1/12 Procedimiento Nº PS/00721/2015 RESOLUCIÓN: R/01020/2016 En el procedimiento sancionador PS/00721/2015, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Dª. C.C.C., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de marzo de 2015 tiene entrada en esta Agencia un escrito de Dª. C.C.C. en el que declara que se está viendo afectada por la divulgación de datos clínicos privados por parte del Dr. A.A.A., médico de familia del centro de salud XXXX de La Coruña. Tiene la certeza de que este médico ha entrado en su historia clínica sin su consentimiento incluso tras imponérsele una orden de alejamiento hacia su persona y orden de protección cautelar por múltiples agresiones físicas y psíquicas prolongadas durante 9 meses de relación, y que también se inmiscuye en sus informes médicos e historiales clínicos y en los de sus familiares. Esta denuncia también la ha presentado en la Consejería de Sanidad de la Xunta de Galicia. Con fecha 11 de junio de 2015 la denunciante aporta copia de un documento que recoge la comparecencia de D. B.B.B. ante la inspectora médica de servicios sanitarios por voluntad propia y como conocedor de la que presentó Dª. C.C.C.. También aporta copia de documento que recoge la comparecencia de Dª. C.C.C. ante la inspectora de servicios sanitarios de la Consellería de Sanidade de la Xunta de Galicia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 16 de agosto de 2015, se solicita información a la Consellería de Sanidade de la Xunta de Galicia sobre la investigación realizada en relación con la denuncia presentada por la denunciante así como sobre la resolución adoptada. También se solicita el número de accesos realizados por el Dr. A.A.A. a la historia clínica de Dª. C.C.C.. Con fecha 27 de octubre de 2015 la Consellería de Sanidade de la Xunta de Galicia aporta la siguiente información: 1. La inspectora a la que fue asignada dicha investigación finalizó todas las actuaciones y emitió su informe el día 19 de octubre. 2. En dicho informe hace propuesta de incoación de expediente disciplinario al facultativo, sustentadas en los supuestos accesos indebidos por parte de este médico a la Historia Clínica de pacientes que no pertenecen a su cupo, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 concreto 61 con un total de 149 accesos documentados por Seguridad e Información. 3. Aportan el detalle de los accesos a la historia clínica de la denunciante y van desde el día 6 de enero hasta el 5 de agosto, ambos de 2014. 4. Han constatado que los accesos de los días 15 de enero, 16 de enero y 9 de junio de 2014, se produjeron porque la reclamante había solicitado una cita programada con el facultativo a pesar de no pertenecer a su cupo. 5. La última demanda de solicitud de consulta está registrada el día 29 de agosto de 2014 y según Seguridad e Información no hubo ningún acceso a la HC de esta paciente con posterioridad al 30 de agosto de 2014. 6. Manifiestan que han enviado el informe junto con la documentación a la Secretaria Xeral Técnica de la Consellería de Sanidad, como órgano competente para valorar dicha propuesta e incoar si consideran oportuno expediente disciplinario al facultativo objeto de la investigación. Con fecha 6 de noviembre de 2015 se solicita al Servicio de Inspección de Servicios Sanitarios de la Consellería de Sanidade de la Xunta de Galicia, información sobre número de DNI y dirección completa del facultativo denunciado. El 19 de noviembre de 2015 se recibe en la Agencia un escrito del Jefe de Servicio de Inspección de Servicios Sanitarios donde pone de manifiesto que la información que se les solicita la tiene que facilitar la Secretaria Xeral Técnica de la Consellería de Sanidade y que remiten a esa dependencia la solicitud de información. Con fecha 15 de diciembre y ante la ausencia de respuesta, la inspectora contacta telefónicamente con la Secretaria Xeral Técnica de la Consellería de Sanidade quien remite vía correo electrónico, la solicitud de información de fecha 6 de noviembre de 2015. Se recibe respuesta vía e-mail donde aportan copia del escrito remitido a la Agencia con fecha 14 de diciembre de 2015 aportando la información solicitada, DNI y dirección del facultativo denunciado. TERCERO: Con fecha 12 de enero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Don A.A.A., por presunta infracción del artículo 4.2 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma, pudiendo ser sancionada, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: En fechas 29 de enero y 1 de febrero de 2016, se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador al imputado, por medio del servicio de correos, con el resultado de “Ausente reparto, se dejó aviso en buzón”. El 24 de febrero de 2016 se publicó en el Boletín Oficial del Estado, un anuncio para la comparecencia del interesado para ser notificado. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” SEXTO: Con fecha 25 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó la realización de actuaciones complementarias, El motivo de su realización es precisar el alcance de los hechos imputados y conocer el procedimiento disciplinario realizado al Dr. A.A.A.. Por todo ello, dado que en las manifestaciones realizadas por la Consejería de Sanidad de la Xunta de Galicia, se tuvo conocimiento de que se había propuesto incoar procedimiento disciplinario al Doctor Don A.A.A., por lo que en uso de las facultades conferidas por el artículo 40 de la LOPD, se solicitó que acompañaran copia de la Resolución del expediente disciplinario incoado a Don A.A.A.. La Xunta de Galicia ha informado que el 1 de febrero de 2016 se dictó el acuerdo de incoación de expediente disciplinario al médico denunciado, por lo que la resolución deberá ser notificada al expedientado antes del 31 de enero de 2017. Acompañan copia del acuerdo de incoación de expediente que se hace por los accesos indebidos a historias clínicas. HECHOS PROBADOS PRIMERO: Se ha presentado escrito en esta Agencia denunciando el acceso inconsentido a la historia clínica de la denunciante por parte del Dr. A.A.A., médico de familia del centro de salud XXXX, de La Coruña. Manifiesta que se está viendo afectada por la divulgación de sus datos clínicos por este facultativo. Tiene la certeza de que este médico ha entrado en su historia clínica sin su consentimiento incluso tras imponérsele una orden de alejamiento hacia su persona y orden de protección cautelar por múltiples agresiones físicas y psíquicas prolongadas durante 9 meses de relación. Expone también la denunciante, que ha presentado denuncia contra el doctor en la Consellería de Sanidade de la Xunta de Galicia por divulgación de sus datos clínicos. Aporta las declaraciones suya y de otro facultativo efectuadas en abril y mayo de 2015 en relación con esta denuncia ante la Consellería. SEGUNDO: Solicitada información respecto de lo denunciado a la Consellería de Sanidade de la Xunta de Galicia, el Jefe del Servicio de Inspección de Servicios Sanitarios de la Consellería, ha informado de que se ha realizado una investigación sobre los supuestos accesos indebidos del facultativo denunciado y que por la inspectora que instruyo el expediente se emitió informe el día 19 de octubre que se envió junto con toda la documentación del expediente a la Secretaría Xeral Técnica de la Consellería de Sanidad. En dicho informe se hace propuesta de incoación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 expediente disciplinario al facultativo por los supuestos accesos indebidos a la Historia Clínica de pacientes que no pertenecen a su cupo, en concreto 61 con un total de 149 accesos documentados por Seguridad e Información. TERCERO: El Jefe del Servicio de Inspección aporta el detalle de los accesos a la historia clínica de la denunciante que comprende del día 6 de enero hasta el 5 de agosto de 2014. En total son 21 accesos de los que exponen que han constatado que los accesos de los días 15 de enero, 16 de enero y 9 de junio de 2014, se produjeron porque la reclamante había solicitado una cita programada con el facultativo a pesar de no pertenecer a su cupo. La última demanda de solicitud de consulta está registrada el día 29 de agosto de 2014 y según Seguridad e Información no hubo ningún acceso a la HC de esta paciente con posterioridad al 30 de agosto de 2014. Manifiestan que han enviado el informe junto con la documentación recabada a la Secretaria Xeral Técnica de la Consellería de Sanidad, órgano competente para valorar dicha propuesta e incoar si consideran oportuno expediente disciplinario al facultativo objeto de la investigación. CUARTO: No consta acreditado en el expediente que el imputado en este procedimiento contara con el consentimiento para el tratamiento de los datos personales relacionados con la salud de Dª. C.C.C.. QUINTO: Con fecha 1 de febrero de 2016, la Secretaria General Técnica de la Consejería de Sanidad de la Xunta de Galicia dictó acuerdo de incoación de un expediente disciplinario al Dr. Don A.A.A. por 149 accesos injustificados a un total de 61 historias clínicas de pacientes que no pertenecen a su cupo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 59.5 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones, según redacción dada por el artículo 25 de la Ley 15/2014, de 16 de septiembre, de racionalización del Sector Público y otras medidas de reforma administrativa, que: “Cuando los interesados en un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el “Boletín Oficial del Estado” En el presente caso se han observado las prescripciones legales, tal como se ha señalado en los Antecedentes Cuarto y Quinto de la presente Resolución. III El artículo 13.2 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 IV La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” V El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 diciembre, define el tratamiento de datos personales en su artículo 5.t), en los siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que los accesos del imputado en este procedimiento a la historia clínica de la denunciante constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. De los hechos probados en este procedimiento, se deduce que la denunciante ha declarado que el denunciado, facultativo de la Consellería de Sanidade de la Xunta de Galicia, ha accedido sin su consentimiento, a su historia clínica. La denunciante ha denunciado estos hechos ante la Consellería de Sanidade de la Xunta de Galicia y aporta su declaración y la de otro facultativo realizadas en abril y mayo de 2015 en relación con esta denuncia ante la Consellería. Solicitada información a la Consellería de Sanidade de la Xunta de Galicia, el Jefe del Servicio de Inspección de Servicios Sanitarios de la Consellería, ha informado de que se ha llevado a cabo una investigación sobre los supuestos accesos indebidos del facultativo denunciado y que por la inspectora que instruyo el expediente se emitió informe el día 19 de octubre que se envió junto con toda la documentación del expediente a la Secretaría Xeral Técnica de la Consellería de Sanidad. En dicho informe se hace propuesta de incoación de expediente disciplinario al facultativo por los supuestos accesos indebidos a la Historia Clínica de pacientes que no pertenecen a su cupo, en concreto 61 