El informe jurídico de la Agencia Española de Protección de Datos (AEPD) con número 0164/2008 aborda varias cuestiones relacionadas con la creación y gestión de una base de datos de profesionales de la medicina. La consultante ha recopilado información de cuadros médicos de diversas compañías aseguradoras disponibles en línea, incluyendo direcciones de centros médicos donde los profesionales prestan sus servicios.
### Aplicabilidad de la Ley Orgánica 15/1999
El informe analiza si la base de datos creada por la consultante está sujeta a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. Según el artículo 2.2 del Reglamento de desarrollo de esta ley, los tratamientos de datos referidos a personas jurídicas o que se limiten a incluir datos de personas físicas que prestan servicios en aquéllas (nombre, apellidos, funciones, dirección postal o electrónica, teléfono y fax profesionales) no están sujetos a la ley. Sin embargo, la AEPD ha interpretado que este tratamiento debe ser accesorio y limitado a los datos estrictamente necesarios para identificar al sujeto en la persona jurídica.
En el caso de la consultante, la base de datos no se limita a identificar empresas o centros sanitarios, sino que su objetivo es identificar a los propios profesionales de la medicina. Por lo tanto, la inclusión de los datos del facultativo no es meramente accidental, sino el objeto principal de la base de datos. En consecuencia, el fichero está plenamente sometido a la Ley Orgánica 15/1999, y la consultante debe cumplir con las obligaciones previstas en la misma, incluyendo la notificación del fichero para su inscripción en el Registro General de Protección de Datos.
### Conformidad con la Ley Orgánica 15/1999
El informe también examina si el tratamiento de datos llevado a cabo por la consultante es conforme a la Ley Orgánica 15/1999. Según el artículo 6 de la ley, el tratamiento de datos puede ser legítimo sin consentimiento cuando los datos figuren en fuentes accesibles al público y el tratamiento sea necesario para la satisfacción del interés legítimo del responsable del fichero.
El artículo 3 j) de la ley enumera las fuentes accesibles al público, incluyendo listas de personas pertenecientes a grupos de profesionales que contengan únicamente ciertos datos (nombre, título, profesión, actividad, grado académico, dirección e indicación de pertenencia al grupo). El artículo 7.1 del reglamento de desarrollo aclara que estas listas pueden incluir datos de domicilio postal, número telefónico, número de fax y dirección electrónica.
Para que el tratamiento de datos sea conforme a la ley, las listas de las que se obtuvieron los datos deben cumplir con ciertos requisitos: referirse únicamente a profesionales de la medicina, contener solo los datos mencionados en la ley, y ser libremente accesibles por cualquier persona, sin restricciones más allá del pago de una contraprestación.
### Obligaciones de Información
Finalmente, el informe destaca que, aunque se cumplan los requisitos anteriores, la consultante está plenamente sometida a las previsiones de la Ley Orgánica 15/1999. Esto incluye el deber de informar a los afectados sobre el tratamiento de sus datos. Según el artículo 5.1 de la ley, los interesados deben ser informados de la existencia del fichero, la finalidad de la recogida de datos, el carácter obligatorio o facultativo de su respuesta, las consecuencias de la obtención de los datos, y sus derechos de acceso, rectificación, cancelación y oposición.
Si los datos no fueron recabados directamente del afectado, el artículo 5.4 establece que el afectado debe ser informado dentro de los tres meses siguientes al registro de los datos. Además, si los datos se ceden a terceros, el artículo 27.1 exige informar a los afectados sobre la cesión, la finalidad del fichero, la naturaleza de los datos cedidos y la identidad del cesionario.
En resumen, la AEPD concluye que la base de datos creada por la consultante está sujeta a la Ley Orgánica 15/1999 y debe cumplir con todas las obligaciones establecidas en la misma, incluyendo la notificación del fichero y la información a los afectados sobre el tratamiento de sus datos.