El reclamant va aportar documentació que acreditava la cessió i la conservació de dades personals de pacients, motiu pel qual va sol·licitar la intervenció de l’APDA. Un cop admesa a tràmit la reclamació es va obrir un expedient per a cada centre i durant la investigació es va demanar als dos centre implicats informació per aclarir les circumstàncies de la cessió i la conservació de la documentació clínica. Concretament, es va demanar informació sobre el circuit seguit en el traspàs de dades, les mesures tècniques i organitzatives aplicades, la base legal invocada, la informació facilitada als pacients i la localització actual de la documentació clínica. També es va requerir que expliquessin com havien respectat els principis generals de la protecció de dades i si havien garantit la integritat i la confidencialitat de la informació.
Finalment, l’APDA va constatar que els dos centres havien vulnerat diversos principis i obligacions en matèria de protecció de dades. En el cas del centre que va fer la cessió de la documentació, va cometre incompliments en relació amb la limitació de la finalitat, la licitud del tractament de dades especialment sensibles i la manca d’aplicació de mesures tècniques i organitzatives adequades.
En el cas del centre que va conservar temporalment les dades, es van identificar incompliments similars: manca de limitació de la finalitat, tractament de dades sensibles sense base legal suficient i absència d’informació als pacients sobre aquesta conservació.
Per tot plegat, es va concloure que s’havien infringit diversos articles de la llei de Protecció de Dades i es va resoldre sancionar-los. En el cas del centre que va fer la cessió de dades, atès que va cessar l’activitat, l’agència va imposar una amonestació pels incompliments detectats.
Pel que fa al centre que va conservar temporalment la documentació clínica, l’APDA també va imposar una amonestació i va requerir que, en un termini de quinze dies hàbils des de la fermesa de la resolució, aportés la documentació que acreditava l’adequació a la normativa. Concretament, la presentació de protocols sobre la gestió i el trasllat de documentació clínica que especifiquessin les mesures aplicades en cas de cessament d’un professional; mostres d’acords de corresponsabilitat o contractes amb els professionals sanitaris que exercien com a autònoms, identificant la relació establerta amb el centre, les funcions i responsabilitats de cadascú i la seva relació amb les persones interessades; exemples de la informació facilitada als pacients sobre el tractament de les seves dades personals.
Addicionalment, es va recomanar al centre revisar el sistema de seguretat física i actualitzar els Registres d’Activitat de Tractament per garantir un millor control sobre les dades personals.
Finalment, se’ls va recordar que l’incompliment de la resolució constitueix una infracció molt greu, que pot donar lloc a sancions econòmiques d’entre 30.001 i 100.000 euros.
Comentaris