1/14 Procedimiento nº.: PS/00266/2015 ASUNTO: Recurso de Reposición Nº RR/01001/2015 Examinado el recurso de reposición interpuesto por D. B.B.B. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00266/2015, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 3 de noviembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00266/2015, en virtud de la cual se imponía a D. B.B.B., una sanción de 2.500 €, por la vulneración de lo dispuesto en el artículo 6.1 en relación con el artículo 4.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45 .1, .2, .4 y .5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 16 de noviembre de 2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00266/2015, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: La denunciante ha comunicado a esta Agencia de Protección de Datos, que se han realizado accesos reiterados a su historia clínica sin su consentimiento y con una finalidad no relacionada con la asistencia sanitaria, por parte de un profesional sanitario. Manifiesta que esta persona fue su médico de cabecera durante su relación matrimonial, que decidió cambiar de médico de cabecera a finales de 2012 y que en febrero de 2013 se divorciaron. Manifiesta que ella es paciente del sistema público de salud de la Comunidad Valenciana y el médico que realizó los accesos inconsentidos a su historia clínica trabaja como médico para la Agencia Valenciana de Salud. La denunciante manifiesta que tuvo conocimiento de los accesos a su historia clínica porque se lo advirtieron los profesionales encargados de su asistencia sanitaria en la actualidad. La denunciante aporta certificación de la Agencia Valenciana de Salud de fecha 8 de abril de 2014, con los accesos efectuados a su historia clínica desde el 1 de enero hasta el 4 de abril de 2014, en el que se aprecia que de 69 accesos, 47 fueron realizados por el médico que no es el titular de su atención sanitaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 SEGUNDO: En septiembre de 2014 se solicita información a la Consellería de Sanitat de la Generalitat Valenciana sobre los accesos realizados a la historia clínica de la denunciante desde enero de 2013 hasta la fecha de la solicitud y que informe sobre la justificación de los accesos realizados por el profesional que no es su médico de cabecera. La Consellería aporta la relación de los accesos realizados a la historia clínica electrónica de la denunciante por el médico de medicina familiar que no es el encargado de su asistencia sanitaria, desde el mes de enero de 2013 hasta el mes de abril de 2014. Informa la Consellería de que de un total de 603 accesos, 496 han sido realizados por el médico de Medicina Familiar Don B.B.B., registrando información en la historia clínica el día 4 de noviembre de 2013. Añaden que los accesos realizados no tienen justificación clínico asistencial que es la única por la que este médico puede acceder a cualquier historia. TERCERO: No consta acreditado en el expediente que el imputado en este procedimiento contara con el consentimiento para el tratamiento de los datos personales relacionados con la salud de Dª. A.A.A. TERCERO: D. B.B.B. ha presentado en fecha 10 de diciembre de 2015, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en que no se le ha notificado debidamente el acuerdo de inicio del procedimiento sancionador lo que le ha ocasionado una situación de indefensión, y manifiesta que tampoco hubiera podido defenderse porque tendría que haber facilitado datos del historial clínico de la denunciante lo que supondría romper el secreto profesional. Continúa exponiendo lo siguiente: “La denunciante (…) fue mi esposa durante varias años, con los que compartí el domicilio en Cocentaina (…) Tras el divorcio y separación conyugal, he continuado manteniendo una estrecha relación con la Sra. A.A.A., sustentada sobre vínculos de amistad y confianza. Por lo que respecta a su salud, ha recurrido constantemente a mí para solicitarme consejo y seguimiento de su proceso asistencial, y por su parte, ha compartido conmigo todos los detalles de su evolución. (…) Ha sido precisamente la naturaleza de este proceso asistencial, la que explicaría sin ningún margen a la duda, la tan llamativa, pero en cualquier caso aparente contradicción que supone que de una parte la Sra. A.A.A. haya recurrido a mí muchas veces como médico y persona de confianza para seguir su proceso asistencial, y de otra, que en un momento dado, haya presentado una denuncia, precisamente, por una presunta utilización no consentida de su historial clínico. Se da la circunstancia de que esta aparente incongruencia, encuentra su explicación en los detalles de su historial, que, precisamente, por cumplimiento de mi obligación profesional de guardar la confidencialidad de los datos clínicos de los pacientes, no voy a desvelar, aún consciente de que ello me coloca, por una curiosa ironía del destino en situación de grave riesgo de ser declarado injustamente responsable por violación de la confidencialidad de los datos de carácter personal, cuando precisamente lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 pretendo, con la más firme resolución, es preservar éstos a toda costa, aún a riesgo de ser perjudicado personalmente. (…) En todo momento he procurado cumplir y respetar tanto las obligaciones legales como las éticas que se esperan de mi tanto hacia los pacientes como hacia la Institución sanitaria para la que presto servicios, y tengo el firme propósito de conducirme así en el futuro aun cuando con ello me prive en mi perjuicio de una parte importante de la defensa que pudiera oponer contra la resolución recurrida, por muy injusta que ésta pueda resultar. QUINTA.