo que no previene las violaciones del sistema de seguridad de los datos, sino que sólo permite identificarlas a posteriori. Por tal motivo, se hace necesario que se acompañe de medidas complementarias, como las auditorías periódicas, que permitan supervisar y evaluar la eficacia de los controles de acceso e identificar posibles vulnerabilidades. A este respecto, el SALUD no ha presentado suficientes elementos para acreditar las auditorías diarias o las auditorías de oficio a las que también se refiere. En resumen, la seguridad de las historias clínicas requiere un enfoque integral que combine medidas preventivas, controles reactivos y supervisión continua, lo que no se evidencia en este caso. Este enfoque posibilita el cumplimiento de las disposiciones legales aplicables en materia de protección de datos, particularmente aquellas relacionadas con la confidencialidad, integridad y disponibilidad de la información contenida en las historias clínicas y con el principio de responsabilidad proactiva. De este modo, consta acreditado que los datos personales de la parte reclamante relativos a su historia clínica, que figuran en la aplicación ***APLICACIÓN.3 del SALUD, fueron indebidamente accedidos por tercera persona ajena, vulnerándose el principio de confidencialidad establecido en el citado artículo 5.1.
19. f)del RGPD. Por tanto, de conformidad con los hechos probados en el presente procedimiento, se concluye que los hechos conocidos son constitutivos de una infracción, imputable al SALUD, por haber vulnerado el artículo 5.1.
20. f)del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
21. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 "
22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
23. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Sanción por la infracción del artículo 5.1.
24. f)del RGPD El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
25. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. VII Adopción de medidas De acuerdo con lo establecido en el artículo 77 de la LOPDGDD, la resolución que se dicte puede establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 contempladas en el Artículo 5.1.
26. c)del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, se requiere al SALUD para que, en el plazo de seis meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite ante esta Agencia: ─ La adopción de las medidas que SALUD ha anunciado que iba a implementar para garantizar la seguridad de los tratamientos de datos personales en lo que respecta a la gestión de permisos en ***APLICACIÓN.3, así como el seguimiento y evaluación de tales medidas. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO ARAGONÉS DE SALUD (SALUD), con NIF Q5000442C, ha infringido lo dispuesto en el artículo 5.1.
27. f)del RGPD, tipificada en el artículo 83.5.
28. a)del RGPD. SEGUNDO: DECLARAR el archivo de las actuaciones por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
29. a)del RGPD. TERCERO: ORDENAR al SERVICIO ARAGONÉS DE SALUD (SALUD), con NIF Q5000442C, que en virtud del artículo 58.2.
30. d)del RGPD, en el plazo máximo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido adoptar las medidas que ha anunciado que iba a implementar para garantizar la seguridad de los tratamientos de datos personales en lo que respecta a la gestión de permisos en ***APLICACIÓN.3, así como el seguimiento y evaluación de tales medidas. CUARTO: NOTIFICAR la presente resolución al SERVICIO ARAGONÉS DE SALUD (SALUD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3.
31. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es