Acerca de operadores lógicos
Última revisión
01/09/2023
Resolución de la Agencia Española de Protección de Datos AI-00308-2022 de 23 de marzo de 2023
GPT Iberley IA
Copiloto jurídico
Relacionados:
Tiempo de lectura: 77 min
Órgano: Agencia Española de Protección de Datos
Fecha: 23/03/2023
Num. Resolución: AI-00308-2022
Cuestión
1 / 32Expediente N.º: AI/00308/2022
RESOLUCIÓN DE ARCHIVO DE ACTUACIONES
De las actuaciones practicadas por la Agencia Española de Protección de Da -
tos y teniendo como base los siguientes:
PRIMERO : Con fecha 23 de febrero de 2021, se recibió escrito en la Agencia Españo -
la de...
Contestacion
1/32
? Expediente N.º: AI/00308/2022
RESOLUCIÓN DE ARCHIVO DE ACTUACIONES
De las actuaciones practicadas por la Agencia Española de Protección de Datos
y teniendo como base los siguientes:
PRIMERO: Con fecha 23 de febrero de 2021, se recibió escrito en la Agencia Española
de Protección de Datos remitido por la FISCALIA SUPERIOR DEL PRINCIPADO
DE ASTURIAS contra DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL,
S.L. (en adelante, el reclamado, DENTOESTETIC o DENTIX)
En este escrito la Fiscalía del TSJ de Asturias traslada testimonio de las actuaciones
practicadas por la Consejería de Salud de Principado, que arrojan dudas sobre
la integridad y seguridad de la documentación clínica depositada, tras el cierre de actividad
, en los locales utilizados por DENTIX en las localidades de Oviedo, Gijón y Mieres.
Según se indica, la entidad incumplió, entre otras, la obligación de entregar un
proyecto-memoria sobre la gestión de la documentación sanitaria personal.
Documentación relevante aportada por el reclamante:
- Copia de ?Informe de Actuaciones Previas Dentoestetic Centro de Salud y Estética
Dental, S.L. DENTIX OVIEDO?, con fecha 25 de noviembre de 2020, de la Consejería
de Salud del Principado de Asturias, donde consta entre otras cuestiones:
?[?]
I. ANTECEDENTES DE HECHO
1. La sociedad Dentoestetic Centro de Salud y Estética Dental S.L., con NIF:
B83409797, ostenta en nuestra Comunidad Autónoma la titularidad de tres clínicas
dentales ubicadas en Oviedo (calle Uría, 1-Bajo), Gijón. (calle Corrida, 59 -Bajo) y Mieres
(calle Doce de Octubre, 22-Bajo).
2. El centro DENTIX Oviedo cuenta con autorización de funcionamiento desde
el año 2014, estando inscritos en Registro de Centros y Servicios Sanitarios con el número
C.2.5.1/4195.
3. Con fecha 9 de junio de 2020 tiene entrada en este servicio escrito del Colegio
Oficial de Odontólogos y Estomatólogos de Asturias, sobre la situación de "concurso
voluntario o preconcurso" de Ia empresa DENTIX y los perjuicios que podría acarrear
para los pacientes. (anexo I)
4. Ante ello, el 10 de junio se remite escrito al Director Técnico del centro, Dª.
A.A.A. solicitando información al respecto (anexo II). En la información que remite, informa
que el centro continúa abierto y que renuncia a la dirección técnica al encontrarse
de baja (anexo III). La Dirección Técnica es entonces asumida por D. B.B.B.
(anexo IV).
5. Ante las noticias aparecidas en prensa con el fin de verificar la situación del
centro y comprobar qué actividad estaba desarrollando, pues no se había recibido
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
2/32
contestación al correo remitido anteriormente, el día 22 de junio se realiza una visita
de inspección, levantándose el Acta nº: 15072, a la vez que se informa verbalmente al
director técnico de la responsabilidad que en materia- de custodia de documentación
clínica les corresponde, (anexo IV).
6. Las nuevas noticias aparecidas en la prensa sobre un posible cierre empresarial
de la entidad a nivel nacional, motivaron que el día 6 de octubre se realizará una
nueva visita a Dentix Oviedo para recordar personalmente la responsabilidad en materia
de custodia de. documentación clínica y el deber de remitir información a esta Consejería
: en caso de cierre o cese de actividad. Posteriormente se remite un correo
electrónico en este sentido. (anexo VI)
7. En esa misma fecha, 6 de octubre, desde la Dirección General de Política y
Planificación Sanitarias se envía a la sede social de la sociedad titular de los centros,
escrito en el que se le recuerda el contenido del artículo 22 del Decreto 55/2014, de 28
de mayo (anexo VII).
8. El 12 de noviembre se tiene conocimiento, a través de la directora del centro
Dentix de Mieres, del correo electrónico enviado Ia tarde anterior por. D. C.C.C., representante
de Ia entidad, al personal de las clínicas, en el que se les comunica, ante la
decIaración del concurso de acreedores por parte del Juzgado de lo Mercantil número
2 de Madrid, el cierre temporal de los centros al finalizar la jornada del viernes día 13
de noviembre (anexo VIII). Ante esta situación se contacta, vía correo electrónico, con
el director técnico del centro (anexo IX), del que posteriormente se recibe información
sobre el lugar donde queda depositada la documentación clínica tras el cierre, ya la
persona con la que se puede contactar para acceder al local, pues comunica se encuentra
de baja y renuncia a la dirección técnica. (anexo X).
9. El lunes 16 de noviembre se comprueba personalmente el cierre del centro y
la información que figura en su puerta comunicando el cierre y un teléfono 900 de contacto
(anexo XI).
10. Se comprueba que el número de teléfono de contacto continúa informando
de citas, horarios y tratamiento, no facilitando ningún tipo de información diferente a la
que venía ofreciendo antes del cierre del centro.
11. Hasta la fecha, no se ha recibido comunicación alguna sobre el cierre del
centro, por parte de su titular Dentoestetic Centro de Salud y Estética Dental S.L.
III. CONCLUSIONES
Dentoestetic Centro de Salud y Estética Dental S.L. con documento nº
B83409797, titular del centro sanitario Clínicas dentales, denominado Dentix, situado
en Oviedo (Calle Uría, 1-Bajo), con el NRS: C.2.5.1/4195, ha incumplido las siguientes
obligaciones:
1. Comunicar el cierre del centro sanitario a la Consejería de Salud, para proceder
a su baja del Registro de Centros y Servicios Sanitarios, y presentar un proyecto-memoria
que refleje la gestión de las instalaciones y equipamientos, así como de la
documentación de carácter sanitario personal y/o de interés epidemiológico o histórico
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
3/32
(artículo 22 del Decreto 55/2014, de 28 mayo).
2. Garantizar la custodia y confidencialidad de la documentación clínica (punto
9 Anexo Decreto 55/2014, de 28 mayo).
3. No garantizar el acceso de los usuarios a su documentación clínica, de forma
ágil y eficaz, con la repercusión en la salud que implica.
4. Haber sido interrumpidos todos los tratamientos en curso, con riesgo para la
salud.
IV. PROPUESTA
Apertura de expediente sancionador al titular del centro sanitario DENTIX Oviedo
, Dentoestetic Centro de Salud y Estética Dental S.L. con documento nºB83409797,
al considerar que los hechos descritos en las conclusiones pueden encuadrarse como:
- Respecto a los. puntos 1 y 2 de las conclusiones; Dos Infracciones Graves,
conforme a lo dispuesto en el artículo 150.e).de la Ley del Principado de Asturias
7/2019, de 29. de marzo, de Salud, por inobservancia de la normativa sanitaria vigente.
- Respecto a los puntos 3 y 4 de las conclusiones: Dos Infracciones muy graves
, como recoge el artículo 149 c) de la Ley del Principado de Asturias 7/2019, de 29
de marzo, de Salud, "el incumplimiento de las obligaciones establecidas por las normas
reguladoras de las condiciones materiales y funcionales mínimas de los centros,
servicios y establecimientos sanitarios, siempre que este produzca daño grave en la
salud de pacientes, usuarios o profesionales??
- Copia de ?Informe de Actuaciones Previas Dentoestetic Centro de Salud y Estética
Dental, S.L. DENTIX GIJÓN? con fecha 25 de noviembre de 2020 de la Consejería
de Salud del Principado de Asturias, donde consta entre otras cuestiones:
?[?]
I. ANTECEDENTES DE HECHO
1. La sociedad Dentoestetic Centro de Salud y Estética Dental S.L., con NIF:
B83409797, ostenta en nuestra Comunidad Autónoma la titularidad de tres clínicas
dentales ubicadas en Oviedo (calle Uría, 1-Bajo), Gijón. (calle Corrida, 59 -Bajo) y Mieres
(calle Doce de Octubre, 22-Bajo).
2. El centro DENTIX Gijón cuenta con autorización de funcionamiento desde el
año 2014, estando inscritos en Registro de Centros y Servicios Sanitarios con el número
C.2.5.1/4132.
3. Con fecha 9 de junio de 2020 tiene entrada en este servicio escrito del Colegio
Oficial de Odontólogos y Estomatólogos de Asturias, sobre la situación de "concurso
voluntario o preconcurso" de Ia empresa DENTIX y los perjuicios que podría acarrear
para los pacientes. (anexo I)
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
4/32
4. Ante ello, el 10 de junio se remite escrito al Director Técnico del centro, D.
D.D.D., solicitando información al respecto (anexo II)
5. Ante las noticias aparecidas en prensa con el fin de verificar la situación del
centro y comprobar qué actividad estaba desarrollando, pues no se había recibido
contestación al correo remitido anteriormente, eI día 23 de junio se realiza una visita
de inspección, levantándose el Acta nº: 15074, a la vez que se informa verbalmente al
director técnico de la responsabilidad que en materia- de custodia de documentación
clínica les corresponde, (anexo III). La contestación al correo del día 10 de junio se recibe
tras la visita efectuada (aneto IV).
6. El día 6 de octubre, desde la Dirección General de Política y Planificación
Sanitarias se envía a la sede social de la sociedad titular de los centros, escrito en el
que se le recuerda el contenido del artículo 22 del Decreto 55/2014, de 28 de mayo
(anexo V).
7. Las nuevas noticias aparecidas en la prensa sobre un posible cierre empresarial
, motivan que el día 7 de octubre se realice una nueva visita al centro para recordar
personalmente la responsabilidad en materia de custodia de. documentación clínica
y el deber de remitir información a esta Consejería: en caso de cierre o cese de actividad.
Al no estar en el centro ni el director técnico ni el del centro, se remite un correo
electrónico en este sentido. (anexo VI).
8. El 12 de noviembre se tiene conocimiento, a través de la directora del centro
Dentix de Mieres, del correo electrónico enviado Ia tarde anterior por. D. C.C.C., representante
de Ia entidad, al personal de las clínicas, en el que se les comunica, ante la
decIaración del concurso de acreedores por parte del Juzgado de lo Mercantil número
2 de Madrid, el cierre temporal de los centros al finalizar la jornada del viernes día 13
de noviembre (anexo VII). Ante esta situación se contacta, vía correo electrónico, con
el director técnico (anexo VIII), quien remite información sobre la ubicación de la documentación
clínica en el centro tras el cierre. Posteriormente esta información es ampliada
por una de las odontólogas del centro. (anexos IX y X).
9. El lunes 16 de noviembre se comprueba personalmente el cierre del centro y
la información que figura en su puerta comunicando el cierre y un teléfono 900 de contacto
(anexo XI).
10. Se comprueba que el número de teléfono de contacto continúa informando
de citas, horarios y tratamiento, no facilitando ningún tipo de información diferente a la
que venía ofreciendo antes del cierre del centro.
11. Hasta la fecha, no se ha recibido comunicación alguna sobre el cierre del
centro, por parte de su titular Dentoestetic Centro de Salud y Estética Dental S.L.
III. CONCLUSIONES
Dentoestetic Centro de Salud y Estética Dental S.L. con documento nº
B83409797, titular del centro sanitario C.2.5.1 Clínicas dentales, denominado Dentix,
situado en Gijón (Calle Corrida, 59-Bajo), ha incumplido las siguientes obligaciones:
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
5/32
1. Comunicar el cierre del centro sanitario a la Consejería de Salud, para proceder
a su baja del Registro de Centros y Servicios Sanitarios, y presentar un proyecto-memoria
que refleje la gestión de las instalaciones y equipamientos, así como de la
documentación de carácter sanitario personal y/o de interés epidemiológico o histórico
(artículo 22 del Decreto 55/2014, de 28 mayo).
2. Garantizar la custodia y confidencialidad de la documentación clínica (punto
9 Anexo Decreto 55/2014, de 28 mayo).
3. No garantizar el acceso de los usuarios a su documentación clínica, de forma
ágil y eficaz, con la repercusión en la salud que implica.
4. Haber sido interrumpidos todos los tratamientos en curso, con riesgo para la
salud.
IV. PROPUESTA
Apertura de expediente sancionador al titular del centro sanitario DENTIX Gijón
, Dentoestetic Centro de Salud y Estética Dental S.L. con documento nºB83409797,
al considerar que los hechos descritos en las conclusiones pueden encuadrarse como:
- Respecto a los. puntos 1 y 2 de las conclusiones; Dos Infracciones Graves,
conforme a lo dispuesto en el artículo 150 e) de la Ley del Principado de Asturias
7/2019, de 29. de marzo, de Salud, por inobservancia de la normativa sanitaria vigente.
- Respecto a los puntos 3 y 4 de las conclusiones: Dos Infracciones muy graves
, como recoge el artículo 149 c) de la Ley del Principado de Asturias 7/2019, de 29
de marzo, de Salud "el incumplimiento de las obligaciones establecidas por las normas
reguladoras de las condiciones materiales y funcionales mínimas de los centros, servicios
y establecimientos sanitarios, siempre que este produzca daño grave en la salud
de pacientes, usuarios o profesionales??
- Copia de ?Informe de Actuaciones Previas Dentoestetic Centro de Salud y Estética
Dental, S.L. DENTIX MIERES? con fecha 25 de noviembre de 2020 de la Consejería
de Salud del Principado de Asturias, donde consta entre otras cuestiones:
?[?]
I. ANTECEDENTES DE HECHO
1. La sociedad Dentoestetic Centro de Salud y Estética Dental S.L., con NIF:
B83409797, ostenta en nuestra Comunidad Autónoma la titularidad de tres clínicas
dentales ubicadas en Oviedo (calle Uría, 1-Bajo), Gijón. (calle Corrida, 59 -Bajo) y Mieres
(calle Doce de Octubre, 22-Bajo).
2. El centro DENTIX Mieres se encuentra inscrito en el Registro de Centros y
Servicios de nuestra comunidad autónoma con el NRS: C.2.5.1/6235 (Resolución de 5
de febrero de 2020).
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
6/32
3. Con fecha 9 de junio de 2020 tiene entrada en este servicio escrito del Colegio
Oficial de Odontólogos y Estomatólogos de Asturias, sobre la situación de "concurso
voluntario o preconcurso" de Ia empresa DENTIX y los perjuicios que podría acarrear
para los pacientes. (anexo I)
4. Ante ello, el 10 de junio se remite escrito a la Directora Técnica del centro,
Dª. E.E.E., solicitando información al respecto (anexo II). No se recibe contestación alguna.
5. Ante las noticias aparecidas en prensa con el fin de verificar la situación del
centro y comprobar qué actividad estaba desarrollando, pues no se había recibido
contestación al correo remitido anteriormente, eI día 23 de junio se realiza una visita
de inspección, levantándose el Acta nº: 15073. Se me informa que la Directora Técnica
no se ha reincorporado del ERTE, por lo que informo verbalmente a la directora del
centro, Dª F.F.F. de su responsabilidad en materia de custodia de documentación clínica
(anexo III).
6. El día 6 de octubre, desde la Dirección General de Política y Planificación
Sanitarias se envía a la sede social de la sociedad titular de los centros, escrito en el
que se le recuerda el contenido del artículo 22 del Decreto 55/2014, de 28 de mayo
(anexo IV).
7. Las nuevas noticias aparecidas en la prensa sobre un posible cierre empresarial
de la entidad a nivel nacional, motivaron que el día 8 de octubre se realizara una
nueva visita a Dentix Mieres para recordar personalmente la responsabilidad en materia
de custodia de documentación clínica y el deber de remitir información a esta Consejería
: en caso de cierre o cese de actividad del centro. Posteriormente se remite un
correo electrónico en este sentido. (anexo V)
8. El 12 de noviembre se tiene conocimiento, a través de la directora de este
centro, del correo electrónico enviado Ia tarde anterior por. D. C.C.C., representante
de Ia entidad, en el que se les comunica, ante la decIaración del concurso de acreedores
por parte del Juzgado de lo Mercantil número 2 de Madrid, el cierre temporal de
los centros al finalizar la jornada del viernes día 13 de noviembre (anexo VI) a la vez
que se remite información sobre la ubicación donde quedará depositada la documentación
clínica tras el cierre. (anexo VII).
9. El lunes 16 de noviembre se comprueba personalmente el cierre del centro y
la información que figura en su puerta comunicando el cierre y un teléfono 900 de contacto
(anexo VIII).
10. Se comprueba que el número de teléfono de contacto continúa informando
de citas, horarios y tratamiento, no facilitando ningún tipo de información diferente a la
que venía ofreciendo antes del cierre del centro.
11. Hasta la fecha, no se ha recibido comunicación alguna sobre el cierre del
centro, por parte de su titular Dentoestetic Centro de Salud y Estética Dental S.L., tal y
como la legislación vigente establece.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
7/32
III. CONCLUSIONES
Dentoestetic Centro de Salud y Estética Dental S.L. Con documento nº
B83409797, titular del çentro sanitario C.2.5.1 Clínicas dentales, denominado Dentix,
situado en Mieres (Calle Doce de Octubre, 22-Bajo), ha incumplido las siguientes obligaciones
:
1. Comunicar el cierre del centro sanitario a la Consejería de Salud, para proceder
a su baja del Registro de Centros y Servicios Sanitarios, y presentar un proyecto-memoria
que refleje la gestión de las instalaciones y equipamientos, así como de la
documentación de carácter sanitario personal y/o de interés epidemiológico o histórico
(artículo 22 del Decreto 55/2014, de 28 mayo).
2. Garantizar la custodia y confidencialidad de la documentación clínica (punto
9 Anexo Decreto 55/2014, de 28 mayo).
3. No garantizar el acceso de los usuarios a su documentación clínica, de forma
ágil y eficaz, con la repercusión en la salud que implica.
4. Haber sido interrumpidos todos los tratamientos en curso, con riesgo para la
salud.
IV. PROPUESTA
Apertura de expediente sancionador al titular del centro sanitario DENTIX Mieres
, Dentoestetic Centro de Salud y Estética Dental S.L. con documento nºB83409797,
al considerar que los hechos descritos en las conclusiones pueden encuadrarse como:
- Respecto a los. puntos 1 y 2 de las conclusiones; Dos Infracciones Graves,
conforme a lo dispuesto en el artículo 150.e).de la Ley del Principado de Asturias
7/2019, de 29. de marzo, de Salud, por inobservancia de la normativa sanitaria vigente.
- Respecto a los puntos 3 y 4 de las conclusiones: Dos Infracciones muy graves
, como recoge el artículo 149 c) de la Ley del Principado de Asturias 7/2019, de 29
de marzo, de Salud "el incumplimiento de las obligaciones establecidas por las normas
reguladoras de las condiciones materiales y funcionales mínimas de los centros, servicios
y establecimientos sanitarios, siempre que este produzca daño grave en la salud
de pacientes, usuarios o profesionales??
- Copia del Decreto, en el contexto de las ?DILIGENCIAS DE INVESTIGACIÓN
8/21? de la FISALÍA SUPERIOR DEL PRINCIPADO DE ASTURIAS fechado
a 10 de febrero de 2021 y firmado por el Sr. Fiscal, donde consta:
?HECHOS
PRIMERO. Las presentes Diligencias de Investigación fueron incoadas a raíz
de recibir en Fiscalía una comunicación de la Secretaría General Técnica de la Consejería
de Salud del Principado de Asturias, poniendo en conocimiento las dudas razonables
acerca de la integridad y seguridad de la documentación clínica que, al parecer,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
8/32
se encuentra depositada en los locales que utilizaba para su actividad sanitaria la entidad
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL S.L. sitos en las localidades
de Oviedo, Gijón y Mieres tras el cese de su actividad derivado del concurso
de acreedores en el que se halla la citada entidad.
[?]
FUNDAMENTOS DE DERECHO
PRIMERO. De conformidad con lo dispuesto en el artículo 773.2 de la L.E.-
Crim., en su redacción dada tras la reforma de 15 de Octubre de 2.002, cuando el Ministerio
Fiscal tenga noticia de un hecho aparentemente delictivo, bien directamente o
por serle presentada denuncia o atestado, practicará él mismo u ordenará a la Policía
Judicial que practique las diligencias imprescindibles para la averiguación de los hechos
denunciados, e instará en su caso del Juez de Instrucción competente la incoación
del procedimiento que corresponda con remisión de lo actuado, o bien el archivo
en caso contrario.
SEGUNDO. En el caso de Autos, aun cuando no se señala en el escrito remitido
a la Fiscalía el tipo penal del que pudieran ser constitutivos los hechos, lo cierto es
que éstos no tienen cobertura penal en tipo penal alguno. Y ello en la medida en que
sólo podrían tener encaje, en un principio, en los delitos contemplados en los artículos
197 y siguientes del Código Penal, relativos al descubrimiento y revelación de secretos
, pero una vez analizada toda la documentación esta subsunción en el tipo no es
posible y ello porque se adoptó por parte de la entidad DENTIX todas las medidas a
su alcance para garantizar la integridad y seguridad de la documentación clínica existente
en sus sedes de Oviedo, Gijón y Avilés.
En primer lugar, porque las tres sedes estuvieron siempre cerradas con llave,
de tal manera que se imposibilitó el acceso de cualquier tercero a las dependencias de
la entidad y, de este modo, a la documentación clínica de los pacientes. En segundo
lugar, porque en cada centro, con las peculiaridades que se especificarán, se adoptaron
diferentes medidas para garantizar a su vez, dentro de cada sede, la integridad y
el acceso de la respectiva documentación. Así, en Oviedo toda la documentación se
encuentra "en ficheros y cajas de cartón en el gabinete número 8 del subsuelo en el
despacho 2?, en Gijón "en ficheros y cajas de cartón en la planta superior del centro, y
desde el verano de 2.016 en la aplicación Clinic Cloud y en Mieres "en ficheros en papel
y en digital bajo llave en el centro". De estas medidas de cada centro podemos
concluir que, como se dijo no sólo se impide el acceso a cada centro porque están cerrados
con llave, sino que una vez en su interior no es posible el acceso a la documentación
; o bien por estar en una planta superior, o bien por estar en el subsuelo o bien,
a su vez, bajo llave, debiéndose destacar que tanto en Gijón como en Mieres parte de
la documentación se encuentra protegida también gracias a su formato digital. En tercer
lugar, tal y como se recomendó a cada centro por un correo electrónico interno, se
pegaron en las puertas de acceso de las tres sedes carteles informando que los centros
se encuentran cerrados. En cuarto y último lugar, la propia Consejería, a través de
las inspecciones realizadas en las tres sedes pudo comprobar, tal y como consta en
las respectivas actas, que la situación de la documentación es la aquí referida.
En consecuencia, los responsables de la documentación la han custodiados
adoptando todas las medias a su alcance para impedir el acceso o manipulación por
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
9/32
parte de terceros.
Atendiendo a lo expuesto, PROPONGO el ARCHIVO de las presentes DILIGENCIAS
DE INVESTIGACIÓN, sin perjuicio de las responsabilidades administrativas
a que hubiera lugar, así como del testimonio de las presentes diligencias a la Agencia
Española de Protección de Datos por si los hechos aquí investigados pudieran tener
alguna relevancia.?
SEGUNDO: Con fecha 1 de marzo de 2021, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada.
Posteriormente, se presentaron más de 40 reclamaciones por falta de atención
al ejercicio de los Derechos reconocidos en el Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos), por parte de pacientes de la reclamada, recibidos
a partir de noviembre de 2021. Los reclamantes manifiestan que han solicitado copia
de su historia clínica y no han recibido contestación de la parte reclamada.
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo
57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad
con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD.
Con fecha 10 de agosto de 2022, se declaró la caducidad de las actuaciones
previas de investigación iniciadas, al ser necesario completarlas.Teniendo conocimiento
de los siguientes extremos:
Solicitada información a la entidad reclamada, con fecha 8 de abril de 2021, INVERSIONES
ODONTOLÓGICAS 2016, S.L. remite a esta Agencia la siguiente información
y manifestaciones:
1. ?La autorización del Juzgado en relación con Dentix se limita a la adquisición
, por parte de entidades vinculadas a Advent (el "Grupo Adquirente"), de ciertas
clínicas dentales vinculadas a Dentix, pero no la totalidad de ellas, y a la asunción de
ciertos compromisos relacionados con tratamientos en curso de pacientes individuales.
El objeto de la operación ha sido:
? La adquisición de 76 clínicas, cada una de las cuales es una unidad productiva
autónoma que pertenecía a Dentix.
[?]
Por tanto, podrán existir pacientes con los que el grupo adquirente no tendrá
ningún tipo de relación de prestación de servicios.?
2. ?El Auto del Juzgado aprobando la adquisición de las 76 clínicas anteriormente
mencionadas fue dictado el día 15 de febrero de 2021, formalizándose la
compra y resto de obligaciones mercantilmente asumidas entre el Grupo Adquirente y
Dentix el 1 de marzo de 2021.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
10/32
Por tanto, es a partir del 1 de marzo de 2021 cuando el Grupo Adquirente toma
la posición de responsables del tratamiento de los datos de los pacientes respecto de
los cuales han asumido la obligación de prestar los servicios dentales en su propio
nombre.?
3. ?El Grupo Adquirente ha establecido una dirección de correo electrónico
en la que los pacientes a los que se haya comprometido a finalizar en su propio nombre
, los servicios dentales de Dentix, podrán ejercitar su derecho de acceso a la historia
clínica, así como cualesquiera otros derechos previstos en la normativa de protección
de datos personales.
Todos los pacientes de los que se haga cargo el Grupo Adquirente recibirán
una comunicación informándoles de la operación, así como de la política de privacidad
de la entidad responsable del tratamiento que pasará a prestarles los servicios dentales
, informándoles de la dirección en la que podrán ejercitar sus derechos.?
4. ?Hasta el escrito de solicitud de información de la AEPD, el Grupo Adquirente
no ha tenido conocimiento de ninguna solicitud de ejercicio de derecho de acceso
a la historia clínica que no haya sido atendida por parte de Dentix.
Ante la puesta en conocimiento por parte de la AEPD de este hecho, se ha solicitado
a Dentix que facilite copia de todas las reclamaciones relativas a los pacientes
en los que el Grupo Adquirente haya asumido obligaciones de terminación de los servicios
dentales en su propio nombre, recibidas desde el 1 de marzo de 2021.
Una vez que el Grupo Adquirente reciba esta información por parte de Dentix,
se procederá a atender escrupulosamente en tiempo y forma todas las solicitudes de
acceso a la historia clínica.?
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 12 de marzo de 2021, ACCOUNT CONTROL-IUS & AEQUITAS ADMINISTRADORES
CONCURSALES SLP (en adelante, IUS) como administrador concursal
de la entidad DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L.
remite a esta Agencia la siguiente información y manifestaciones:
1. Que con fecha 20 de noviembre de 2020, se dictó Auto por el juzgado
de lo Mercantil número dos de Madrid, en virtud del cual se acordaba la declaración de
concurso ordinario de la Mercantil CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L.U.
Que dicho Auto acordaba nombrar a IUS como administrador concursal.
2. Que todas las clínicas de DENTIX se cerraron al público en el mes de
noviembre de 2020 debido a la situación de insolvencia de la compañía. Que DENTIX
contaba con más de 200 clínicas propias repartidas por toda España y con unos
100.000 pacientes en tratamiento en la fecha de la declaración del concurso de acreedores.
3. Que la concursada ha recibido miles de solicitudes de historias clínicas
de pacientes en toda España. Que la concursada no puede hacer frente a las mismas
porque no dispone de medios técnicos ni humanos para ello.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
11/32
4. ?[?]En el seno del concurso de acreedores, el fondo de inversión propietario
de una de las cadenas dentales más grandes que hay en España, ha presentado
una oferta por 76 de las clínicas de Dentix. Todo el personal de estas clínicas está
tratando de dar soporte a las solicitudes de los pacientes con los medios que tiene,
tanto a nivel odontológico, como a nivel consumidor. Las clínicas facilitan los historiales
a todos los pacientes que lo solicitan, pero es absolutamente imposible, que todos
esos ejercicios de derecho de acceso sean atendidos en el plazo de 30 días y menos
aún, cuando existen clínicas con muy poco personal, debido a la pandemia, el concurso
de acreedores y el ERE, a los que se suman miles de pacientes solicitando sus historiales
en muy breve espacio de tiempo.
No obstante, Dentix tiene la voluntad de contestar todos los derechos que se
ejerzan sobre los datos de los que fuera titular, dentro del plazo que le permita la situación
actual que atraviesa la entidad [?]?
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 30 de abril de 2021, IUS como administrador concursal de la entidad
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. remite a esta
Agencia la siguiente información y manifestaciones:
1. Que ADVENT INTERNATIONAL, propietaria de VITALDENT, ha adquirido
a través de AI DENMARK BIDCO, S.L. 76 clínicas DENTIX. Que AI DENMARK BIDCO
, S.L. es titular de esas 76 clínicas desde el 1 de marzo de 2021.
2. Que AI DENMARK BIDCO, S.L. es responsable de las historias clínicas
en algunos supuesto y solo encargado en otros.
3. Que se ha alcanzado un acuerdo con la empresa NORMADAT, S.A.,
para que se encargue de la retirada y custodia de los historiales clínicos físicos de los
pacientes de todas aquellas clínicas que no se han abierto al público.
Acompaña copia de una oferta fechada el 7 de enero de 2021 de NORMADAT,
S.A., a DENTOESTETIC y aceptada y firmada por ésta última donde consta en el
apartado de ?OBJETO Y ALCANCE DEL SERVICIO? y ?DESCIPCIÓN DEL SERVICIO?
:
a. ?El objeto de la presente oferta es la recogida, inventario, custodia y
gestión externa de historias clínicas de DENTIX en las instalaciones de custodia PREMIUM
de Normadat.?
b. ?Normadat recogerá la documentación por medios propios en las instalaciones
de DENTIX (salvo en el caso de Canarias). Nuestros vehículos están acondicionados
para el transporte seguro de documentación. Todos cuentan con geolocalizador
y cierre de seguridad?
c. NORMADAT, S.A. recogerá una estimación de 1.200.000 historias clínicas
de 132 clínicas Dentix cerradas usando vehículos acondicionados para el transporte
seguro.
Consta un listado de 132 clínicas, las cuales se han contrastado con los listados
de clínicas NO UPAs aportados en los contratos y se comprueba que coinciden
sendos listados en prácticamente todas las clínicas.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
12/32
d. Que NORMADAT se encargará asimismo de la apertura y cierre de
cada clínica.
e. Que las historias clínicas se extraerán de los muebles donde están alojados
y se introducirán en contenedores especiales para documentación.
f. La custodia de las historias clínicas con cumplimiento de ISO 27001:
Seguridad de la Información.
g. Bajo petición, se localizarán historias clínicas solicitadas por usuarios
autorizados y se entregará el original a las oficinas centrales de DENTIX, o bien en la
clínica que se determine o bien se digitalizará y se subirá a un repositorio o bien se enviará
cifrada por correo electrónico.
