Quiero saber acerca de...

Habiéndose suscrito el 17 de octubre de 2023 el Convenio entre el Ministerio del Interior (a través de la Secretaría General de Instituciones Penitenciarias) y el Servicio de Salud de Castilla-La Mancha, procede la publicación en el «Boletín Oficial del Estado» de dicho convenio, que figura como anexo a esta resolución.

Madrid, 20 de octubre de 2023.–El Secretario General Técnico, Juan Antonio Puigserver Martínez.

ANEXO

Convenio entre el Ministerio del Interior (a través de la Secretaría General de Instituciones Penitenciarias) y el Servicio de Salud de Castilla-La Mancha en materia de asistencia sanitaria a personas privadas de libertad en centros penitenciarios

Madrid, a 17 de octubre de 2023. 

REUNIDOS

De una parte, don Ángel Luis Ortiz González, Secretario General de Instituciones Penitenciarias, por Real Decreto de nombramiento 504/2018, de 18 de junio, a tenor de lo dispuesto en el Real Decreto 952/2018, de 27 de julio, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior, y con competencia para firmar convenios según el apartado noveno de la Orden INT/985/2005, de 7 de abril, por la que se delegan determinadas atribuciones y se aprueban las delegaciones efectuadas por otras autoridades.

Y de otra, don Alberto Jara Sánchez, Director Gerente del Servicio de Salud de Castilla-La Mancha, actuando en nombre y representación del Servicio de Salud de la Comunidad Autónoma de Castilla-La Mancha, en virtud de lo dispuesto en el Decreto número 190/2023, de 25 de julio, por el que se le designa para tal cargo y en el ejercicio de las facultades que le atribuye el artículo 73 de la Ley 8/2000, de 30 de noviembre, de Ordenación Sanitaria de Castilla-La Mancha, y el Decreto 106/2023, de 25 de julio, de estructura orgánica y funciones del Servicio de Salud de Castilla-La Mancha.

Reconociéndose mutuamente la necesaria capacidad jurídica y de obrar para este otorgamiento en las representaciones que ostentan,

MANIFIESTAN

Primero.

La Constitución Española de 1978 reconoce, en su artículo 43, el derecho de todos los españoles a la protección de la salud y atribuye a los poderes públicos las competencias para organizar y tutelar la salud pública a través de medidas preventivas y de las prestaciones y servicios necesarios; así mismo, y a través de las previsiones contenidas en el título VIII, organiza las atribuciones y competencias del Estado sobre la base de la institucionalización de las Comunidades Autónomas.

Segundo.

El artículo 25.2 de la Constitución Española establece que las penas privativas de libertad y las medidas de seguridad estarán orientadas hacia la reeducación y reinserción social, siendo este el fin primordial de las instituciones penitenciarias de acuerdo con el artículo 1 de la Ley Orgánica 1/1979, de 26 de septiembre, General Penitenciaria (LOGP).

Tercero.

Conforme a la distribución constitucional de competencias en materia penitenciaria, el Ministerio del Interior, a través de la Secretaría General de Instituciones Penitenciarias, tiene asignada la administración y régimen de las instituciones penitenciarias a su cargo, siendo una de sus competencias velar por la vida, integridad y salud de los internos (artículo 3.4 de la LOGP).

Cuarto.

A este respecto, la Administración Penitenciaria mantiene, en los establecimientos de ella dependientes, la cobertura sanitaria correspondiente al nivel de atención primaria de la salud (artículo 209 del Reglamento Penitenciario, aprobado por el Real Decreto 190/1996, de 9 de febrero).

Quinto.

Por otra parte, la Ley 14/1986, de 25 de abril, General de Sanidad, en sus artículos 3, 4, 10 y 12, garantiza los derechos de los internos y su acceso a las prestaciones sanitarias en condiciones de igualdad efectiva, siendo competencia de las Administraciones la organización y desarrollo de todas las acciones preventivas y asistenciales dentro de una concepción integral del sistema sanitario.

Sexto.

El Servicio de Salud de Castilla-La Mancha (en adelante, SESCAM), tiene entre sus funciones la prestación de la asistencia sanitaria, la docencia e investigación.

La Ley 8/2000, de 30 de noviembre, en su artículo 67, crea el SESCAM como responsable de la provisión de servicios y encargado de la gestión de centros, servicios y establecimientos sanitarios.

Entre los principios informadores contenidos en su artículo 2 se encuentran:

c) Igualdad efectiva de acceso a los servicios sanitarios, para todos los ciudadanos de Castilla-La Mancha.

e) Calidad de los servicios y prestaciones.

f) Humanización de los servicios y máximo respeto a la dignidad de los ciudadanos.

g) Concepción integral e integrada del Sistema Sanitario en Castilla-La Mancha.

j) Eficacia, efectividad, eficiencia y flexibilidad de la organización sanitaria.

