10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm.

PS 16/2020, referente al Instituto Catalán de la S

Page 1

PS 16/2020
Calle Rosselló, 214, esc. A, 1º 1ª
08008 Barcelona

Identificación del expediente

Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la Salud
(Hospital Universitario Vall d'Hebron).

antecedentes

1. En fecha 05/24/2019, tuvo entrada a la Autoridad Catalana de Protección de Datos un escrito

por el que una persona formulaba una denuncia contra el Hospital Universitario Vall d'Hebron (en
adelante, el HUVH) -dependiente del Instituto Catalán de la Salud-, con motivo de un presunto
incumplimiento de la normativa sobre protección de datos personales. En concreto, la persona
denunciando exponía lo siguiente:

- Que "el espacio físico en el que se realizan las densitometrías óseas en el Hospital Universitario de la
Vall d'Hebron carece de un aislamiento acústico adecuado. Los tabiques que separan la sala de
visitas de la consulta no llegan al techo. Esto significa que, desde la sala de espera, se
sienten las conversaciones entre el paciente y el personal sanitario que realiza la prueba ".
- Que el 05/16/2018 había presentado una reclamación a la Unidad de Atención al Cliente y Trabajo
Social del HUVH exponiendo esta situación.
- Que en fecha 06/13/2018 había recibido respuesta del Director Clínico Diagnóstico por la Imagen,
"En la que me da la razón sobre mi queja y reconoce que la referida instalación« no
cumple los requerimientos actuales (sic) de privacidad y de confortabilidad mínimo para los
pacientes ». En esta misma respuesta se me decía que «esperamos que próximamente podamos
mejorar las condiciones de los espacios para garantizar una mejor atención a los pacientes. Entre tanto,
intentaremos emprender medidas para minimizar las inadecuadas condiciones del Gabinete de
Densitometría y preservar, en la medida de lo posible, las condiciones de privacidad de las
entrevistas clínicas con los pacientes »".
- Que la situación denunciada aún persistía en fecha 03/18/2019, por lo que en aquella
fecha formuló ante el delegado de protección de datos una queja formal al respecto, la
que no había recibido respuesta.

2. La Autoridad abrió una fase de información previa (núm. IP 167/2019), de acuerdo con lo
previsto en el artículo 7 del Decreto 278/1993, de 9 de noviembre, sobre el procedimiento sancionador
https://translate.googleusercontent.com/translate_f 1/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S
de aplicación a los ámbitos de competencia de la Generalitat, y el artículo 55.2 de la Ley 39/2015, de 1
de octubre, del procedimiento administrativo común de las administraciones públicas (en
adelante, LPAC), para determinar si los hechos eran susceptibles de motivar la incoación de un
procedimiento sancionador, la identificación de la persona o personas que pudieran ser
responsables y las circunstancias relevantes que concurrían.

3. En el seno de esta fase de información, en fecha 02/07/2019 una inspectora de esta Autoridad
se personó en la sala de densitometría del HUVH, y pudo constatar lo siguiente:

Página 1 de 6

Page 2

PS 16/2020
Calle Rosselló, 214, esc. A, 1º 1ª
08008 Barcelona

a) Que en el Área de Medicina Nuclear del HUVH, a ambos lados de un pasillo, hay diferentes
puertas, accediendo a través de una de ellas -que está abierta al pasillo- en la sala de espera de
densitometría. La sala ocupa una superficie de unos 7-8 m2 aproximadamente, con 7 sillas,
donde permanecen las personas que esperan someterse a una densitometría.
b) Que en la pared opuesta a la de la entrada hay una puerta (de ahora en adelante PORTA1) por donde
son llamadas por el nombre y apellido los usuarios y donde se realizarían las pruebas.
c) Que la PORTA1 permanece permanentemente abierta durante el tiempo que esta inspectora se
encuentra presente en dicha sala, intervalo de tiempo en que entran 3 personas a hacerse las pruebas.
d) Que en permanecer la PORTA1 abierta, en ocasiones, y en función del volumen de voz utilizado, se
puede escuchar tanto las preguntas que realiza el personal sanitario como las respuestas que da
la persona usuaria, algunas de ellas relativas a antecedentes familiares de enfermedades
(Osteoporosis o fracturas de cadera) y también hábitos de vida de la persona usuaria.
e) Que la PORTA1 parece recientemente instalada, ya que no tiene ni siquiera cerradura para abrir o
cerrar. También se observa que sobre la puerta hay una placa de pladur que todavía no está
pintada, de lo que se infiere que es también de colocación reciente.

