TD-01510-2015

1/8 Procedimiento Nº: TD/01510/2015 RESOLUCIÓN Nº.: R/00188/2016 Vista la reclamación formulada por D. A.A.A., contra AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, con fecha de entrada en esta Agencia de 20 de agosto de 2015, por no haber sido atendido debidamente su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en lo sucesivo, el reclamante) remitió un escrito a AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS (en lo sucesivo, la AEMPS), solicitando el acceso a sus datos personales, indicando que generó una enfermedad, secundaria a un determinado medicamento, reacción adversa notificada y registrado en FEDRA. Desde el organismo le indicaron que, en cuanto a su solicitud de acceso a sus datos en el fichero FEDRA, «De acuerdo con lo previsto en el Real Decreto 577/2013, de 26 de julio, por el que se regula la farmacovigilancia de medicamentos de uso humano, corresponde a la Agencia Española de Medicamentos y Productos Sanitarios (en adelante, la Agencia), administrar la base de datos FEDRA. A su vez, la Orden de 21 de julio de 1994, por la que se regulan los ficheros con datos de carácter personal gestionados por el Ministerio de Sanidad y Consumo (actual Ministerio de Sanidad, Servicios Sociales e Igualdad), según su última modificación a través de la Orden SSI/2443/2014, de 17 de diciembre, señala como responsable del fichero al Departamento de Medicamentos de Uso Humano de la Agencia. Por su parte, la Ley Orgánica 15/1999, de 13 de enero, de Protección de Datos de Carácter Personal, señala en su artículo 15 que: “El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal (….)”, y no a la totalidad de los ficheros como usted solicita en su escrito. Al respecto, le informamos que los campos con datos de carácter personal que forman parte de la base de datos FEDRA son los relacionados en la citada Orden SSI/2443/2014, de 17 de diciembre, entre los que figuran distintos datos del paciente, y sobre los cuales, usted podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición, de acuerdo con lo previsto en la citada Ley Orgánica 15/1999, de 13 de enero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Sin embargo, aunque figuran entre dichos campos de datos de carácter personal algunos relativos a la reacción adversa concreta, como son: la edad inicio de la reacción, o los antecedentes médicos y farmacológicos relevantes del paciente, no figura en dicha relación de campos el seguimiento de esa declaración de reacción adversa cuya elaboración usted solicita, dado que, precisamente ese control y seguimiento de las sospechas de reacciones adversas asociadas a medicamentos de uso humano constituye la propia finalidad de la base de datos FEDRA, de forma que los Centros Autonómicos de Farmacovigilancia, además de la propia Agencia como administradora de la misma, puedan llevar a cabo su tarea principal que es el generar nuevas señales de problemas de seguridad de los medicamentos. Además y con carácter informativo le comunico que la farmacovigilancia es una actividad de salud pública que tiene por objetivo la identificación, cuantificación, evaluación y prevención de los riesgos asociados al uso de los medicamentos una vez autorizados. Para ello, una parte de los datos obtenidos, en este caso procedentes de estos sistemas de notificación espontánea de sospechas de reacción adversa (RA), solo pueden interpretarse dentro de un contexto más global y por personas expertas en el manejo de dicha información. Estos sistemas están concebidos para generar hipótesis de asociación entre un medicamento y una sospecha de RA (una señal) y, normalmente, no son útiles para hacer una cuantificación del riesgo ni para hacer comparaciones cuantitativas entre diferentes medicamentos. (…) En consecuencia, y a la vista de lo hasta aquí expuesto, en relación con sus datos personales que figuran en la base de datos FEDRA, usted únicamente podrá ejercer su derecho de acceso, rectificación, cancelación y oposición, de acuerdo con lo previsto en la Ley Orgánica 15/1999, de 13 de enero, a aquellos campos correspondientes al paciente relacionados en la citada Orden SSI/2443/2014, de 17 de diciembre, y no al fichero solicitado. Por otro lado, debemos incidir en el hecho de que, según establece el artículo 22 del Real Decreto 477/2013, de 26 de julio, la previsión de proporcionar información a los profesionales sanitarios y a los ciudadanos sobre los riesgos de los medicamentos se realizará por la Agencia y por las comunidades autónomas, en forma apropiada. Al respecto, esta puesta a disposición pública se prevé que se realice mediante la publicación de datos tabulados y estandarizados, y no mediante un sistema de petición individual, como el que nos ocupa. En último término, le comunicamos que, de acuerdo con la legislación vigente sobre transparencia, Ley 19/2013, de 9 de diciembre, y concretamente su artículo 14.1.g), el derecho de acceso a la información puede ser denegado cuando suponga un perjuicio para “Las funciones administrativas de vigilancia, inspección y control’, como sería el caso concreto de la farmacovigilancia que ahora nos ocupa. (…)» SEGUNDO: Con fecha 20 de agosto de 2015 tuvo entrada en esta Agencia reclamación contra la AEMPS por no haber sido debidamente atendido su derecho de acceso al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 fichero FEDRA. TERCERO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  La AEMPS señaló que los motivos que condujeron a denegar el acceso del reclamante se encuentran recogidos en la contestación aportada por el propio interesado. Asimismo, hacen las siguientes puntualizaciones: «La Orden SSI/2443/2014, de 17 de diciembre, por la que se modifica la Orden de 21 de julio de 1994, por la que se regulan los ficheros con datos de carácter personal gestionados por el Ministerio de Sanidad y Consumo, regula en el Anexo II el fichero denominado FEDRA HUMANA (Farmacovigilancia Española, Datos de Reacciones Adversas). De acuerdo con lo dispuesto en la citada orden el fichero FEDRA tiene como finalidad el “Control y seguimiento de las sospechas de reacciones adversas asociadas a medicamentos de uso humano”. Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos, son aquellas personas que hayan sufrido alguna reacción adversa como consecuencia del uso de medicamentos de uso humano. De este modo, FEDRA contiene las sospechas de reacciones adversas de medicamentos ocurridas en España, remitidas por los profesionales sanitarios, los ciudadanos o las industrias farmacéuticas, en los términos que se especifican en el artículo 53 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, a través de la Agencia y los órganos competentes en materia de farmacovigilancia de cada comunidad autónoma, según se especifica en el Real Decreto 577/2013, de 26 de julio, por el que se regula la farmacovigilancia de medicamentos de uso humano. La tarea principal de la Agencia, como administradora de la base de datos FEDRA junto con los Centros Autonómicos de Farmacovigilancia, es evaluar el conjunto de los casos de sospechas de reacciones adversas para generar nuevas señales de problemas de seguridad de los medicamentos a partir de las notificaciones remitidas por los profesionales sanitarios, los ciudadanos o las industrias farmacéuticas. Teniendo en cuenta dicha tarea, los datos que aparecen reflejados en FEDRA son objeto de un procesamiento de tal forma que no es posible identificar los datos personales concretos de las personas que hayan sufrido alguna reacción adversa como consecuencia del uso de medicamentos de uso humano, si no tan sólo los datos generales correspondientes a dichas reacciones. (…)”» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Por ello, con fecha 18 de agosto de 2015, la AEMPS facilitó al reclamante “Acceso al fichero público FEDRA cuya función es el control y seguimiento de las sospechas de reacciones adversas registradas por el medicamento (…)” suministrándole los datos generales correspondientes a reacciones adversas notificadas a FEDRA por distintas personas como consecuencia del uso de medicamentos pero sin personalizar.  El reclamante aporta copia de la Orden de regulación de los ficheros con datos de carácter personal gestionados por el Ministerio de Sanidad y Consumo, publicada en el Boletín Oficial del Estado de 25 de diciembre de 2014, en la que en la estructura básica del fichero Fedra, aparecen como Campos, los datos del notificador (entre otros, nombre y apellidos, dirección, código postal, …). Además, aporta copia de la resolución emitida por el Consejo de Transparencia y Buen Gobierno a su reclamación al amparo del artículo 24 de la Ley 19/2013, de 9 de diciembre, de Transparencia, acceso a la información pública y buen gobierno. En dicha resolución, se indica, en resumen, que «(…) según se desprende de la información sobre FEDRA y la notificación electrónica de RAMs la información obligatoria que se exigen es la identificación del notificador (nombre, apellidos, sexo y edad), el nombre del medicamento, el nombre de otra medicación que haya podido tomar simultáneamente, una valoración de las reacciones sufridas y los síntomas padecidos. Estos son los datos, como decimos, obligatorios para realizar la notificación electrónica de una RAM, por lo que cualquier otro campo de la base de datos, en concreto, la fecha en la que se produjo la reacción por la que se interesa el solicitante, tiene carácter voluntario y, por lo tanto, no puede presuponerse que esté cumplimentado. Asimismo, debe indicarse que, en la respuesta inicial proporcionada a la solicitud se indica específicamente que “los datos de notificaciones son codificados e introducidos en la base de datos manteniendo la confidencialidad tanto del paciente como del notificador”(…)» FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD dispone que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del RLOPD regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del RLOPD dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". SÉPTIMO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 solicitó el acceso a sus datos personales en el fichero FEDRA. La AEMPS le contestó que, en síntesis, que en relación con los datos personales el reclamante únicamente podrá ejercer sus derechos a aquellos campos correspondientes al paciente relacionados en la Orden SSI/2443/2014, citada anteriormente, y no al fichero solicitado. Asimismo, inciden en el hecho de que, según el RD/477/2013, la previsión de proporcionar información a los profesionales sanitarios y a los ciudadanos sobre los riesgos de los medicamentos se realizará por la Agencia y por las comunidades autónomas, en forma apropiada. Al respecto, esta puesta a disposición pública se prevé que se realice mediante la publicación de datos tabulados y estandarizados, y no mediante un sistema de petición individual. Durante la tramitación del presente procedimiento, la AEMPS ha reiterado sus argumentos y puntualiza que el fichero FEDRA tiene como finalidad el control y seguimiento de las sospechas de reacciones adversas asociadas a medicamentos de uso humano, por lo que el citado fichero contiene las sospechas de reacciones adversas de medicamentos ocurridas en España, remitidas por los profesionales sanitarios, los ciudadanos o las industrias farmacéuticas. La tarea principal de la AEMPS es evaluar el conjunto de casos de sospechas de reacciones adversas para generar nuevas señales de problemas de seguridad de los medicamentos a partir de las notificaciones remitidas por los profesionales sanitarios, los ciudadanos o las industrias farmacéuticas. Teniendo en cuenta dicha tarea, los datos que aparecen reflejados en FEDRA son objeto de un procesamiento de tal forma que no es posible identificar los datos personales concretos de las personas que hayan sufrido alguna reacción adversa como consecuencia del uso de medicamentos de uso humano, sino tan sólo los datos generales correspondientes a dichas reacciones. Por ello, con fecha 18 de agosto de 2015, la Agencia del Medicamento facilitó al reclamante “Acceso al fichero público FEDRA cuya función es el control y seguimiento de las sospechas de reacciones adversas registradas por el medicamento (…)” suministrándole los datos generales correspondientes a reacciones adversas notificadas a FEDRA por distintas personas como consecuencia del uso de medicamentos pero sin personalizar. No obstante, hay que tener en consideración la Resolución del Consejo de Transparencia y Buen Gobierno, estimando la reclamación de D. A.A.A., en el sentido de que se le faciliten sus datos en la medida que le hagan identificables. De esta forma, si se notificó una reacción adversa al tratamiento tomado por el reclamante en la que consten iniciales, fecha de nacimiento, Comunidad Autónoma en la que es tratado, etc., se le informe de ello. En el caso de que la reacción comunicada no haga identificable al reclamante, se le conteste en ese sentido. Por todo ello procede estimar la reclamación que originó el presente procedimiento de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se facilite el acceso a sus datos, o deniegue motivada y fundamentadamente el acceso solicitado, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es