El SESCAM recoge la información asistencial en las aplicaciones informáticas TURRIANO (atención primaria) y MAMBRINO XXI (atención hospitalaria) en forma de historia clínica, herramienta fundamental en la asistencia a los pacientes del Servicio de Salud, conforme al artículo 16.1 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.

Séptimo.

La Agencia Española de Protección de Datos, en su informe 018/2006, relativo a tratamiento de datos en servicios de salud penitenciaria, dice en su literalidad: «debe indicarse que los servicios de salud penitenciaria han de ser considerados como establecimientos sanitarios incorporados al sistema nacional de salud, a los efectos establecido en la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud».

El informe extrae, además, las siguientes conclusiones:

– No será necesario el consentimiento del interno para que el personal sanitario penitenciario pueda consultar los datos que pudieran existir en el fichero centralizado de historias clínicas de un determinado sistema de salud autonómico. Tampoco será preciso informar al interno acerca de dicha consulta.

– No será necesario el consentimiento para el tratamiento de los datos por parte del personal sanitario penitenciario ni para su inclusión en el fichero centralizado de historias clínicas, no obstante deberá evitarse la inclusión de cualquier dato que permita dar a conocer el hecho de que el tratamiento ha sido prestado por un servicio sanitario penitenciario.

– Deberá informarse al interesado del tratamiento y cesión de sus datos en caso de que se refieran al tratamiento o diagnóstico realizados en el centro penitenciario.

– En cuanto a los supuestos de telemedicina no será preciso el consentimiento del afectado, pero sí la información al mismo, debiendo implantarse las medidas de seguridad de nivel alto previstas en el Real Decreto 994/1999 en todo caso para los ficheros automatizados y en cuanto resulte posible su aplicación para los ficheros manuales.

Octavo.

Como consecuencia de todo lo anterior, las partes estiman conveniente la formalización del presente convenio para la puesta en funcionamiento de telemedicina entre centros penitenciarios y la red de dependencias hospitalarias del Servicio de Salud de Castilla-La Mancha.

Del mismo modo, con el fin de preservar la integridad de la información clínica, la seguridad y la calidad asistencial, las partes consideran conveniente el acceso de los profesionales sanitarios de instituciones penitenciarias (en la actualidad, se entiende como tales a titulados en Medicina, Farmacia y Enfermería) a las historias clínicas (completas o a alguna de sus partes) de los pacientes a los que se presta servicio de forma coincidente entre sanidad penitenciaria y el SESCAM; respetando escrupulosamente las conclusiones de la Agencia Española de Protección de Datos, especialmente lo relativo a «evitarse la inclusión de cualquier dato que permita dar a conocer el hecho de que el tratamiento ha sido prestado por un servicio sanitario penitenciario».

No es desproporcionado insistir en que el convenio sólo permite el acceso a información clínica de los pacientes privados de libertad, ingresados en establecimientos penitenciarios, durante el tiempo que dure esta situación u otros motivos contemplados en la legislación vigente.

Por todo ello las partes deciden suscribir este convenio, el cual se regirá por las siguientes

CLÁUSULAS

Primera. Objeto del Convenio.

Es objeto del presente convenio:

a) La implementación de telemedicina (para pacientes privados de libertad en establecimientos penitenciarios) entre centros penitenciarios ubicados en el territorio de Castilla-La Mancha y centros hospitalarios o CEDT del SESCAM.

Centros penitenciarios en Castilla-La Mancha	Centros sanitarios de referencia asistencial*
Albacete.	– Complejo Hospitalario de Albacete.
Herrera de la Mancha.	– Hospital General Universitario de Ciudad Real.
Alcázar de San Juan.	– Hospital General La Mancha Centro. – Hospital General Universitario de Ciudad Real.
Cuenca.	– Hospital Virgen de la Luz (del que depende el CEDT de Tarancón).
Ocaña I.	– Complejo Hospitalario de Toledo (al que pertenecen los CEDT de Ocaña, Illescas y Torrijos).
Ocaña II.	– Complejo Hospitalario de Toledo (al que pertenecen los CEDT de Ocaña, Illescas y Torrijos).

* En caso de no existir la especialidad médica necesaria, para un paciente determinado, la asistencia será prestada por el centro sanitario que disponga de ella, según flujo ordinario de derivaciones.

b) Dar acceso al personal sanitario de instituciones penitenciarias (actualmente titulados en Medicina, Farmacia y Enfermería) a la historia clínica completa, o a alguna de sus partes (resultados analíticos, pruebas de imagen, tratamientos, de dispensación hospitalaria o no, etc.), de los pacientes a su cargo, recogida por el SESCAM en sus plataformas TURRIANO y MAMBRINO XXI. El acceso queda acotado, única y exclusivamente, a los pacientes compartidos, durante el periodo de internamiento u otras situaciones ajustadas a la Ley.

