Source: http://www.madrid.org/cs/Satellite?c=CM_FAQ_FP&cid=1142671879520&idRevistaElegida=1142671880286&language=es&pagename=RevistaDatosPersonales%2FPage%2Fhome_RDP&siteName=RevistaDatosPersonales
Timestamp: 2013-05-23 17:37:19+00:00

Document:
CUESTIONES PRÁCTICAS (FAQS) - madrid.org - Nº 55 29 febrero 2012 - datospersonales.org
Inclusión en ficheros de morosos por impago de servicios telefónicos no contratados.
Revisando las recientes resoluciones sancionadoras de la AGPD, hemos detectado que una gran mayoría de las mismas resultan impuestas a operadores telefónicos. Los hechos implican la inclusión de los datos personales del supuesto deudor en los ficheros de morosos, y se producen como consecuencia del impago de servicios telefónicos, supuestamente contratados por particulares por medio del teléfono, sin la aplicación de las garantías legales adecuadas.Por tal motivo creemos conveniente realizar una serie de recomendaciones encaminadas a evitar que se produzca esta situación.
- Hemos detectado que existen un gran número de contrataciones fraudulentas, efectuadas telefónicamente, por persona distinta del titular de los datos. Ante cualquier indicio de que se está produciendo esta circunstancia recomendamos denunciar ante la autoridad competente.
- La contratación telefónica es un método valido y admitido en derecho, si se hace con las garantías adecuadas. Entre estas garantías será necesario que en el contrato se establezca la aceptación de todas y cada una de las cláusulas del contrato. Posteriormente se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma. Por norma general las operadoras telefónicas están respondiendo que las grabaciones de los contratos no están disponibles en sus ficheros, y no envían posteriormente la justificación de la celebración del contrato. Motivo más que suficiente para que se entienda que el contrato no se ha celebrado.
- La información que trate la operadora telefónica deberá ser exacta y puesta al día, debiendo la operadora implantar los mecanismos necesarios para contrastar los datos que se están transmitiendo telefónicamente. Cualquier comunicación efectuada por el verdadero titular de los datos indicando la suplantación de su personalidad, podría ser indicadora de que los datos que tratan pudieran ser incorrectos. A esta comunicación se debería adjuntar la denuncia que previamente hemos interpuesto.
- Para la inclusión de los datos de impago en los registros o ficheros de impagados se exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada, por tal circunstancia una deuda en la que quede pendiente dilucidar la celebración del correspondiente contrato no es exigible, hasta la comprobación de la veracidad de los hechos, es decir su certeza.
- También se exige que el acreedor haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión. Requerimiento que debe quedar acreditado necesariamente.
- Además se debe probar que se ha informado previamente de que en caso de impago, se procedería a la inscripción en este tipo de ficheros
- Y por último, si se cumplen todos los requisitos anteriores, el responsable del fichero de morosos, debe notificar a la persona que va a ser incluida en el fichero, con anterioridad, de su inclusión, para que pueda defender su posición. Esta circunstancia también es “olvidada”, en infinidad de ocasiones.
Por jubilación del medico titular de una consulta privada se pretende el traspaso del misma a una nueva dirección facultativa. ¿Qué obligaciones existen desde el punto de vista de protección de datos para poder llevar a cabo este traspaso?.
En relación a la consulta planteada, encontrándonos dentro del ámbito de la sanidad privada, hemos de atender a uno de los principios generales que establece la normativa de protección de datos, como es el consentimiento de los titulares de las historias clínicas.
En este sentido, como el traspaso pretendido implicará un cambio en la persona del Responsable del Fichero (“Art.3.d LOPD: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”), será necesaria la información previa a cada uno de los pacientes de este extremo así como el sometimiento a su consentimiento expreso de esta cesión de información. Así, el artículo 7.3 de la LOPD dispone que “los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectadoconsienta expresamente”.
Así, deberá remitirse un comunicado a cada de uno de los pacientes en los que se informe del traspaso de la consulta pretendido, poniendo a disposición de los mismos sus respectivas historias clínicas, salvo que consientan de forma expresa la asunción y/o continuación de la asistencia medica por parte de la nueva dirección facultativa. Igualmente, deberá indicarse en dicho comunicado cual será el mecanismo para tramitar el consentimiento por parte de los pacientes o sus representantes legales (ej: devolución firmada de la carta recibida).
