REUNIDOS
De una parte, D.a Laura Gutiérrez Barreno, Viceconsejera de Sanidad y Directora General del Servicio Madrileño de Salud, nombrada mediante Decreto 257/2023, de 22 de noviembre, del Consejo de Gobierno, en nombre y representación del Servicio Madrileño de Salud, actuando en uso de las atribuciones conferidas por el artículo 6.2 del Decreto 76/2023, de 5 de julio, del Consejo de Gobierno, por el que se establece la estructura orgánica básica de las Consejerías de la Comunidad de Madrid, el artículo 3 del Decreto 245/2023, de 4 de octubre, del Consejo de Gobierno, por el que se establece la estructura orgánica de la Consejería de Sanidad, y del artículo 23.2.a) del Decreto 24/2008, de 3 de abril, por el que se establece el régimen jurídico y de funcionamiento del Servicio Madrileño de Salud y el Acuerdo del Consejo de Administración del Servicio Madrileño de Salud, de 9 de mayo de 2008, ratificado en su reunión de 17 de junio de 2020, por el que se delegan determinadas competencias en materia de convenios.
Y de otra, D. M. Christian Levasseur, Jefe de Servicio de la Oficina de Gestión y Liquidación de los Derechos Individuales, en virtud del nombramiento efectuado a través de las "Décisions Administratives et Budgétaires Prises par la Commission Lors de SA 2480EME Réunion du Mercredi 31 Janvier 2024"; y conforme a las facultades que le confiere la Comisión Europea, de conformidad con lo previsto en el artículo 11 de la Decisión de la Comisión de 6 de noviembre de 2002, por la que se crea la Oficina de gestión y liquidación de los derechos individuales,
Ambas partes se reconocen recíprocamente competencia para formalizar el presente convenio, y al efecto
MANIFIESTAN
Primero
Que el Servicio Madrileño de Salud (en adelante SERMAS), en virtud de lo previsto en el Decreto 24/2008, de 3 de abril, por el que se establece su régimen jurídico y de funcionamiento, es el organismo encargado de la atención integral de la salud del individuo mediante la adecuada organización y asignación de los recursos sanitarios, teniendo en cuenta las características sanitarias, socioeconómicas, epidemiológicas y poblacionales, en el ámbito territorial de la Comunidad de Madrid a través de la Dirección General de Aseguramiento, Adecuación y Supervisión Sanitaria (artículo 11.b. del Decreto 246/2023, de 4 de octubre, del Consejo de Gobierno, por el que se establece la estructura directiva del Servicio Madrileño de Salud).
Segundo
Que, de acuerdo con lo dispuesto en el artículo 2.1 de la Decisión de la Comisión de 6 de noviembre de 2002, por la que se crea la Oficina de Gestión y Liquidación de los Derechos Individuales (en adelante, PMO), corresponde a ésta calcular, liquidar y abonar los derechos pecuniarios del personal empleado al servicio de las instituciones comunitarias, así como del personal externo, conforme a las disposiciones administrativas en vigor en la Comisión Europea, incluyéndose entre estos derechos pecuniarios el seguro de enfermedad y accidente, según se recoge en el artículo 3.1.d) de dicha Decisión.
Tercero
Que, en aplicación del artículo 72 del Estatuto de los Funcionarios de las Instituciones de la Unión Europea (Reglamento n.o 31 (CEE) y n.o 11 (CEEA), modificado por el Reglamento del Consejo y del Parlamento Europeo 1023/2013, se constituye un Régimen de Seguro de Enfermedad Común RCAM a las instituciones de la Unión Europea, que garantizará a sus beneficiarios, dentro de los límites y las condiciones que se prevén en la reglamentación común relativa a la cobertura de los riesgos de enfermedad de los funcionarios de la Unión Europea y en las disposiciones generales de aplicación, el reembolso de los gastos en los que hayan incurrido debido a enfermedad, accidente o maternidad.