En los apartados 6 y 7 constan las siguientes medidas de seguridad física y lógica
, entre otras:
Edificios independientes.
Dedicación exclusiva a tratamiento de la información.
Circuito cerrado de televisión.
Conexión permanente con Central Receptora de Alarmas.
Cañones de infrarrojos y otros sistemas similares para la detección de intrusión.
Los edificios han sido construidos con material ignífugo.
Detección de incendios y Extinción automática de incendios por gas.
Grupo electrógeno.
Control de accesos.
Protección contra la humedad.
Seguridad de la información según ISO 27001 y conforme al RGPD, según se
manifiesta.
4. Aporta capturas de pantalla de solicitudes de correos electrónicos recibidos
correspondientes a solicitudes de acceso a historias clínicas. Que la fecha más
antigua es 13 de noviembre de 2020 y la más actual 25 de abril de 2021.
5. Que no es posible conocer el número total de solicitudes de acceso a
historia clínica recibidas dado que algunas se remitían por email utilizando algunas direcciones
de correo electrónico de DENTIX no válidos, otras por correo postal a las oficinas
centrales y a las clínicas, otras al buzón de notificaciones telemáticas 060, otras
directamente desde los Juzgados, etc. Que, debido a la insolvencia de la compañía,
tanto las oficinas centrales como las clínicas han estado cerradas durante varias semanas
por lo que muchas solicitudes ni siquiera se han recibido o se recibieron, pero
no se llegaron a tramitar con motivo de que la gran mayoría del personal ha estado
afectado por un ERTE y posteriormente por un ERE.
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 6 de octubre de 2021, IUS como administrador concursal de la entidad
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. remite a esta
Agencia la siguiente información y manifestaciones:
1. Que la fase de liquidación, desde el pasado 23 de abril de 2021, de
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. no ha concluido.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
13/32
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 29 de octubre de 2021, IUS como administrador concursal de la entidad
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. remite a esta
Agencia la siguiente información y manifestaciones:
1. Que AI DENMARK BIDCO S.L. y ADMINISTRADORA DE ARCHIVOS
S.A., son los responsables de la custodia de las historias clínicas y de las solicitudes
del derecho de acceso a los datos de la entidad concursada DENTOESTETIC CENTRO
DE SALUD Y ESTÉTICA DENTAL, S.L.
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 10 de febrero de 2022, IUS como administrador concursal de la entidad
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. remite a esta
Agencia la siguiente información y manifestaciones:
1. Que en respuesta a quién es el responsable del tratamiento de las historias
clínicas de DENTOESTETIC y sus cambios, desde el 1 de octubre de 2020 hasta
el momento de contestación del requerimiento, manifiesta que el responsable del tratamiento
es DENTOESTETIC, en base al consentimiento recabado de los pacientes al
darle de alta con el formulario de clínica.
2. Que, según se le ha manifestado por la concursada, DENTOESTETIC,
al menos hasta el 1 de marzo de 2021, la encargada del tratamiento era PRICEWATERHOUSECOOPERS
(en adelante PWC), sin que haya podido ser recabada documentación
que lo acredite. Que no ha sido aportada por el Administrador social de la
concursada D. C.C.C. ni por el contacto facilitado en PWC, ***EMAIL.1.
3. Que en respuesta al requerimiento ?Informe con las medidas de seguridad
técnicas y organizativas aplicadas a las historias clínicas de DENTOESTETIC
CENTRO DE SALUD Y ESTÉTICA DENTALS.L. incluyendo sus más de 200 clínicas,
desde 1 de octubre de 2020 hasta la fecha actual. Incluya la documentación que acredite
la fecha de implantación de dichas medidas. Aporte copia de posibles contratos
con encargados del tratamiento u otras entidades en relación a las medidas de seguridad.?.
Aporta un informe de 2 páginas con las medidas de seguridad aplicadas por
DENTOESTETIC a las historias clínicas desde el 1 de octubre de 2020, según manifiesta.
Únicamente constan medidas de seguridad para historias clínicas en formato digital.
No consta la fecha de aplicación de dichas medidas. Aporta asimismo otro documento
con logotipo de VITALDENT, fechado a 8 de febrero de 2022 en su primera versión
, con una extensión del contenido del documento de 3 páginas, y con medidas de
seguridad aplicadas por BIDCO a partir del 1 de marzo de 2021 al que se hace referencia
más adelante.
Aporta copia simple de la ?ESCRITURA DE ELEVACIÓN A PÚBLICO DE CONTRATO
PRIVADO DE COMPRAVENTA DE UNIDADES PRODUCTIVAS AUTÓNOMAS?
(UPA) con fecha 1 de marzo de 2021.
Aporta ?CONTRATO DEL COMPROMISO DE PRODUCCIÓN PENDIENTE
PARA PACIENTES NO-UPA FINANCIADOS? fechado el día 1 de marzo de 2021 don-
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
14/32
de consta:
1. Que DENTOESTETIC y NEOTECH CLINICAL S.L.U., son las cedentes
y BIDCO y las OPCOS (76 sociedades españolas íntegramente participadas por BIDCO
, según consta en el contrato) son las cesionarias.
2. Consta la siguiente definición:
"Pacientes No-UPA Financiados"
Significa los pacientes que se identifican en el Anexo 5 (Pacientes No-UPA Financiados
), siempre y cuando cumplan todas y cada una de las siguientes condiciones
:
(a) Ser un paciente de las Clínicas Dentix España NO Incluidas en el Perímetro
que no se hayan logrado transmitir a un tercero adquirente (o a las que en el seno del
Concurso no se haya decidido dar otra solución alternativa);
(b) ser un paciente cuyo tratamiento se encuentre en curso a la Fecha de! Contrato
y que dicho tratamiento se hubiese contratado en una fecha anterior al 21 de diciembre
de 2020 (el "Tratamiento en Curso")
(c) haber abonado a las Cedentes el importe correspondiente Tratamiento en
Curso (debiendo acreditar dicho abono el paciente) (el "Importe del Tratamiento en
Curso"), y que a la Fecha del Contrato no hubiese solicitado la devolución o reembolso
de todo o parte de dicho importe;
(d) haber financiado el Importe del Tratamiento en Curso mediante financiación
al consumo concedida al paciente por de las Entidades de Financiación al Consumo;
(e) no haber financiado el Importe del Tratamiento en Curso mediante financiación
?Pepper Flow"; y
(f) no haber financiado el Importe del Tratamiento en Curso mediante "Denticuotas"
cuyos derechos de crédito hubiesen sido posteriormente cedidos por las Cedentes
a Pepper Finance Corporation, S.L.U.
[?]?
3. En la cláusula 3.2. consta:
?3.2 Consentimiento Paciente No-UPA Financiado
La subrogación de las Cesionarias en la posición de las Cedentes bajo cada
uno de los Contratos con Pacientes No-UPA Financiados se producirá cuando les
conste consentimiento del correspondiente Paciente No-UPA Financiado aceptando la
referida subrogación [?]
[?]?
4. En la cláusula 3.7. consta:
?3.7 Entrega de los Datos Cedidos
[?]
La subrogación de las Cesionarias en Contratos con Pacientes No-UPA Financiados
conforme a lo previsto en la cláusula 3.2 (Consentimiento del Paciente No-UPA
Financiado) anterior implicará automáticamente la cesión de los Datos Cedidos a favor
de las Cesionarias, que pasarán a ser responsables del tratamiento de dichos datos.
[?]?
5. En la cláusula 6.1. consta:
?6. Protección de datos personales
6.1. Encargo del tratamiento de datos personales por las Cedentes.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
15/32
Para el envío de la información de privacidad incorporada en la cláusula 32, las Cedentes
estarán actuando como encargadas del tratamiento de las Cesionarias. [?]?
6. En el Anexo 5 consta:
?Pacientes NO-UPA Financiados
El contenido de este anexo consta íntegramente en el disco duro, pen-drive o
dispositivo de soporte electrónico equivalente debidamente encriptado a que se refiere
la cláusula 3.10 (Entrega del contando del Anexo 5) del Contrato.
El mismo debe reflejar que, a Fecha de Cierre, existen un total de aproximadamente
50.551 Pacientes No-UPA Financiados, [?]?
7. Consta una cláusula 6 ?Protección de datos personales? en relación al
clausulado relativo al encargo del tratamiento a las prestadoras del servicio y en relación
a las medidas de seguridad aplicables, las cuales constan en el Anexo 10.
Aporta ?CONTRATO DEL COMPROMISO DE PRODUCCIÓN PENDIENTE
PARA PACIENTES UPA NO FINANCIADOS? fechado el día 1 de marzo de 2021 donde
consta:
1. Que DENTOESTETIC y NEOTECH CLINICAL S.L.U. son las clientes y
BIDCO y las OPCOS son las prestadoras de los servicios.
2. Consta la siguiente definición:
?"Pacientes UPA No Financiados?
Significa los pacientes que se identifican en el Anexo 3 (Pacientes UPA No Financiados
), siempre y cuando sean pacientes de las UPAs que con anterioridad a la
Fecha del Contrato hubiesen abonado el importe de sus Tratamientos en Curso en
efectivo, o que no hubiesen financiado el pago de dichos tratamientos, o que lo hubiesen
financiado con cualquier otra entidad distinta de una de las Entidades de Financiación
al Consumo. A efectos aclaratorios y dada la deficiente información existente, la
omisión involuntaria de un concreto paciente en este Anexo 3 (Pacientes UPA No Financiados
), no implicará su exclusión como Paciente UPA No Financiado siempre que
dicho paciente acredite a las Prestadoras de los Servicios que reunía los requisitos anteriormente
descritos?
3. En la cláusula 3.2. consta:
?Consentimiento del Paciente UPA No Financiado
Las Prestadoras de los Servicios estarán obligadas a prestar los Servicios única
y exclusivamente cuando les conste el consentimiento expreso y por escrito del correspondiente
Paciente UPA No Financiado aceptando la terminación del Tratamiento
en Curso por las Prestadoras de Servicios en términos y condiciones de este Contrato.
[?]?
4. En la cláusula 3.9. consta:
?3.9 Información de los Pacientes UPA No Financiados
Tan pronto como conste la aceptación del Paciente UPA No Financiado a que se refiere
la cláusula 3.2 (Consentimiento del Paciente UPA NO Financiado) anterior y, en
todo caso, en un plazo máximo de dos (2) Días Hábiles desde dicho momento, las
Clientes entregarán a las Prestadoras de los Servicios copia de la documentación donde
conste la aceptación a que se refiere la cláusula 3,2 (Consentimiento del Paciente
UPA No Financiado) anterior.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
16/32
Asimismo, tan pronto como conste la aceptación del Paciente UPA No Financiado
a que se refiere la cláusula 3.2 (Consentimiento del Paciente UPA No Financiado
) anterior, las Prestadoras de los Servicios, como encargadas del tratamiento de las
Clientes, podrán acceder a toda aquella información y documentación histórica del Paciente
UPA No en cuestión, o relativa a su Tratamiento en Curso, que resulte necesaria
para la prestación de los Servicios y que se encuentre alojada en el CPD gestionado
por las Prestadoras de los Servicios.
