Expediente N°

017-2015-PU

N° 017-2016-JUS/DGPDP

Lima, 11 de febrero de 2016.

VISTO: El documento con registro N° 067951 de 12 de noviembre de 2015, el cual contiene la reclamación formulada por la contra el Hospital Regional Manuel Núñez Butrón;

CONSIDERANDO:

I. Antecedentes.

1.1 Con documento indicado en el visto, la (en lo sucesivo la reclamante) solicitó tutela ante la Dirección General de Protección de Datos Personales (en lo sucesivo DGPDP) y manifestó que el Hospital Regional Manuel Núñez Butrón (en lo sucesivo el reclamado) no atendió la solicitud de derecho de acceso de sus datos personales dentro del plazo señalado en el artículo 55 del Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales (en lo sucesivo LPDP).

1.2 La reclamante sustentó lo afirmado adjuntando la siguiente información:

• Formulario de solicitud de procedimiento trilateral de tutela, debidamente firmado.

• Copia de la solicitud de acceso presentado el 12 de octubre de 2015 al reclamado.

1.3 Mediante escrito 'recibido por el reclamado el día 12 de octubre de 2015, la reclamante señaló lo siguiente:

"(...) Con mucha sorpresa tomé conocimiento que fui arbitrariamente desafiliada del Sistema Nacional de Pensiones en setiembre de 2013, siendo afiliada a la AFP Habitat en Enero de 2014, sin embargo este hecho no me fue comunicado y mucho menos dl mi consentimiento para tal hecho, porque no es voluntad mía ser pensionista en el Sistema Privada de Pensiones. (...)

Página 1 de 8

En mérito a lo expuesto, amparado en ley 29733, hago uso de mis derechos de información y acceso, por lo que requiero se me informe de manera escrita y fundamentada sobre lo siguiente:

La forma, fuentes y por qué medio se han obtenido mis datos personales para transferirlas a la AFP Habitat. Quién solicitó la recopilación de mis datos personales para la AFP Habitat. El consentimiento expreso y válido de la afiliación a la AFP Habitat. El destino de las aportaciones de octubre de 2013 a diciembre de 2013, que se descontaron de mis remuneraciones como consta en las boletas de pago, pero no se encuentran en el 'fondo de la AFP Habitat, constituyendo este punto un delito muy grave sí los importes hubieran tomado otro destinatario. Que información de mi titularidad ha sido transferida a otras organizaciones nacionales e internacionales. El destino de mis datos personales a los que transfiere, y la finalidad para este hecho. Si la institución que usted dirige ha cumplido con la adecuación a la Ley N° 29733 Protección de Datos Personales. Qué medidas de seguridad se han implementado para minimizar los riesgos de vulnerabilidad de la información. La institución que usted representa no cumple el principio de disposición de recurso, de no ser así requiero tomar también conocimiento de ello."

1.4 La reclamación ante la DGPDP se sustenta en los siguientes términos:

"Soy empleada del Hospital Regional Manuel Núñez Butrón (HRMNB) en la modalidad laboral de la Ley 20530, incluida en el Sistema Nacional de Pensiones; sin embargo el mes de octubre de 2013 mis datos personales fueron transferidos a la AFP HÁBITAT, sin mi consentimiento, ni conocimiento previo e informado, donde para mi sorpresa también fui afiliada a la mencionada AFP.

(• •.)

Por éstas razones solicité al HRMNB mi derecho de acceso por medio de una solicitud pidiendo información de la transferencia de mis datos personales a la AFP y conocer el destino del importe descontado por AFP,' sin embargo a la fecha de hoy no tengo respuesta. La institución no cuenta con mecanismos para ejercer los derechos ARCO.

1.5 Con oficios N° 559-2015-JUS/DGPDP y N° 560-2015-JUS/DGPDP notificados el 26 y 30 de noviembre de 2015 respectivamente, la DGPDP puso en conocimiento de la reclamante y el reclamado que la solicitud de procedimiento trilateral de tutela en cuanto al derecho de acceso se refería estrictamente a su información personal conforme lo establecido por el artículo 19 de la LPDP y por el artículo 63 del Reglamento de la LPDP dando por admitida la reclamación y otorgando un plazo de quince (15) días para que el reclamado presente su contestación.

