Solicitud de IPs de conexión a La Meva Salut y SGRH finalizada por pérdida sobrevenida del objeto

Resolució 608/2023, de 13 de juliol Número d’expedient de la Reclamació: 335/2023 Administració reclamada: Generalitat de Catalunya. Departament de Salut. Servei Català de la Salut. Informació reclamada: IP de connexió dels accessos a la Meva Salut i al currículum professional del SGRH Sentit de la resolució: Finalització per pèrdua sobrevinguda d’objecte de la reclamació. Resum: Els antecedents posen de manifest que l’Administració reclamada ha facilitat a la persona reclamant la informació sol·licitada, en el marc d’aquest procediment. Aquest fet suposa la satisfacció extemporània de la sol·licitud d’informació de la que deriva la Reclamació i comporta la pèrdua sobrevinguda del seu objecte. Paraules clau: Servei Català de la Salut. Departament de Salut. Dades personals. Reclamació contra silenci. Pèrdua sobrevinguda de l’objecte. Ponent: Clara I. Velasco Rico Antecedents El 30 de març de 2023 entra a la GAIP la Reclamació 335/2023, derivada de l’Autoritat Catalana de Protecció Dades (APDCAT), en relació amb la sol·licitud indicada a l’antecedent següent, contra el Departament de Salut. La persona ara reclamant va presentar a l’APDCAT en data 20 de març de 2023 una sol·licitud per a l'exercici del dret d'accés a les dades personals pròpies. En aquesta sol·licitud va posar de manifest que formulava una reclamació per la presumpta desatenció del dret d’accés que havia exercit el 10/11/2022 davant el Departament de Salut. En aquell escrit, l’aquí reclamant sol·licitava la següent informació: “IP de connexió dels accessos a la Meva Salut i al meu currículum professional del SGRH”. En data 28 de març de 2023 l’APDCAT resol “1. Inadmetre la reclamació de tutela formulada per la Sra. XXXX contra el Departament de Salut, d’acord amb l’exposat al fonament de dret; 2n. 2. Traslladar la reclamació de referència a la Comissió de Garantia del Dret d’Accés a la Informació Pública (GAIP), juntament amb un testimoni literal de la present resolució”. L’argumentació de l’APDCAT és literalment la següent: “(...) l’article 15 de l’RGPD configura el dret d’accés com el dret de l’afectat a obtenir determinada informació sobre les seves pròpies dades personals que estan sent objecte de tractament. Com s’ha indicat als antecedents, la persona aquí reclamant sol·licitava accedir a les “IP de connexió dels accessos a la Meva Salut i al meu currículum professional del SGRH”, dada que, de forma indirecta, permetria identificar les persones al servei del responsable del tractament (el Departament de Salut) que haurien accedit a les seves dades. Al respecte, cal dir que aquesta Autoritat ha posat de manifest en diverses resolucions, dictàmens i informes (per tots, PT 58/2021, CNS 53/2019 i IAI 5/2022) que no forma part del dret d’accés previst en el precepte esmentat, conèixer la identificació del personal del responsable del tractament que ha accedit a la informació de la que disposa. I això perquè, en essència, aquest tipus d’accés no es pot considerar una comunicació de dades a tercers destinataris; i, consegüentment, no es pot encabir a l’apartat 15.1.c) de l’RGPD, com informació que la persona afectada té dret a conèixer en exercici del seu dret d’accés (“los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales”). Així, la persona aquí reclamant no hauria exercit davant el Departament de Salut un dret reconegut a la normativa de protecció de dades de caràcter personal, sinó el dret d’accés a la informació pública, previst a l’art. 105.b) de la Constitució Espanyola, el qual està regulat a la Llei estatal 19/2013, de 9 de desembre, de transparència, accés a la informació pública i bon govern, i a la Llei catalana 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (en endavant, LTC)”. El 21 d’abril de 2023 la GAIP notifica l’admissió provisional de la seva reclamació i informa a la persona reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada, mentre duri la Reclamació. El 17 d’abril de 2023 la GAIP comunica la Reclamació al Departament de Salut de Generalitat – Servei Català de la Salut de Catalunya i li requereix que, dins del termini de quinze dies establert per l’article 33.4 RGAIP, li trameti un informe sobre la Reclamació, així com també còpia de l’expedient de la sol·licitud d’informació de la qual deriva i, en general, dels antecedents que puguin ser rellevants per resoldre la Reclamació. En data 22 de maig de 2023 el Servei Català de la Salut remet a la GAIP l’informe esmentat a l’antecedent anterior. Amb el contingut següent: “Pel que fa a les dades que demana de recursos humans, aquests fitxers són propietat dels centres i des del CatSalut no es pot fer la consulta. Així, es fa la consulta a l’ICS en relació als accessos a dades dels fitxers de recursos humans i la seva resposta, un cop consultats els serveis d’informàtica és la següent: ‘L’accés al SGRH, es fa pel que es denomina pool, i no es pot saber des de quina IP es fa la connexió i a quina part del SGRH es connecta. Tampoc podem saber a quina informació ha accedit.’