- Respecto al fondo del asunto, también se aprecia una falta de motivación de la resolución recurrida, por cuanto que para dar por acreditados los hechos, en que se funda, se basa exclusivamente en el escrito de denuncia de la Sra A.A.A., y en la información sobre los accesos informáticos facilitada por la Consellería de Sanitat, a requerimiento del organismo actuante. (…) No obstante, es preciso, llegado ya a este punto aportar su escrito de 23 de octubre de 2015, por el que manifiesta su renuncia a la denuncia presentada (…) En consecuencia, la declaración de haber realizado las consultas de forma no consentida, en que se basa la resolución sancionadora se contradice de plano, por la propia declaración de la denunciante. (…) Esta actuación es perfectamente normal y regular, y es perfectamente congruente con el hecho de que yo sea o no su médico asignado y esté en mi cupo de pacientes. El modelo de asistencia instaurado tras la publicación de la Ley General de Sanidad implica a todos los médicos del sistema sanitario y en especial los de cada Zona Básica de Salud para procurar la atención integral de su población. La mención a los cupos o la adscripción de tarjetas sanitarias a cada médico se mantiene a los solos efectos de organizar la asistencia, entre los profesionales, pero en ningún caso los grupos de pacientes permanecen estancos (…) Por tanto, existe una permeabilidad total entre los cupos de los pacientes de modo que cualquier médico de un Equipo de Atención Primaria puede ser compelido a asistir o requerido por un paciente para que se le atienda, sea o no de su cupo. (…) Por último, mención especial merece el apartado VI de los FUNDAMENTOS DE DERECHO, en el que se afirma como probado haber utilizado los datos contenidos en la historia clínica para una finalidad distinta de la prevista en el artículo 16 de la Ley de Autonomía del Paciente, pero ni se dice ni se deduce cuál podría ser ésta. En definitiva, no se sabe cuál pudo ser el móvil o el fin de la presunta infracción. Sin embargo, aún sin conocerlo si se califica de injustificado. ¿Cómo se puede concluir que una causa es justificada o no, si queda claro que no se conoce? ¿No genera ello las suficientes dudas como para descartar la imputación directa?. El único fin real de los accesos, tal y como se ha expuesto, no fue otro más que atender las peticiones de la propia paciente, en calidad de médico de confianza. Ha sido una utilización normal y plenamente justificada.” Concluye el escrito solicitando que se estime el recurso, se absuelva al recurrente de los cargos que se le atribuyen y se anule la sanción económica impuesta. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por D. B.B.B., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del V al VIII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<V El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD define el tratamiento de datos personales en su artículo 5.t), en los siguientes términos: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De acuerdo con estas definiciones no cabe duda de que los accesos del imputado en este procedimiento a la historia clínica de la denunciante constituyen un tratamiento de datos personales relacionados con la salud. La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 De los hechos probados en este procedimiento, se deduce que la denunciante ha declarado que los profesionales sanitarios encargados de su cuidado médico le han advertido de los accesos reiterados de un tercero a su historial clínico durante los últimos meses. Manifiesta que la persona que ha realizado estos accesos presta sus servicios como médico de Medicina Familiar en la Consellería de Sanitat de la Generalitat Valenciana. La denunciante aporta un certificado de la Consellería con los accesos a su historia clínica desde el 1 de enero al 4 de abril de 2014, en el que se aprecia que de 69 accesos, 47 fueron realizados por un médico que, según manifiesta, no es el titular de su atención sanitaria. La Consellería de Sanitat de la Generalitat Valenciana ha informado a la Inspección de esta Agencia respecto de los accesos efectuados a la historia clínica de la denunciante por el médico de medicina familiar que no es el encargado de su asistencia sanitaria, desde el mes de enero de 2013 hasta el mes de abril de 2014. Informa la Consellería de que de un total de 603 accesos, 496 han sido realizados por el médico de Medicina Familiar Don B.B.B., registrando información en la historia clínica el día 4 de noviembre de 2013. Añaden que los accesos realizados no tienen justificación clínico asistencial que es la única por la que este médico puede acceder a cualquier historia. En el presente procedimiento no hay constancia de consentimiento para el tratamiento de datos personales realizado. Si constan acreditados los accesos del imputado a la historia clínica de la denunciante, en el listado aportado al presente expediente por la Consellería de Sanitat de la Generalitat Valenciana que manifiesta que no tienen justificación clínico asistencial. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. En este caso no se está ante uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud de la denunciante. Por tanto corresponde al imputado acreditar que contaba con ese consentimiento inequívoco de la afectada para el acceso a los datos personales contenidos en su historia clínica. VI Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que el imputado ha utilizado los datos contenidos en la historia clínica de la denunciante para una finalidad distinta de la prevista en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. El artículo 7 de esa misma Ley, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último, como ya se ha visto, en su artículo 16 determina cuales son los “Usos de la historia clínica”: En este procedimiento se ha acreditado que el imputado ha accedido a los datos relativos a la salud de una paciente para una finalidad incompatible con aquella para la que fueron recogidos los datos: la asistencia sanitaria, el tratamiento médico o la gestión de servicios sanitarios. El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. El hecho constatado del acceso a los datos personales especialmente protegidos de la denunciada sin su consentimiento, establece la base de facto para fundamentar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 imputación de la infracción del artículo 6.1 en relación con el 4.2 ambos de la LOPD. VII El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto D. B.B.B. trató los datos personales de la denunciante relativos a su salud, sin que se haya acreditado que se cuente con el consentimiento de la afectada ni con habilitación legal, tal y como establece el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
- b)de dicha norma. VIII Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De conformidad con el análisis realizado se ha incurrido en la infracción descrita. Así, ha quedado acreditado que D. B.B.B. ha tratado los datos de salud de una paciente sin su consentimiento, constituyendo tal conducta la infracción grave tipificada en el artículo 44.3.b). Respecto de la aplicación del artículo 45.5 considerando la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, como atenuantes, en especial circunstancias tales como el volumen de negocio, al tratarse de una persona física, el hecho de que no consten beneficios obtenidos como consecuencia de la comisión de la infracción ni conste reincidencia por comisión de infracciones de la misma naturaleza, lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sanción correspondiente a una infracción leve. En consecuencia, constatada la comisión de la infracción imputada, se observa, como se ha expuesto, la concurrencia de circunstancias que, si bien no eximen del cumplimiento de la norma, sí permiten apreciar una cualificada disminución de la culpabilidad imputada respecto de la comisión de dicha infracción, por lo que se estima que procede la aplicación del artículo 45.5 de la LOPD respecto de la misma, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en este caso, valorados en aplicación de dichos criterios, permiten, que en este caso se considere procedente que se fije la cuantía de la sanción en 2.500 euros, al haberse constatado una disminución cualificada de la culpabilidad y teniendo en consideración, como agravante, la circunstancia de la naturaleza de los datos objeto de tratamiento indebido, datos de carácter personal relacionados con la salud.>> III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Expone el recurrente en su escrito que no se le ha notificado debidamente el acuerdo de inicio del procedimiento sancionador cuya resolución ahora se recurre. A este respecto cabe exponer que el domicilio de notificación del recurrente fue facilitado por la Conselleria de Sanitat de la Generalitat Valenciana a requerimiento de esta Agencia. Que la notificación del acuerdo de inicio del procedimiento sancionador se intentó en ese domicilio en dos ocasiones en días distintos, con el resultado de ausente reparto y se dejó aviso en el buzón. Estas circunstancias constan acreditadas en el procedimiento en el acuse de recibo del servicio de correos. Tal y como figura en la resolución recurrida, se han observado las prescripciones legales porque se ha intentado la notificación y no se ha podido practicar. Hay que tener en cuenta que en el intento de notificación realizado, el servicio de correos informa en el acuse de recibo de que el destinatario está ausente en reparto, no que el destinatario sea desconocido o que la dirección sea incorrecta. En este caso la notificación se realiza por medio de un anuncio publicado en el Boletín Oficial del Estado, según lo que dispone el artículo 59.5 de la Ley 30/1992. De manera que por esta Agencia se han realizado todos los esfuerzos posibles para la correcta notificación del procedimiento y se han solicitado los datos a la Consellería de Sanitat valenciana, tal y como reclama el recurrente en su escrito, por lo que no es posible estimar lo alegado al respecto.. Expone también el recurrente que los accesos a la historia clínica de la denunciante los realizó con su consentimiento y que esta incongruencia se explica en el historial médico de la misma. Que la resolución solo se basa en la denuncia y en la información sobre los accesos informáticos facilitada por la Consellería de Sanitat. Que la denunciante ha presentado un escrito de renuncia a su denuncia. Manifiesta el recurrente que su actuación es congruente con el hecho de que sea o no su médico asignado y esté o no en su cupo de pacientes, porque existe una permeabilidad entre los cupos de pacientes y cualquier médico de un Equipo de Atención Primaria puede ser compelido a asistir o requerido por un paciente para que se le atienda, sea o no de su cupo. Ante lo expuesto debemos recordar lo que dispone la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, sobre la historia clínica en su artículo 3, sobre el derecho a la intimidad en el artículo 7 y cuáles son los “Usos de la historia clínica” en su artículo 16. La historia clínica se presenta en este artículo 16 como un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente y ese mismo artículo expone que pueden acceder a ella los profesionales asistenciales del centro sanitario que realizan el diagnóstico o el tratamiento del paciente. Continúa el artículo diciendo que, cada centro sanitario debe establecer los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. La redacción de este artículo 16 de la Ley 41/2002 no reserva el acceso a las historias clínicas únicamente a facultativos, sino que lo extiende a los profesionales asistenciales que diagnostiquen o traten al paciente. Sin embargo, ha de tenerse en cuenta que no todos los profesionales sanitarios, ni siquiera todos los facultativos, están autorizados a acceder a cualquier historia clínica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 sino únicamente a las de los pacientes que tratan, y solo con fines asistenciales. La LOPD, por su parte, dispone que podrán ser objeto de tratamiento los datos de carácter personal relativos a la salud cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios. Además, incide en que este tratamiento debe realizarse siempre por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente. Por todo ello, las instituciones y los centros sanitarios, tanto públicos como privados, y los profesionales podrán tratar los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad. Así, un factor esencial en esta materia es que toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley, tal y como dispone el artículo 7.1 de la Ley 41/2002, de autonomía del paciente, obligando en su apartado 2 a que los centros sanitarios adopten las medidas oportunas para garantizar la intimidad de los pacientes y la confidencialidad sobre sus datos de salud, y a que elaboren las normas y los procedimientos que garanticen el acceso legal a los datos de los pacientes. A este respecto podemos acudir también a la legislación autonómica. El Decreto 56/1988, de 25 de abril, del Consell de la Generalitat Valenciana, por el que se regula la obligatoriedad de la Historia Clínica, dispone en su artículo cuarto, que: “Las Historias Clínicas son documentos confidenciales, propiedad de la institución. La información necesaria estará a disposición del paciente y del personal sanitario que directamente esté implicado en el diagnóstico y tratamiento del enfermo, ante cualquier demanda asistencial de éste. Igualmente, se permitirá el acceso a las mismas para la obtención de información estadística sanitaria, de las actividades relacionadas con el control y evaluación de la calidad de la asistencia prestada, de la revisión del rendimiento asistencial, de las encuestas oficiales o de propósitos educativos y de programas de investigación. En todos estos casos quedará plenamente garantizado el derecho del paciente a su intimidad personal y familiar; el personal que acceda a estos documentos ha de guardar el sigilo profesional. Únicamente podrán ser retiradas de la institución por mandamientos judiciales. Cualquier otra consulta de la Historia Clínica requerirá el consentimiento escrito del paciente o de su representante legal.” La Sentencia del Tribunal Supremo, Sala de lo Penal, de 23 de septiembre de 2015, recurso 648/2015, que confirma el delito de descubrimiento y revelación de secretos, en un caso de accesos a las historias clínicas de los compañeros de trabajo sin autorización y sin que mediara relación asistencial entre ellos, en su Fundamento de Derecho quinto, expone: “Consecuentemente el motivo debe ser desestimado, pues toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley, formando parte de su derecho a la intimidad (art. 7.1 Ley 41/2002 de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica). La historia clínica definida en el art. 3 de esta ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial, estaría comprendida en ese derecho a la intimidad y además forma parte de los datos sensibles, el núcleo duro de la privacidad, cuyo mero acceso, como hemos descrito, determina el perjuicio de tercero; el del titular de la historia, cuyos datos más íntimos, sobre los que el ordenamiento le otorga un mayor derecho a controlar y mantener reservados, se desvelan ante quien no tiene autorizado el acceso a los mismos”. Con respecto a la alegada renuncia de la denunciante a su denuncia, hay que señalar que los procedimientos sancionadores se inician de oficio por la AEPD, que es quien determina la responsabilidad de los hechos constatados, independientemente de la intencionalidad del denunciante al presentar su escrito de denuncia. Por otra parte se observa que en su escrito la denunciante expone que no desea continuar con su denuncia y que, tras las explicaciones que ha recibido del denunciado, admite que pudiera haber obrado creyendo que contaba con su consentimiento para la consulta de su historial con la finalidad que el mismo le ha convencido que lo efectuaba. Este escrito, fechado en octubre de 2015, no puede considerarse un consentimiento válido para los accesos realizados a los datos personales relacionados con la salud de una paciente de la Conselleria Valenciana de Sanitat, entre enero de 2013 y abril de 2014. Manifiesta el recurrente que la resolución solo se basa en la denuncia y en la información sobre los accesos informáticos facilitada por la Consellería de Sanitat. Respecto de esta alegación puede argumentarse que ese organismo público es el responsable del fichero de las historias clínicas de sus pacientes y es quien debe establecer los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten, que son quienes realizan el diagnóstico o el tratamiento del paciente, todo ello según ya hemos visto en la Ley de autonomía del paciente y en este sentido se encuentra también el artículo cuarto del Decreto 56/1988, de 25 de abril, del Consell de la Generalitat Valenciana, por el que se regula la obligatoriedad de la Historia Clínica. Es por esto por lo que la Consellería de Sanitat informó a esta Agencia de que los accesos realizados por el ahora recurrente, en principio no tienen justificación clínico asistencial, que es el único motivo por el cual este médico puede acceder justificadamente a cualquier historia. Esta respuesta es conforme a lo dispuesto en la Ley de autonomía del paciente y en el Decreto 56/1988 mencionados, respecto del acceso a la historia clínica de los pacientes de la Consellería por los profesionales que le asisten, que son quienes realizan su diagnóstico y su tratamiento. El hecho de que como profesional de la citada Consellería tenga habilitado el acceso a las historias clínicas de todos los pacientes y no solo de los asignados a su cupo, es una forma de proceder que no le legitima para el acceso a los datos personales de una paciente cuyo diagnóstico y tratamiento no tenga encomendado. Cada profesional estará legitimado para el acceso a los datos de los pacientes asignados por la institución para su atención médica o bien porque se demande su atención por algún otro motivo: urgencia, suplencia... En el presente caso fueron los profesionales directamente encargados de la asistencia médica de la denunciante, que son quienes tienen encomendado realizar el diagnóstico y el tratamiento del paciente, quienes le advirtieron de los múltiples accesos efectuados por un facultativo que no tenía encomendada su asistencia. Una vez concretada esta cuestión, de quien está legitimado para acceder a las historias clínicas de los pacientes de la Consellería, es preciso acudir al escrito de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 denunciante presentado en octubre de 2015. En este escrito la denunciante expone que ha recibido recientemente las explicaciones del Sr B.B.B., tras la denuncia que ella ha presentado, y que entonces admite que pudiera haber obrado creyendo que contaba con su consentimiento para la consulta de su historial y con la finalidad que él mismo le ha convencido que lo efectuaba y que por ello, en la medida que proceda, no desea continuar con su denuncia. Lo que evidencia este escrito es que el facultativo no contaba con el consentimiento expreso de la denunciante y que ella, tras las explicaciones ahora recibidas, prefiere no continuar con su denuncia. Como ya se ha visto los procedimientos sancionadores se inician de oficio por la AEPD, que es quien determina la responsabilidad de los hechos constatados. Por otra parte, expone el recurrente en su escrito que es precisamente el “proceso asistencial” de la denunciante lo que explica que haya presentado una denuncia en esta Agencia, tras haber acudido a él muchas veces como médico de confianza. Ante esta alegación cabe insistir en que la institución es la responsable del fichero de los datos personales de sus pacientes, que es ella quien asigna a los profesionales que deben asistir a cada uno, con independencia de la reciente posibilidad de libertad de elección en el Sistema Valenciano de Salud y que, en definitiva, no todos los profesionales sanitarios, ni todos los facultativos, están autorizados a acceder a cualquier historia clínica, sino únicamente a las de los pacientes que tratan, y solo con fines asistenciales. Por lo tanto, en el presente recurso de reposición, D. B.B.B. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. B.B.B. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 3 de noviembre de 2015, en el procedimiento sancionador PS/00266/2015. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es