II. Contestación de la reclamación.

2.1 Con documento de registro N° 076505 recibido el 30 de diciembre de 2015, el reclamado puso en conocimiento de la DGPDP lo siguiente:

Página 2 de 8

,0CA D1-£ 0,p

"Mediante el presente me dirijo a usted, para remitirle adjunto al presente la Resolución Directoral N° 417-2013-D-HRMNB-U.RR-HH, de fecha 25 de Octubre del 2013 y los documentos materia de la presente Resolución en folios 07, correspondiente a la TAP. personal nombrado del Hospital Regional "Manuel Núñez Butrón" Puno, información que remito conforme a lo solicitado en el documento de la referencia."

El reclamado mediante el documento anexo hace de conocimiento la oposición realizada por la reclamante en octubre de 2013 para que sus aportes que pasan a una Administradora de Fondo de Pensiones Privada (AFP) se sigan descontando y a favor del Fondo de la Oficina de Normalización Previsional (ONP). Dicha oposición fue declarada improcedente ya que se sustentó que no es competencia de la Administración Pública cuestionar la procedibilidad de las normas legales, cuya competencia es exclusiva del Poder Judicial por lo que corresponde dar cumplimiento a la Décima Disposición Complementaria Final del Decreto Legislativo N° 1153.

Cabe señalar, que la Décima Disposición Complementaria Final del Decreto Legislativo N° 1153 que regula la Política Integral de Compensaciones y Entregas Económicas del Personal de la Salud al Servicio del Estado, publicada el 12 de setiembre de 2012, refiere sobre el personal de la salud bajo el Régimen del Decreto Ley N° 20530 que: "Las disposiciones contenidas en la Undécima Disposición Complementaria Transitoria de la Ley N° 30057, Ley del Servicio Civil, son aplicables al personal de Salud que se ajusta a los supuestos establecidos en la misma, en lo que corresponde. El plazo máximo de afiliación es de treinta (30) ellas calendario; vencido este plazo, si el trabajador no hubiese manifestado su voluntad de afiliarse a un sistema pensionario, el empleador lo afiliara al sistema previsto en el Decreto Supremo N° 054-97 y modificatorias."

III. Competencia.

3.1 La competencia para resolver el procedimiento trilateral de tutela corresponde al Director General de la DGPDP, conforme con lo establecido en el artículo 24 de la Ley N° 29733, Ley de Protección de Datos Personales (en lo sucesivo la LPDP) y conforme con lo dispuesto por el artículo 74 del Reglamento de la LPDP, aprobado por Decreto Supremo N° 003-2013-JUS.

IV. Análisis.

4.1 Los principios y obligaciones que emanan de la LPDP y su Reglamento garantizan el derecho fundamental a la protección de datos personales establecido en el artículo 2

Página 3 de 8

ecnm minhteio de y Cer ilu

J. A. IrogeL.

numeral 6 de la Constitución Política del Perú, regulando un adecuado tratamiento tanto por las entidades públicas como privadas.'

Es así que, se garantiza a todo titular de los datos personales determinados derechos frente a terceros, tales como el derecho a ser informado de cómo y porqué se tratan sus datos personales, el derecho acceder a los datos que se están tratando; y, en caso lo consideren necesario, puedan ejercer el derecho de rectificación, cancelación y oposición de sus datos personales.

Estos derechos garantizados por la LPDP y su Reglamento son conocidos como los derechos ARCO (acceso, rectificación, cancelación y oposición) los cuales otorgan garantías a los titulares de los datos personales para controlar su información frente a terceros.

En la línea de lo explicado, el derecho de acceso2 es un derecho reconocido por la LPDP y faculta a toda persona a dirigirse al titular del banco de datos o responsable que supone están utilizando sus datos y requiere que le informen sobre qué datos de carácter personal están siendo objeto de tratamiento, la finalidad de los mismos, consentimiento, la fuente de la que se obtuvieron y las transferencias realizadas o que se prevén hacer de ellos.