El acceso comporta, adicionalmente, la capacidad del personal sanitario de instituciones penitenciarias para realizar registros en la historia clínica de los pacientes en TURRIANO (en su condición de pertenencia al nivel de Atención Primaria), evitando la posibilidad de identificar que se hacen desde un centro penitenciario.

c) Facilitar entre ambas instituciones la formación de los profesionales sanitarios.

Segunda. Compromisos de las partes.

1. Ambas Administraciones se comprometen a poner en funcionamiento, mantener e innovar sistemas de comunicación que permitan el desarrollo de telemedicina entre centros penitenciarios del Ministerio del Interior en Castilla-La Mancha y centros sanitarios del SESCAM.

2. El SESCAM se compromete a facilitar el acceso a los sistemas informáticos TURRIANO (con capacidad de registro) y MAMBRINO XXI al personal sanitario de instituciones penitenciarias en Castilla-La Mancha, proporcionando la formación necesaria para ello, con la finalidad de que estos puedan prestar la adecuada asistencia sanitaria a pacientes ingresados en establecimientos penitenciarios.

3. Para usos de las historias clínicas distintos a los asistenciales, los profesionales sanitarios de instituciones penitenciarias, al igual que los de SESCAM, quedan sujetos a lo contemplado en el artículo 16.3 de la Ley 41/2002, de 14 de noviembre y a lo dispuesto en el artículo 28 de la Ley 5/2010, de 24 de junio, sobre derechos y deberes en materia de salud de Castilla-La Mancha, que dice textualmente: «El uso de la historia clínica y su cesión a otros centros, servicios y establecimientos sanitarios y no sanitarios, sin perjuicio de su necesaria sujeción en todo caso a las previsiones del artículo 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, así como de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, no requerirá el previo consentimiento del paciente siempre:

a) Que el acceso se lleve a cabo por profesionales sanitarios titulados que tengan la condición de empleado público.

b) Que el acceso se realice en el ejercicio de sus funciones para el órgano administrativo, organismo público o entidad de derecho público al que se encuentre adscrito, el cual ha de tener la consideración de administración pública en los términos contemplados en la legislación básica sobre régimen jurídico del sector público.

c) Que el acceso sea necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social.

d) Que los fines que justifican el acceso, de entre los señalados en el apartado anterior, se encuentren entre las competencias propias del órgano administrativo, organismo público o entidad de derecho público al que esté adscrito.

e) Que el ejercicio como profesional sanitario titulado para el órgano administrativo, organismo público o entidad de derecho público al que se encuentre adscrito, así como los fines que justifican el acceso, de entre los señalados en el apartado c) anterior, sean inherentes al puesto de trabajo, nombramiento o contrato que le vincule al mismo.

f) Este personal quedará sujeto a la obligación de secreto profesional respecto de la información de la que tenga conocimiento como consecuencia del acceso señalado.

g) El acceso se facilitará por el SESCAM, previa comprobación del cumplimiento de los requisitos señalados y aplicando el principio de proporcionalidad».

4. Tanto el Ministerio del Interior como el SESCAM, y sus correspondientes profesionales, tienen el deber de secreto y confidencialidad de los datos a los que tengan acceso de acuerdo con la legislación vigente y con la normativa específica del SESCAM. Cualquier vulneración de dicho deber comportará las consecuencias previstas en la legislación vigente, incluidos los deontológicos.

5. Asimismo, los profesionales sanitarios de instituciones penitenciarias en Castilla-La Mancha, dispondrán de un protocolo de acceso a los sistemas informáticos TURRIANO y MAMBRINO XXI que garantice el cumplimiento de las normativas de protección de datos referidas en la cláusula tercera del presente convenio.

6. El Ministerio del Interior facilitará la realización de periodos de rotación en los centros penitenciarios a los médicos internos residentes (MIR), a los farmacéuticos internos residentes (FIR) y a los enfermeros internos residentes (EIR) que estén realizando su formación en el SESCAM y que así lo soliciten de acuerdo con la correspondiente unidad de formación. Así mismo se facilitarán rotaciones de formación continuada a profesionales sanitarios titulados (según Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias) del SESCAM que las soliciten de modo justificado.

El SESCAM ofertará a los profesionales sanitarios de instituciones penitenciarias la posibilidad de acudir a los cursos de formación continua que el SESCAM oferte a sus profesionales (RCP avanzada, urgencias, etc.) Para hacer efectiva esta oferta, las claves de acceso, de los profesionales de instituciones penitenciarias a la documentación del SESCAM, comportarán la posibilidad de consulta e inscripción en el Sistema SOFOS del SESCAM.

Tercera. Protección de datos de carácter personal y confidencialidad.

Las partes se comprometen a mantener la confidencialidad de todos los datos e informaciones facilitado por la otra parte y que sean concernientes a la ejecución del objeto del presente convenio, debiendo las partes mantener dicha información en reserva y secreto y no revelarla de ninguna forma, total o parcialmente, a ninguna persona física o jurídica que no sea parte del mismo, salvo los casos y la forma legalmente previstos.

