Resolución N° 45/022 .
VISTO: La denuncia tramitada en estos obrados contra AA, y BB por presunta comunicación de datos sensibles.
CONSIDERANDO: I. Que el denunciante se presenta indicando que el día 17 de noviembre del 2021 tomó conocimiento que el AA se encontraría brindando información sobre el historial clínico de su menor hijo sin la autorización, mediante correo electrónico al empleador del denunciante BB. Afirma que concurrió en varias oportunidades al AA sin obtener respuesta y adjunta documentación para probar sus dichos.
II. Que se dio vista a los denunciados, presentándose el BB, manifestando que no se encuentra relacionado con los hechos denunciados, sino que la situación denunciada se originaría en el AA. Manifiestan que en ningún momento se identificó la cuenta de correo electrónico a la cual se estaría enviando la información por parte del AA.
III. Que el AA evacuó la vista conferida manifestando que la Institución cumple estrictamente con las reglas de tratamiento de datos personales, así como el programa que tutela la reserva de la Historia Clínica. Agrega que no existe ningún hecho, evento, acto o referencia que perturbe el fiel acatamiento de las normas objetivas de derecho en relación a los datos personales y a la reserva de la Historia Clínica. Niegan haber remitido comunicaciones al BB relativo al historial clínico de la familia del denunciante y reconocen que las notificaciones de aspectos económicos eran enviadas al empleador del denunciante, pero que ello no habilitaba al envío de las comunicaciones de la historia clínica.
IV. Que una vez obtenida la dirección de correo electrónico por la cual se enviaba la información de las reservas, el AA negó dicho envío y el BB indicó que desde el año 2012 esa cuenta se encuentra inactiva.
CONSIDERANDO: I. Que la denuncia versa sobre una posible vulneración de los datos personales del menor hijo del denunciante, en tanto, se habría asociado por parte del AA, una cuenta de correo electrónico del empleador del denunciante para recibir los recordatorios de consultas médicas de uno de sus hijos.
II. Que, pese al cúmulo de documentación, grabaciones y demás elementos presentados por el denunciante y que han sido objeto de pormenorizado análisis por esta Unidad, no se estima probado que haya existido una comunicación de datos en el marco del artículo 17 de la Ley N° 18.331, en tanto la dirección de correo denunciada se encuentra inactiva desde el año 2012.
III. Que, analizado el cumplimiento de la Ley N° 18.331 por parte de las denunciadas, y en especial en relación con los principios de legalidad y de responsabilidad proactiva, se constató que el AA no ha cumplido con la comunicación de la designación de delegado de protección de datos –obligación establecida en el artículo 40 de la Ley N° 19.670, de 15 de octubre de 2018-.
IV. Que, de acuerdo a lo que surge del presente expediente y a los efectos de evitar posibles riesgos en el tratamiento de información, es que se entiende pertinente la realización de una evaluación de impacto por parte del AA a fin de apreciar el posible surgimiento de riesgos para la protección de datos personales.
ATENTO: A lo expuesto e informado,
LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
RESUELVE:
1°) Intimar a AA a comunicar la designación de su delegado de protección de datos personales, y a efectuar una evaluación de impacto sobre el tratamiento de los datos personales, dando cuenta de sus resultados a esta Unidad, todo en un plazo de 30 días hábiles desde la notificación de la presente resolución.
2°) Archivar estas actuaciones en relación con BB.
3°) Notifíquese y publíquese.
Firmado por: Felipe Rotondo Tornaría
Consejo Ejecutivo
URCDP