con un total de 149 accesos documentados por Seguridad e Información. Se aporta el detalle de los accesos del facultativo denunciado a la historia clínica de la denunciante del día 6 de enero hasta el 5 de agosto de 2014. En total son 21 accesos de los que exponen que han constatado que los accesos de los días 15 de enero, 16 de enero y 9 de junio de 2014, se produjeron porque la reclamante había solicitado una cita programada con el facultativo a pesar de no pertenecer a su cupo. La última demanda de solicitud de consulta está registrada el día 29 de agosto de 2014 y según Seguridad e Información no hubo ningún acceso a la HC de esta paciente con posterioridad al 30 de agosto de 2014. Manifiestan que han enviado el informe junto con la documentación recabada a la Secretaria Xeral Técnica de la Consellería de Sanidad, órgano competente para valorar dicha propuesta e incoar si consideran oportuno expediente disciplinario al facultativo objeto de la investigación. En el presente procedimiento no hay constancia de consentimiento para el tratamiento de datos personales realizado. Si consta acreditado el acceso del denunciado a la historia clínica de la denunciante, en el listado aportado al presente expediente del la Consellería de Sanidade de la Xunta de Galicia. El artículo 7.3 de la LOPD señala, para el tratamiento de los datos de salud, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De la citada definición resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin él difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
- a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En el presente caso, no consta la existencia de actos de la afectada que revelen que efectivamente dio su consentimiento al denunciado para el tratamiento realizado de sus datos de salud, pues consta la presente denuncia a la AEPD, lo que revela precisamente la inexistencia de ese consentimiento expreso necesario para el acceso efectuado. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. En este caso no se está ante uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud de la denunciante. Por tanto corresponde al denunciado acreditar que contaba con ese consentimiento inequívoco de la afectada para el acceso a los datos personales contenidos en su historia clínica. VI Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que el denunciado ha utilizado los datos contenidos en la historia clínica de la denunciante para una finalidad distinta de la prevista en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. El artículo 7 de esa misma Ley, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último, como ya se ha visto, en su artículo 16 determina cuales son los “Usos de la historia clínica”: En este procedimiento se ha acreditado que el denunciado ha accedido a los datos relativos a la salud de una paciente para una finalidad incompatible con aquella para la que fueron recogidos los datos: la asistencia sanitaria, el tratamiento médico o la gestión de servicios sanitarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. El hecho constatado del acceso a los datos personales especialmente protegidos de la denunciada sin su consentimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 6.1 en relación con el 4.2 ambos de la LOPD. VII El artículo 43 de la LOPD establece, como responsables en el Título VII de infracciones y sanciones, lo siguiente: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. 2. Cuando se trate de ficheros de titularidad pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley” Es decir que el régimen sancionador sólo se aplica a los responsables de ficheros o a los encargados del tratamiento. De este modo si se aplicase ese régimen a un empleado público lo que debería probarse es que ha actuado como responsable o encargado del tratamiento; en caso contrario, lo que ha de hacerse es instar la adopción de medidas disciplinarias. Excepcionalmente, la Agencia ha declarado la infracción de la LOPD o incluso apercibirse o sancionarse a un particular (por ejemplo, un médico que se llevase las Historias clínicas a casa e hiciera un tratamiento de datos con ellas que no estuviese amparado por la LOPD), pero en ese caso la cuestión es que ese médico se ha convertido en responsable y se le aplica lo dispuesto en el Título VII de la LOPD. En el supuesto presente, la Secretaría General Técnica de la Consejería de Sanidad de la Xunta de Galicia ha iniciado el correspondiente expediente disciplinario contra el médico denunciado por los mismos hechos que aquí se denuncian: accesos injustificados a historias clínicas de pacientes que no son de su cupo y divulgación de los datos. Por ello, la Agencia Española de Protección de Datos podría actuar contra el responsable, la Consejería de Sanidad de la Xunta de Galicia, si no tuviese incorporadas las medidas de seguridad adecuadas para verificar los accesos y su justificación. En el supuesto presente, la Consejería mencionada tiene incorporadas las medidas de seguridad adecuadas y ha constatado los accesos realizados por el médico denunciado. Al encontrar un número de accesos a pacientes que no eran de su cupo y que no parecen haberse efectuado para prestar asistencia sanitaria, ha iniciado expediente disciplinario tras finalizar las correspondientes actuaciones previas de investigación. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador iniciado a Don A.A.A. al no ser responsable de ninguna infracción establecida en la LOPD. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A., a Dª. C.C.C. y a la Xunta de Galicia, Consejería de Sanidad. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es