4.2 Del contenido de la reclamación, ha quedado acreditado ante la DGPDP que la reclamante ejerció su derecho de acceso el 12 de octubre de 2015 ante el reclamado y de acuerdo con lo expuesto previamente, el derecho de acceso sobre el que esta autoridad puede pronunciarse se delimita a las siguientes características:

• La información solicitada debe corresponder exclusivamente a los datos personales del afectado, ya que el derecho de acceso es la petición legítima del interesado a obtener información sobre sus propios datos y no de "terceros".

• Si bien el derecho de acceso consiste en obtener información de los bancos de datos personales de administración privada o pública, esto no significa el acceso a documentos concretos que pueden contener información de terceras personas como por ejemplo documentos de seguridad de información.

En este sentido, la información a la que debe tener acceso el titular de los datos personales tiene que ser amplia y comprender la totalidad del registro correspondiente al titular del dato personal, aun cuando el requerimiento sólo comprenda un aspecto de dichos datos, entre la información a la que podrá tener acceso se encuentra: cuáles de sus datos están utilizando, cómo y de dónde fueron recopilados, para qué finalidades se recopilaron, a solicitud de quién se realizó la recopilación, con quién comparten la información, que transferencias de realizan, en qué condiciones están tratando los datos y cuánto tiempo se conservarán sus datos.3

Es así que, respecto a la solicitud de derecho de acceso, separando los aspectos que no son de competencia de esta autoridad y sin que ello signifique pronunciamiento alguno sobre el derecho del reclamante a ser informado sobre ellos, corresponde a la DGPDP pronunciarse únicamente sobre el derecho de acceso referido a la siguiente información:

- La forma, fuentes y por qué medio se obtuvieron los datos personales para transferirlos a la AFP Habitat.

1 Articulo 1 del Reglamento de la LPDP.

2 Artículo 19 de la LPDP. Derecho de acceso del titular de datos personales: "El titular de los datos personales tiene derecho a obtener información que sobre sí mismo sea objeto de tratamiento en bancos de datos de administración pública y privada, la forma en que sus datos fueron recopilados, las razones que motivaron su recopilación y a solicitud de quién se realizó la recopilación, así como las transferencias realizadas o que se prevén hacer de ellos".

3 Artículo 63 del Reglamento de la LPDP, Contenido de la información.

Página 4 de 8

Cómo se realizó la recopilación de datos personales para la AFP Habitat. Las circunstancias o normas que autorizan la transferencia de los datos personales a la AFP Habitat. Qué información fue transferida a otras organizaciones nacionales e internacionales. El destino de los datos personales y la finalidad de la transferencia.

Sobre el plazo del derecho solicitado por la reclamante, el artículo 55° del Reglamento de la LPDP, señala lo siguiente:

"Artículo 55.- 1. El plazo máximo para la respuesta del titular del banco de datos personales o responsable del tratamiento ante el ejercicio del derecho de acceso será de veinte (20) días contados desde el día siguiente de la presentación de la solicitud por el titular de datos personales.

De lo actuado en este procedimiento se evidencia que el reclamado no cumplió con atender la solicitud de la reclamante dentro del plazo legal para la tutela directa que se le solicitó, sino que ha cumplido con dar respuesta como consecuencia del procedimiento trilateral ante la Dirección General de Protección de Datos Personales.

En este sentido, a pesar que el reclamado durante la tramitación del presente procedimiento afirma que ha dado respuesta a la solicitud de acceso, la forma de su respuesta no significa la atención del derecho de acceso de acuerdo a la LPDP y su Reglamento, ya que con documento de registro N° 076505 recibido el 30 de diciembre de 2015 sólo se ha limitado a remitir copia de la Resolución Directoral N° 417-2013-D-HRMNB-U.RR-HH, de fecha 25 de Octubre del 2013.

4.3 Sin perjuicio de lo .expuesto, la DGPDP considera que no cabe pronunciarse sobre si la afiliación a la AFP se realizó de forma arbitraria o no puesto que existe un pronunciamiento del reclamado a través de la Resolución Directoral N° 417-2013-D-HRMNB-U.RR-HH, de fecha 25 de Octubre del 2013. Asimismo, se deja a salvo el derecho de la reclamante de recurrir a las instancias competentes respecto a otros derechos o la presunta comisión de delitos alegados en sus escritos.

