Cumplir los aspectos formales que requiere la Ley Orgánica de Protección de Datos (LOPD), también tiene ventajas cuando un trabajador de una empresa actúa con mala fe, tal como podemos ver en un procedimiento de Inspección realizado por la Agencia de Protección de datos, Procedimiento nº PS / 00146/2010.
El asunto se inició al recibir en la Agencia Española de Protección de Datos (AEPD) un escrito del Instituto Nacional de Seguridad Social de Sevilla, adjuntando documentación médica encontrada en la entrada del Centro de Atención e Información de la Seguridad Social de dicha localidad, junto a acta de comparecencia firmada por el director y otros dos funcionarios de dicho centro. En el exterior de los mismos aparecía el nombre de la entidad denunciada y en el margen superior derecho figuran los apellidos y nombre de distintas personas. Dichos sobres contenían diversa documentación de carácter médico.
Respecto al cumplimiento de la Entidad en materia de protección de datos, se pudo verificar por parte de los Inspectores de la Agencia que en sus instalaciones existían las siguientes medidas de seguridad:
- Se mostró a los inspectores esta documentación: Informe de Auditoria, Actas de establecimiento del deber de secreto, de las que hay un total de 28, Documento de designación del responsable de seguridad, Documento de Seguridad, del que se recaba copia del índice.
- Los historiales clínicos en soporte papel se encuentran almacenados en una habitación cerrada con llave, que custodia únicamente el responsable del archivo. Cualquier solicitud de historia clínica debe hacerse al responsable del archivo, que abre la habitación en la que se almacena esta documentación, permitiendo el acceso a la misma al solicitante. Encontrada la historia clínica en su archivador correspondiente, es retirada de éste por el solicitante. Solamente tiene acceso a la documentación almacenada en el archivo al personal médico sujeto al secreto profesional, quien lo custodia hasta el retorno al archivo.
La empresa denunciada también afirmó que “El hecho de que hayan sido arrojadas en el lugar en que han aparecido, implica la voluntad de causar daño a la entidad por parte de quien haya realizado esta acción, ya que no se ha autorizado ninguna salida de documentos ni se ha realizado ningún traslado de documentos”. Señala también a un médico concreto como posible responsable de la fuga de información, a quien afirma su intención de denunciar por la vía penal.
Tras revisar la documentación aportada, la AEPD deduce que no procede apreciar culpabilidad en la entidad denunciada, sobre el supuesto que no adoptó las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Sin que de los hechos se derive una falta de diligencia en la custodia de dicha información, especialmente sensible pues contenía datos de salud. Tales medidas estaban implementadas, no siendo procedente declararla responsable del hecho unas historias clínicas hayan salido del ámbito de la entidad apareciendo en la vía pública, cuando presuntamente ha existido una intervención activa de un tercero (En este caso sólo el personal médico sujeto al secreto profesional puede tener acceso a las historias clínicas almacenadas en el archivo), lo que en base al principio de presunción de inocencia permite exonerar la responsabilidad de la denunciada .
