La Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común establece que únicamente podrán ser sancionadas las personas físicas y jurídicas que resulten responsables de los hechos constitutivos de infracción, aun a título de simple inobservancia. Esta definición ha sido completada por el Tribunal Supremo, que ha incluido como elemento delimitador la exigencia de una conducta diferente.

Esta es la argumentación seguida por la Audiencia Nacional, que recientemente ha anulado las multas que la Agencia Española de Protección de Datos impuso a varios Hospitales por entender que se había infringido el artículo 10 de la Ley Orgánica de Protección de Datos que se refiere al deber de secreto, al permitir estos centros el acceso a historiales clínicos para realizar un estudio sobre el uso del catalán en centros, servicios y establecimientos dependientes de la Generalitat de Catalunya.

De conformidad con las Resoluciones de la Agencia Española de Protección de Datos, se determinó que el Departamento de Sanidad de la Generalitat contrató una empresa de estudios para la observación in situ en los centros sanitarios de los usos lingüísticos utilizados en la redacción y edición de la documentación de interés clínico, en virtud de un Convenio existente por el que el Departamento de Sanidad y Seguridad Social y el Consorcio Sanitario de Barcelona se comprometían a llevar a cabo las acciones necesarias para fomentar el uso del catalán por los centros, servicios y establecimientos dependientes de la Generalitat de Catalunya.

El responsable del archivo de cada Hospital seleccionó aleatoriamente un número de historias y el acceso a la documentación se produjo siempre en las dependencias del Hospital y en presencia del responsable del archivo, que se aseguró de que los datos de carácter personal de las historias no se incorporaran a ningún otro documento durante el proceso de análisis de la documentación.

Ante estos hechos la Agencia Española de Protección de Datos consideró que se había producido una vulneración del deber de secreto del Hospital ya que quedó acreditado que facilitó documentos de pacientes sin disociar y sin contar con el consentimiento expreso de los pacientes, e impuso una multa de 60.101,21 € a cada uno de estos Hospitales.

Ahora estas Resoluciones han quedado anuladas por la Audiencia Nacional que, aunque reconoce que se ha producido una vulneración del deber de secreto, ha estimado los recursos interpuestos por los Hospitales, basándose en la ausencia de culpabilidad, ya que el Hospital tenía “conciencia clara de estar actuando con arreglo a la normativa aplicable en materia de protección de datos puesto que tanto las administraciones organizadoras del estudio como la empresa encargada de realizar el trabajo de campo le ofrecieron las máximas garantías sobre la acomodación a la ley y dicho ofrecimiento de garantías pudieron inducir a error a la empresa recurrente que no consideró necesario incrementar dichas garantías procediendo a la anonimización de las historias más allá de los términos en que se realizó”.

Es obvio que en este caso, el acceso se tendría que haber permitido una vez que se hubieran disociado todas las historias de manera que la empresa encargada de realizar el estudio no pudiera tener conocimiento de los datos del paciente. Sin embargo, es de reseñar que las condiciones en las que se produce tal acceso permiten entender que los Hospitales creyeron estar actuando correctamente, por lo que la Audiencia ha considerado que no concurre el principio de culpabilidad.