En una suerte de serendipidad encontré hace un par de días la sentencia de la Audiencia Nacional de 12 de enero de 2007 por la que se confirma la sanción impuesta a OCU Ediciones, S.A. por incumplimiento de la LOPD.
No se ha hablado demasiado de este caso (Terra, aunque con gran imprecisión). En el año 2005, la OCU decidió hacer un estudio para evaluar la profesionalidad de médicos y farmacéuticos en la prescripción y dispensa de medicamentos. Unos encuestadores se hicieron pasar por pacientes y visitaron determinados centros médicos públicos y privados elegidos al azar, y a partir de las conclusiones obtenidas se elaboró un artículo que se publicó en la revista y en Internet. En dicho artículo se incluía un cuadro con los nombres de los médicos visitados, centro de trabajo y Comunidad Autónoma, junto con las valoraciones correspondientes.
El Consejo General de Colegios Oficiales de Médicos presentó una reclamación ante la Agencia Española de Protección de Datos que, tras la instrucción correspondiente, sancionó a OCU Ediciones con una multa de 6.010,12 euros por la comisión de la infracción prevista en el artículo 44.3.d) de la Ley, consistiendo en tratar datos personales o usarlos posteriormente con conculcación de los principios y garantías establecidos en dicha ley, siendo uno de esos principios fundamentales el del consentimiento.
La defensa de OCU en este recurso se basó en que la publicación de la lista de médicos no suponía un tratamiento sino una recogida, que en cualquier caso dichos datos se encuentran en fuentes accesibles al público, y que el derecho de información del artículo 20 de la Constitución prevalece sobre los derechos a la intimidad y a la protección de datos, argumentos que se desestiman en su totalidad porque a todas luces existió un tratamiento de datos (recogida, elaboración de encuestas y conclusiones, su valoración y posterior publicación), obteniéndose los datos de los afectados (y no de fuentes accesibles al público). Sobre el derecho a la información, es conjugable con la intimidad y protección de datos, pudiendo perfectamente la revista publicar los resultados del estudio omitiendo cualquier posible identificación de los encuestados.
Volviendo a la sanción, se impone porque ha habido un tratamiento de datos que conculca los principios y garantías de la LOPD, infracción que vendría a englobar desde la recogida de datos sin facilitar información alguna ni solicitar el consentimiento hasta su posterior publicación, constituyendo todo ello una unidad de acción que hace que se considere como una única infracción a pesar de haber varios afectados y varias actuaciones contrarias a la ley que individualmente constituyen auténticas infracciones.
Me parece una tomadura de pelo.
Del relato de los hechos se me ocurren las siguientes infracciones:
1. Recogida de datos incumpliendo el deber de información previa del artículo 5 de la LOPD.
2. Recogida y tratamiento de datos sin consentimiento de los afectados (artículo 6 de la LOPD), y además de forma engañosa o fraudulenta.
3. Cesión inconsentida de datos (artículo 11 de la LOPD), por la publicación de los mismos tanto en la revista como por Internet.
4. Falta de inscripción del correspondiente fichero en el Registro de la AEPD, aunque aquí me la juego porque podría existir un fichero general para la realización de estos estudios/encuestas.
Si consideramos que, en otras ocasiones, la AEPD ha considerado que un acto o tratamiento constituye una infracción, habría que entender que se han cometido tantas infracciones (salvo la última) como personas afectadas. La cosa sale algo más cara.
No obstante, no sólo se agrupa todo ello en una infracción (que además no está pensando en estas conductas), sino que a pesar de ser ésta grave, se sanciona como leve (y a la baja) sin explicación alguna.
Saquen sus propias conclusiones.
La querida AEPD es una pequeña caja de sorpresas…
Por razones que ahora no vienen a cuento he tenido que leerme gran parte de sus resoluciones y hay tantas tan contradictorias que es imposible saber como fallarán en un saunto concreto.
Es lo que hay.
Un saludo.
Javier,
Es cierto que se produce un tratamiento de protección de datos y que se incurrió en las infracciones listadas, como también es cierto lo que decís sobre las decisiones de la AGPD.
En cualquier caso, creo que en el post no se acaba de dejar claro que es posible que un medio de comunicación social pueda vulnerar derechos fundamentales al realizar investigaciones al objeto de informar a la sociedad. Conforme a la doctrina existente del TC, los derechos a la libertad de expresión y a la libertad de comunicación se suelen imponer sobre otros derechos fundamentales (estos no son absolutos) siempre que se hayan dado determinadas condiciones (lo que se revele sea de interés público, veraz,…) En cualquier caso yo me hubiera ahorrado publicar el nombre y apellidos, ligados al centro sanitario en cuestión,… pues al no estar revelándose prácticas ilegales o delictuales en la dispensación de medicamentos podía pasar lo que ha ocurrido.
Un saludo
¿y… la vía penal? (a veces nos olvidamos de su poder disuasorio)
Max,
Siguiendo con la ironía, podían haberles sancionado coun una infracción muy grave por tratar los datos personales de forma engañosa y fraudulenta (captación de los datos), combinándola con otra infracción grave por la vulneración del deber de guardar secreto sobre los datos de carácter personal incorporados a ficheros que contengan un conjunto de datos de carácter personal suficientes para obtener una evaluación de la personalidad del individuo (publicación del artículo). Hale, 360.000€ del ala!!!
Ahora sin tanta ironía y sin haber leído la sentencia, no veo como es que no se ha sacado adelante una reducción de la sanción por vía del art. 44.5 LOPD dejándola en 600€ (lo mismo lo intentaron, pero por el número de implicados lo rechazaron).
Un saludo
La libertad de expresión y de comunicación prevalecen frente a la intimidad en caso de personajes públicos, y en cuanto a la veracidad la valoración sobre la profesionalidad se basa en la impresión que se sacó de una encuesta o entrevista en concreto, lo que no deja de ser parcial.
Yo creo que la vía elegida es la correcta, y declarada la ilegalidad del tratamiento de datos, lo propio sería ir a la vía civil pidiendo una indemnización por daños y perjuicios.
Javier,
Dudo que la labor profesional de un médico caiga en el ámbito de su derecho a la intimidad. Otra cosa es el derecho a la intimidad de los pacientes y la obligación del médico de guardar secreto profesional. Creo que el caso que comentas tiene tan sólo relevancia como posible vulneración del derecho a la protección de datos.
Encauqluier caso, la libertad de comunicación, que entiendo es la aplicable en este caso por el carácter de medio de comunicación social de la OCU dada la publicación de su revista, puede prevalecer también frente a los derechos a la intimidad y a la protección de datos de personas sin relevancia pública. Por ejemplo, piensa en los programas de periodismo de investigación basados en el uso de cámara oculta para denunciar actos ilícitos o incluso delictuales (tratamiento de imagen, voz, nombre y apellidos, localidad y lugar de residencia,…).
Sí estoy de acuerdo en lo que comentas sobre la veracidad, pero se trata de un problema de prueba como suele suceder en estos casos
Un saludo
Deincognito,
No creo que la OCU sea un medio de comunicación social puesto que es una asociación privada. Y es que, por esa regla de tres, cualquier asociación privada con una revista podría publicar datos basados en la libertad de comunicación, y con ello nos «cargaríamos» la protección de datos.
Creo que cuando se confronta la libertad de comunicación -los casos de televisión q comentas- con la protección de datos, hay que hacer lo que se conoce en Europa como «balance of interest», e ir caso por caso.