Source: http://www.asesoriayempresas.es/jurisprudencia/JURIDICO/47485/sentencia-an-de-26-de-noviembre-de-2008-proteccion-de-datos-de-caracter-personal-datos-sanitario
Timestamp: 2017-12-13 18:49:45
Document Index: 333446897

Matched Legal Cases: ['artículo 6', 'artículo 44', 'artículo 45', 'artículo 6', 'artículo 6', 'artículo 44', 'artículo 45', 'artículo 139']

Sentencia A.N. de 26 de noviembre de 2008. Protección de datos de carácter personal. Datos sanitarios. Deber de secreto - Portal Asesoría y Empresas Thomson Reuters
Inicio > Jurisprudencia > Resultados > Sentencia A.N. de 26 de noviembre de 2008. Protección de datos de carácter personal. Datos sanitarios. Deber de secreto
Sentencia A.N. de 26 de noviembre de 2008
Remisión de una carta de una doctora informando a un paciente que ha dejado de pasar consulta en una determinada clínica y ofreciéndole un nuevo domicilio de consulta. Los datos del paciente no se obtuvieron de los ficheros de datos de la citada clínica. El eje de la tutela de la protección de datos radica en el concepto de "tratamiento", los tratamientos que afecten a dichos datos solo quedan amparados por la Directiva 95/46 CE cuando estén automatizados o en un archivo estructurado a fin de poder acceder fácilmente a los datos de que se trate. A la vista de esta interpretación sobre qué debe entenderse por ficheros se concluye que la conducta de la recurrente no puede ser sancionada.
Primero.-Por la recurrente expresada se formuló recurso contencioso administrativo contra la resolución anteriormente mencionada, mediante escrito presentado el 10 de enero de 2008, habiéndose admitido a trámite por providencia de fecha 16 de enero del mismo año, con reclamación del expediente administrativo.
Segundo.-La parte actora formuló demanda mediante escrito presentado el 6 de mayo de 2008 en el que, tras alegar los hechos y fundamentos jurídicos que consideró oportunos, terminó suplicando que se dicte sentencia que anule la resolución recurrida, o subsidiariamente se reduzca la sanción a la cantidad de 600 €.
Tercero.-El Abogado del Estado en su escrito de contestación a la demanda de fecha de 2 de septiembre de 2008, tras alegar los hechos y fundamentos de derecho que consideró aplicables, postuló una sentencia por la que se desestime el recurso, confirmando la resolución impugnada por ser conforme a derecho.
Cuarto.-Las partes no solicitaron el recibimiento del pleito a prueba ni el trámite de vista con conclusiones, señalándose para votación y fallo el día 25 de noviembre de 2008, en el que se deliberó y fallo, habiéndose observado en la tramitación del recurso las prescripciones legales.
Ha sido ponente la Magistrada Ilma. Sra. Dª. Elisa Veiga Nicole, quien expresa el parecer de la Sala.
Primero.-Constituye el objeto del presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de la Protección de Datos de fecha 6 de noviembre de 2007 que desestimó el recurso de reposición interpuesto por doña Margarita contra la resolución de la citada Agencia de fecha 17 de septiembre 2007, dictada en el procedimiento sancionador PS/0087/2007, que imponía a la demandante una sanción de multa de 6.000 € por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3 .d), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley .
Segundo.-Se basa la resolución impugnada para apreciar dicha infracción, en los siguientes hechos probados
Primero: El 26 de septiembre de 2005, Doña Margarita remitió a Lidia una carta con el siguiente contenido: "Estimada paciente. Te comunico que desde junio no presto servicios médicos en la Clínica "Lope de Rueda S.L". Si tienes interés en ponerte en contacto conmigo [,] puedes hacerlo en el Centro Ginecológico de la Calle duque de sexto, 7, donde podré atenderte como hasta la fecha. Si no fuera así, por mi parte te agradezco la confianza que has depositado en mí durante todo este tiempo ....". En el sobre en el que se envió dicha carta figuraban el nombre y dos apellidos de la destinataria junto con su dirección completa "Carretera de San Jerónimo 14, ático H. 28 cero 14 Madrid" (folio 2 y 3).
Segundo: Doña Lidia aseguró que "en ningún momento" había autorizado ni facilitado sus datos de carácter personal "a la Doctora Margarita ." porque, añadía, los mismos "estaban [,] lógicamente[,] en poder de la Clínica Lope de Rueda S.L." de la cual, precisaba, "soy paciente" (folio 39).
