Foto de NASA en Unplash

Recientemente, la Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de quinientos mil euros (500.000€) al hospital privado Marina Salud S.A. tras una denuncia presentada por la Consellería de Sanidad Universal y Salud Pública de la Generalitat Valenciana.

La Consellería, actuando como Responsable del Tratamiento, denunció que el hospital, en su rol de Encargado del Tratamiento para la prestación del servicio de atención sanitaria en el Departamento de Salud de Denia, incumplió las obligaciones estipuladas en el artículo 28 del Reglamento General de Protección de Datos (RGPD). La infracción se centró en la omisión por parte del hospital de comunicar a la Consellería la identidad de las empresas subcontratadas para el tratamiento de datos personales.

El contrato suscrito entre la Consellería y Marina Salud S.A. imponía la obligación al hospital de  informar previamente sobre cualquier subcontratación en los servicios externalizados, requiriendo el consentimiento expreso de la Consellería para la asignación de ciertas funciones. Sin embargo, una inspección reveló que el hospital utilizaba diversos softwares de terceros para la gestión de datos personales en áreas relativas a salud, laboratorio, telecomunicaciones y recursos humanos, sin haber notificado dichas subcontrataciones. Esta situación motivó la denuncia formal ante la AEPD.

Tras varios requerimientos de información al hospital, la AEPD dictaminó la sanción, considerando la naturaleza, gravedad y duración de la infracción. Se constataron tres contratos firmados sin el consentimiento previo de la Consellería, siendo el más antiguo de septiembre de 2018. Estos factores, sumados a la naturaleza especialmente protegida de los datos de salud tratados en la actividad profesional del hospital, determinaron la cuantía de la sanción.

Este caso subraya la importancia de una comunicación transparente y leal en la cadena de proveedores involucrados en el tratamiento de datos personales. Máxime, en el ámbito de la salud, donde la identificación y notificación precisa de proveedores y subcontratistas que acceden a información de categoría especial no solo constituye un imperativo legal, sino también una práctica fundamental para garantizar la protección de los derechos y libertades de los individuos cuyos datos son objeto de tratamiento en la prestación de servicios sanitarios.

Juan Antonio Rodríguez

Abogado