1/6 Procedimiento nº.: E/04385/2014 ASUNTO: Recurso de Reposición Nº RR/00548/2015 Examinado el recurso de reposición interpuesto por Don A.A.A., contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04385/2014, y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de mayo de 2015, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/04385/2014, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 27 de mayo de 2015, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. ha presentado en fecha 25 de junio de 2015, recurso de reposición, con entrada en esta Agencia el día 1 de julio, fundamentándolo básicamente en que la Resolución recurrido sólo hace referencia a un médico denunciado cuando el amplió la denuncia a otros dos médicos más. El hecho de que la Gerencia de Atención Integrada de Albacete comunicase por escrito a la Agencia que hay enemistad entre Don C.C.C. y el denunciante no exonera de responsabilidad del acceso indebido a sus datos. También ha informado de forma torticera de una sanción disciplinaria, recurrida y desestimado el recurso por el Juzgado contencioso administrativo nº 2, de Albacete, ya que está recurrida. Se hace referencia a una versión de los hechos del denunciado dándose por buena sin que se haya contrastado con la suya. En la resolución se ignoran el resto de los accesos. Si los médicos dejan las sesiones abiertas están incumpliendo o comparten contraseña con los auxiliares sería constitutivo de una infracción. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La denuncia planteada, y ahora recurrida, por el Dr. Don A.A.A.í A.A.A.í A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 se concretaba en el acceso indebido a su historia clínica por parte del Jefe de Sección de Oncología y dos compañeros más. Sobre el particular se fundamentó lo siguiente: “El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 91 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece lo siguiente: “
- Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.
- El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.
- El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.
- Exclusivamente el personal autorizado para ello en el documento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.
- En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Esto significa que cuando un usuario de un fichero accede a una información, ese acceso tiene que ser necesario para desarrollar las funciones que tiene encomendadas y que dicho acceso este justificado. En las dos denuncias presentadas, el Dr. A.A.A. señala que tanto el Jefe de Sección como dos compañeros del Servicio han accedido a su historia clínica de forma indebida. Tras las actuaciones de investigación practicadas se ha acreditado que el denunciante ha sido sorprendido por compañeros accediendo a su historia clínica desde la sesión abierta por el Jefe de Sección. Se trata de un ordenador compartido por varios médicos y las sesiones quedan abiertas durante 90 minutos hasta que se bloquean cuando dejan de utilizarse. Este periodo tan dilatado se debe al trabajo específico que realizan los oncólogos, ya que salen del despacho para visitar al paciente hospitalizado o para acompañarle a alguna prueba. Manifiestan que forman parte de un equipo entre los que comentan los casos que trata cada uno, guardando la debida confidencialidad y nunca se había actuado con mala fe. Acompaña el SESCAM un documento en el que el Dr. B.B.B. contesta a la Inspección sobre los presuntos accesos indebidos a la historia clínica del denunciante, habiendo acreditado que en dos de las tres ocasiones ni siquiera estaba en el Centro. En síntesis, no se ha podido acreditar que los accesos denunciados hayan sido realizados por los compañeros del Servicio de Oncología. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que “Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En resumen y para este caso, se ha de señalar que no se han obtenido indicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 razonables que permitan establecer que se han producido los hechos denunciados. III A pesar de no ser un hecho denunciado, durante las Actuaciones de Investigación, se ha tenido acceso a un informe del Jefe de Servicio de la GAI de Albacete, en el que justifica la necesidad de que las sesiones permanezcan abiertas durante 90 minutos antes de bloquearse. Aun admitiendo que puede estar justificado por lo específico del trabajo que se realiza en Oncología, se hace preciso recordar en qué consisten las medidas de seguridad. El artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, con la finalidad de evitar, entre otros aspectos, el acceso no autorizado por parte de ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que: - Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. - Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD. - La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se establecen en normas reglamentarias, de modo que se eviten accesos no autorizados. - El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.h) de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece de manera pormenorizada las medidas de seguridad que han de tener incorporadas en sus ficheros los responsables del tratamiento de datos personales. Los ficheros que contengan datos de salud han de tener implantadas las medidas de seguridad de nivel alto. El artículo 103 de dicho Reglamento regula el registro de accesos en los ficheros con nivel de seguridad alto, como es el caso del que contiene historias clínicas, indicando lo siguiente: “
- De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.
- En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.
- Los mecanismos que permiten el registro de accesos estarán bajo el control C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos.
- El período mínimo de conservación de los datos registrados será de dos años.
- El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.” El Hospital de Albacete tiene incorporadas tales medidas de seguridad, como se constata en la entrega al denunciante de los accesos a su historia clínica. No obstante, las medidas de seguridad es fundamental que sean conocidas por todas las personas que acceden a los ficheros. Si bien puede ser necesaria que, tras identificarse el personal sanitario con su clave y contraseña, la sesión permanezca sin bloquearse durante 90 minutos, es indispensable que se recuerde a todo el personal que al salir del despacho donde se encuentra ubicado el ordenador común bloqueen la sesión iniciada, para evitar que se produzcan hechos como los denunciados en el supuesto presente.” III Las alegaciones expuestas en el escrito de recurso no modifican la resolución ahora recurrida. No se le ha ocasionado indefensión por no trasladarle las manifestaciones del SESCAM, ya que se ha facilitado en la Resolución. En ambos casos se trata de manifestaciones de ambas partes, si bien hay hechos que son ciertos, como la Sentencia aportada, las denuncias efectuadas por uno de los médicos denunciados… Debe tenerse en consideración, asimismo, la Sentencia de la Audiencia Nacional, Sala de lo contencioso-administrativo, de 4 de marzo de 2013, en la que se fundamenta lo siguiente: “También en este caso se debe hacer referencia a lo establecido en el artículo 7: "No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para… la gestión de servicios sanitarios… siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto". Considera la Sala, que los datos no han sido cedidos a terceros, o tal cuestión se trataría en su caso de cuestión de cesión ajena a este recurso –en este sentido STS 274-2010, rec. 6371/2006-. Consta por el INSS que ha comprobado la identidad del personal que ha accedido a sus datos, y que confirma que se trataba de personal con justificación y acreditación a nivel orgánico y de funciones, por lo que de esta forma se está garantizando el uso al que se someten los datos personales.” Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 resolución de esta Agencia dictada con fecha 14 de mayo de 2015, en el expediente de actuaciones previas de inspección E/04385/
- SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es