. Per tant, no podem donar resposta a les peticions realitzades”. En data 09 de juny de 2023 la GAIP sol·licita la col·laboració de l’ICS per identificar els tercers que hagin accedit a la “IP de connexió dels accessos a la Meva Salut i al meu currículum professional del SGRH” de la persona reclamant. En data 30 de juny la GAIP notifica a la persona reclamant l’informe esmentat a l’antecedent de fet número 6, amb l’advertiment que “Si en un termini de 10 dies no ens justifiqueu el contrari, entenem que dona resposta a la seva sol·licitud d’informació pública, i finalitzarem el procediment per la pèrdua sobrevinguda de l’objecte de la reclamació”. En data 3 de juliol de 2023 la GAIP rep una comunicació de l’ICS amb el contingut següent: “(...) tot i no ser part reclamada en aquest procediment, aquest Institut, en base al deure de col·laboració entre administracions públiques pel que respecta a la identificació i trasllat a tercers establert a l’article 34.1 bis del Reglament de la GAIP, aprovat pel Decret 111/2007, de 18 de juliol, us informem en aquests termes: a) La persona reclamant, tal i com esmenteu en l’enunciat del vostre escrit vol accedir a la “IP de connexió dels accessos a la Meva Salut i al meu currículum professional del SGRH”. Per tant, la seva pretensió en cap cas es circumscriu al trasllat de les dades dels professionals que haurien accedit al seu historial clínic, tal i com ens demaneu en el vostre escrit. b) Pel que respecta als accessos a la Meva Salut, l’Institut Català de la Salut no som responsables d’aquest fitxer pel que respecta a la normativa de protecció de dades, raó per la qual no tenim atribuïdes les competències de gestió d’aquesta aplicació informàtica, la qual és gestionada pel Departament de Salut i/o CatSalut. En tant que la pretensió de la persona reclamant es circumscriu a les IP de connexió dels accessos a la Meva Salut, aquest escrit de requeriment de col·laboració s’hauria de presentar davant del CatSalut i/o Departament de Salut, en tant que entitats que gestionen aquesta aplicació informàtica, perquè no és l’ICS el responsable del fitxer ni el gestor d’aquest aplicatiu. c) En el suposat cas que la pretensió de la persona reclamant anés més enllà de les IP de connexió dels accessos a la Meva Salut, ens haureu d’aportar la sol·licitud en la que aquesta demani concretament el lliurament de les dades personals dels professionals que hagin accedit a la seva història clínica en centres sanitaris gestionats per l’Institut Català de la Salut. En aquest sentit, cal fer-vos avinent que l’article 6 de la LOPD estableix com a regla general, que el tractament de dades de caràcter personal, requereix el consentiment inequívoc de l’afectat, a no ser que una llei disposi altra cosa. És per aquesta raó que la informació que ens requeriu no estaria justificada, segons la normativa de protecció de dades, tenint en compte les competències que la GAIP té encomanades, que en cap cas podria abastar més que la informació requerida per la persona reclamant. d) Pel que respecta a la IP de connexió dels accessos al currículum del SGRH de la persona reclamant, ens ratifiquem en els mateixos termes en que vam informar al CatSalut en relació amb l’informe d’al·legacions concernent a aquesta Reclamació 335/2023, en el sentit que l’accés al SGRH es fa pel que es denomina pool, i no es pot saber des de quina IP es fa la connexió i a quina part del SGRH es connecta. Tampoc podem saber a quina informació s’ha accedit. Hem sol·licitat un informe més detallat al responsable de Sistemes Informàtics de RRHH de l’Institut Català de la Salut perquè descrigui amb més precisió i detall, la impossibilitat de poder obtenir la informació requerida pel que respecta a la IP de connexió dels accessos al currículum del SGRH. Esperem rebre aquest informe en breu, la còpia del qual us l’enviarem una vegada ens el remetin”. L’informe esmentat a l’antecedent 9 ha estat traslladat per al seu coneixement a la persona reclamant en data 10 de juliol de 2023. A data d’aquesta resolució no consta a la GAIP que la persona reclamant hagi mostrat la seva disconformitat amb la informació tramesa, per la qual cosa cal procedir segons allò expressat a l’antecedent 8. Fonaments jurídics 1. Competència de la GAIP i contingut i abast general del dret d’accés a la informació pública L’article 39.1 LTAIPBG estableix que “Les resolucions expresses o presumptes en matèria d’accés a la informació pública i, si escau, les que resolguin el recurs de reposició poden ésser objecte de reclamació gratuïta i voluntària davant la Comissió de Garantia del Dret d’Accés a la Informació Pública, encarregada de vetllar pel compliment i les garanties del dret d’accés a la informació pública que regula aquest títol”. L’article 29 RGAIP desenvolupa aquest precepte i concreta que també poden ser objecte de reclamació davant la GAIP les comunicacions que substitueixin les resolucions i l’incompliment material del dret d’accés, quan aquest ha estat reconegut expressament o presumpta. D’acord amb aquests preceptes, la GAIP és competent per tramitar i resoldre aquesta Reclamació, ja que deriva d’una sol·licitud d’informació pública. L’article 2.c LTAIPBG defineix el dret d’accés a la informació pública com “el dret subjectiu que es reconeix a les persones per a sol·licitar i obtenir la informació pública, en els termes i les condicions regulats per aquesta llei”. Per la seva banda, l’apartat b del mateix precepte defineix la informació pública com “la informació elaborada per l’Administració i la que aquesta té en el seu poder com a conseqüència de la seva activitat o de l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei”. Segons l’article 18.1 LTAIPBG, “Les persones tenen el dret d’accedir a la informació pública, a què fa referència l’article 2.b, a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda”. I l’article 20.1 de la mateixa llei afegeix que “El dret d’accés a la informació pública es garanteix a totes les persones, d’acord amb el que estableix aquesta llei. El dret d’accés a la informació pública només pot ésser denegat o restringit per les causes expressament establertes per les lleis”. Així mateix, els apartats 2 i 3 de l’article 20 LTAIPBG estableixen els següents requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública: “2. Les limitacions legals al dret d’accés a la informació pública han d’ésser aplicades d’acord amb llur finalitat, tenint en compte les circumstàncies de cada cas concret, s’han d’interpretar sempre restrictivament en benefici d’aquest dret i no es poden ampliar per analogia. 3. Per a aplicar límits al dret d’accés a la informació pública, l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. En la motivació cal explicitar el límit que s’aplica i raonar degudament les causes que en fonamenten l’aplicació”. A més, els límits legals al dret d’accés a la informació pública no són d’aplicació automàtica i absoluta (l’encapçalament de l’article 21 LTAIPBG es refereix expressament a què els límits enumerats per aquest precepte “poden” dur a la denegació de l’accés sol·licitat), de manera que l’article 22 de la mateixa Llei requereix que siguin aplicats d’acord amb criteris de proporcionalitat i temporalitat: “Els límits aplicats al dret d’accés a la informació pública han d’ésser proporcionals a l’objecte i la finalitat de protecció. L’aplicació d’aquests límits ha d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació. 2. Els límits del dret d’accés a la informació pública són temporals si així ho estableix la llei que els regula, i es mantenen mentre perduren les raons que en justifiquen l’aplicació”. 2. Pèrdua sobrevinguda de l’objecte de la Reclamació Els antecedents posen de manifest que l’Administració reclamada ha ofert una resposta satisfactòria en el marc d’aquest procediment per a la persona reclamant. Aquest fet suposa la satisfacció extemporània de la sol·licitud d’informació de la que deriva la Reclamació i comporta la pèrdua sobrevinguda del seu objecte. En aquestes circumstàncies, és procedent finalitzar la Reclamació, sense necessitat de fer cap declaració sobre l’abast del dret d’accés exercit. 3. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 13 de juliol de 2023, resol per unanimitat finalitzar la Reclamació 335/2023 per la pèrdua sobrevinguda del seu objecte i disposar la publicació d’aquesta resolució al web de la GAIP. Iolanda Pineda Balló Presidenta Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administratiu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa.