1/9 Procedimiento nº.: E/08147/2020 ASUNTO: Recurso de Reposición Nº RR/00525/2020 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/08147/2020, y en base a los siguientes HECHOS PRIMERO: Con fecha 15 de octubre de 2020, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/08147/2020, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 16 de octubre de 2020, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 29 de octubre de 2020, recurso de reposición, con el texto siguiente: “Quiero conocer si el consentimiento pueda no estar viciado por una persona con problemas de salud mental haya autorizado en plena crisis y luego después de la tormenta quiere pedir responsabilidades por haber expuesto los datos de salud donde la plataforma tiene responsabilidad solidaria en caso de robo de datos a los y las profesionales colegiados y colegiadas donde los datos no se custodien en el sistema nacional de salud por mayor seguridad”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La reclamación presentada por el ahora recurrente, se refería a la adecuación a la normativa de protección de datos de la página ahora recurrida, www.citamedicaencasa.es, ya que no aparecía DPD, exclusivamente. Al objeto de verificar los hechos objeto de reclamación, se realizaron actuaciones previas de investigación, durante las cuales, el responsable de la puesta en marcha de la página informó lo siguiente: “PRIMERO.- Origen y Trayectoria de la página www.citamedicaencasa.es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 1º) En el mes de marzo de 2020, y ante la avalancha de consultas médicas de ciudadanos que a diario se producían en las redes sociales, DON B.B.B. y DON C.C.C. decidieron crear una página web en la que se ofrecieran consultas médicas y psicológicas a particulares por médicos y psicólogos colegiados de forma gratuita. Se especificaba sin lugar a duda alguna que las consultas habrían de ser de cualquier materia médica o psicológica, a excepción de aquellas que pudieran estar relacionadas directa o indirectamente con la pandemia originada por el COVID-19. 2º) Para ello se formó una estructura que se planteaba de recorrido temporal hasta que pasara la crisis sanitaria que colapsaba las consultas de atención primaria en todo el país. Esta estructura fue la página web www.citamedicaencasa.es, a través de la que médicos y psicólogos colegiados ejercientes se prestaban voluntarios para atender consultas de todo tipo excluidas las relativas a Covid 19. No se aceptaban por los responsables de la plataforma profesionales voluntarios jubilados, ni aquellos que se encontraran a la espera de convalidación de títulos extranjeros. Estos profesionales cedían sus datos: nombre apellidos, teléfono y número de colegiado, en la seguridad de que no iban a ser publicados ni transferidos a ningún lugar virtual o analógico, ni a persona alguna, y que la página/plataforma se cerraría cuando la necesidad hubiera remitido. Y asumían el compromiso en los siguientes términos "Me comprometo a no hacer públicos datos de ciudadanos." https://www.citamedicaencasa.es/static/politica_privacidad.pdf "Acepto que mis datos se incorporen a Cita médica en Casa." https://www.citamedicaencasa.es/static/consentimiento.pdf Una vez comprobada la certeza de la colegiación de los profesionales, se les daba de alta en la plataforma, y en función de la especialidad que cada uno tuviera, y de la materia sobre la que versara la consulta del usuario, se distribuían el trabajo entre ellos. Y ya asignada la consulta que había entrado en la página, los responsables de la plataforma se desentendían de la misma, que a partir de entonces se circunscribía exclusivamente a la comunicación por correo electrónico entre médico y usuario. 3º) Por su parte el ciudadano que accedía a la página, se registraba y solicitaba ser atendido por un médico o psicólogo, también aceptaba las condiciones de la política de privacidad de la plataforma en los siguientes términos “Acepto la política de privacidad y la protección de datos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 https://www.citamedicaencasa.es/static/politica_privacidad.pdf "Acepto compartir mis datos personales con el personal médico." https://www.citamedicaencasa.es/static/consentimiento.pdf “Soy mayor de 18 años” 4º) La información personal que el usuario proporcionaba al médico o psicólogo en las consultas, únicamente éstos la conocían, por supuesto los psicólogos no podían ver las consultas médicas y viceversa. Esta información se encriptaba usando para ello el algoritmo ‘aes256-ctr’, de tal forma y manera que los creadores de la plataforma no han tenido nunca acceso a los mismos. El mismo tratamiento se daba a la información médica que el usuario daba al facultativo que le atendía. 5º) Por supuesto todo el trabajo ha sido verificado, no ha habido ánimo alguno de lucro, y los gastos que ha ocasionado la creación y mantenimiento de la página www citamedicaencasa.es han sido sufragados por sus promotores. 