La Secretaría General de Instituciones Penitenciarias actúa como encargado del tratamiento y, por tanto, tiene el deber de cumplir con la normativa vigente en cada momento –con especial mención a la Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica, la Ley 5/2010, de 24 de junio, y el Decreto 24/20011, de 12 de junio, de la documentación sanitaria de Castilla-La Mancha–, tratando y protegiendo debidamente los datos personales. Si destinase los datos a otra finalidad, los comunicara o los utilizara incumpliendo las estipulaciones del presente convenio y/o la normativa vigente, será considerado también como responsable del tratamiento, respondiendo de las infracciones en que hubiera podido incurrir.

Igualmente, ambas partes se comprometen a cumplir en su integridad el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos; la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales; la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, en lo que cada una sea de aplicación; y cualquier otra normativa que pueda sustituir, modificar o complementar a la en materia de protección de datos de carácter personal durante la vigencia del presente convenio.

El anexo «Tratamiento de datos personales» describe en detalle los datos personales a proteger, así como el tratamiento a realizar y las medidas a implementar por la Secretaría General de Instituciones Penitenciarias.

Cuarta. Instalaciones y medios materiales de comunicación.

Las instituciones firmantes desarrollaran y asumirán en su ámbito todas las tareas que sean necesarias para la consecución de los objetivos indicados en las clausulas primera y segunda. Se emplearan infraestructuras seguras para la conexión entre los centros penitenciaros y los centros hospitalarios o CEDT del SESCAM.

Quinta. Ausencia de vínculo contractual.

El presente convenio no generará ningún tipo de vínculo contractual ni laboral entre las partes firmantes y las personas físicas que desempeñen las actividades propias del mismo.

Sexta. Comisión de Seguimiento, vigilancia y control.

1. Para el adecuado seguimiento, coordinación, control e interpretación de lo establecido en el presente convenio, se crea una Comisión d Seguimiento paritaria integrada por dos miembros designados por cada una de las instituciones firmantes (un/a representante de la Delegación del Gobierno en la Comunidad Autónoma de Castilla-La Mancha, que forma parte de la representación del Ministerio del Interior, en la citada Comisión). La Comisión se reunirá cuando lo determinen las partes.

2. La Comisión se regirá, en cuanto a su funcionamiento, periodicidad de las reuniones y vinculación de sus acuerdos, por lo dispuesto en el capítulo II del título preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que regula el funcionamiento de los órganos colegiados.

3. Considerando la evolución profesional en este ámbito, la Comisión de Seguimiento valorará y, en su caso, acordará ampliar el acceso a la historia clínica a otras categorías profesionales contempladas en la Ley 44/2003, de 21 de noviembre, de Ordenación de las Profesiones Sanitarias, con niveles de acceso iguales a sus equivalentes en el SESCAM.

4. Igualmente, las partes acordarán en el seno de esta comisión aquellos detalles relativos a la ejecución del contenido del convenio, incluidos los referidos al tratamiento de los datos personales.

Séptima. Financiación.

El presente convenio no conlleva gastos ni para la Secretaria General de Instituciones Penitenciarias, ni para el Servicio de Salud de la Junta de Castilla-La Mancha.

Octava. Vigencia y modificación del convenio.

1. De acuerdo con el artículo 48.8 Ley 40/2015, de 1 de octubre, el convenio se entenderá perfeccionado por la prestación del consentimiento de las partes. Igualmente, resultará eficaz una vez inscrito en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación del sector público estatal. Asimismo, será publicado en el «Boletín Oficial del Estado».

La vigencia de este convenio será de cuatro años. Antes de la finalización de la vigencia del convenio, la Secretaría General de Instituciones Penitenciarias y el SESCAM podrán acordar, expresamente y por escrito, su prórroga por hasta otros cuatro años adicionales.

2. Por otra parte, cualquiera de las partes firmantes podrá proceder a su denuncia expresa con un plazo mínimo de dos meses a la fecha en que se pretenda su expiración.

3. Las partes firmantes podrán modificar los términos del presente convenio en cualquier momento, de mutuo acuerdo, mediante la firma de una adenda al mismo, que se encontrará sujeta a los mismos requisitos que se exigen en la tramitación del presente convenio.

Novena. Causas de extinción.

1. El presente convenio se extingue por el cumplimiento de las actuaciones que constituye su objeto o por incurrir en las siguientes causas de resolución.

2. Son causas de resolución las del artículo 51 de la Ley 40/2015, de 1 de octubre.

3. Desde la fecha del acuerdo de resolución del convenio o de la notificación de la voluntad de extinción, en los términos de la presente cláusula, la colaboración se mantendrá, en todo caso, y continuarán hasta su finalización las actividades, asistenciales o docentes iniciadas con anterioridad a la fecha de referencia, siempre condicionado a lo establecido en el apartado b) de la cláusula primera del presente convenio.

