1/5 Procedimiento nº.: E/05051/2015 ASUNTO: Recurso de Reposición Nº RR/00462/2016 Examinado el recurso de reposición interpuesto por Doña A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05051/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 25 de mayo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05051/2015, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada a la recurrente en fecha 31 de mayo de 2016, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. ha presentado en esta Agencia, en fecha 30 de junio de 2016, recurso de reposición, fundamentándolo básicamente en que la Fundación Jiménez Díaz tiene más ficheros además del fichero “Pacientes”. Durante la investigación, la Fundación no les dejo acceder al fichero que evidenciaría la realidad de los hechos denunciados y que no está inscrito en la Agencia Española de Protección de Datos. Añade que acompaña un documento (que no ha sido adjuntado) en el que se ve que han accedido a un archivo denominado como REHABASE, del que se deduce que solicitada desde la UCI valoración de los pacientes para tratamiento rehabilitador, los datos se registran en la propia base o fichero y no en el fichero de pacientes. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En la Resolución ahora recurrida y que se basaba en la denuncia de accesos a la historia clínica de la denunciante con la finalidad de hacer un expediente disciplinario, se indicaba lo siguiente: La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 diciembre, define el tratamiento de datos personales en su artículo 5.t), en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que los accesos del imputado en este procedimiento a la historia clínica de la denunciante constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. La denunciante ha declarado que se han producido accesos a su historia clínica con finalidades diferentes a las establecidas en la normativa sectorial e incumpliendo, asimismo, la legislación de protección de datos al no haber solicitado su consentimiento para los accesos producidos con la finalidad de resolver el contrato laboral que mantenía con la Fundación Jiménez Díaz. Realizada visita de Inspección a la Fundación se ha constatado que todos los accesos efectuados en el período indicado por la denunciante estaban justificados por actuaciones médicas, aportando el detalle de los accesos realizados y de la justificación de cada uno de ellos. El artículo 7.3 de la LOPD señala, para el tratamiento de los datos de salud, la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD, que dispone que lo será “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De la citada definición resulta particularmente relevante el extremo de que la manifestación de voluntad haya de ser informada, pues sin él difícilmente concurrirán los otros, en especial que sea inequívoca y específica. La letra
- a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En consecuencia, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, se encuentra condicionada a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información entre la que, necesariamente, ha de constar la finalidad determinada, explícita y legítima del tratamiento que se va a realizar sobre los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En el presente caso, no consta la existencia de actos de la afectada que revelen que efectivamente dio su consentimiento al denunciado para el tratamiento realizado de sus datos de salud, pues consta la presente denuncia a la AEPD; lo que revela precisamente la inexistencia de ese consentimiento expreso necesario para el acceso efectuado. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. Por tanto, ha quedado acreditado que los accesos realizados y constatados a la historia clínica de la denunciante estaban exceptuados del consentimiento por tratarse de tratamientos necesarios para el diagnóstico médico y la prestación de asistencia sanitaria. IV Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. La denunciante no ha aportado ningún documento que acreditase la existencia de ficheros sin declarar. Existe habilitación normativa para que en los ficheros haya subficheros para información parcial, como podría ser la de pacientes en rehabilitación. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la resolución de esta Agencia dictada con fecha 25 de mayo de 2016, en el expediente de actuaciones previas de inspección E/05051/2015. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es