Cuarto
Que el Servicio Madrileño de Salud, atendiendo al principio de igualdad en el acceso a los recursos sanitarios, reconocido en la Ley de Ordenación Sanitaria de la Comunidad de Madrid, como organismo encargado de la adecuada organización y ordenación de las actuaciones sanitarias, considera necesario facilitar que las personas que se identifiquen como beneficiarios del sistema RCAM, puedan ser atendidas sin problemas en los centros sanitarios públicos mediante la correspondiente acreditación.
Quinto
Que es interés común del SERMAS y la PMO que la asistencia sanitaria que se presta a los trabajadores de las instituciones europeas se lleve a cabo de la manera más efectiva y ordenada.
En virtud de lo expuesto, ambas partes, en el ejercicio de sus respectivas funciones, acuerdan suscribir el presente convenio de colaboración, con arreglo a las siguientes,
CLÁUSULAS
Primera
Objeto y ámbito de aplicación
1. El presente convenio tiene por objeto la ordenación del acceso a la asistencia sanitaria del Sistema Sanitario Público Madrileño a todos los beneficiarios, tanto afiliados, como personas aseguradas por cuenta de éstos, del Régimen General del Seguro de Enfermedad (en adelante, RCAM) con cobertura primaria y que residan en cualquiera de los municipios de la Comunidad de Madrid, mediante la correspondiente acreditación que se expedirá en los términos establecidos en el clausulado de este convenio, y según el modelo recogido en el anexo I del mismo, todo ello con el objetivo de mejorar la eficacia y la eficiencia en el acceso a la asistencia sanitaria por parte de este colectivo de personas.
2. Respecto al personal incluido en el RCAM que resida fuera del territorio de la Comunidad de Madrid, se irán estableciendo de forma progresiva, y en función de los acuerdos alcanzados por la PMO con el resto de las Comunidades Autónomas, los requisitos para la acreditación de su desplazamiento temporal en la región madrileña y de inclusión en el ámbito de aplicación de este convenio.
Segunda
Acceso a la asistencia sanitaria
1. Las personas incluidas en el ámbito de aplicación de este convenio, que estén debidamente acreditadas en los términos recogidos en las cláusulas siguientes, podrán acudir a cualquiera de los centros que conforman el sistema sanitario público madrileño, tanto de atención primaria, como especializada, de acuerdo con los procedimientos y protocolos establecidos por el Servicio Madrileño de Salud en cada caso, con sometimiento a los mismos y sin ningún tipo de trato preferente, aplicándoseles las mismas condiciones y requisitos que al resto de usuarios de dicho sistema.
2. Todos los gastos derivados de la asistencia sanitaria prestada serán reembolsados directamente por la PMO en los términos y según el procedimiento recogido en este convenio.
3. Las prestaciones sanitarias facilitadas por el Servicio Madrileño de Salud serán las recogidas en el Real Decreto 1030/2006, de 15 de septiembre, por el que se establece la cartera de servicios comunes del Sistema Nacional de Salud, con el alcance, contenido y exclusiones, generales o específicas que, para cada caso, se establezcan en el mismo, así como en aquellas disposiciones que sobre la materia establezca la Comunidad de Madrid.
4. Están excluidas de la asistencia amparada por este convenio:
a) La asistencia sanitaria que suponga trasplante de órganos humanos, que deberá realizarse dentro del sistema sanitario público de la Comunidad de Madrid, en la forma y con los medios que la Consejería de Sanidad determine
b) La cartera común suplementaria del Sistema Nacional de Salud, según lo establecido en el artículo 8.ter de la Ley 16/2003, de 28 de mayo, de Cohesión y Calidad del Sistema Nacional de Salud, que comprende:
— Las prestaciones farmacéuticas
— Las prestaciones ortoprotésicas y de productos dietéticos
— El transporte sanitario no urgente.