Tercero: Doña Margarita . desempeñó su especialidad médica en ginecología en la Clínica "Lope de Rueda S.L" hasta junio de 2005 (folios 2, 9, 13 y 45).
Cuarto: Doña Margarita no tenía acceso desde el ordenador ubicado en su consulta en la Clínica al fichero que contenía los datos personales de las pacientes (folio 14).
Quinto: Doña Margarita sólo tenía acceso desde el ordenador ubicado en su consulta al fichero que contenía los datos de salud de las pacientes (folio 14).
Sexto: Los datos de carácter personal de las pacientes de la Clínica solo se registran en el ordenador situado en la Secretaría de la misma (folio 15).
Séptimo: No consta que Doña Lidia hubiera facilitado a Doña Margarita sus datos personales empleados por ésta para el envío de la comunicación que le remitió el 26 de septiembre de 2005.
Octavo: Hasta la fecha en que se realizaron las actuaciones previas de investigación La Clínica "Lope de Rueda", disponía de ficheros de datos de carácter personal de sus pacientes sin haber solicitado su inscripción en el Registro General de Protección de Datos (folio 14).
Noveno: La Clínica remitió a la Agencia Española de Protección de Datos el "Documento de Seguridad" implementado en el fichero "Pacientes" en el que únicamente se asignaba un nivel básico de seguridad a los datos de éstas, sin constar que se hubieran implementado las preceptivas medidas de protección de nivel alto para los datos relativos a la historia clínica de los pacientes (folio, 28 a 35 y 49).
Décimo: En el Registro General de Protección de Datos figura inscrito, desde el 28 de abril de 2006, a nombre de "Clínica Lope de Rueda S.L" el fichero denominado: "Gestclin", con la "Descripción: Tratamiento demográfico de los datos de los clientes". El domicilio que consta en dicho Registro es "Lope de Rueda,13. 28009 Madrid".
La citada resolución recoge que no consta prueba alguna que evidencie que doña Margarita dispusiera de los datos personales de doña Lidia por haberle sido facilitados por ella o con su consentimiento. En consecuencia la señora Margarita ha infringido el artículo 6.1 de la LOPD, al tratar los datos de carácter personal de doña Lidia, sin la concurrencia de su consentimiento, ni de las excepciones previstas en el artículo 6.2 de la citada ley, lo que supone una infracción tipificada en el artículo 44.3.d) de en la LOPD .
Tercero.-En la demanda se invoca como fundamento de la pretensión actora las siguientes razones: 1º) el acuerdo de iniciación del procedimiento sancionador de fecha 22 de marzo de 2007 no contiene la designación de instructor ni secretario, teniendo conocimiento de tal identidad sólo en fecha 18 de abril de 2007, no pudiendo proceder a conocer y denunciar las posibles causas de recusación en su momento; 2º) la recurrente no tenía acceso a los ficheros propiedad de la clínica por lo que los datos se pudieron haber obtenido de otros registros públicos, además no ha revelado datos que reúnan ningún elemento de privacidad o intimidad 3º) la única responsable de la custodia de los datos incluidos en el registro de la clínica es la dirección de la misma, por ello no puede imputarse a la Sra. Margarita ; 4º) debe aplicarse la presunción de inocencia o, subsidiariamente, el principio de proporcionalidad de forma que la cuantía de la sanción debe ser de 600 € en base al artículo 45 de la LOPD .
El Abogado del Estado aduce en la contestación a la demanda que la conducta de la recurrente incide en la vulneración del derecho la protección de datos personales por cuanto trató tales datos sin el consentimiento expreso o tácito de la afectada; es cierto que no se notificó la identidad de la instructora del procedimiento hasta el oficio de 18 de abril de 2007, cuando se inició un período de práctica de prueba, sin que la actora interpusiera recurso alguno, no habiéndose producido indefensión material. Por último, la Abogacía del Estado señala que la sanción impuesta es plenamente respetuosa con el principio de proporcionalidad.
Cuarto.-La parte actora esgrime como primer motivo de anulación de la resolución impugnada un defecto formal consistente en que el acuerdo de inicio del procedimiento sancionador de fecha 22 de marzo 2007 no contenía la designación de instructor.