Sin perjuicio de lo anterior, en caso de que alguna de la información y/o documentación
histórica de dichos Pacientes UPA No Financiados o relativa a su Tratamiento
en Curso, necesaria para la prestación de los Servicios, no estuviese digitalizada
y, por tanto, no estuviese alojada en el CPD gestionado por las Prestadoras de los
Servicios, las Clientes harán sus mejores esfuerzos para poner dicha información y/o
documentación a disposición de las Prestadoras de los Servicios, por cualquier medio.
No obstante, la falta de información no generará ninguna responsabilidad para
las Cedentes.
La subcontratación de los Servicios conlleva necesariamente el acceso por las
Prestadoras de los Servicios a datos personales de los Pacientes UPA No Financiados
en calidad de encargadas del tratamiento. Las Clientes seguirán siendo responsables
tratamiento de dichos datos personales [?]?
5. En la cláusula 6.1. consta:
?6. Protección de datos personales
6.1. Encargo del tratamiento de datos personales a las Prestadoras de Servicios.
Para prestar los Servicias objeto de este Contrato, las Prestadoras de los Servidos llevarán
a cabo determinadas actividades en calidad de encargadas del tratamiento, actuando
por cuenta de las Clientes que serán responsables del tratamiento de dichos
datos personales. [?]?
6. En el Anexo 3 consta:
?Pacientes UPA No Financiados
El contenido de este anexo consta íntegramente en el disco duro, pen-drive o
dispositivo de soporte electrónico equivalente debidamente encriptado a que se refiere
la cláusula 3.10 (Entrega del contando del Anexo 3) del Contrato.
El mismo debe reflejar que, a Fecha de Cierre, existen un total de aproximadamente
29.073 Pacientes No-UPA Financiados, [?]?
7. Consta una cláusula 6 ?Protección de datos personales? en relación al
clausulado relativo al encargo del tratamiento a las prestadoras del servicio y en relación
a las medidas de seguridad aplicables, las cuales constan en el Anexo 8.
Aporta ?CONTRATO DEL COMPROMISO DE PRODUCCIÓN PENDIENTE
PARA PACIENTES DC/PF? fechado el día 1 de marzo de 2021 donde consta:
1. Que DENTOESTETIC y NEOTECH CLINICAL S.L.U. son las clientes y
BIDCO y las OPCOS son las prestadoras de los servicios.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
17/32
2. Constan, entre otras, las siguientes definiciones en la cláusula 1.1:
?Pacientes DC/PF
Significa conjuntamente los pacientes que se identifican en el Anexo 5 (Pacientes
DC/PF), que según manifiesten las Clientes son los Pacientes UPA DC/PF y los
Pacientes No-UPA DC/PF que cumplan las siguientes condiciones: (i) a la Fecha del
Contrato tienen un tratamiento en curso; y (ii) antes de la Fecha del Contrato abonaron
a las Clientes el precio de su Tratamiento en Curso. A efectos aclaratorios y desde la
deficiente información existente, la omisión involuntaria de un concreto paciente en
este Anexo 5 (Pacientes DC/PF), no implicará su exclusión como Paciente DC/PF
siempre que dicho paciente acredite a las Prestadoras de los Servicios que reunía los
requisitos anteriormente descritos.?
?Pacientes No-UPA DC/PF
Significa los pacientes de las Clínicas Dentix España No Incluidas en el Perímetro
y que las Vendedoras no logren transmitir a terceros adquirentes (o a las que no
se les haya decidido dar otra solución alternativa en el seno del Concurso), y que hubiesen
financiado sus tratamientos con "Pepper Flow" o con ?Denticuotas" cuyos derechos
de crédito se hubiesen cedido posteriormente por las Vendedoras a Pepper.?
?Pacientes UPA DC/PF
Significa los pacientes de las UPAs que hubiesen financiado sus tratamientos
con ?Pepper Flow" o con ?Denticuotas" cuyos derechos de crédito se hubiesen cedido
posteriormente por las Vendedoras a Pepper.?
"Pacientes DC/PF Excluidos por Pepper" Significa: (a) los Pacientes DC/PF
que a la Fecha del Contrato se encuentran al corriente de las correspondientes cuotas
de "Denticuotas" o "Pepper Flow", según corresponda, pero respecto a los cuales, según
resulta de la Notificación Pepper adjunta a este Contrato, Pepper no ha solicitado
que su Tratamiento en Curso sea finalizado por las Prestadoras de los Servicios en los
términos acordados en este Contrato; y (b) los Pacientes DC/PF que con posterioridad
a la Fecha del Contrato Pepper decida excluir expresamente del conjunto de los Pacientes
DC/PF Cubiertos en virtud de futuras Notificaciones Pepper. "
3. En la cláusula 3.9. consta:
?3.9 Información de los Pacientes DC/PF Cubiertos
Tan pronto como conste la aceptación del Paciente DC/PF Cubierto a que se refiere la
cláusula 3.2 (Consentimiento del Paciente DC/PF Cubierto) anterior y, en todo caso,
en un plazo máximo de dos (2) Días Hábiles desde dicho momento, las Clientes entregarán
a las Prestadoras de los Servicios copia de la documentación donde conste la
aceptación a que se refiere la cláusula 3.2 (Consentimiento del Paciente DC/PF Cubierto
) anterior.
Asimismo, tan pronto como conste la aceptación del Paciente DC/PF Cubierto
a que se refiere la cláusula 3.2 (Consentimiento del Paciente DC/PF Cubierto) anterior
, las Prestadoras de los Servicios, como encargadas del tratamiento de las Clientes
, podrán acceder a toda aquella información y documentación histórica del Paciente
DC/PF Cubierto en cuestión, o relativa a su Tratamiento en Curso, que resulte necesaria
para la prestación de los Servicios y que se encuentre alojada en el CPD gestionado
por las Prestadoras de los Servicios.
Sin perjuicio de lo anterior, en caso de que alguna de la información y/o docu-
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
18/32
mentación histórica de dichos Pacientes DC/PF Cubierto o relativa a su Tratamiento
en Curso, necesaria para la prestación de los Servicios, no estuviese digitalizada y,
por tanto, no estuviese alojada en el CPD gestionado por las Prestadoras de los Servicios
, las Clientes harán sus mejores esfuerzos para poner dicha información y/o documentación
a disposición de las Prestadoras de los Servicios, por cualquier medio.
No obstante, la falta de información no generará ninguna responsabilidad para las Cedentes.
La subcontratación de los Servicios conlleva necesariamente el acceso por las
Prestadoras de los Servicios a datos personales de los Pacientes DC/PF en calidad de
encargadas del tratamiento. Las Clientes seguirán siendo responsables tratamiento de
dichos datos personales [?]?
4. En la cláusula 6.1. consta:
?6. Protección de datos personales
6.1. Encargo del tratamiento de datos personales a las Prestadoras de Servicios.
Para prestar los Servicias objeto de este Contrato, las Prestadoras de los Servidos llevarán
a cabo determinadas actividades en calidad de encargadas del tratamiento, actuando
por cuenta de las Clientes que serán responsables del tratamiento de dichos
datos personales. [?]?
5. En el Anexo 5 consta:
?Pacientes DC/PF
El contenido de este anexo consta Íntegramente en el disco duro, pen-drive o
dispositivo de soporte electrónico equivalente debidamente encriptado a que se refiere
la cláusula 3.10 (Entrega del contenido de los Anexos 5 y 6) del Contrato.
El mismo debe reflejar que, a Fecha de Cierre, existen un total de aproximadamente
16.636 Pacientes DC/PF, [?]?
6. En el Anexo 6 consta:
?Pacientes DC/PF Cubiertos
El contenido de este anexo consta Íntegramente en el disco duro, pen-drive o
dispositivo de soporte electrónico equivalente debidamente encriptado a que se refiere
la cláusula 3.10 (Entrega del contenido de los Anexos 5 y 6) del Contrato.
El mismo debe reflejar que, a Fecha de Cierre, existen un total de aproximadamente
7.037 Pacientes DC/PF Cubiertos, [?]?
7. Consta una cláusula 6 ?Protección de datos personales? en relación al
clausulado relativo al encargo del tratamiento a las prestadoras del servicio y en relación
a las medidas de seguridad aplicables, las cuales constan en el Anexo 11.
Se comprueba que comparando el listado de clínicas que consta en el contrato
entre DENTOESTETIC y NORMADAT con el listado de clínicas NO UPA que consta
en los contratos de Compromisos de Producción Pendiente, las clínicas desde donde
se va a recoger historias clínicas corresponden, en su práctica totalidad, a clínicas NO
UPA.
Aporta un certificado, con fecha de caducidad 27 de agosto de 2022 y fecha de ?emi-
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
19/32
sión inicial? 28 de agosto de 2013, donde consta que ADEA cumple con la ISO
27001:2013.
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 7 de febrero de 2022, ADMINISTRADORA DE ARCHIVOS S.A.
(ADEA). remite a esta Agencia la siguiente información y manifestaciones:
1. Que en relación a las historias clínicas de DENTOESTETIC son encargadas
del tratamiento.
Aporta copia de ?CONTRATO DE CONFIDENCIALIDAD Y PROTECCIÓN DE
DATOS PERSONALES PARA PROVEEDORES DE DENTIX? firmado y fechado a 24
de mayo de 2018 entre DENTOESTETIC y PAPYRUM NEXUS S.L. donde consta:
a. Que el objeto del contrato en la gestión documental (recogida, conservación
, consulta, destrucción, digitalización, entre otros).
b. Consta un apartado de ?Obligaciones del encargado del tratamiento?.
c. Que se implantarán las medidas de seguridad del Documento de Seguridad
de DENTOESTETIC. No consta dicho documento.
2. Que PAPYRUM NEXUS S.L. fue adquirida por ADMINISTRADORA DE
ARCHIVOS S.A. con fecha 1 de octubre de 2019.
3. Que en respuesta al requerimiento de ?Informe con las medidas de seguridad
técnicas y organizativas aplicadas a las historias clínicas de DENTOESTETIC
CENTRO DE SALUD Y ESTÉTICA DENTALS.L. incluyendo sus más de 200 clínicas,
desde 1 de octubre de 2020 hasta la fecha actual. Incluya la documentación que acredite
la fecha de implantación de dichas medidas. Aporte copia de posibles contratos
con encargados del tratamiento u otras entidades en relación a las medidas de seguridad.?, aporta un documento de 3 páginas donde no consta fecha ni firma con las medidas
de seguridad aplicables a los datos personales. Tampoco consta evidencia alguna
de la fecha de implantación de dichas medidas. Se manifiesta que la fecha de implantación
de dichas medidas fue el 28 de agosto de 2013.