Esta obligación de consentimiento expreso impide la utilización de formulas generales tales como: “si no ha devuelto la carta firmada en los 30 días siguientes a su recepción se entenderá que usted consiente el tratamiento de datos por parte de la nueva dirección facultativa”. Ello constituiría un consentimiento no expreso tal y como se recoge en el Art. 14 del Real Decreto 1720/2007 de Protección de Datos: “1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal.” Así, como se ha indicado anteriormente, el art. 7.3 de la LOPD (vid. supra) establece la necesidad de recabar el consentimiento expreso, y no tácito, para el tratamiento o cesión de los datos relativos a la salud de las personas.
Por todo ello, deberá dirigirse un documento de consentimiento a cada uno de sus titulares informando del cambio de titularidad de la consulta medica, poniendo a su disposición sus respectivos historiales clínicos para el caso de no consentir la cesión de los mismos a la nueva dirección facultativa, debiendo indicarse expresamente, la obligación de contestar en un sentido u en otro (consiento o no consiento). Para el caso de que no se reciba la oportuna contestación, deberá informarse que los historiales clínicos se mantendrán debidamente bloqueados, restringiendo cualquier tipo de acceso a los mismos por parte de la nueva dirección.
Procedimiento de disociación de datos personales
De acuerdo con lo dispuesto en el artículo 3 f) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), el “procedimiento de disociación” de los datos personales será “todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable”.
En este mismo sentido, el artículo 5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se desarrolla la LOPD, establece en su apartado p) que el Procedimiento de disociación será “todo tratamiento de datos personales que permita la obtención de datos disociados”, siendo el apartado e) de este Real Decreto el que concreta que es un dato disociado “aquél que no permite la identificación de un afectado o interesado”.
En base a lo anterior y de cara a implantar un procedimiento de disociación, será importante prestar atención a la definición recogida en el art. 3.a) de la LOPD, conforme a la cual, no solo quedará sujeto a esta Norma el tratamiento de información concerniente a personas identificadas, sino también, el tratamiento de información relativo a personas identificables.
Cuando dicha norma hace referencia a información concerniente a personas identificables, está refiriéndose a supuestos en que si bien, en primer término, no sería posible identificar a la persona a la que se refiere dicha información, sin embargo, en base al tratamiento efectuado por el responsable del fichero, por la asociación de esa información con datos identificativos o por la propia naturaleza de dichos datos, sí que sería posible conocer a quien se refiere dicha información.
En este sentido, la Memoria de 2000 de la Agencia Española de Protección de Datos (en adelante, AEPD) (página 389) recoge que: “para que un procedimiento de disociación pueda ser considerado suficiente a los efectos de la Ley Orgánica 15/1999, será necesario que de la aplicación de dicho procedimiento resulte imposible identificar un determinado dato con su sujeto determinado.”
Así mismo, la AEPD establece en su Informe Jurídico 0283/2008 que “para que un procedimiento de disociación pueda ser considerado suficiente a los efectos de la Ley Orgánica 15/1999, será necesario que de la aplicación de dicho procedimiento resulte imposible asociar un determinado dato con un sujeto determinado. En este sentido, las disposiciones internacionales reguladoras de la protección de datos de carácter personal vienen a considerar que el afectado no será determinable cuando su identificación exija un esfuerzo desproporcionado que sea suficiente para disuadir a quien accede al dato de la identificación de la persona a la que el mismo se refiere”
En consecuencia, para que un procedimiento de disociación resulte efectivo, hay que tener en cuenta que el resultado del mismo debe ser que sea imposible identificar por ningún medio a una persona física concreta una vez los datos se hayan disociados, haciendo uso de esfuerzos proporcionados.
Por lo tanto, a la vista de lo estipulado en la LOPD y la interpretación de la AEPD, en un procedimiento de disociación se habrán de segregar o separar todos aquellos datos personales que hagan identificables a personas físicas concretas.

References: artículo 7
 Real Decreto 
 artículo 3
 artículo 5
 Real Decreto 
 Real Decreto