Décima. Naturaleza del convenio y resolución de controversias.

El presente convenio, de naturaleza jurídico-administrativa, se celebra al amparo de la Ley 40/2015, de 1 de octubre.

Las controversias que puedan surgir sobre la interpretación, modificación, ejecución, resolución y efectos que puedan derivarse del presente convenio se resolverán entre las partes de la manera amistosa en el seno de la comisión de seguimiento prevista en la cláusula sexta.

Al tener naturaleza administrativa, el orden jurisdiccional contencioso-administrativo será el competente para resolver las cuestiones litigiosas que pudieran suscitarse entre las partes, todo ello de conformidad con lo dispuesto en los artículos 1 y 2 de la Ley 29/1998, de 13 de julio, reguladora de dicha jurisdicción.

Undécima. Publicidad y transparencia.

Este convenio se publicará en el «Boletín Oficial del Estado», de acuerdo con lo previsto en la Ley 40/2015, de 1 de octubre. Asimismo, se publicará en el portal de la transparencia del Gobierno de España, de acuerdo con lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (BOE de 10 de diciembre).

De conformidad con cuanto antecedente, y en ejercicio de las atribuciones de que son titulares los firmantes, suscriben por duplicado el presente convenio en lugar y fecha arriba indicados.–El Secretario General de Instituciones Penitenciarias,Ángel Luis Ortiz González.–El Director-Gerente del SESCAM, Alberto Jara Sánchez.

ANEXO I

Tratamiento de datos personales

1. Estipulaciones como encargado de tratamiento. De conformidad con lo previsto en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, Reglamento General de Protección de Datos), la Secretaría General de Instituciones Penitenciarias se obliga y garantiza el cumplimiento de las siguientes obligaciones:

a) Tratar los datos personales conforme a las instrucciones documentadas en el presente convenio y aquellas que, en su caso, reciba de SESCAM por escrito en cada momento.

La Secretaría General de Instituciones Penitenciarias informará inmediatamente al SESCAM cuando, en su opinión, una instrucción sea contraria a la normativa de protección de datos personales aplicable en cada momento.

b) No utilizar ni aplicar los datos personales con una finalidad distinta a la ejecución del objeto del presente convenio.

c) Tratar los datos personales de conformidad con los criterios de seguridad y el contenido previsto en el artículo 32 del Reglamento General de Protección de Datos, así como observar y adoptar las medidas técnicas y organizativas de seguridad necesarias, o convenientes, para asegurar la confidencialidad, secreto e integridad de los datos personales a los que tenga acceso.

En particular, y sin carácter limitativo, se obliga a aplicar las medidas de protección del nivel de riesgo y seguridad detallados en el apartado 2 del presente anexo.

d) Mantener la más absoluta confidencialidad sobre los datos personales a los que tenga acceso para la ejecución del convenio, así como sobre los que resulten de su tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta obligación se extiende a toda persona que pudiera intervenir en cualquier fase del tratamiento por cuenta de la Secretaría General de Instituciones Penitenciarias, siendo deber de esta parte instruir a las personas que de él dependan, de este deber de secreto, y del mantenimiento de dicho deber aún después de la terminación de la ejecución del convenio o de su desvinculación.

e) Llevar un listado de personas autorizadas para tratar los datos personales objeto de este convenio y garantizar que las mismas se comprometen, de forma expresa y por escrito (según modelo del anexo II), a respetar la confidencialidad, y a cumplir con las medidas de seguridad correspondientes, de las que les debe informar convenientemente, así como a mantener a disposición del SESCAM dicha documentación acreditativa.

f) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas a su tratamiento.

g) Salvo que cuente en cada caso con la autorización expresa del responsable del tratamiento, no comunicar, ceder, ni difundir los datos personales a terceros, ni siquiera para su conservación.

h) Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos de:

1.º Acceso, rectificación, supresión y oposición.

2.º Limitación del tratamiento.

i) Nombrar un delegado de protección de datos, en caso de que sea necesario según el Reglamento General de Protección de Datos, y comunicarlo al SESCAM, también cuando la designación sea voluntaria, así como la identidad y datos de contacto de la(s) persona(s) física(s) designada(s) por la Secretaría General de Instituciones Penitenciarias como sus representante(s) a efectos de protección de los datos personales (representantes del encargado de tratamiento), responsable(s) del cumplimiento de la regulación del tratamiento de datos personales, en las vertientes legales/formales y en las de seguridad.

j) Una vez finalizada la prestación objeto del presente convenio, se compromete, según corresponda y se instruye en el presente Anexo «Tratamiento de Datos Personales», a devolver o destruir:

1.º Los datos personales a los que haya tenido acceso;

2.º Los datos personales generados por la Secretaría General de Instituciones Penitenciarias por causa del tratamiento; y

3.º Los soportes y documentos en que cualquiera de estos datos consten, sin conservar copia alguna; salvo que se permita o requiera por ley o por norma de derecho de la Unión Europea su conservación, en cuyo caso no procederá la destrucción.