De esta actuación presencial se levantó el acta correspondiente, a la que se incorporaron las

imágenes tomadas por la instructora que dejaban constancia gráfica del explicitado en los apartados
precedentes.

4. En fecha 07/09/2019 se requirió el ICS para que informara sobre lo siguiente:

- Si el HUVH había hecho alguna actuación ante la queja formulada por la persona aquí
denunciando el mes de mayo de 2018, en relación a la falta de aislamiento de la sala de
densitometría. En caso de contestar afirmativamente, detallar las medidas adoptadas hasta el

https://translate.googleusercontent.com/translate_f 2/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S
día 02/07/2019, concretando la fecha aproximada en que se implementaron.
- Si el HUVH tiene previsto realizar en esta sala / servicio de densitometría alguna actuación a corto / medio
plazo. En caso de contestar afirmativamente, es necesario detallar las eventuales medidas y el calendario
previsto de realización de las mismas.

5. En fecha 07/15/2019, el ICS respondió el requerimiento anterior a través de escrito en el que

exponía lo siguiente:

- Que "el ICS ha resuelto la falta de aislamiento acústico del espacio físico en el que se realizan las
densitometrías óseas en el Hospital Universitario de la Vall d'Hebron. La solución elegida por
del ICS fue la de levantar el tabique existente hasta el cielo raso y la instalación de una puerta para acceder
los cambiadores. El tabique tiene tratamiento de insonorización con cámara de aire entre las dos
caras llenada de lana de roca. Con la puerta cerrada el ICS ha conseguido reducir de forma
significativa el sonido proveniente de la consulta hacia la sala de espera. Estos trabajos las va
ejecutar el pasado Viernes, 06/28/2019, quedando pendiente la instalación de la cerradura de puerta y
la pintura del espacio. La cerradura del ICS lo instaló viernes día 05/07/2019 y los trabajos de
pintura quedan pendientes de realizar "

Página 2 de 6

Page 3

PS 16/2020
Calle Rosselló, 214, esc. A, 1º 1ª
08008 Barcelona

- Que "desde la Dirección de Infraestructuras no tienen previsto ejecutar ninguna medida más aparte
de terminar los trabajos de pintura en la sala de espera que están previstos para ejecutar durante
este mes de julio ".

6. En fecha 2/06/2020, la directora de la Autoridad Catalana de Protección de Datos acordó

iniciar un procedimiento sancionador contra el HUVH por la presunta infracción prevista en el artículo
83.4.a), en relación al artículo 32; ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo, de 27 de abril, relativo a la protección de las personas físicas con respecto al tratamiento
de datos personales ya la libre circulación de estos (en adelante, RGPD). este acuerdo
de iniciación se notificó a la entidad imputada en fecha 06/12/2020.

En el acuerdo de iniciación se concedía a la entidad imputada un plazo de 10 días hábiles, contados a

partir del día siguiente de la notificación, para formular alegaciones y proponer la práctica de pruebas
que considerara convenientes para defender sus intereses.

El plazo se ha superado con creces y no se han presentado alegaciones.

https://translate.googleusercontent.com/translate_f 3/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S

hechos probados

A partir del conjunto de las actuaciones practicadas en este procedimiento, se consideran como
hechos probados los siguientes.

1.- El Área de Medicina Nuclear del Hospital Universitario Vall d'Hebron dispone de una sala donde
permanecen las personas que esperan para ser sometidas a una prueba de densitometría, y que se
contigua al habitáculo donde se realizan dichas pruebas. Este habitáculo, hasta el
05/07/2019, no reunía las medidas adecuadas de aislamiento acústico, ya que no se impedía que
terceras personas no autorizadas -aquellas que permanecían en la sala de espera contigua-
accedieran al contenido de las conversaciones mantenidas entre el personal sanitario y el / la paciente.

Según las comprobaciones llevadas a cabo en el acto de inspección presencial efectuado el

02.07.2019, en la mencionada sala de espera se podía escuchar, dependiendo del volumen de voz utilizado,
la conversación mantenida en el habitáculo contiguo entre el personal sanitario y la persona usuaria;
conversación que, tal como se pudo constatar la persona inspectora, podía revelar datos
relativas a la salud personal y familiar de la persona usuaria -antecedente 3º-).

