Acceso al registro de incidencias técnicas del Hospital de Fremap-Majadahonda

3. Con fecha 28 de febrero de 2017, tuvo entrada en este Consejo de Transparencia escrito de Reclamación de , en el que indicaba lo siguiente: xEl Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece un Registro en el que se haga constar el tipo de incidencia, (artículos 90 y 100 del RD 1720/2007). Artículo 90. Registro de incidencias: "Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de Incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas". xFREMAP niega el acceso a la información, manifestando que no dispone de un registro especifico al efecto en el que se recojan las incidencias técnicas, por tanto FREMAP vulnera en concepto de inaplicación lo dispuesto en los artículo 90 y 100 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, por lo que este Consejo de Transparencia y Buen Gobierno, al que tengo el honor de dirigirme, debería dar traslado a la Agencia derivadas de la vulneración al Real Decreto 1720/2007, y para que al amparo de lo dispuesto en el artículo 125 del citado Real Decreto 1720/2007, inspeccione el local de FREMAP-Majadahonda, para saber y conocer, si existe o no existe registro especifico de incidencias, en el Hospital de la Mutua FREMAP-Majadahouda. xDe todas maneras, es necesario saber y conocer si la Mutua FREMAP dispone de la información solicitada, en definitiva, saber y conocer si la Mutua FREMAP, está negando el derecho de información, vulnerando el artículo 12 de la Ley 19/2013. xQue una vez que este Consejo de Transparencia y Buen Gobierno conozca si la Mutua FREMAP ha vulnerado o no ha vulnerado el artículo 12 de la Ley 19/2013, al amparo de lo dispuesto en el artículo 29 de la Ley 19/2013, se deben de incoar las oportunas infracciones disciplinarias por vulneración en concepto de inaplicación del artículo 26 de la meritada Ley 19/2013(…) xEn base a lo expuesto solicito que teniendo por presentado este escrito, se tenga por interpuesta Reclamación contra la Mutua FREMAP, y por hechas las consideraciones que contiene, se sirvan acordar de conformidad con las mismas, informando si la Mutua FREMAP dispone de Registro especifico de incidencias técnicas en el Hospital de Majadahonda, en todo caso, si FREMAP dispone de la información, que se solicitó al amparo de lo dispuesto en el artículo 12 de la meritada Ley 19/2013, ínstese a FREMAP a que facilite la información. 4. El 2 de marzo de 2017, este Consejo de Transparencia remitió el expediente a la FREMAP MUTUA COLABORADORA DE LA SEGURIDAD SOCIAL para alegaciones. El 21 de marzo de 2017, tuvieron entrada en el Consejo sus alegaciones, en las que manifestaba lo siguiente: xEl motivo por el que se le deniega el acceso a la información solicitada es que esta entidad no puede acceder a la misma sin llevar a cabo previamente un proceso de reelaboración de la información de la que dispone, al no existir un registro especifico relativo a las incidencias que se produzcan en relación con las asistencias sanitarias prestadas a los pacientes del Hospital de Fremap en Majadahonda, objeto de solicitud. xFremap, para llevar a cabo su gestión como entidad colaboradora con la Seguridad Social, cuenta con distintas aplicaciones informáticas en las que se registran los datos de los pacientes atendidos por la Mutua en todos los centros de los que dispone a nivel nacional. Estas aplicaciones se ejecutan sobre una arquitectura cliente-servidor, denominada FOUNDATION FOR CORPORATIVE PROCESSING (FCP), y los datos de negocio se encuentran en una base de datos corporativa en tecnología IBM lnformix. Entre las plataformas tecnológicas que usa Fremap, aquella en la que "se anotan las asistencias sanitarias de los pacientes/usuarios del Hospital de FREMAP-Majadahonda" se denomina Guía-Clínicas, que es única para los 252 centros asistenciales -propios y concertados- y hospitalarios de la Mutua. xDicha aplicación a su vez, cuenta con una serie de módulos, donde se registran los datos relativos a cada uno de ellos: Admisión/Urgencias, Bloque Quirúrgico, Historia Clínica, Radiología, Farmacia, Laboratorio, Planta Hospitalaria, Facturación, Unidades Especializadas, Enfermería, Rehabilitación, etc. xEs decir, el Registro General de Incidencias Técnicas gestionado por el CSU, no ofrece la información solicitada por el reclamante -incidencias producidas en alguno de los módulos que conforman Gura-Cínicas por las asistencias prestadas en el Hospital de Majadahonda- sino que el detalle de las mismas se agrupa por usuario -por ejemplo, un médico o enfermero que preste sus servicios en el Hospital o personal del servicio de admisión, aplicación -Guías Clínicas- y tipo de incidencia. xPara poder intentar acceder a la información solicitada sería necesario, como mínimo, realizar los siguientes pasos, para, posteriormente cruzar los datos obtenidos: 1. Obtener del Registro general de incidencias del CSU, aquellas que estén relacionadas con la aplicación Guia-Clinicas, en todos sus módulos. Debemos advertir que Fremap dispone de esta información desde el año 2011, y no desde el 2000, como solicita el reclamante. Las incidencias creadas por los usuarios, relacionadas con la aplicación Guia-Clinicas desde 2011, ascienden a un total de 4.311, de las cuales 735 corresponden a 2011; 553 a 2012; 644 a 2013; 444 a 2014¡ 777 a 2015; 1158 a 2016 y 201 a 2017, hasta la fecha actual. 