El encargado del tratamiento podrá, no obstante, conservar los datos durante el tiempo que puedan derivarse responsabilidades de su relación con el responsable del tratamiento. En este último caso, los datos personales se conservarán bloqueados y por el tiempo mínimo, destruyéndose de forma segura y definitiva al final de dicho plazo.

k) Según corresponda y se indique en el presente anexo, a llevar a cabo el tratamiento de los datos personales en los sistemas/dispositivos de tratamiento, manuales y automatizados, y en las ubicaciones que en el presente anexo se especifican, equipamiento que podrá estar bajo el control del SESCAM o bajo el control directo o indirecto de la Secretaría General de Instituciones Penitenciarias, u otros que hayan sido expresamente autorizados por escrito por el SESCAM, según se establezca en este anexo en su caso, y únicamente por los usuarios o perfiles de usuarios asignados a la ejecución del objeto de este convenio.

l) Salvo que se indique otra cosa en este anexo o se instruya así expresamente por el SESCAM, a tratar los datos personales dentro del Espacio Económico Europeo u otro espacio considerado por la normativa aplicable como de seguridad equivalente, no tratándolos fuera de este espacio ni directamente ni a través de cualesquiera terceros autorizados conforme a lo establecido en este convenio, salvo que esté obligado a ello en virtud del Derecho de la Unión o del Estado miembro que le resulte de aplicación.

En el caso de que por causa de derecho nacional o de la Unión Europea la Secretaría General de Instituciones Penitenciarias se vea obligada a llevar a cabo alguna transferencia internacional de datos, informará por escrito al SESCAM de esa exigencia legal, con antelación suficiente a efectuar el tratamiento, y garantizará el cumplimiento de cualesquiera requisitos legales que sean aplicables al SESCAM, salvo que el derecho aplicable lo prohíba por razones importantes de interés público.

m) De conformidad con el artículo 33 del Reglamento General de Protección de Datos, comunicar al SESCAM, de forma inmediata y a más tardar en el plazo de setenta y dos horas, cualquier violación de la seguridad de los datos personales a su cargo de la que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia o cualquier fallo en su sistema de tratamiento y gestión de la información que haya tenido o pueda tener que ponga en peligro la seguridad de los datos personales, su integridad o su disponibilidad, así como cualquier posible vulneración de la confidencialidad como consecuencia de la puesta en conocimiento de terceros de los datos e informaciones obtenidos durante la ejecución del convenio. Comunicará con diligencia información detallada al respecto, incluso concretando qué interesados sufrieron una pérdida de confidencialidad.

n) Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas, u otros reconocidos por la normativa aplicable, conjuntamente, los «Derechos»), ante el encargado del tratamiento, éste debe comunicarlo al SESCAM con la mayor prontitud. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción del ejercicio de derecho, juntamente, en su caso, con la documentación y otras informaciones que puedan ser relevantes para resolver la solicitud que obre en su poder, e incluyendo la identificación fehaciente de quien ejerce el derecho.

Asistirá al SESCAM, siempre que sea posible, para que ésta pueda cumplir y dar respuesta a los ejercicios de derechos.

ñ) Colaborar con el SESCAM en el cumplimiento de sus obligaciones en materia de:

1.º Medidas de seguridad,

2.º Comunicación y/o notificación de brechas (logradas e intentadas) de medidas de seguridad a las autoridades competentes o los interesados, y

3.º Colaborar en la realización de evaluaciones de impacto relativas a la protección de datos personales y consultas previas al respecto a las autoridades competentes; teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga.

Asimismo, pondrá a disposición del SESCAM, a requerimiento de éste, toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en este convenio y colaborará en la realización de auditoras e inspecciones llevadas a cabo, en su caso, por el SESCAM.

o) En los casos en que la normativa así lo exija (de acuerdo con el artículo 30.5 del Reglamento General de Protección de Datos), llevar, por escrito, incluso en formato electrónico, y de conformidad con lo previsto en el artículo 30.2 del Reglamento General de Protección de Datos, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del SESCAM (Responsable del tratamiento), que contenga, al menos, las circunstancias a que se refiere dicho artículo.

p) Disponer de evidencias que demuestren su cumplimiento de la normativa de protección de datos personales y del deber de responsabilidad activa, como, a título de ejemplo, certificados previos sobre el grado de cumplimiento o resultados de auditorías, que habrá de poner a disposición del SESCAM a requerimiento de esta. Asimismo, durante la vigencia del convenio, pondrá a disposición del SESCAM toda información, certificaciones y auditorías realizadas en cada momento.

q) Derecho de información: El encargado del tratamiento, en el momento de la recogida de los datos, debe facilitar la información relativa a los tratamientos de datos que se van a realizar. La redacción y el formato en que se facilitará la información se debe consensuar con el responsable antes del inicio de la recogida de los datos.

