HM Hospitales tendrá que pagar 48.000 euros por asumir que la inacción equivale al consentimiento

La Sala de lo Contencioso de la Audiencia Nacional ha confirmado la resolución de la Agencia Española de Protección de Datos (AEPD), que sancionó a HM Hospitales con 48.000 por asumir que la inacción de una paciente que no rellenó una casilla equivale a un consentimiento expreso y ceder los datos de la usuaria a una aseguradora.

En un el momento del ingreso, la empresa sanitaria entregó a la paciente un documento que contenía una cláusula informativa en la que se establecía que los datos iban a ser incorporados a los ficheros de un conjunto de clínicas con la “finalidad de asistencia y gestión sanitaria”, a no ser que marcase una casilla si no consentía. La paciente no marcó esa casilla y el informe médico con sus datos fue enviado a la aseguradora de HM, Mapfre, que, vistas sus circunstancias personales, denegó la prueba que solicitaba esta persona en el momento del ingreso.

Señala la AEPD que, con este mecanismo, el de presumir el consentimiento por no marcar una casilla, “se recaba el consentimiento mediante la inacción del interesado, en contra de lo establecido en el Reglamento General de Protección de Datos. No se trata de una acción afirmativa sino de una pura inacción que no asegura que el interesado otorgue inequívocamente el consentimiento”. Y subraya: “normalmente,cuando marcas algo es porque lo quieres, no porque no lo quieres”. La mujer pudo no haber entendido la doble negación o no haber prestado atención al leer rápidamente las indicaciones, teniendo en cuenta las circunstancias en las que se produce un ingreso. Por eso, la AEPD considera que esta forma de actuar por parte de la empresa sanitaria constituye una infracción del artículo 5.1 del RGPD.

Apunta la Audiencia Nacional que el consentimiento debe ser consciente, libre, específico e informado: “otra de las exigencias derivadas de los artículos 6.1 de la LOPDGDD y 4.11 RGPD es que el consentimiento debe ser específico, por lo que un consentimiento para una finalidad muy genérica no sería valido, lo que tiene como objetivo garantizar un nivel de control y transparencia para el interesado”.

“Por tanto, el silencio, las casillas no marcadas o la inacción no deben constituir consentimiento. De todo lo cual ha de concluirse que la normativa de protección de datos excluye en la actualidad el consentimiento tácitoy exige que sea explícito”. Considera la Sala, por tanto, que solo resultará válido el consentimiento expreso, que debe otorgarse “a través de un acto afirmativo claro que evidencie una declaración de voluntad libre, específica, informada e inequívoca del titular de los datos de carácter personal,  en el sentido de que no exista la más mínima duda de que ha habido voluntad manifiesta”, tanto si el objetivo es remitir publicidad como si se trata de enviar los datos a ficheros de otras clínicas o, como en este caso, a una aseguradora.

De esta forma, la Audiencia Nacional responde al recurso 463/2020 y confirma la resolución e impone las costas a HM, que había recurrido la decisión de la AEPD. La sentencia ha podido ser recurrida en casación.