La Agencia Española de Protección de Datos ha iniciado este proceso a petición de UCA/UCE y ha encontrado cuatro posibles violaciones de la Ley Orgánica 15/199, de 13 de diciembre, de Protección de Datos de Carácter Personal por las que estas dos sociedades denunciadas pueden hacer frente al pago de una multa de entre 721.214,52 y 1.803.036,30 euros por haber cometido dos faltas graves y otras dos tipificadas como muy graves.

Los hechos se remontan a septiembre de 2003 cuando se hallaron en un contenedor de Sevilla Este documentos que -pertenecí­an al servicio de Urgencias del centro (Clí­nica Sagrado Corazón), y estaban fechados entre finales de julio y agosto del año 2003, en los que constaban datos personales como el nombre o la dirección del paciente, los sí­ntomas que presentaba o antecedentes clí­nicos-, según el escrito preliminar remitido por la Agencia Española de Protección de Datos a UCA/UCE.

Como pudo comprobar la propia Agencia a través de una inspección girada a la Clí­nica Sagrado Corazón el 22 de octubre de 2003, -por error (un responsable de labores administrativas de la Sociedad Tocoginecológica Dr. Chacón) depositó en un contenedor de basura la bolsa que contení­a los documentos señalados. Este hecho se produjo probablemente al confundir el administrativo la bolsa que contení­a los documentos con otras en las que se encontraban efectos
personales-.

Estos documentos encontrados en la basura contienen una etiqueta adhesiva con un código de barras y datos personales del paciente, así­ como otros datos manuscritos de í­ndole médica, como una primera observación profesional, motivo de la consulta, antecedentes médicos, alergias o medicación.

Por este hecho, la Agencia Española de Protección de Datos podrí­a encontrar una infracción grave contra la Ley de Protección de Datos de Carácter Personal, concretamente en el artí­culo 9.1, que indica que -el responsable del fichero y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de í­ndole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnologí­a, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio fí­sico o natural-.

Asimismo, podrí­a tratarse de otra vulneración, en este caso del artí­culo 10 de la mencionada norma y tipificada como muy grave, que dice que -el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo-.

La Agencia Española de Protección de Datos ha podido comprobar que estos documentos estaban en poder de la Sociedad Tocoginecológica Dr. Chacón porque -mantiene una relación de prestación de servicios derivada de la atención del servicio de urgencias tocoginecológicas con la Clí­nica Sagrado Corazón-. Supuestamente, los expedientes hallados procedí­an de la Clí­nica Sagrado Corazón para su cotejo en las dependencias de la otra sociedad, y después eran destruidos, aunque esto no se produjo en los cientos de expedientes hallados en Sevilla Este y que supuestamente fueron tirados por error.

Es aquí­ cuando ambas sociedades denunciadas por UCA/UCE han podido vulnerar de nuevo la Ley de Protección de Datos de Carácter Personal, en sus artí­culos 6.1 (-El tratamiento de los datos de carácter personal requerirá el consentimiento inequí­voco del afectado, salvo que la Ley disponga otra cosa-) y 11.1 (-Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimento de fines directamente relacionados con las funciones legí­timas del cedente y del cesionario con el previo consentimiento del interesado-), tipificadas como grave y muy grave, respectivamente.

UCA/UCE manifiesta su satisfacción por el inicio de este procedimiento sancionador porque se pone de relieve la sensibilidad de las administraciones públicas en materia de la protección de datos y que la denuncia presentada hace un año contra estas dos sociedades no ha caí­do en saco roto.