{"id":11361,"date":"2016-02-17T13:11:59","date_gmt":"2016-02-17T11:11:59","guid":{"rendered":"https:\/\/blogs.imf-formacion.com\/blog\/corporativo\/?p=11361"},"modified":"2020-06-22T13:44:49","modified_gmt":"2020-06-22T11:44:49","slug":"aedp-sanciona-centros-sanitarios-vuneracion-privacidad-pacientes","status":"publish","type":"post","link":"https:\/\/blogs.imf-formacion.com\/blog\/corporativo\/seguridad-de-la-informacion\/aedp-sanciona-centros-sanitarios-vuneracion-privacidad-pacientes\/","title":{"rendered":"AEDP sanciona dos centros sanitarios por comunicar los datos de pacientes"},"content":{"rendered":"
<\/p>\n
Conforme ya informamos en su momento la asociaci\u00f3n FACUA – Consumidores en Acci\u00f3n en agosto de 2014 denunci\u00f3 la posible infracci\u00f3n de la normativa de protecci\u00f3n de datos cometida por el Hospital Virgen de la Luz de Cuenca al ceder datos de sus pacientes a la cl\u00ednica privada<\/strong> de la misma ciudad que contactaba a los pacientes en su nombre sin el consentimiento de estos para ofrecerles sus servicios.<\/p>\n
Una vez finalizada la investigaci\u00f3n, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD), en su reciente resoluci\u00f3n, ha confirmado que exist\u00eda la cesi\u00f3n de datos personales e historiales m\u00e9dicos <\/strong>de los pacientes del servicio de Neurofisiolog\u00eda del hospital conquense a la cl\u00ednica privada Recoletas. No obstante al existir entre ambas un convenio de colaboraci\u00f3n, seg\u00fan la AEPD, no se cometi\u00f3 ninguna infracci\u00f3n por comunicaci\u00f3n no consentida. Desafortunadamente, desconocemos si en este convenio se autorizaba a la cl\u00ednica a contactar a los pacientes para ofrecer sus servicios\u2026 No obstante, la AEPD ha detectado que en el traspaso de estos datos el hospital no ha adoptado las adecuadas medidas de seguridad correspondientes a datos especialmente protegidos, como por ejemplo cifrado de la informaci\u00f3n. Conforme al art\u00edculo 104 del Reglamento de desarrollo de la Ley Org\u00e1nica de Protecci\u00f3n de Datos aprobado por RD 1720\/2007: \u201cla transmisi\u00f3n de datos de car\u00e1cter personal a trav\u00e9s de redes p\u00fablicas o redes inal\u00e1mbricas de comunicaciones electr\u00f3nicas se realizar\u00e1 cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la informaci\u00f3n no sea inteligible ni manipulada por terceros\u201d.<\/p>\n
A pesar de esta fragrante infracci\u00f3n, al tratarse de un centro p\u00fablico y estar por tanto acogido al r\u00e9gimen disciplinario de las Administraciones P\u00fablicas, no se ha impuesto ninguna sanci\u00f3n de car\u00e1cter econ\u00f3mico al hospital.<\/p>\n
Sin embargo, por ser ente privado, se ha sancionado a la cl\u00ednica Recoletas con una multa de 40.001 euros <\/strong>por haber subcontratado al Centro de Estudios Neurol\u00f3gicos Varela de Seijas para realizar una de las pruebas diagn\u00f3sticas sin la autorizaci\u00f3n del Hospital Virgen de la Luz y haber cedido los datos de los pacientes sin protegerlos con cifrado. En su resoluci\u00f3n ha constatado que la cesi\u00f3n de los datos \u201cse efectu\u00f3 sin la concurrencia de una habilitaci\u00f3n legal que as\u00ed lo dispusiera y sin haber obtenido tampoco el consentimiento expreso de las personas afectadas por dicha cesi\u00f3n\u201d infringiendo el art\u00edculo 11.1 de la Ley Org\u00e1nica 15\/1999 de Protecci\u00f3n de Datos de car\u00e1cter Personal (LOPD) que dispone que \u201clos datos de car\u00e1cter personal objeto del tratamiento s\u00f3lo podr\u00e1n ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones leg\u00edtimas del cedente y del cesionario con el previo consentimiento del interesado\u201d.<\/p>\n
Adem\u00e1s, la AEPD ha podido comprobar que ambos centros privados intercambiaron la informaci\u00f3n cl\u00ednica de los pacientes del Hospital Virgen de la Luz \u201csin el consentimiento de \u00e9ste y sin tomar las medidas de seguridad requeridas para la protecci\u00f3n de estos datos especialmente protegidos por la legislaci\u00f3n\u201d lo que ha supuesto la infracci\u00f3n del art\u00edculo 9 de la LOPD en concurrencia del art\u00edculo 104 del RLOPD.<\/p>\n
A pesar de tratarse de infracciones muy graves sancionadas de 300.000 a 600.000 euros conforme lo dispuesto en la LOPD, la Agencia ha disminuido considerablemente la sanci\u00f3n impuesta a la cl\u00ednica Recoletas, consider\u00e1ndola como grave e imponiendo la multa en su margen m\u00ednimo de 40.001 euros.<\/p>\n
Esa resoluci\u00f3n no ha satisfecho a la asociaci\u00f3n de consumidores FACUA que denunci\u00f3 los hechos y considera insuficiente rebajar la sanci\u00f3n de muy grave a grave porque, en sus alegaciones, la cl\u00ednica haya admitido su culpabilidad, reivindicando que las sanciones deben ser \u201cproporcionales a la irregularidad cometida\u201d.<\/p>\n
![\"AEPD,](\"https:\/\/blogs.imf-formacion.com\/blog\/corporativo\/wp-content\/uploads\/2016\/02\/aepd-privacidad.jpg\")
<\/p>\n![\"Karol](\"https:\/\/blogs.imf-formacion.com\/blog\/corporativo\/wp-content\/uploads\/2016\/02\/Karol-Sedkowski.jpg\")
<\/a><\/p>\n