2. Posteriormente habría que comprobar que los usuarios que comunicaron cada una de las 4.311 incidencias estaban prestando servicio en ese momento en el Hospital de Majadahonda. Para ello el departamento de Recursos Humanos de la entidad deberá comprobar cada usuario concreto y si el día que creó la incidencia estaba prestando servicios en el citado Hospital, llevando a cabo una comprobación individual de cada uno de ellos, por no ser una información que ofrezca directamente el Registro de- incidencias técnicas; y, a su vez, el Área Informática comprobar que la incidencia se generó desde un equipo instalado en el Hospital de Majadahonda. 3. Una vez identificado el usuario, habría que comprobar que la incidencia concreta se refiere a pacientes/usuarios del Hospital de Fremap en Majadahonda, porque al tratarse Guía-Clínicas de una aplicación única para toda la red asistencial y hospitalaria de Fremap, que cuenta con 252 centros, la incidencia detectada no tiene por qué afectar a pacientes del Hospital, sino, por ejemplo, a un paciente que esté siendo atendido en el centro asistencial de Zaragoza, a cuya historia accede el especialista adscrito al Hospital, para resolver una consulta clínica planteada desde aquel centro asistencial, sin haberse atendido al paciente- en las instalaciones hospitalarias de Majadahonda. xAun realizando todos los pasos descritos anteriormente, tampoco podría asegurarse que la información que resulte de dicha elaboración coincida con la solicitada, en tanto en cuanto cualquier usuario puede acceder desde cualquier dispositivo de la entidad en cualquiera de sus centros, de tal forma que si, por ejemplo, un médico que normalmente preste sus servicios en un centro asistencial de Fremap accediera a Guía Clínicas desde un dispositivo del Hospital, por estar realizando una guardia, al asociarse la incidencia a usuarios/aplicación-Guía Cínicas-, no podríamos confirmar que las misma estuviera relacionada con una asistencia prestada en el Hospital, como solicita el reclamante. xPor todo ello, resulta imposible acceder a lo solicitado, sin que previamente se lleve a cabo una acción previa de reelaboración de la información, por no contar Fremap con un registro de incidencias en los términos solicitados, razón por la que se denegó, mediante Resolución de 13 de febrero de 2017, la solicitud planteada. xLa Agencia Española de Protección de Datos, a quien solicita el reclamante que se dé traslado de la presente reclamación, ha comprobado el cumplimiento por parte de Fremap de contar con el Registro previsto en el artículo 90 del Reglamento, de la misma manera que, en cumplimiento de lo previsto en el artículo 96 del Reglamento, esta Mutua realiza cada dos años, a través de entidades externas, una auditoría para verificar el cumplimiento, entre otros, de la obligación de disponer del Registro objeto de solicitud, emitiéndose el correspondiente informe que queda a disposición de la Agencia Española de Protección de Datos. (…) 5. El 28 de marzo de 2017, este Consejo de Transparencia dio trámite de audiencia del expediente al Reclamante, para que formulara alegaciones en el plazo concedido, las cuales tuvieron entrada el 11 de abril de 2017, con el siguiente contenido: xDado que FREMAP dispone de esta información desde el año 2011, está obligada a facilitar la misma desde el año 2011, en cumplimiento de lo dispuesto en la Ley 19/2013. Dicho sea de paso, llama la atención que FREMAP no disponga de la información desde el año que se solicitó, esto es, desde el año 2000, fecha de la entrada en vigor de la meritada Ley 15/1999, como se solicitaba en nuestro escrito presentado en fecha 17 de enero de 2017, y ello con independencia del plazo de conservación establecido para conservar el Registro de Incidencias, el cual se cuida FREMAP de recordar en su escrito de alegaciones, amparándose en dicho plazo de 2 años para facilitar la información que ha tenido a bien, "olvidando" FREMAP el artículo 13 de la meritada Ley 19/2013. xDe las alegaciones evacuadas por FREMAP, ni se desprende, ni se deduce que FREMAP, para dar cumplimiento lo