El Hospital Insular infringe desde hace meses la Ley de Protección de Datos
El Complejo Hospitalario Universitario Insular Materno Infantil de Las Palmas de Gran Canaria sigue sin subsanar, más de seis meses después de recibir el requerimiento de la Agencia Española de Protección de Datos, una infracción declarada como grave por este organismo estatal. La resolución se dictó en noviembre de 2013 tras la denuncia presentada por una matrona del complejo hospitalario y estipulaba un plazo de un mes para resolver los incumplimientos detectados en el área de Prevención de Riesgos Laborales (PRL) del centro.
Esta trabajadora presentó dos escritos entre julio y septiembre de 2012 en los que advertía a la agencia de que la unidad de PRL no tenía inscrito el fichero de las historias clínicas de los empleados en el Registro General de Protección de Datos.
Tras realizar una inspección al complejo, el instructor del procedimiento comprobó que los datos personales de los trabajadores obtenidos en los reconocimientos médicos en esta unidad se incluían en el mismo fichero que gestiona la información de los pacientes en las áreas de admisión, consultas externas y urgencias.
Para la Agencia de Protección de Datos, esta actuación constituye una infracción grave en la materia y, por ello, requirió al Servicio Canario de Salud y al Insular- Materno Infantil para que, en el plazo de un mes, crearan un fichero específico para la unidad de PRL, ya que “no puede ser el mismo” que el utilizado para las historias clínicas de los pacientes.
“La finalidad de la prevención de los riesgos laborales no incluye la asistencia sanitaria y el tratamiento y diagnóstico de los pacientes, en este caso son datos personales de los empleados y el objeto de los datos que de ellos se tratan es el de la mejora de las condiciones de trabajo dirigida a elevar el nivel de protección y mejorar la seguridad y la salud de los trabajadores en el trabajo”, precisa la agencia en su resolución.
El organismo estatal concluye que el centro hospitalario ha incumplido la obligación de dictar una disposición para crear el fichero de los datos personales de los empleados con la finalidad de prevención de riesgos laborales, lo que vulnera el artículo 20 de la Ley Orgánica de Protección de Datos.
A pesar del tiempo transcurrido desde la resolución, el fichero aún no ha sido inscrito en el Registro General de Protección de Datos. En el ámbito privado, la legislación contempla para este tipo de infracciones (tipificadas como graves) multas de entre 40.000 y 300.000 euros. Sin embargo, las Administraciones Públicas no pueden ser sancionadas económicamente, aunque la agencia puede incoar actuaciones disciplinarias.
La denunciante ha elevado varios escritos a la Agencia Española de Protección de Datos instando a la ejecución del requerimiento para evitar que “se eternice la situación”. La Defensora del Paciente, Carmen Flores, también ha remitido una comunicación a este organismo en la que pide que se atienda la solicitud de la trabajadora ante lo que considera “un grave incumplimiento de las funciones de la agencia”.
Fuentes del complejo hospitalario consultadas por Canarias Ahora se limitan a afirmar que la inscripción del fichero “la está realizando el organismo correspondiente”.
Contrato con Medycsa
La Agencia Española de Protección de Datos explica en su resolución que, antes de que se creara la unidad de Prevención de Riesgos Laborales, el servicio lo prestaba la empresa Medycsa. Aunque la consejería de Sanidad rescindió este contrato en noviembre de 2010, Medycsa no ha entregado ninguna historia clínica al complejo hospitalario y, por lo tanto, sigue teniendo información “sensible” de los trabajadores. Cuando se necesitan datos sobre algún empleado, “se solicitan a través de la consejería de Sanidad para que le sea requerido a Medycsa”. Sobre esta cuestión, el Materno defiende que “la legislación impone a dicha empresa mantener durante un lapso de tiempo archivada y almacenada dicha información”.
La inspección también pone de relieve que en la actualidad el servicio se dirige solo a dos colectivos (el personal de riesgo y el que solicita la adaptación del puesto de trabajo), puesto que la unidad cuenta con un solo médico, “lo que imposibilita el reconocimiento periódico a todos los trabajadores”. Según las comprobaciones realizadas por el instructor del procedimiento, tienen acceso a la información incluida en la historia clínica de los trabajadores este facultativo, dos enfermeras y un auxiliar administrativo.
Deber de información
En la misma resolución, el organismo estatal también imputa al Hospital Insular-Materno Infantil una infracción leve “por incumplir el deber de información en el momento de recogida de datos personales”. La inspección demostró que el complejo hospitalario no facilita a sus pacientes y empleados la información prevista legalmente en esta materia.
La Agencia de Protección de Datos recuerda que el centro debe informar de que existe un fichero de datos personales, la finalidad para la que se recogen y a quién se destinan, si es obligatoria o no su respuesta, de las consecuencias de la obtención de los datos o de la negativa a suministrarlos, de la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición y de la identidad del responsable del tratamiento.
La gerencia del hospital asegura que ha establecido “las medidas oportunas al objeto de cumplir con el deber de informació, tanto con los pacientes como con los trabajadores”.