4.4 Como consecuencia de lo actuado y analizado para resolver este procedimiento, se constatan conductas sancionables que la DGPDP puede analizar y sancionar, conforme a lo previsto por el artículo 24 de la LPDP que al regular la forma en la que se resuelve una tutela establece:

Página 5 de 8

"(...) La resolución de la Autoridad Nacional de Protección de Datos Personales agota la vía administrativa y habilita la imposición de las sanciones administrativas previstas en el artículo 39. El reglamento determina las instancias correspondientes".

En consecuencia, se advierte que el reclamado ha incurrido 'en infracción administrativa tipificada en el literal b) del numeral 1) del artículo 38 de la LPDP que dispone:

"Artículo 38.- Infracciones:

Constituye infracción sancionable toda acción u omisión que contravenga o incumpla alguna de las disposiciones contenidas en este Ley o en su Reglamento.

Las infracciones se califican como leves, graves y muy graves.

1. Son infracciones leves:

b. No atender, impedir u obstaculizar el ejercicio de los derechos del titular de datos personales reconocidos en el título III, cuando legalmente proceda (...)"

La DGPDP determina la infracción cometida y el monto de la multa imponible, tomando en cuenta para la graduación del monto los criterios establecidos por el artículo 230, numeral 3 de la LPAG4

De manera que, la DGPDP debe prever que la comisión de la conducta sancionable no resulte más ventajosa para el infractor que cumplir las normas infringidas o asumir la sanción administrativa, por lo que ésta penalidad debe ser proporcional al incumplimiento calificado como infracción, observando los criterios que la LPAG señala para efectos de la graduación5.

En el caso concreto la graduación de la sanción requiere atender a los siguientes criterios:

• La gravedad del daño al interés público y/o bien jurídico protegido.- La conducta infractora del reclamado afecta el derecho fundamental a la protección de los datos personales de la reclamante amparado por el numeral 6 del artículo 2 de la Constitución Política del Perú.

• El perjuicio económico causado.- No se advierte.

• La repetición y/o continuidad en la comisión de la infracción.- No se advierte.

• Las circunstancias de la comisión de la infracción.- La reclamante solicitó su derecho de acceso con fecha 12 de octubre de 2015 y habiéndose cumplido el

4 Artículo 39 de la LPDP.- Sanciones administrativas: "(...) La Autoridad Nacional de Protección de Datos Personales determina la infracción cometida y el monto de la multa imponible mediante resolución debidamente motivada. Para la graduación del monto de las multas, se toman en cuenta los criterios establecidos en el artículo 230, numeral 3), de la Ley 27444, Ley del Procedimiento Administrativo General, o la que haga sus veces. La imposición de la multa se efectúa sin perjuicio de las sanciones disciplinarias sobre el personal de las entidades públicas en los casos de bancos de datos personales de administración pública, asi como de la indemnización por daños y perjuicios y de las sanciones penales a que hubiera lugar."

5 Artículo 230 numeral 3 de la LPAG.- Principios de la potestad sancionadora administrativa: "(...) Razonabilidad.- Las autoridades deben prever que la comisión de la conducta sancionable no resulte más ventajosa para el infractor que cumplir las normas infringidas o asumir la sanción. Sin embargo, las sanciones a ser aplicadas deberán ser proporcionales al incumplimiento calificado como infracción, debiendo observar los siguientes criterios que en orden de prelación se señalan a efectos de su graduación: a) La gravedad del daño al interés público y/o bien jurídico protegido; b) El prejuicio económico causado; c) La repetición y/o continuidad en la comisión de la infracción: d) Las circunstancias de la comisión de la infracción; e) El beneficio ilegalmente obtenido; y O La existencia o no de intencionalidad en la conducta del infractor (...)"

Página 6 de 8

plazo legal no se obtuvo toda la información conforme el artículo 63 del Reglamento de la LPDP.

• El beneficio ilegalmente obtenido.- No se advierte.

• La existencia o no de la intencionalidad en la conducta del infractor.- La conducta infractora ha demostrado la intención de eludir la responsabilidad; toda vez que no ha respondido de forma completa, amplia y clara la solicitud de acceso.

Por las consideraciones expuestas y de conformidad con lo dispuesto por la Ley N° 297333, Ley de Protección de Datos Personales y su Reglamento, aprobado por Decreto Supremo N° 003-2013-JUS.

SE RESUELVE:

Artículo 1°.- Declarar FUNDADA EN PARTE, la reclamación formulada por contra el Hospital Regional Manuel Núñez Butrón; por cuanto no se ha

acreditado una actuación diligente dentro del plazo y la forma prevista por la LPDP y su Reglamento para atender la solicitud de acceso a sus datos personales.

Artículo 2°.- ORDENAR al Hospital Regional Manuel Núñez Butrón como medidas correctivas:

• Entregar la información completa a la reclamante sobre su solicitud de derecho de acceso de conformidad con el artículo 63 del Reglamento de la LPDP, en un plazo máximo de diez (10) días hábiles a partir de notificada la presente resolución, entendiéndose que la entrega se refiere a:

- La forma, fuentes y por qué medio se obtuvieron los datos personales para transferirlos a la AFP Habitat.

- Cómo se realizó la recopilación de datos personales para la AFP Habitat. - Las circunstancias o normas que autorizan la transferencia de los datos personales

a la AFP Habitat. - Qué información fue transferida a otras organizaciones nacionales e

internacionales. - El destino de los datos personales y la finalidad de la transferencia.

• Adoptar las medidas necesarias para que en lo sucesivo atienda los derechos ARCO dentro de los plazos establecidos en el Reglamento de la LPDP, otorgándole treinta (30) días para que Informe, documentadamente, a la DGPDP, sobre las medidas

Página 7 de 8

adoptadas con relación a esta última disposición, bajo apercibimiento de iniciar de oficio el procedimiento de fiscalización correspondiente.

Artículo 3°.- SANCIONAR al Hospital Regional Manuel Núñez Butrón, por haber incurrido en infracción leve tipificada por el artículo 38°, numeral 1), literal b) de la Ley N° 29733, Ley de Protección de Datos Personales, e imponer una sanción de multa correspondiente a tres (3) unidades impositivas tributarias, conforme con lo establecido por el artículo 39 numeral 1 de la referida Ley.

Dicha cantidad deberá ser abonada en el Banco de la Nación, bajo el código N° 04759 denominado Multas — Dirección General de Protección de Datos Personales, para lo cual tendrá un plazo de diez (10) días hábiles, contados a partir del día hábil siguiente que la presente resolución haya quedado firme, debiendo comunicar el pago de la multa a la Dirección General de Protección de Datos Personales, adjúntando el comprobante de depósito bancario original o copia legalizada notarialmente; bajo apercibimiento de seguirse el cobro por la vía coactivas.

Artículo 4°.- INFORMAR al Hospital Regional Manuel Núñez Butrón, que la presente resolución puede ser impugnada dentro de los quince (15) días hábiles siguientes de su notificación mediante recurso de reconsideración, el que una vez resuelto agota la vía administrativa.

Artículo 5°.- NOTIFICAR a los interesados la presente resolución.

Regístrese y comuníquese.

JOSÉ ALVARO QUIROGA LE M'actor General de Protección de Datos Personales Ministerio de Justicia y Derechos Humanos

6 Artículo 128 del Reglamento de la LPDP.• Incentivos para el pago de la sanción de la multa.

"Se considerará que el sancionado ha cumplido con pagar la sanción de multa si, antes de vencer el plazo otorgado para pagar la multa, deposita en la cuenta bancaria determinada por la Dirección General de Protección de Datos Personales el sesenta por ciento (60%) de su monto. Para que surta efecto dicho beneficio deberá comunicar tal hecho a la Dirección General de Protección de Datos Personales, adjuntando el comprobante del depósito bancario correspondiente. Luego de dicho plazo, el pago sólo será admitido por el íntegro de la multa impuesta".

Página 8 de 8