La presente cláusula de este anexo y las obligaciones en ella establecidas, constituyen el acto jurídico de encargo de tratamiento entre el SESCAM y la Secretaría General de Instituciones Penitenciarias a que hace referencia el artículo 28.3 Reglamento General de Protección de Datos. Las obligaciones y prestaciones que aquí se contienen no son retribuibles de forma distinta de lo previsto en el presente convenio y tendrán la misma duración que el convenio, prorrogándose en su caso por períodos iguales a éste. No obstante, a la finalización del convenio, el deber de secreto continuará vigente, sin límite de tiempo, para todas las personas involucradas en la ejecución del convenio.

Para el cumplimiento del objeto de este convenio no se requiere que la Secretaría General de Instituciones Penitenciarias acceda a ningún otro dato personal responsabilidad del SESCAM, y por tanto no está autorizado en caso alguno al acceso o tratamiento de otro dato, que no sean los especificados en este anexo. Si se produjera una incidencia durante la ejecución del convenio que conllevara un acceso accidental o incidental a datos personales responsabilidad del SESCAM no contemplados en el presente anexo, la Secretaría General de Instituciones Penitenciarias deberá ponerlo en conocimiento del SESCAM, con la mayor diligencia y a más tardar en el plazo de setenta y dos horas.

2. Tratamiento de datos de carácter personal por terceros ajenos al convenio. Cuando el convenio permita que las actividades objeto del convenio sean llevadas a cabo por otra persona física o jurídica, y en caso de que la Secretaría General de Instituciones Penitenciarias pretenda ejecutar las prestaciones del convenio con terceros, y éste deba acceder a datos personales, la Secretaría General de Instituciones Penitenciarias lo pondrá en conocimiento previo del SESCAM, identificando qué tratamiento de datos personales conlleva, para que el SESCAM decida, en su caso, si otorgar o no su autorización a dicha ejecución de actividades.

En todo caso, para autorizar la ejecución de actividades, es requisito imprescindible que se cumplan las siguientes condiciones (si bien, aun cumpliéndose las mismas, corresponde al SESCAM la decisión de si otorgar, o no, dicho consentimiento):

a) Que el tratamiento de datos personales por parte del tercero que ejecuta las prestaciones del convenio se ajuste a la legalidad vigente, lo contemplado en este convenio y a las instrucciones del SESCAM.

b) Que la Secretaría General de Instituciones Penitenciarias y el tercero que ejecute parte de las prestaciones del convenio formalicen un acto jurídico de encargo de tratamiento de datos en términos no menos restrictivos a los previstos en el presente convenio, el cual será puesto a disposición del SESCAM a su mera solicitud para verificar su existencia y contenido.

La Secretaría General de Instituciones Penitenciarias informará al SESCAM de cualquier cambio previsto en la incorporación o sustitución de otros terceros que ejecuten el convenio, dando así al SESCAM la oportunidad de otorgar el consentimiento previsto en esta cláusula. La no respuesta del SESCAM a dicha solicitud por el contratista equivale a oponerse a dichos cambios.

3. Información sobre el tratamiento de los datos de carácter personal. Los datos de carácter personal serán tratados por los servicios sanitarios de los centros penitenciarios ubicados en la Comunidad de Castilla-La Mancha para ser incorporados a la historia clínica digital de instituciones penitenciarias, con fines asistenciales, epidemiológicos y de gestión sanitaria de los internos de los citados centros penitenciarios, según mandato legal recogido en la Ley orgánica 1/1979, de 26 de septiembre, General Penitenciaria, desarrollado en el Reglamento Penitenciario, Real Decreto 190/1996, de 9 de febrero.

Los datos de carácter personal serán comunicados a Juzgados; Tribunales de Justicia, Fiscalías y a cuantas entidades (públicas o privadas) legitimadas por la ley, y en los términos recogidos en la ley, sean de obligado cumplimiento.

Se conservarán los datos durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Será de aplicación lo dispuesto en la normativa nacional y autonómica de archivos y documentación sanitaria.

Los derechos de acceso, rectificación, supresión y portabilidad de sus datos, de limitación y oposición a su tratamiento, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos, cuando procedan, se pueden ejercitar ante el SESCAM, según los procedimientos administrativos establecidos al efecto.

Puede obtener más información en https://sanidad.castillalamancha.es/content/politica-de-privacidad.

4. Descripción general del tratamiento de datos personales a efectuar.

4.1 Descripción. El tratamiento consistirá en la utilización de los datos obtenidos con fines asistenciales, epidemiológicos y de gestión sanitaria. El personal adscrito por la Secretaría General de Instituciones Penitenciarias, para ejecutar las prestaciones del presente convenio puede tratar datos personales. Éstos se tratarán únicamente por el personal adscrito y al único fin de efectuar el alcance del objeto del convenio.