Es doctrina reiterada del Tribunal Supremo que las infracciones procedimentales sólo producen la anulación del acto administrativo en el supuesto de que las mismas generen una disminución efectiva y real de las garantías de forma que puedan alterar la resolución de fondo. En otro caso, no es procedente la anulación del acto administrativo por omisión de un trámite preceptivo cuando, aun de haberse cumplido este trámite, se pueda prever razonablemente que el acto administrativo sería igual al que se pretende anular, o cuando la omisión de un trámite no causa indefensión al interesado, indefensión que no se produce cuando, a pesar de la omisión de aquél, el interesado ha tenido ocasión de alegar y probar a lo largo del procedimiento administrativo o en sede jurisdiccional lo que no pudo alegar o probar al omitirse dicho trámite.
En el presente caso la actora, pese a no contener el acuerdo de incoación del expediente sancionador la designación de instructor, tuvo conocimiento de la identidad del mismo en el oficio remitido el 18 de abril de 2007, cuando se iniciaba un período de práctica de pruebas. Es decir, que pudo, en tal momento y en su caso, esgrimir las posibles causas de recusación que considerase que concurrían, sin embargo no formuló recusación alguna. Asimismo pudo poner tales causas de manifiesto ante la Administración a lo largo de la tramitación del procedimiento, posteriormente en el recurso de reposición y asimismo en este procedimiento contencioso administrativo. La recurrente se limita a denunciar que no tuvo conocimiento de la identidad del instructor al momento de la incoación del expediente sancionador pero ni en vía administrativa ni en sede jurisdiccional ha puesto de manifiesto que ello le haya generado indefensión ni que, efectivamente, existiesen motivos para recusar a la instructora, por lo que debe desestimarse este motivo de impugnación pues no se ha producido un efectivo y real menoscabo del derecho de defensa generador de indefensión.
Quinto.-De los hechos declarados probados en la resolución impugnada resulta que doña Margarita no tenía acceso desde su ordenador ubicado en la consulta de la clínica a los ficheros que contenían los datos personales de las pacientes, de lo que debe concluirse, por tanto, que los datos de doña Lidia no consta que se hubiesen obtenido de los ficheros de datos personales de la citada clínica. También resulta probado que la única carta remitida por la recurrente a sus pacientes de la clínica "Lope de Rueda, S.L. fue a doña Lidia .
El derecho fundamental a la protección de datos de carácter personal, según jurisprudencia del Tribunal Constitucional, comprende un conjunto de derechos que el ciudadano puede ejercer de quienes sean titulares públicos o privados de ficheros de datos personales, partiendo del conocimiento de tales ficheros y de su contenido, uso y destino por el registro de los mismos. De suerte que es sobre dichos ficheros donde se proyectan en última instancia las medidas destinadas a la salvaguarda al derecho fundamental aquí considerado por parte de las Administraciones Públicas competentes.
El Tribunal Supremo en su reciente sentencia de 10 de octubre 2008, interpretando la Directiva 46/95, señala que todo el centro y eje de la tutela de la protección de datos y de la regulación de los mismos al "tratamiento", debe interpretarse teniendo en cuenta su 15 Considerando que recoge "los tratamientos que afecten a dichos datos sólo quedan amparados por la presente Directiva cuando estén automatizados, o cuando los datos a que se refieren se encuentren contenidos, o se destinen a encontrarse contenidos, en un archivo estructurado según criterios específicos relativos a las personas, a fin de que se pueda acceder fácilmente a los datos de carácter personal de que se trate". Así, añade el Tribunal Supremo, la propia Directiva 46/95 refiere el ámbito de la protección que regula al tratamiento del dato, y en relación tanto con los tratamientos automatizados como respecto a los que no lo estén, siempre que en este caso los datos obtenidos se destinen a encontrarse contenidos en un fichero, entendido éste como un archivo estructurado según criterios específicos relativos a las personas que permitan acceder fácilmente a los datos personales.
En atención a los hechos declarados probados y a la vista de la interpretación jurisprudencial sobre qué debe entenderse por ficheros, sólo cabe concluir que la conducta de la recurrente no puede ser sancionada, procediendo por ello la estimación del recurso.
Sexto.-De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional, no se aprecian motivos para una imposición de costas.
Estimar el recurso contencioso-administrativo interpuesto por doña Margarita, representada por la Procuradora doña Mercedes Romero González, contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 6 de noviembre 2007, dictada en el procedimiento sancionador 0087/2007, que desestimaba el recurso de reposición interpuesto contra resolución de la citada Agencia de fecha 17 de septiembre de 2007, resoluciones que anulamos por no ser conformes a derecho, con los efectos que se derivan de tal declaración; sin imposición de costas.