solicitado, tenga que proceder a un proceso de reelaboración de la información, lo que se desprende, sin ninguna duda, es el volumen o complejidad de facilitar la información, lo cual no es causa de inadmisión recogida en el artículo 18.1 c) de la meritada Ley 19/2013. xLa solicitud de "información voluminosa", aparece recogida en el artículo 20.1 de la meritada Ley 19/2013, en este caso, según las alegaciones evacuadas por FREMAP, se trata de información cuyo "volumen o complejidad'' hace necesario un proceso especifico de trabajo o de manipulación para suministrarla, en este caso, no se estaría ante un supuesto de reelaboración, por lo que no es causa de inadmisión, sino de ampliación del plazo para resolver, siendo que, en ese caso, el plazo de 1 mes podrá ampliarse a otro más, si así se solicita. Este es el Criterio interpretativo de este Consejo de Transparencia y Buen Gobierno, al que tengo el honor de dirigirme, en sus brillantes y plausibles Resoluciones C/007/2015 de 12 de noviembre y R/0312/20 16 de 6 de octubre de 2016. (…) II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 24 de la LTAIBG, en relación con el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, la Presidenta de este Organismo es competente para resolver las reclamaciones que, con carácter previo a un eventual y potestativo Recurso Contencioso-Administrativo, se presenten en el marco de un procedimiento de acceso a la información. 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendida, según el artículo 13 de la misma norma, como “los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones”. Es decir, la LTAIBG reconoce y regula el derecho a acceder a información pública que esté en posesión del Organismo al que se dirige la solicitud bien porque él mismo la ha elaborado o por porque la ha obtenido en el ejercicio de las funciones que tiene encomendadas. 3. Por su parte, el artículo 2.1 b) de la LTAIBG relativo a su ámbito subjetivo de aplicación, dispone que Las disposiciones de este título se aplicarán a las entidades gestoras y los servicios comunes de la Seguridad Social así, como las mutuas de accidentes de trabajo y enfermedades profesionales colaboradoras de la Seguridad Social. Por ello, tanto los principios de publicidad activa como las reglas sobre el derecho de acceso a la información pública contenidos en esta norma son de aplicación a la información o documentación que se halle en poder de FREMAP, en su calidad de mutua colaboradora de la Seguridad Social. 4. En cuanto al fondo de la cuestión planteada, debe hacerse una acotación sobre lo que constituye el verdadero contenido de la solicitud de información realizada por el Reclamante. FREMAP entiende que lo que se solicita es acceder a un registro específico relativo a las incidencias que se produzcan en relación con las asistencias sanitariasprestadas a los pacientes del Hospital de dicha entidad en Majadahonda, razón por la que se le deniega el acceso a la información solicitada ya que no puede acceder a la misma sin llevar a cabo previamente un proceso de reelaboración de la información de la que dispone. Sin embargo, estas conclusiones no son correctas. Lo que el Reclamante demanda, a juicio de este Consejo de Transparencia, es acceder al listado de incidencias técnicas que han de quedar reflejadas en un Registro de incidencias de los referidos en los artículos 90 y 100 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Es decir, al listado de incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.Esta es una de las medidas de seguridad que deben tenerse establecidas en los sistemas informáticos que manejan datos personales, como es el caso de las aseguradoras o las mutuas, siendo obligatoria su implementación desde la entrada en vigor del citado Reglamento, esto es, desde el día 19 de abril de 2011, según se desprende de su Disposición Transitoria Segunda, en relación con su Disposición Final Segunda. Es lógico que esas incidencias afecten o puedan afectar al tratamiento de los datos personales de los clientes o pacientes y es esto último en concreto lo que se solicita. En este sentido, FREMAP no tiene en su poder, por no ser exigibles, las incidencias técnicas anteriores al 19 de abril de 2011. 5. Aclarado lo anterior, debe analizarse si FREMAP debe hacer una acción previa de reelaboración de esa información para poderla a disposición del Reclamante. A juicio de este Consejo de Transparencia, resulta imposible elaborar la información requerida anterior a la fecha antes indicada, ya que este tipo de incidencias deben registrarse en el momento en que se producen, no siendo viable ni ajustado a la norma registrar años después de haberse producido unas incidencias cuyo registro no es obligatorio. Por lo tanto, no es posible su reelaboración, entendía esta como: “volver a elaborar algo”, según define la Real Academia de la Lengua. Es esta circunstancia la que es exigible para entender que estamos ante un supuesto de reelaboración. Así se establece en el Criterio Interpretativo CI/007/2015, de 12 de noviembre, aprobado por este Consejo de Transparencia en ejercicio de las competencias que le son legalmente atribuidas por el artículo 38.2 a) de la LTAIBG. Respecto de las incidencias posteriores a 19 de abril de 2011, FREMAP manifiesta que el plazo durante el cual está obligada a conservar los datos obrantes en el Registro de Incidencias a que nos venimos refiriendo es de dos años, según señala el artículo 90 del Real Decreto 1720/2007, de 21 de diciembre. Sin embargo dicho artículo no dispone plazo de conservación de esos datos, aunque pueda deducirse de la normativa general de infracciones e imposición de sanciones en materia de protección de datos personales. Asimismo, consta en el expediente que FREMAP ha proporcionado determinados registros de incidencias a este Consejo en vía de Reclamación, pero no consta que se las haya remitido al Reclamante en el plazo legal de un mes a que obliga el artículo 20.1 de la LTAIBG, ni tampoco después de presentada esta Reclamación, lo que se confirma por el hecho posterior de que el propio Reclamante sigue solicitando, en fase de audiencia, la remisión de esos registros de incidencias. Las incidencias remitidas a este Consejo, ocurridas entre enero de 2015 y febrero de 2017, hacen referencia, entre otros aspectos, a lo siguiente: problema, componente o servicio afectado, impacto, recuperación y pérdida de datos. A juicio de este Consejo de Transparencia y Buen Gobierno, esta información, si bien referida a un período de tiempo mayor y que abarque desde el momento de la entrada en vigor del Reglamento de desarrollo de la LOPD para FREMAP esto es, el 19 de abril de 2011 coincidiría, toda vez que se trata de la información tal y como se encuentra disponible por dicha entidad, con la información solicitada. 6. Finalmente, este Consejo de Transparencia quiere puntualizar que corresponde al Reclamante y no a este Consejo, denunciar ante la Agencia Española de Protección de Datos aquellas actuaciones que, a su juicio, puedan vulnerar la normativa de protección de datos personales y que la incoación de las oportunas infracciones disciplinarias solicitada se debe basar en hechos que supongan algún tipo de infracción de las previstas en el artículo 29 de la LTAIBG, cuya concurrencia no se aprecia en el presente caso. 7. En conclusión, se debe estimar en parte la presente Reclamación, debiendo FREMAP completar la información enviada a este Consejo de Transparencia y Buen Gobierno en el trámite de alegaciones y remitir al Reclamante la siguiente información: xLos registros de incidencias técnicas del programa informático del Hospital de FREMAP-Majadahonda que afecten a datos personales de sus pacientes/usuarios, de los que realmente disponga en su poder, desde la entrada en vigor del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, esto es, desde el 19 de abril de 2011, hasta la fecha de solicitud de la información, esto es, el 28 de febrero de 2017. En caso de que información anterior a la ya remitida, esto es, previa a 2015, haya sido eliminada, deberá indicarse expresamente. III. RESOLUCIÓN Considerando los Antecedentes y Fundamentos Jurídicos descritos, procede PRIMERO: ESTIMAR parcialmente la Reclamación presentada por con entrada el 28 de febrero de 2017, contra FREMAP MUTUA COLABORADORA DE LA SEGURIDAD SOCIAL. SEGUNDO: INSTAR a FREMAP MUTUA COLABORADORA DE LA SEGURIDAD SOCIAL a que, en el plazo máximo de 15 días hábiles, remita a la información/documentación relacionada en el Fundamento Jurídico 7 de la presente Resolución. TERCERO: INSTAR a FREMAP MUTUA COLABORADORA DE LA SEGURIDAD SOCIAL a que, en el mismo plazo máximo de 15 días hábiles, remita a este Consejo de Transparencia y Buen Gobierno copia de la información/documentación enviada al Reclamante. De acuerdo con el artículo 23, número 1, de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, la Reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas. En consecuencia, contra la presente Resolución, que pone fin a la vía administrativa, únicamente cabe, en caso de disconformidad, la interposición de Recurso Contencioso-Administrativo ante los Juzgados Centrales de lo Contencioso- Administrativo de Madrid en plazo de dos meses a contar desde el día siguiente al de su notificación, de conformidad con lo previsto en el artículo 9.1, c), de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa. LA PRESIDENTA DEL CONSEJO DE TRANSPARENCIA Y BUEN GOBIERNO Fdo: Esther Arizmendi Gutiérrez