2.- Por otra parte, las personas que permanecen en la sala de espera, cuando llega su turno, son
llamadas por su nombre y apellido.

Fundamentos de derecho

1. Son de aplicación a este procedimiento lo que prevén el LPAC, y el artículo 15 del Decreto
278/1993, según lo previsto en la DT 2ª de la Ley 32/2010, de 1 de octubre, de la Autoridad
Catalana de Protección de Datos. De conformidad con los artículos 5 y 8 de la Ley 32/2010, la

Página 3 de 6

Page 4

PS 16/2020
Calle Rosselló, 214, esc. A, 1º 1ª
08008 Barcelona

resolución del procedimiento sancionador corresponde a la directora de la Autoridad Catalana de

Protección de Datos.

2. De acuerdo con el artículo 64.2.f) del LPAC y de conformidad con lo indicado en el acuerdo
de iniciación de este procedimiento, procede dictar esta resolución sin una propuesta de
resolución previa, dado que la entidad imputada no ha formulado alegaciones al acuerdo de iniciación.
Este acuerdo contenía un pronunciamiento preciso acerca de la responsabilidad imputada.

https://translate.googleusercontent.com/translate_f 4/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S

3. En relación con los hechos descritos en el apartado de hechos probados, hay que acudir al artículo 5.1.f) de
el RGPD, que regula el principio de integridad y de confidencialidad determinando que los datos
personales serán "Tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el Tratamiento no Autorizado o ilícita y contra super
Perdido, destrucción o Daño accidental, mediante la aplicació de Medidas técnicas u
organizativas apropiadas ".

Por su parte, el artículo 32.1 del RGPD, referente a la seguridad de los datos, dispone el
siguiente:

"1. Teniéndo en Cuenta el estado de la técnica, los costas de aplicació, y la

naturaleza, el alcance, el contexto y los finas del Tratamiento, así como Riesgos
de Probabilidad y gravedad variables para los Derechos y Libertad de las
personas físicas, el responsable y el encargado del Tratamiento aplicado
Medidas técnicas y organizativas apropiadas para garantizando un nivel de
seguridad adecuada al Merkel, que en super caso incluya, entre Otros:
a) la seudonimización y el cifrado de datos personales;
b) la Capacidad de garantizando la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de Tratamiento;
c) la Capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;
d) un Proceso de verificaciones, Evaluación y valoración regulares de la eficacia de
las Medidas técnicas y organizativas para garantizando la seguridad del
Tratamiento. "

En el presente caso, los riesgos que conlleva el tratamiento de los datos de los usuarios del servicio de
densitometría del Área de Medicina Nuclear del HUVH en los términos descritos en los hechos
probados (apartados 1 y 2), determinarán la necesidad de implementar las medidas técnicas y
organizativas necesarias para evitar un acceso no autorizado, objetivo que expresamente
establece el artículo 5.1.f) del RGPD. En este punto cabe decir que cualquier análisis de riesgos
contemplaría como medida básica y elemental de seguridad, impedir que terceras personas
ajenas a la relación médico-paciente (como sería el caso de las personas usuarias que permanecen en la
sala de espera) accedan a datos de otros usuarios (nombre y apellidos y datos relativos a
su salud).

Página 4 de 6

Page 5

PS 16/2020
Calle Rosselló, 214, esc. A, 1º 1ª
08008 Barcelona

https://translate.googleusercontent.com/translate_f 5/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S

Durante la tramitación de este procedimiento se han acreditado debidamente los hechos descritos en
el apartado de hechos probados, que se consideran constitutivos de la infracción prevista en el artículo 83.4.a)
del RGPD, que tipifica la vulneración de "las obligaciones del responsable y del encargada a
tenor de los Artículos 8, 11, 25 a 39, 42 y 43 " , entre las que está la prevista en el artículo 32
RGPD.

Las conductas que aquí se abordan han recogido como infracción grave en el artículo 73.f) de
el LOPDGDD, en la forma siguiente:

"F) La falta de adopción de las medidas técnicas y organizativas que sean

apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en
los términos que exige el artículo 32.1 del Reglamento (UE) 2016/679. "

4. El artículo 77.2 LOPDGDD dispone que, en el caso de infracciones cometidas por los responsables o
encargados enumerados en el art. 77.1 LOPDGDD, la autoridad de protección de datos competente:

"(...) dictará resolución que las sancione con una amonestación. la

resolución establecerá asimismo las medidas que proceda adoptar para que cese
la conducta o se corrijan los efectos de la infracción que se haya cometido.
La resolución se notificará al responsable o encargado del tratamiento, a
el órgano del que dependa jerárquicamente, en su caso, y los afectados que tengan la
condición de interesado, en su caso. "

En términos similares al LOPDGDD, el artículo 21.2 de la Ley 32/2010, determina lo siguiente:

"2. En el caso de infracciones cometidas con relación a ficheros de titularidad pública, el

director o directora de la Autoridad Catalana de Protección de Datos dictará
una resolución que declare la infracción y establezca las medidas a adoptar para
corregir sus efectos. (...) ".

En virtud la facultad que atribuye a la directora de la Autoridad del artículo 21.3 de la Ley 32/2010, tal
como se ha avanzado, se requiere al ICS para lo antes posible, y en todo caso en el plazo
máximo de dos meses a contar desde el día siguiente a la notificación de esta resolución, adopte las
medidas apropiadas para garantizar la seguridad de los datos personales en cuanto a los tratamientos
especificados en el punto 2º del apartado de hechos probados, en el sentido de establecer un sistema alternativo a
la utilización del nombre y apellido para llamar a las personas que deben ser atendidas en el servicio de
densitometría del HUVH.

Una vez se haya adoptado la medida correctora descrita, en el plazo señalado, es necesario que en los 10
días siguientes al ICS informe de ello la Autoridad, sin perjuicio de la facultad de inspección de esta
Autoridad para realizar las verificaciones correspondientes.

En relación con el hecho detallado en el punto 1º del apartado de hechos probados, no es necesario requerir ninguna medida
correctora ya que el ICS, en su escrito de respuesta al requerimiento de información que en la fase

Página 5 de 6

Page 6
https://translate.googleusercontent.com/translate_f 6/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S

PS 16/2020
Calle Rosselló, 214, esc. A, 1º 1ª
08008 Barcelona

de información previa realizó esta Autoridad, informó haber llevado a cabo las
modificaciones pertinentes para evitar que las personas usuarias que permanecen en la sala
de espera puedan oír las conversaciones que se mantienen dentro de la sala de atención al paciente de
densitometría, evitando así que aquellas puedan acceder a datos de salud de las personas que en
ese momento son atendidas.

resolución

Por todo ello, resuelvo:

1. Amonestó el Instituto Catalán de la Salud como responsable de dos infracciones previstas en

el artículo 83.4.a) en relación con el artículo 32, ambos del RGPD.

2. Requerir al Instituto Catalán de la Salud que adopte las medidas correctoras señaladas en el
fundamento de derecho 4º y acredite ante esta Autoridad las actuaciones llevadas a cabo por
cumplirlas.

3. Notificar esta resolución al Instituto Catalán de la Salud.

4. Ordenar que se publique esta resolución en la web de la Autoridad (apdcat.gencat.cat) , de

conformidad con el artículo 17 de la Ley 32/2010, de 1 de octubre.

Contra esta resolución, que pone fin a la vía administrativa de acuerdo con los artículos 26.2 de la
Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos, y 14.3 del Decreto
48/2003, de 20 de febrero, por el que se aprueba el Estatuto de la Agencia Catalana de Protección de
Datos, la entidad imputada puede interponer, con carácter potestativo, recurso de reposición ante
la directora de la Autoridad Catalana de Protección de Datos, en el plazo de un mes a contar desde
del día siguiente de su notificación, de acuerdo con lo previsto en el artículo 123 y siguientes de
el LPAC. También puede interponer directamente un recurso contencioso administrativo ante los juzgados
contencioso administrativo, en el plazo de dos meses a contar desde el día siguiente de su
notificación, de acuerdo con los artículos 8, 14 y 46 de la Ley 29/1998, de 13 de julio, reguladora de
la jurisdicción contencioso administrativa.

Si la entidad imputada manifiesta a la Autoridad su intención de interponer un recurso contencioso

administrativo contra la resolución firme en vía administrativa, la resolución se suspenderá
cautelarmente en los términos previstos en el artículo 90.3 del LPAC.

Igualmente, la entidad imputada puede interponer cualquier otro recurso que considere conveniente para
defender sus intereses.

La directora,

https://translate.googleusercontent.com/translate_f 7/8
10/3/2021 Identificación del expediente Resolución del procedimiento sancionador núm. PS 16/2020, referente al Instituto Catalán de la S

Página 6 de 6

https://translate.googleusercontent.com/translate_f 8/8