6º) Como se ha dicho, la plataforma surgió con fecha de caducidad, y tenían sus promotores previsto cerrarla el 4 de junio, pero las circunstancias han avanzado dicha fecha debido a la superación del colapso de los teléfonos de atención primaria, y el servicio se ha cerrado finalmente el 26 de mayo. Más pese a su actual inoperatividad, continúa abierta a disposición fundamentalmente de esta AEPD, al objeto de que puedan sus responsables comprobar la veracidad de cuanto en el presente escrito se significa, en lo que concierne al método de funcionamiento que ha tenido la plataforma en su corta vida. A más de los enlaces anteriormente citados, pueden dirigirse a https://www.citamedicaencasa.es/about-us • SEGUNDO.- Respuesta a las cuestiones planteadas por la AEPD 1.- La base jurídica que legitima el tratamiento de los datos efectuado por los responsables la constituye el consentimiento de los hipotéticos afectados, según la definición que de la misma se establece en el art. 6 de la LOPD, entendiendo como posibles afectados, tanto las personas de los profesionales voluntarios (médicos y psicólogos) que prestaron sus servicios, como los ciudadanos usuarios del mismo. 2.- La información facilitada a los interesados según el art. 13 del RGPD, ha consistido básicamente que sus datos personales no iban a ser utilizados de ninguna manera, y el fin del tratamiento era su encriptación y secreto a excepción de las personas de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 profesionales voluntarios sometidos a consulta 3. 4. Y 5.-..- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación y resto de cuestiones planteadas por la AEPD En el supuesto estudiado, nos encontramos ante una “denuncia”, no prevista en la Ley, en la que un ciudadano, al parecer de Bilbao, que da en “pasear” digitalmente en páginas web, se pregunta si la página www.citamedicaencasa.es podría o no contravenir la normativa de la LPD, y, en consecuencia con su sospecha, acude a la O.C:U., quien ajena a tales competencias le remite a la AEPD. No aporta el “denunciante” dato alguno que pudiera suponer que los responsables de esta página hayan contravenido de alguna forma las prescripciones legales en materia de protección de los datos de las personas que a ella han accedido. Por otra parte, ninguna de las personas que han acudido a la página de consultas en el corto periodo que ha durado el servicio gratuito prestado por la plataforma, han formulado protesta alguna acera del tratamiento de los datos personales que han proporcionado voluntariamente para ser atendidos en sus preguntas por médicos o psicólogos. (…) En efecto, insistimos en que, aunque era voluntad de los promotores de la plataforma cesar en la actividad de prestación de servicios médicos en la primera semana de junio, es lo cierto que dado que la saturación hospitalaria y el colapso de los teléfonos de los Centro de Atención Primaria, ha remitido antes de finalizar el periodo de alarma y confinamiento, realmente la necesidad ha desaparecido ya, con lo que la actividad ha cesado. Sin embargo, no se va a dar la baja definitiva a la página web https://www.citamedicaencasa.es/006019ce8d2bdd5d91b7ddc2fafb9077 y se van a mantener los enlaces que dirigen tanto a los formularios de alta de los profesionales, como al de los particulares que demandaban una consulta, como al apartado de la política de privacidad etc, al único objeto precisamente de que la propia AEPD pueda verificar todas cuantas cuestiones se le susciten acerca de la actividad que se ha llevado a cabo y de qué forma se han protegido los datos de los usuarios del servicio. Una vez que esta labor investigadora, necesaria a raíz de que la curiosa denuncia que ha puesto en marcha la intervención de la AEPD, haya verificado la certeza de cuanto aquí hemos manifestado, y, muy especialmente, que los datos de los usuarios que en este breve lapso de tiempo, no han tenido destino público ni privado alguno, encontrándose encriptados incluso para las personas responsables de la plataforma, la página se cerrará con carácter definitivo”. III La fundamentación jurídica en que se basó el archivo de las actuaciones previas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 investigación son las siguientes: “La reclamación presentada es una consulta sobre la adecuación de la página web www.citamedicaencasa.es a la normativa de protección de datos, al tratarse a su criterio, de un tratamiento de datos de salud, datos considerados como categoría especial, de conformidad con lo dispuesto en el RGPD. Como consecuencia del traslado de la reclamación realizado a los responsables de la página web mencionada, se constata que los responsables crearon una página web para que médicos y psicólogos pudiesen atender consultas de particulares durante los meses que durase la alerta sanitaria por Covid-19 y había problemas para acudir a los médicos de Atención Primaria, estableciendo que las consultas no podían ser relativas al Covid-19. Los responsables de la página web ponían en contacto a los usuarios con los profesionales que voluntariamente atendían las consultas. El RGPD, indica en su Considerando 61 la obligación e importancia de informar a los afectados sobre el tratamiento de sus datos: “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen de los datos personales no pueda facilitarse al interesado por haberse utilizado varias fuentes, debe facilitarse información general”. El artículo 13 del RGPD plasma este principio y establece lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.