Resolución	PS-00505-2025
Firmado	2026-10-08T14:51:35Z
Enlace	📋

Resumen de la decisión:

Se ha resuelto un procedimiento sancionador contra el Servicio de Salud del Principado de Asturias (SESPA) por dos infracciones graves relacionadas con la protección de datos personales en el marco de la Comisión de Uso Racional de Medicamentos y Productos Sanitarios (CURMP).

Hechos denunciados:
Falta de medidas de seguridad adecuadas (Art. 32 RGPD):
El SESPA no implementó medidas técnicas y organizativas suficientes para garantizar la seguridad de los datos personales de pacientes, especialmente sensibles (datos de salud).
Se detectó un procedimiento deficiente en la tramitación de informes médicos y farmacéuticos, que incluía:
Uso de formatos en papel sin trazabilidad ni cifrado, lo que aumentaba el riesgo de pérdida, extravío o acceso no autorizado.
Falta de normalización en los procesos entre hospitales, generando inconsistencias en la gestión de datos.
Ausencia de protocolos uniformes para el manejo de información, a pesar de contar con sistemas electrónicos seguros (como el de compartición de ficheros).
El análisis de riesgos presentado no reflejaba adecuadamente los riesgos asociados al tratamiento de datos sanitarios ni incluía medidas correctivas efectivas.
Falta de Evaluación de Impacto en la Protección de Datos (EIPD) (Art. 35 RGPD):
El SESPA no realizó una EIPD para el tratamiento de datos vinculado a la CURMP, a pesar de manejar categorías especiales de datos (salud) y de existir un alto riesgo para los derechos de los pacientes.
Argumentó que no era necesario basándose en un análisis de riesgos genérico, pero este no consideraba la naturaleza de los datos ni los riesgos específicos del procedimiento.

Sanción y medidas correctivas:
Se declaran las infracciones por vulnerar los artículos 32 y 35 del RGPD (seguridad del tratamiento y EIPD).
Se ordena al SESPA que, en 3 meses, acredite:
La implementación de medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos en los procesos de la CURMP.
La realización de una EIPD específica para este tratamiento, identificando riesgos y aplicando medidas mitigadoras.
La resolución se notificará al Defensor del Pueblo y se publicará en la web de la AEPD.

Motivo de la sanción:
Las infracciones son graves porque:
Afectan a datos sanitarios, especialmente sensibles.
Exponen a los pacientes a riesgos de pérdida de privacidad, accesos indebidos o filtraciones.
Incumplen principios básicos del RGPD como la responsabilidad proactiva y el enfoque de riesgo desde el diseño.

La decisión subraya la necesidad de que el SESPA revise sus protocolos para alinearlos con el RGPD, evitando futuras vulneraciones.