L’Agència Andorrana de Protecció de Dades (APDA) va sancionar amb una amonestació dos centres de psicologia per incomplir diversos articles de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals (LQPD). La sanció es va imposar el passat 25 de juliol arran de la cessió i conservació indeguda d’informació sensible de pacients, sense respectar els principis de limitació de la finalitat, integritat i confidencialitat, ni garantir la licitud del tractament, el compliment de les mesures tècniques i organitzatives, ni la informació a les persones afectades.

Segons s'explica en un comunicat, la reclamació va ser presentada per un particular el 30 de maig del 2024, en relació amb el traspàs d’informació sensible entre dos centres de psicologia. La persona reclamant va aportar documentació que acreditava la cessió i la conservació indeguda de dades personals de pacients, motiu pel qual va sol·licitar la intervenció de l’APDA. 

Així les coses, l'’àrea d’inspecció de l’APDA va admetre a tràmit la reclamació i va obrir un expedient per cadascun dels centres. En el marc de la investigació, es van enviar requeriments d’informació a tots dos centres de psicologia implicats per aclarir les circumstàncies de la cessió i la conservació de la documentació clínica. Es va demanar, entre d’altres aspectes, informació sobre el circuit seguit en el traspàs de dades, les mesures tècniques i organitzatives aplicades, la base legal invocada, la informació facilitada als pacients i la localització actual de la documentació clínica. També es va requerir que expliquessin com havien respectat els principis generals de la protecció de dades i si havien garantit la integritat i la confidencialitat de la informació.

L’APDA va constatar que tots dos centres de psicologia havien vulnerat diversos principis i obligacions en matèria de protecció de dades.

Pel que fa al centre que va fer la cessió de la documentació, es van detectar incompliments en relació amb la limitació de la finalitat, la licitud del tractament de dades especialment sensibles i la manca d’aplicació de mesures tècniques i organitzatives adequades.

En el cas del centre que va conservar temporalment les dades, es van identificar incompliments similars: manca de limitació de la finalitat, tractament de dades sensibles sense base legal suficient i absència d’informació als pacients sobre aquesta conservació.

En conseqüència, l’Agència va concloure que s’havien infringit diversos articles de l’LQPD.

Un cop analitzats els fets, l’APDA va resoldre sancionar amb una amonestació els dos centres de psicologia implicats. En el cas del centre que va fer la cessió de dades, atès que va cessar l’activitat, l’Agència va imposar una amonestació pels incompliments detectats.

Pel que fa al centre que va conservar temporalment la documentació clínica, l’APDA també va imposar una amonestació i va requerir que, en un termini de quinze dies hàbils des de la fermesa de la resolució, aportés la documentació que acreditava l’adequació a la normativa. Concretament, la presentació de protocols sobre la gestió i el trasllat de documentació clínica que especifiquessin les mesures aplicades en cas de cessament d’un professional; mostres d’acords de corresponsabilitat o contractes amb els professionals sanitaris que exercien com a autònoms, identificant la relació establerta amb el centre, les funcions i responsabilitats de cadascú i la seva relació amb les persones interessades; exemples de la informació facilitada als pacients sobre el tractament de les seves dades personals.

Addicionalment, es va recomanar al centre revisar el sistema de seguretat física i actualitzar els Registres d’Activitat de Tractament per garantir un millor control sobre les dades personals.

Finalment, l’Autoritat va recordar que l’incompliment de la resolució constitueix una infracció molt greu, que pot donar lloc a sancions econòmiques d’entre 30.001 i 100.000 euros.