En caso de que como consecuencia de la ejecución de las prestaciones del convenio resultara necesario en algún momento la modificación de lo estipulado en este Anexo, la parte firmante interesada lo requerirán razonadamente y señalará los cambios que solicita. En caso de que la otra parte firmante estuviese de acuerdo con lo solicitado, su modificación se realizará mediante la suscripción de una adenda previa tramitación de acuerdo con la ley.

4.2 Colectivos y datos tratados. Los colectivos de interesados y datos personales tratados a las que puede tener acceso la Secretaría General de Instituciones Penitenciarias son:

Tratamientos y principales colectivos de interesados	Datos personales del tratamiento a los que se puede acceder
Asistencia sanitaria.	Datos de salud.

4.3 Elementos del tratamiento. El tratamiento de los datos personales comprenderá: (márquese lo que proceda)

X Recogida (captura de datos).	X Registro (grabación).	☐ Estructuración.	X Modificación.
☐ Conservación (almacenamiento).	X Extracción (retrieval).	X Consulta.	X Cesión.
☐ Difusión.	☐ Interconexión (cruce).	☐ Cotejo.	☐ Limitación.
☐ Supresión.	☐ Destrucción (de copias temporales).	☐ Conservación (en sus sistemas de información).	☐ Otros:.............
☐ Duplicado.	☐ Copia (copias temporales).	☐ Copia de seguridad.	☐ Recuperación.

4.4 Disposición de los datos al finalizar el objeto del convenio. Una vez finalice el objeto del convenio, la Secretaría General de Instituciones Penitenciarias debe:

a) Devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplido el objeto del convenio. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución del objeto del convenio.

No obstante, el responsable del tratamiento podrá requerir al encargado para que en vez de la opción a), cumpla con la b) o con la c) siguientes:

b) Devolver al encargado que designe por escrito el responsable del tratamiento, los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplido el objeto del convenio. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.

c) Destruir los datos, una vez cumplido el objeto del convenio. Una vez destruidos, el encargado debe certificar su destrucción por escrito y debe entregar el certificado al responsable del tratamiento. No obstante, el encargado puede conservar una copia, con los datos debidamente boqueados, mientras puedan derivarse responsabilidades de la ejecución del objeto del convenio.

4.5 Medidas de seguridad. Los datos deben protegerse empleando las medidas que un sujeto diligente debe tomar para evitar que dichos datos pierdan su razonable confidencialidad, integridad y disponibilidad, según Esquema Nacional de Seguridad conforme a la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

La Secretaría General de Instituciones Penitenciarias no podrá no implementar o suprimir dichas medidas mediante el empleo de un análisis de riesgo o evaluación de impacto salvo aprobación expresa del SESCAM. A estos efectos, el personal de la Secretaría General de Instituciones Penitenciarias debe seguir las medidas de seguridad establecidas por el SESCAM, no pudiendo efectuar tratamientos distintos de los definidos por éste.

ANEXO II

Compromisos e información para profesionales sanitarios del Ministerio del Interior

D./D.ª……………………………………………………………………………………………, mayor de edad, con DNI ……………………, profesional sanitario del Ministerio del Interior con categoría de ………………………….……… y dentro del convenio entre la Secretaría de General de Instituciones Penitenciarias del Ministerio del Interior y el Servicio de Salud de Castilla-La Mancha en materia de asistencia sanitaria a personas privadas de libertad en centros penitenciarios, para dar cumplimiento a la normativa de Protección de Datos de Carácter Personal, se compromete y obliga a:

Primero. Atender las instrucciones relativas a la seguridad de la información contenidas en las normas de seguridad de las Administraciones, y en concreto en la Orden de 11/07/2012, de la Consejería de Presidencia y Administraciones Públicas y de la Consejería de Fomento, por la que se aprueba la instrucción sobre el uso aceptable de medios tecnológicos en la Administración de la Junta de Comunidades de Castilla-La Mancha.

Segundo. Guardar secreto sobre las informaciones confidenciales y los datos de carácter personal de los que tenga conocimiento en el ejercicio de las funciones que le son encomendadas.

Tercero. Notificar de manera inmediata al responsable de su entidad, cualquier incidente de seguridad sobre los tratamientos realizados o si, en su opinión, una instrucción infringe el Reglamento Europeo u otras disposiciones en materia de protección de datos de la Unión o nacional.

Cuarto. Realizar únicamente las tareas que se le encomienden dentro del mencionado convenio y en la forma indicada y, en particular, no debe utilizar la información tratada para otra finalidad.

Queda informado de que cualquier incumplimiento de estos compromisos, y de la legislación vigente, podrá dar origen a las oportunas acciones para exigir reparación de las posibles responsabilidades en que pudiera incurrir.

En.................................., a............ de........................ de 20......

Fdo: