1/9 Procedimiento nº.: PS/00468/2019 Recurso de reposición Nº RR/00531/2020 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00468/2019, y en base a los siguientes: HECHO PRIMERO: Con fecha 30 de septiembre de 2020, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00468/2019, en virtud de la cual se archivaba el procedimiento sancionador iniciado contra el Dr. B.B.B.. Dicha resolución, que fue notificada al recurrente en fecha 5 de octubre de 2020, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00468/2019, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: El reclamante sufrió accidente, el día 28 de julio de 2017, siendo ingresado en el Hospital Universitario Central de Asturias, donde estuvo en la U.C.I. y, posteriormente, en rehabilitación hasta el día 15 de marzo de 2018. El reclamante es funcionario y tiene concertada la asistencia médica con Asisa, que quería trasladarle a uno de sus centros. SEGUNDO: El día 19 de octubre de 2017, su esposa recibió un mail de Asisa(acompañan copia) indicándole que trasladarían al reclamante al sanatorio Covadonga de Gijón, donde le atendería el Dr. B.B.B., que dispone de los informes que le han facilitado. El traslado no se produjo porque no lo permitieron los médicos del Hospital Universitario Central de Asturias, ya que solo allí contaban con medios para la dificultosa rehabilitación. (Acompañan informe del Hospital). TERCERO: El Dr. B.B.B. es médico del Hospital Universitario Central de Asturias y sería el medico que continuaría con su rehabilitación en el sanatorio Covadonga de Gijón, a cargo de Asisa. El mencionado doctor accedió a su historia clínica en julio de 2017, cuando ingresó; pero cuando ya no era el médico que le trataba, el día 6 de octubre de 2017, volvió a acceder a su historia clínica. CUARTO: El Dr. B.B.B. alegó que el acceso realizado el día 6 de octubre de 2017 se debió al interés del lesionado desde el punto de vista de la investigación. El único proyecto de investigación del Hospital en el año 2014, para atención urgente a lesionados medulares fue realizado por su parte. El mecanismo causal era C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 infrecuente, la recuperación se observa a muy largo plazo (hasta 3 años). Este acceso está amparado por el artículo 16.3 de la Ley de autonomía del paciente. QUINTO: El Servicio de Salud del Principado de Asturias indica que ha diferido las actuaciones contra el facultativo en función de que la Agencia establezca si son lícitos los accesos o no lo son.” TERCERO: Don A.A.A. (en lo sucesivo el recurrente) ha presentado en fecha 30 de octubre de 2020, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en que la Resolución se ha dictado prescindiendo del procedimiento legalmente establecido ya que no se han acreditado los hechos. En el Hecho probado cuarto se recogen las alegaciones del doctor que accedió a su historia clínica indicando que había trabajado en un proyecto de investigación clínica en el año 2014, para lo cual el caso médico del reclamante era un caso muy interesante. Y al solicitar la prueba dirigida al HUCA para verificar estas manifestaciones, no se recibe el escrito de prueba y sirve para archivar el procedimiento. Se archivan las actuaciones contra el médico que accedió a la historia clínica, pero no se motiva la no iniciación contra el SESPA o el HUCA. La denuncia se efectuó contra el SESPA y HUCA y no contra el Dr. B.B.B.. Solicita que retrotraiga el procedimiento al momento de solicitud de prueba y se vuelva a preguntar si participó en el proyecto que señalaba y se verifique si el sistema de información del HUCA tiene un protocolo de autorización expresa de acceso a la historia clínica que fiscalice realmente la legitimación de acceso y no la identificación. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II La fundamentación jurídica de la resolución del procedimiento ahora recurrido se justificó de acuerdo a lo siguiente: “El RGPD en su artículo 5, “Principios relativos al tratamiento” dice que “Los datos personales serán: tratados de manera lícita, leal y transparente en relación con el interesado (<<licitud, lealtad y transparencia>>)” El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2.Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. (…)” El artículo 9 del RGPD establece lo siguiente: 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud. Los hechos denunciados se concretan en el acceso por parte del reclamado a la historia clínica del reclamante sin ninguna causa legitimadora para ello; añadiendo que ese acceso fue utilizado para informar de ello a la compañía aseguradora médica del reclamante, que le envió un correo informándole de su traslado a un centro concertado por la compañía, donde sería atendido por el reclamado. Alega el reclamante que su acceso del día 6 de octubre de 2017 se debió al interés del lesionado desde el punto de vista de la investigación, ya que había pilotado un proyecto de investigación del Hospital en el año 2014, para atención urgente a lesionados medulares cuya recuperación se observa a muy largo plazo (hasta 3 años). Añade que ese acceso está amparado por el artículo 16.3 de la Ley de autonomía del paciente La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” V El Centro Hospitalario en el que estuvo ingresado el reclamante y en el que presta servicio el reclamado, debe tener incorporadas las medidas de seguridad adecuadas para que los datos personales sean tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El artículo 32 del RGPD establece estas medidas de seguridad en el sentido siguiente: 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros. Ha quedado acreditado que el Hospital reclamado dispone de un control de accesos que identifica a los usuarios, fecha y hora, que accedieron a la historia clínica del reclamante. Cabe concluir, por tanto, que en el presente caso el sistema de información que gestiona la historia clínica del Hospital reclamado cumple con las medidas de seguridad relativas al control de los accesos. Por otro lado, el artículo 70 de la LOPDGDD establece quien es el responsable de las infracciones a la normativa de protección de datos, indicando: “Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
- a)Los responsables de los tratamientos.
- b)Los encargados de los tratamientos.
- c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
- d)Las entidades de certificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
- e)Las entidades acreditadas de supervisión de los códigos de conducta…” El médico contra el que se ha dirigido la reclamación no tiene la consideración de ninguno de los responsables a los que se puede imputar una infracción. El Hospital Universitario Central de Asturias deberá evaluar si es acceso efectuado por el médico reclamado estaba legitimado, en base a las manifestaciones efectuadas por el mismo, referidas a su participación en el proyecto de investigación del Hospital del año 2014, la posible inclusión en el mismo de los datos del reclamante, o al artículo 16.3 de la LAP; o iniciar actuaciones disciplinarias si no estaba legitimado y justificado el acceso del día 6 de octubre de 2017.” III Alega el ahora recurrente que la resolución se ha dictado prescindiendo del procedimiento legalmente establecido ya que no se han acreditado los hechos. En el Hecho probado cuarto se recogen las alegaciones del doctor que accedió a su historia clínica indicando que había trabajado en un proyecto de investigación clínica en el año 2014, para lo cual el caso médico del reclamante era un caso muy interesante. Y al solicitar la prueba dirigida al HUCA para verificar estas manifestaciones, no se recibe el escrito de prueba y sirve para archivar el procedimiento. Hay que señalar que el archivo del expediente se efectúa al tratarse de un usuario del sistema, no de un responsable del tratamiento. Por ello, se difiere la posibilidad de sanción disciplinaria al SESPA cuando valore si existió legitimación para el acceso controvertido. Se solicitó tal prueba ya que el SESPA había indicado en sus alegaciones que difería las posibles actuaciones disciplinarias a que la Agencia estableciese si fue un tratamiento de datos legítimo. Si se produjo la situación alegada (participación en un proyecto de investigación) y se daban las circunstancias requeridas: participación en la investigación del paciente, se podría considerar legítimo el tratamiento. El SESPA no contestó la solicitud de prueba requerida, pero tras la valoración de la justificación sanitaria indicada por el Dr. B.B.B., podrá sancionar o no al citado facultativo. En cuanto a las medidas de seguridad y protocolos de acceso a la historia clínica, nada indica que el SESPA no los tenga implantados y audite los accesos a las historias clínicas, bien sin la existencia de reclamaciones o porque se presente alguna concreta sobre posibles accesos indebidos. Las auditorías serán a posteriori, sin perjuicio de tener establecidos perfiles de acceso a los usuarios de la aplicación de historias clínicas. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 30 de septiembre de 2020, en el procedimiento sancionador PS/00468/2019. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100519 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es