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 11 de febrero de 2022, BIDCO remite a esta Agencia la siguiente información
y manifestaciones:
1. Que VITALDENT presta servicios de apoyo a la gestión que realiza BIDCO
según acuerdo de prestación de servicios suscrito en fecha 1 de marzo de 2021.
Se aporta contrato.
Aporta asimismo contrato de encargo del tratamiento sin firmar entre BIDCO e
INVERSIONES ODONTOLÓGICAS 2016, S.L.U. (en adelante VITALDENT) el cual
hace referencia al contrato anterior y donde, según la tipología de paciente concreto,
BIDCO es responsable del tratamiento y VITALDENT encargada del tratamiento o bien
BIDCO es encargada del tratamiento siendo VITALDENT subencargada.
2. Que en respuesta al requerimiento de ?Informe con las medidas de seguridad
técnicas y organizativas aplicadas a las historias clínicas de DENTOESTETIC
CENTRO DE SALUD Y ESTÉTICA DENTALS.L. incluyendo sus más de 200 clínicas,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
20/32
desde 1 de octubre de 2020 hasta la fecha actual. Incluya la documentación que acredite
la fecha de implantación de dichas medidas. Aporte copia de posibles contratos
con encargados del tratamiento u otras entidades en relación a las medidas de seguridad.?, aporta un documento, con logotipo de VITALDENT, de 3 páginas fechado el día
8 de febrero de 2022, en su primera versión, con medidas de seguridad físicas y lógicas
respecto a la aplicación Ulyses y al CPD.
3. Que NORMADAT le ha prestado servicios por medio de un acuerdo de
carácter verbal. Que según el Código de Comercio en su artículo 51 son válidos y producirán
efectos jurídicos y obligaciones los contratos mercantiles cualquiera que sea la
forma en que se celebren.
Aporta facturas correspondientes al servicio prestado por NORMADAT para las
clínicas de Zamora, Manresa y Cádiz a fecha 31 de julio de 2021. En dichas facturas
constan conceptos como ?Transporte de HHCC?, ?Recogida de HHCC?, ?Digitalización
de HHCC?, ?Custodia contenedor estándar?, entre otros. Se comprueba que dichas 3
clínicas constan en el listado de clínicas UPA.
Añade:
a. Que los servicios proporcionados son de recogida, inventario y ubicación
de documentación, así como archivo y custodia de documentación y creación de
una base de datos para la consulta online del responsable, entre otros servicios.
b. Que el encargado del tratamiento recibirá las historias clínicas directamente
del responsable del tratamiento.
c. Constan medidas de seguridad.
Como consecuencia del requerimiento de información efectuado por la Inspección
, con fecha 4 de noviembre de 2022, IUS como administrador concursal de la entidad
DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. remite a esta
Agencia la siguiente información y manifestaciones:
1. Aporta una tabla donde se desglosa, por cada clínica, la cantidad de pacientes
existente por cada tipología (UPA NO FINANCIADO, NO-UPA FINANCIADO,
DC/PF, EXCLUIDOS de NO-UPA FINANCIADOS, EXCLUIDOS PEPPER, UPA FINANCIADO
, NO UPA NO FINANCIADO, SIN TRATAMIENTO EN CURSO O MOROSOS
, RESTO (no incluidos en los análisis anteriores)). Constan algunas columnas
marcadas como incluidas en el acuerdo y otras columnas marcadas como excluidas
del acuerdo.
Se comprueba que comparando el listado de clínicas que consta en el contrato
entre DENTOESTETIC y NORMADAT con el listado de clínicas (UPA y NO UPA)
aportado en esta tabla, para las coincidencias de clínicas encontradas entre ambos listados
(118 clínicas, del total de 132 del contrato) son todas NO UPAs y con un número
total de pacientes asociado de 398.469 pacientes.
Se comprueba en la tabla aportada que:
a. El número de pacientes incluidos en los acuerdos asciende a 114.721.
b. El número de pacientes excluidos de los acuerdos asciende a 395.246.
c. El resto de pacientes de DENTOESTETIC, distintos a los anteriores es
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
21/32
de 354.375.
2. Que en el caso de pacientes UPA NO FINANCIADOS, DENTOESTETIC
es responsable del tratamiento, según cláusula 6 (ii) del Contrato de Compraventa de
Unidades Productivas Autónomas.
Consta en tabla aportada que el número de pacientes de este tipo es de 28.280
a fecha 1 de marzo de 2021, según tabla aportada en la columna llamada ?UPA NO FINANCIADOS?
donde consta, además, el texto siguiente:
?Pacientes de las 76 UPA con p.p. de presupuestos posteriores al 1 de enero de 2018,
cuyo saldo NO es de las financieras del acuerdo [?]?.
3. Que en el caso de pacientes NO-UPA FINANCIADOS, DENTOESTETIC
es responsable del tratamiento hasta el 28 de febrero de2021. Después de esta
fecha DENTOESTETIC es encargada del tratamiento, según cláusula 3.7. del Contrato
de Compromiso de Producción Pendiente para Pacientes NO-UPA FINANCIADOS.
Consta en tabla aportada que el número de pacientes de este tipo es de 44.538 a fecha
1 de marzo de 2021 según tabla aportada en la columna llamada ?NO UPA FINANCIADOS?
donde consta, además, el texto siguiente:
?Pacientes de las clínicas NO UPA con p.p. de presupuestos posteriores al 1
de enero de 2018, cuyo saldo SI es de las financieras del acuerdo.?.
4. Que en el caso de pacientes DC/PF, DENTOESTETIC es responsable
del tratamiento, según cláusula 3.9. del Contrato de Compromiso de Producción Pendiente
para Pacientes DC/PF.
Consta en tabla aportada que el número de pacientes de este tipo es de 10.696
a fecha 1 de marzo de 2021.
5. Que en el caso de pacientes NO-UPA FINANCIADOS pero que hayan
sido excluidos del correspondiente contrato de producción pendiente por no dar consentimiento
según cláusula 3.2. del contrato, DENTOESTETIC es responsable del tratamiento
, según cláusula 3.2. del Contrato de Compromiso de Producción Pendiente
para Pacientes NO-UPA financiados.
Consta en tabla aportada que el número de pacientes de este tipo es de 9.429
a fecha 1 de marzo de 2021.
6. Que en el caso de pacientes DC/PF pero que hayan sido excluidos del
correspondiente contrato de producción pendiente por medio de notificación Pepper
(anexo 4 del respectivo contrato), DENTOESTETIC es responsable del tratamiento,
según cláusula 1.1. del Contrato de Compromiso de Producción Pendiente para Pacientes
DC/PF.
Consta en tabla aportada que el número de pacientes de este tipo es de 39.758 a fecha
01/03/2021.
7. Que en el caso de pacientes UPA FINANCIADOS, DENTOESTETIC es
responsable del tratamiento hasta la fecha 28 de febrero de 2021, según cláusula 1.1.
del Contrato de Compromiso de Compraventa de Unidades Productivas Autónomas.
BIDCO es responsable del tratamiento a partir de fecha 1 de marzo de 2021.
Consta en tabla aportada que el número de pacientes de este tipo es de 41.903
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
22/32
a fecha 1 de marzo de 2021, según tabla aportada en la columna llamada ?UPA FINANCIADOS?
donde consta, además, el texto siguiente:
?Pacientes de las 76 UPA con p.p. de presupuestos posteriores al 1 de enero
de 2018, cuyo saldo SI es de las financieras del acuerdo. Si el paciente tiene financiación
mixta con una entidad dentro del acuerdo es considerado como financiado?.
8. Que en el caso de pacientes NO UPA NO FINANCIADOS, DENTOESTETIC
es responsable del tratamiento, según cláusula 6 romanillo v del Contrato de
Compromiso de Compraventa de Unidades Productivas Autónomas.
Consta en tabla aportada que el número de pacientes de este tipo es de 35.496
a fecha 1 de marzo de 2021 según tabla aportada en la columna llamada ?NO UPA NO
FINANCIADOS? donde consta, además, el texto siguiente:
?Pacientes de las clínicas NO UPA con p.p. de presupuestos posteriores al 1
de enero de 2018, cuyo saldo SI es de las financieras del acuerdo. [?]?.
9. Que en respuesta al rol de DENTOESTETIC en el caso de pacientes con tratamientos
terminados o que no hubieran abonado sus tratamientos, manifiesta que DENTOESTETIC
es responsable del tratamiento según:
a. cláusula 1.1 Contrato de Compromiso de Compraventa de Unidades
Productivas Autónomas.
b. cláusula 3.1 romanillo vi Contrato de Compromiso de Compraventa de
Unidades Productivas Autónomas.
Manifiesta que el número de pacientes en esta tipología es de 350.321 a fecha
1 de marzo de 2021.
10. Que en relación a los contratos firmados con medidas de seguridad aplicadas
a las historias clínicas en formato digital y en formato papel de las que DENTOESTETIC
fuera responsable del tratamiento y comprendiendo las fechas desde el 1
de octubre de 2020 hasta la contestación a este requerimiento de información, manifiesta
que no dispone de esa información.
11. Que en defecto de los contratos y en relación a cualquier documentación
acreditativa de la aplicación de las medidas de seguridad aplicadas a las historias
clínicas en formato digital y en formato papel de las que DENTOESTETIC fuera responsable
del tratamiento y comprendiendo las fechas desde el 1 de octubre de 2020
hasta la actualidad, manifiesta que no dispone de esa información.
12. Que en relación al contrato con NORMADAT S.A. se encuentra en vigor
desde la fecha 7 de enero de 2021 pero no dispone de información acerca del inicio de
los servicios.
13. Que no dispone de información que acredite el inicio y finalización del
servicio de recogida de historias clínicas en papel, de las que DENTOESTETIC era
responsable del tratamiento, por parte de NORMADAT S.A.
14. Que no dispone de información de cómo se ha garantizado en la práctica
el acceso a las historias clínicas por parte de los pacientes, en formato digital y en
formato papel, de las cuales DENTOESTETIC era responsable del tratamiento, en el
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
23/32
periodo desde que se cerraron las clínicas, desde el 14 de noviembre de 2020 hasta el
inicio de los servicios recogidos en el contrato con NORMADAT S.A.
15. Se aporta el mismo contrato aportado anteriormente por ADMINISTRADORA
DE ARCHIVOS S.A. Se aporta asimismo la última factura de servicios prestados
por ADMINISTRADORA DE ARCHIVOS S.A. a DENTOESTETIC siendo esta de
fecha 19 de marzo de 2020.
16. Se aporta ?Procedimiento de consultas de expedientes de pacientes? de
ADEA fechado a abril 2022 donde consta:
a. Que este documento establece la metodología a seguir cada vez que un
paciente de DENTIX solicite su expediente clínico.
b. Que ADEA únicamente custodia documentación pasiva anterior al año
2018. Que por tanto no podrán servir ningún expediente activo de tratamiento no finalizado
o con fecha posterior al año 2018.
c. Consta:
?[?]
2. Procedimiento
2.1 Cuando IUS reciba una solicitud de expediente por parte de un cliente de
DENTIX, comprobará que la clínica a la que pertenece el paciente se encuentra en el
listado que acompaña al presente documento como Anexo l.
2.2 En caso de que la clínica se encuentre en el listado, IUS reenviará la solicitud
a: ***EMAIL.2
Dado que AdeA no dispone de ningún registro que contenga los datos personales
de pacientes, IUS deberá indicar en la solicitud los datos del paciente, el número
de historia y la clínica donde se realizó el tratamiento. Si no se facilitan estos datos no
se podrá atender la solicitud.
[?]?
No se ha aportado el mencionado Anexo I.
Aporta ?CONTRATO DE COMPRAVENTA DE UNIDADES PRODUCTIVAS
AUTÓNOMAS? fechado el 8 de febrero de 2021 donde consta:
1. Que DENTOESTETIC y NEOTECH CLINICAL S.L.U. son las vendedoras
y BIDCO y las OPCOS son las compradoras.
2. Consta la siguiente definición:
" 1.1 Definiciones
[?]
Cartera de Pacientes UPA
Significa la cartera de pacientes (tanto pacientes con tratamientos terminados
como pacientes con tratamientos en curso) de las UPAs, que hubiesen abonado el importe
íntegro de sus tratamientos a las Vendedoras, que a la Fecha de Cierre no hubiesen
solicitado la devolución o reembolso de todo o parte de dichos importes, y que
hubiesen financiado el pago de sus tratamientos mediante financiación al consumo
concedida por una de las Entidades de Financiación al Consumo o por las propias
Vendedoras bajo un esquema de Denticuotas pero que no se hubiesen cedido a Pepper
(por tanto excluyendo expresamente de esta cartera a los Pacientes UPA No Financiados
y a los Pacientes UPA DC/PF), siempre que los derechos de crédito de las
Vendedoras bajo dichas Denticuotas se transmitan libres de cargas a las Compradoras
en virtud de lo dispuesto en este Contrato (en otro caso, dichos pacientes financia-
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
24/32
dos con Denticuotas no cedidas y no transmitidas a las Compradoras quedarán expresamente
excluidos de la Cartera de Pacientes UPA).
Quedan, por tanto, expresamente excluidos de la Cartera de Pacientes UPA,
los Pacientes UPA No Financiados y los Pacientes UPA DC/PF.
Los pacientes que a la Fecha de Cierre conforman la Cartera de Pacientes
UPA serán los que se indican en el Anexo 3 (Cartera de Pacientes UPA) que, una vez
actualizado a la indicada Fecha de Cierre, se adjuntará a la Escritura de Cierre. [?].?
3. En la cláusula 3.1. romanillo vi consta:
?3.1 Elementos patrimoniales que conforman las UPAs
[?]
(vi) La transmisión de la Cartera de Pacientes UPA conlleva la subrogación, en
la Fecha de Cierre, de las Compradoras en la posición contractual de las Vendedoras
como prestadoras de servicios odontológicos bajo los Contratos con Pacientes UPA
(í.e. cada Opco conforme a lo indicado en la cláusula 2 1 (Compraventa) anterior) y,
por tanto, en la totalidad de los derechos y obligaciones de las Vendedoras [?]?
4. En la cláusula 6 consta:
?6. Compromiso de Producción Pendiente
[?]
(ii) Pacientes UPA No Financiados
En la Fecha de Cierre las Compradoras se comprometerán a la finalización (por si
mismas a través de las UPAs adquiridas o a través de la subcontratación de servicios
a la red Vitaldent) de los tratamientos en curso que hubieran sido abonados a las Vendedoras
por los Pacientes UPA No Financiados, sin coste alguno para las Vendedoras
ni para dichos pacientes, en todo caso a solicitud de las Vendedoras y siempre que
conste a tales efectos la aceptación del correspondiente paciente.
[?]
La subcontratación de dichos servicios conllevará necesariamente el acceso
por las Compradoras a los datos correspondientes a los Pacientes UPA No Financiados
en calidad de encargadas del tratamiento. Las Vendedoras seguirán siendo responsables
del tratamiento de dichos datos personales [?]
[?]
(v) Pacientes no cubiertos por ninguna de las anteriores
Respecto de aquellos otros pacientes con tratamientos en curso que hubiesen
sido abonados y que conforme a lo anterior quedaran excluidos del Compromiso de
Producción Pendiente (i.e los pacientes de las Clínicas Dentix España No Incluidas en
el Perímetro que no financiaron sus tratamientos con las Entidades de Financiación al
Consumo), las Compradoras se comprometen a lo siguiente:
(a) Pacientes de las Clínicas Dentix España No Incluidas en el Perímetro no financiados
(i.e. que hubieran pagado en efectivo) y pacientes de las Clínicas Dentix
España No incluidas en el Perímetro que hubiesen financiado su tratamiento mediante
"Denticuotas" ofrecidas por Dentix que no hubiesen sido cedidas a Pepper
Respecto de aquellos pacientes de las Clínicas Dentix España No Incluidas en
el Perímetro con tratamientos en curso que hubiesen sido abonados sin financiación al
consumo de ningún tipo (i.e. pacientes que abonaron sus tratamientos en cash) y de
aquellos pacientes de las Clínicas Dentix España No Incluidas en el Perímetro con tratamientos
en curso que hubiesen sido abonados mediante financiación por e Denticuotas"
ofrecida por las Vendedoras (u otras entidades de su grupo) y que no se hubiese
cedido posteriormente a Pepper, las Compradoras se comprometen a poner a
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
25/32
su disposición, desde la Fecha de Cierre y hasta que transcurra un año desde la Fecha
de Cierre, un call center para la atención específica de este colectivo y sus necesidades
, a través del cual se les contactará proactivamente para conocer su situación y
exponerles las distintas soluciones disponibles.
Adicionalmente, las Compradoras se comprometen a que desde la Fecha de
Cierre estos pacientes sean recibidos por un odontólogo en una primera visita que, sin
coste para el paciente, sirva para evaluar para estado de su tratamiento. Tras esa primera
consulta para diagnóstico, si el paciente así lo desea, las Compradoras se comprometen
a la terminación de su tratamiento en unas condiciones comerciales especialmente
ventajosas: un descuento de un 25% respecto a los precios de tarifa de
Dentix que sean de aplicación en momento en que el Paciente acuda a las clínicas
para su tratamiento. Esta oferta comercial tendrá una duración de seis (6) meses desde
la Fecha de Cierre y para poder acogerse a ella el paciente deberá entregar su historial
clínico completo de Dentix (incluyendo todas las imágenes en las que se refleje
su diagnóstico y la planificación de su tratamiento en curso) y acreditar debidamente el
pago a las Vendedoras de su tratamiento en curso mediante la exhibición de la correspondiente
factura, recibo o justificante de pago.
[?]
(b) Pacientes de las Clínicas Dentix España No Incluidas en el Perímetro financiados
por otras entidades:
Respecto a los pacientes de las Clínicas Dentix España No Incluidas en el Perímetro
con tratamientos en curso y que financiaron esos tratamientos con entidades
distintas de las Entidades de Financiación al Consumo, las Compradoras harán sus
mejores esfuerzos para tratar de llegar a un acuerdo comercialmente viable que satisfaga
razonablemente a todas las partes involucradas
En todo caso, las Compradoras se comprometen a poner a su disposición, desde
la Fecha de Cierre y hasta que transcurra un año desde la Feche de Cierre, un call
center para la atención específica de este colectivo y sus necesidades, a través del
cual se les contactará proactivamente para conocer su situación y exponerles las distintas
soluciones disponibles.?
5. Consta una cláusula 16.10 ?Tratamiento de datos personales? en relación
al clausulado relativo al encargo del tratamiento de las ?Compradoras? a las ?Vendedoras?
y en relación a las medidas de seguridad aplicables, las cuales se encuentran
, según consta en el contrato, en el Anexo 28. No se aporta dicho Anexo.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento
(UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere
a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía
de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver
estas actuaciones de investigación la Directora de la Agencia Española de Protección
de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
26/32
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias
dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Medidas de seguridad
El escrito de traslado de la Fiscalía Superior del Principado de Asturias recoge
las actuaciones efectuadas por la Consejería de Salud del Principado de Asturias en
tres clínicas de Dentoestetic ubicadas en Oviedo, Gijón y Mieres. En cuanto a las competencias
de la Agencia Española de Protección de Datos éstas se concretan en las
medidas de seguridad con que se han tratado las historias clínicas y el acceso por parte
de los pacientes a las mismas.
Posteriormente, se incorporan a las actuaciones de investigación, algunas reclamaciones
por la no atención del derecho de acceso a su historia clínica, fechadas a
partir del mes de noviembre de 2020.
El Artículo 32 ?Seguridad del tratamiento? del RGPD establece:
?1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente
en cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para
garantizar que cualquier persona que actúe bajo la autoridad del responsable o del
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
27/32
encargado y tenga acceso a datos personales solo pueda tratar dichos datos
siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del
Derecho de la Unión o de los Estados miembros?.
En el presente caso, y acerca de las clínicas ubicadas en la Comunidad Autónoma
del Principado de Asturias, la Fiscalía Superior del Principado de Asturias en el
Decreto facilitado con el escrito presentado en esta Agencia señala lo siguiente:
?SEGUNDO. En el caso de Autos, aun cuando no se señala en el escrito remitido
a la Fiscalía el tipo penal del que pudieran ser constitutivos los hechos, lo cierto es
que éstos no tienen cobertura penal en tipo penal alguno. Y ello en la medida en que
sólo podrían tener encaje, en un principio, en los delitos contemplados en los artículos
197 y siguientes del Código Penal, relativos al descubrimiento y revelación de secretos
, pero una vez analizada toda la documentación esta subsunción en el tipo no es
posible y ello porque se adoptó por parte de la entidad DENTIX todas las medidas a
su alcance para garantizar la integridad y seguridad de la documentación clínica existente
en sus sedes de Oviedo, Gijón y Avilés.
En primer lugar, porque las tres sedes estuvieron siempre cerradas con llave,
de tal manera que se imposibilitó el acceso de cualquier tercero a las dependencias de
la entidad y, de este modo, a la documentación clínica de los pacientes. En segundo
lugar, porque en cada centro, con las peculiaridades que se especificarán, se adoptaron
diferentes medidas para garantizar a su vez, dentro de cada sede, la integridad y
el acceso de la respectiva documentación. Así, en Oviedo toda la documentación se
encuentra "en ficheros y cajas de cartón en el gabinete número 8 del subsuelo en el
despacho 2?, en Gijón "en ficheros y cajas de cartón en la planta superior del centro, y
desde el verano de 2.016 en la aplicación Clinic Cloud y en Mieres "en ficheros en papel
y en digital bajo llave en el centro". De estas medidas de cada centro podemos
concluir que, como se dijo no sólo se impide el acceso a cada centro porque están cerrados
con llave, sino que una vez en su interior no es posible el acceso a la documentación
; o bien por estar en una planta superior, o bien por estar en el subsuelo o bien,
a su vez, bajo llave, debiéndose destacar que tanto en Gijón como en Mieres parte de
la documentación se encuentra protegida también gracias a su formato digital. En tercer
lugar, tal y como se recomendó a cada centro por un correo electrónico interno, se
pegaron en las puertas de acceso de las tres sedes carteles informando que los centros
se encuentran cerrados. En cuarto y último lugar, la propia Consejería, a través de
las inspecciones realizadas en las tres sedes pudo comprobar, tal y como consta en
las respectivas actas, que la situación de la documentación es la aquí referida.
En consecuencia, los responsables de la documentación la han custodiados
adoptando todas las medias a su alcance para impedir el acceso o manipulación por
parte de terceros.?
Es decir, el Decreto de la Fiscalía afirma que las tres Clínicas ubicadas en la
provincia de Oviedo cumplieron las medidas de seguridad adecuadas en relación con
sus historias clínicas.
En cuanto a la aplicación de las medidas de seguridad del resto de las historias
clínicas de pacientes tratados en las clínicas de Dentoestetic, durante las actuaciones
previas realizadas no se ha constatado que no se mantuviesen las medidas de seguri-
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
28/32
dad en las historias clínicas de Dentoestetic ubicadas en todo el territorio nacional.
Consta un contrato de encargo del tratamiento ?CONTRATO DE
CONFIDENCIALIDAD Y PROTECCIÓN DE DATOS PERSONALES PARA
PROVEEDORES DE DENTIX? entre DENTOESTETIC con PAPYRUM NEXUS, S.L.
(posteriormente comprada por ADEA), fechado el día 24 de mayo de 2018 para la
gestión documental. Dicho contrato hace referencia a las medidas de seguridad del
Documento de Seguridad de DENTOESTETIC. Según un documento de abril 2022
aportado, con logotipo de ADEA, refleja el procedimiento que habría que seguir cada
vez que un paciente solicite su historia clínica. En dicho documento consta asimismo
que ADEA solo dispone de documentación pasiva. Que no dispone de documentación
relativa a tratamientos no finalizados o posteriores al año 2018.
Consta, asimismo, un documento de 3 páginas con logotipo de ADEA, con la
descripción de sus medidas de seguridad. Consta también un certificado de que ADEA
cumple con ISO 27001.
El día 20 de noviembre de 2020 se dictó Auto por el juzgado de lo Mercantil número
dos de Madrid, en virtud del cual se acordaba la declaración de concurso ordinario
de la Mercantil CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L.U. Que dicho Auto
acordaba nombrar a IUS como administrador concursal.
Durante las actuaciones de investigación se ha aportado una oferta, de fecha 7
de enero de 2021 de NORMADAT a DENTOESTETIC y aceptada y firmada por este
último donde se manifiesta que se recogerán historias clínicas de 132 clínicas
cerradas y que se estiman los trabajos para 1.200.000 historias clínicas.
En este contrato se establece que la custodia de las historias clínicas cumplirá
las normas ISO 27001: Seguridad de la Información. Añade la entidad NORMADAT
que cumplen las normas ISO mencionadas y lo establecido en el RGPD, exponiendo
cuales son esas medidas de seguridad.
Asimismo, se establece que, bajo petición, se localizarán historias clínicas solicitadas
por usuarios autorizados y se entregará el original a las oficinas centrales de
DENTIX, o bien en la clínica que se determine o bien se digitalizará y se subirá a un
repositorio o bien se enviará cifrada por correo electrónico.
Por tanto, de las afirmaciones del administrador concursal se desprende que en
un determinado momento no pudieron atenderse en plazo las solicitudes de acceso,
pero que ello en modo alguno supone que las medidas de seguridad referidas a la seguridad
y confidencialidad de las historias clínicas cuyo responsable era Dentoestetic
no fueran suficientes.
III
Acceso a las historias clínicas
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
29/32
El artículo 12 del RGPD, dispone lo siguiente:
?1. El responsable del tratamiento tomará las medidas oportunas para facilitar
al interesado toda información indicada en los artículos 13 y 14, así como cualquier
comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma
concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en
particular cualquier información dirigida específicamente a un niño. La información
será facilitada por escrito o por otros medios, inclusive, si procede, por medios
electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse
verbalmente siempre que se demuestre la identidad del interesado por otros medios.
2. El responsable del tratamiento facilitará al interesado el ejercicio de sus
derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo
11, apartado 2, el responsable no se negará a actuar a petición del interesado con el
fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda
demostrar que no está en condiciones de identificar al interesado.
3. El responsable del tratamiento facilitará al interesado información relativa a
sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y,
en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho
plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la
complejidad y el número de solicitudes. El responsable informará al interesado de
cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la
solicitud, indicando los motivos de la dilación. Cuando el interesado presente la
solicitud por medios electrónicos, la información se facilitará por medios electrónicos
cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.
4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le
informará sin dilación, y a más tardar transcurrido un mes de la recepción de la
solicitud, de las razones de su no actuación y de la posibilidad de presentar una
reclamación ante una autoridad de control y de ejercitar acciones judiciales.
5. La información facilitada en virtud de los artículos 13 y 14 así como toda
comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34
serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o
excesivas, especialmente debido a su carácter repetitivo, el responsable del
tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos
afrontados para facilitar la información o la comunicación o realizar la actuación
solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter
manifiestamente infundado o excesivo de la solicitud.
6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del
tratamiento tenga dudas razonables en relación con la identidad de la persona física
que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se
facilite la información adicional necesaria para confirmar la identidad del interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
30/32
7. La información que deberá facilitarse a los interesados en virtud de los
artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que
permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una
adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en
formato electrónico serán legibles mecánicamente.
8. La Comisión estará facultada para adoptar actos delegados de conformidad
con el artículo 92 a fin de especificar la información que se ha de presentar a través de
iconos y los procedimientos para proporcionar iconos normalizados.?
El artículo 15 del RGPD determina:
?1. El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron
o serán comunicados los datos personales, en particular destinatarios en terceros u
organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o,
de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o
supresión de datos personales o la limitación del tratamiento de datos personales
relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier
información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de
perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
2. Cuando se transfieran datos personales a un tercer país o a una
organización internacional, el interesado tendrá derecho a ser informado de las
garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales
objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada
por el interesado un canon razonable basado en los costes administrativos. Cuando el
interesado presente la solicitud por medios electrónicos, y a menos que este solicite
que se facilite de otro modo, la información se facilitará en un formato electrónico de
uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará
negativamente a los derechos y libertades de otros.?
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
31/32
El artículo 13 de la LOPDGDD determina lo siguiente:
?1. El derecho de acceso del afectado se ejercitará de acuerdo con lo
establecido en el artículo 15 del Reglamento (UE) 2016/679.
Cuando el responsable trate una gran cantidad de datos relativos al afectado y
este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte
de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el
afectado especifique los datos o actividades de tratamiento a los que se refiere la
solicitud.
2. El derecho de acceso se entenderá otorgado si el responsable del
tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los
datos personales que garantice, de modo permanente, el acceso a su totalidad. A
tales efectos, la comunicación por el responsable al afectado del modo en que este
podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio
del derecho.
No obstante, el interesado podrá solicitar del responsable la información referida a
los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se
incluyese en el sistema de acceso remoto.
3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679
se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una
ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello.
4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga
un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho
afectado asumirá el exceso de costes que su elección comporte. En este caso, solo
será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin
dilaciones indebidas.?
Durante las actuaciones previas de investigación se ha podido conocer los
diferentes sistemas de acceso a las historias clínicas en función de determinados
parámetros.
El acceso a las historias clínicas de los pacientes atendidos en alguna de las
76 clínicas Dentix adquiridas por el Grupo Vitaldent se ha facilitado, a partir del día 1
de marzo de 2021, al dirigirse a los nuevos responsables, que así lo comunicaron a los
pacientes de esas clínicas.
El administrador concursal nombrado para la gestión de Dentoestetic, IUS, ha
informado que han recibido un número muy elevado de solicitudes de acceso a
historias clínicas y que se procedió a su atención, con la colaboración de Normadat y
de ADEA, aunque con limitaciones y retrasos debido al número tan elevado recibido.
Añade que no es posible conocer el número total de solicitudes de acceso a historia
clínica recibidas dado que algunas se remitían por email utilizando algunas direcciones
de correo electrónico de DENTIX no válidos; otras por correo postal a las oficinas
centrales y a las clínicas, otras al buzón de notificaciones telemáticas 060, otras
directamente desde los Juzgados, etc. Que, debido a la insolvencia de la compañía,
tanto las oficinas centrales como las clínicas estuvieron cerradas durante varias
semanas por lo que muchas solicitudes ni siquiera se han recibido o se recibieron,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
32/32
pero no se llegaron a tramitar con motivo de que la gran mayoría del personal estuvo
afectado por un ERTE y posteriormente por un ERE.
El derecho de acceso a las historias clínicas no había sido atendido en el caso
de las reclamaciones recibidas. Ello se ha debido a que su traslado a Dentoestetic
nunca fue recibido de manera fehaciente, al ser posterior a su declaración en concurso
de acreedores. Por ello, los afectados, si no han obtenido la copia de su historia
clínica, deberán dirigirse al nuevo responsable de la clínica en la que siguieron el
tratamiento o al administrador concursal, en su caso, ACCOUNT CONTROLIUS&
AEQUITAS ADMINISTRADORES CONCURSALES SLP.
Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española
de Protección de Datos,
SE ACUERDA:
PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones.
SEGUNDO: NOTIFICAR la presente resolución a ACCOUNT CONTROL-IUS & AEQUITAS
ADMINISTRADORES CONCURSALES SLP y a los reclamantes.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado
por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, y de conformidad con lo establecido
en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán
interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente
a la notificación de esta resolución o directamente recurso contencioso administrativo
ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional
cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa
, en el plazo de dos meses a contar desde el día siguiente a la notificación
de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
940-091222
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es