FACUA denuncia a una clínica ante la AEPD por exponer datos personales de pacientes

FACUA-Consumidores en Acción ha denunciado a la clínica navarra Arcángel San Miguel ante la Agencia Española de Protección de Datos (AEPD) por exponer datos personales de sus pacientes a cualquier persona que acuda a su establecimiento.

La asociación, a través de su delegación territorial en Navarra, ha tenido conocimiento de que la clínica lleva a cabo el control de asistencia mediante la firma en un libro de registro expuesto en la sala de espera de su área de rehabilitación, dejando a la vista de cualquier persona que se encuentre en la estancia datos de carácter personal ( DNI, firma de los pacientes y un número que podría corresponder a sus expedientes médicos).

FACUA anima a todos los pacientes de la clínica que hayan podido ver vulnerada la protección de sus datos personales que denuncien. Pueden acudir a la asociación para que ejerza acciones en defensa de sus derechos.

En este sentido, el Reglamento Europeo 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, considera como datos personales relativos a la salud, entre otros, "información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria" y "todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios".

De igual forma, en su artículo 32, establece que los responsables del tratamiento deben aplicar medidas técnicas que incluyan, entre otras, "la seudonimización y el cifrado de datos personales" y "la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento".

Por otra parte, el artículo 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD) señala que "los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad".

Además, el artículo 28 de la citada ley recoge que los responsables y encargados del tratamiento deben determinar "las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable".

La LOPD, en su artículo 72 considera como infracción muy grave "la vulneración del deber de confidencialidad establecido en el artículo 5 de esta ley orgánica", mientras que el Reglamento Europeo indica que las sanciones podrán alcanzar los "20.000.000 euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía".

FACUA, por tanto, ha solicitado a la AEPD que realice las investigaciones que considere oportunas, inicie el correspondiente expediente sancionador contra la clínica Arcángel San Miguel y la inste a adoptar las medidas que sean necesarias para garantizar la protección de los datos personales de sus pacientes.