5. Las condiciones fijadas en este convenio no conllevan, en ningún caso, reconocimiento alguno por parte de la Comunidad de Madrid del derecho a la asistencia sanitaria pública del personal incluido en el RCAM, ni suponen asumir el gasto sanitario generado por dicho personal con cargo a los presupuestos del SERMAS.
Tercera
Identificación de los usuarios
1. Para la adecuada planificación de los recursos sanitarios del SERMAS, será necesaria la identificación de las personas incluidas en el RCAM y residentes en la Comunidad de Madrid, a cuyo efecto, por parte de la PMO se procederá a la remisión de un listado en el que se recogerán todos aquellos datos necesarios para la emisión del documento acreditativo de acceso a la asistencia sanitaria del sistema sanitario público madrileño que se establece en la cláusula cuarta de este convenio.
2. Una vez remitidos los datos necesarios, el Servicio Madrileño de Salud, a través del titular del órgano con competencia en materia de aseguramiento, procederá a incluir en el Sistema de Información Poblacional de la Comunidad de Madrid a esas personas.
Dicha inclusión se realizará a efectos meramente identificativos y con el fin de poder facilitarle el documento que le permitirá acceder a la asistencia sanitaria, así como para hacer posible la asignación de centro sanitario y los correspondientes profesionales, de acuerdo con los datos de domicilio facilitados por la PMO.
3. Para poder hacer efectivo lo indicado anteriormente, la PMO remitirá, en los dos meses siguientes a la firma del presente convenio, el listado actualizado de todas las personas que son residentes en la Comunidad de Madrid y que soliciten ser incluidas en el presente Convenio1, a fin de proceder a la emisión y envío de los documentos acreditativos que procedan, de acuerdo con el modelo y características que aparecen en el anexo I de este convenio.
4. Con carácter mensual la PMO enviará, en su caso, al titular del órgano con competencia en materia de aseguramiento la actualización de los datos de las personas incluidas en el RCAM, tanto nuevas altas, como bajas o modificaciones que afecten al documento emitido.
5. Los listados remitidos por la PMO deberán indicar los siguientes datos:
— Nombre y apellidos.
— Número de documento identificativo (DNI, NIE o Pasaporte).
— Fecha y lugar de nacimiento, a efectos de la asignación de médico de familia o pediatra.
— Domicilio y número de teléfono.
— Número de registro en la PMO.
— Especificación de la condición de titular o beneficiario.
Dichos datos irán acompañados de un certificado que acredite la inclusión de todas las personas relacionadas en los mismos en el RCAM.
1 La transmisión de ese listado se hará por correo electrónico encriptado.
Cuarta
Documento acreditativo
1. El titular del órgano con competencia en materia de aseguramiento, una vez recibidos los datos identificativos de todo el personal incluido en el RCAM, así como la certificación que aparece recogida en el punto 5 de la cláusula tercera de este convenio, emitirá un documento acreditativo para cada beneficiario, tanto afiliados, como personas aseguradas por cuenta de éstos, que le permitirá el acceso directo a la asistencia sanitaria.
2. Los datos identificativos que figurarán en este documento serán los siguientes:
— Nombre y apellidos
— Número de documento identificativo (DNI, NIE o Pasaporte)
— Código de identificación personal autonómico (CIPA)
En cuanto al formato y características, serán las especificadas en el anexo I.
Quinta
Condiciones económicas
1. Todos los gastos derivados de la asistencia sanitaria al personal incluido en el RCAM serán reembolsados directamente por la PMO en los términos y condiciones recogidos en esta cláusula.
2. La asistencia sanitaria, tanto de atención primaria como especializada, que presten los centros dependientes del Servicio Madrileño de Salud será con cargo a la PMO y se abonará con carácter trimestral por parte de ésta, previa emisión y envío por parte del Servicio Madrileño de Salud de la factura o facturas correspondientes, las cuales identificarán al usuario, y deberán contener la suficiente desagregación del tratamiento o tratamientos realizados.
3. Los precios a aplicar a la asistencia sanitaria prestada al personal del RCAM serán los incluidos en la orden de precios públicos por la prestación de los servicios y actividades de naturaleza sanitaria de la Red de Centros de la Comunidad de Madrid vigente en cada momento.
Sexta
Compromisos de las partes
1. La PMO se compromete a:
a) Satisfacer al Servicio Madrileño de Salud el importe de todos los gastos derivados de la asistencia sanitaria prestada por el mismo a los usuarios del RCAM, de acuerdo con las tarifas y condiciones establecidas en las cláusulas de este convenio.
b) Recabar de cada una de las personas incluidas en el RCAM la conformidad expresa de recogida de sus datos a efectos de su inclusión en la correspondiente base de datos y la emisión del documento acreditativo.
c) Remitir al titular del órgano con competencia en materia de aseguramiento todos los listados y datos que aparecen recogidos en la cláusula tercera del presente convenio.
2. El Servicio Madrileño de Salud se compromete a:
a) La ordenación del acceso a la asistencia sanitaria del Sistema Sanitario Público Madrileño del personal del RCAM objeto del convenio.
b) Mantener actualizados los datos del personal del RCAM, de acuerdo con la información remitida por la PMO.
c) Emitir y enviar a los domicilios facilitados por la PMO los documentos acreditativos del personal del RCAM.
d) Establecer los procedimientos internos y protocolos correspondientes para la adecuada ejecución del objeto de este convenio y que garanticen el acceso a la asistencia sanitaria del personal del RCAM.
e) Remitir, con carácter trimestral, a la PMO la factura o facturas de gastos por la asistencia sanitaria del personal del RCAM.
Séptima
Comisión de Seguimiento
1. Se constituirá una Comisión de Seguimiento compuesta por los siguientes miembros:
a) El titular del órgano con competencia en materia de aseguramiento o persona en quien delegue, que ostentará la presidencia
b) Dos personas pertenecientes al Servicio Madrileño de Salud, una de las cuales pertenecerá al órgano con competencia en materia de aseguramiento y la otra al órgano con competencia en materia de gestión económica.
Las designaciones de estas personas las realizará el titular del órgano al que pertenezca cada una de ellas.
c) Dos personas pertenecientes a la PMO, designadas por su responsable.
d) Actuará como secretario, un funcionario del órgano con competencia en materia de aseguramiento designado por su titular, sin voz ni voto.
2. Son funciones de la comisión de seguimiento:
a) Supervisar el desarrollo y ejecución del presente convenio, formulando las propuestas que estime convenientes para la mejor consecución de los objetivos establecidos en el mismo.
b) Coordinar las actuaciones objeto de este convenio, así como el proceso de desarrollo del mismo.
c) Informar las posibles modificaciones que se propongan de forma previa a su inclusión en la correspondiente adenda, así como interpretar y resolver cuantas cuestiones surjan de la ejecución y desarrollo de este convenio.
d) Llevar a cabo un seguimiento y evaluación de las actividades contempladas en el presente convenio.
3. El régimen de funcionamiento de la comisión de seguimiento será el establecido en la sección tercera, del capítulo segundo, del título preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del sector Público.
4. La Comisión de Seguimiento de este convenio se reunirá, al menos, una vez al año y, en todo caso, cada vez que se solicite una reunión por alguna de las dos partes intervinientes.
Octava
Protección de datos personales, confidencialidad y transparencia
1. El Servicio Madrileño de Salud se compromete a cumplir las previsiones contenidas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como en el Reglamento (UE) del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, GDPR), y a la normativa nacional que lo desarrolle.
2. Asimismo, la Oficina de Gestión y Liquidación de los Derechos Individuales de la Comisión Europea se compromete a cumplir las previsiones contenidas en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo de 23 de octubre de 2018 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE, (EUDPR).
3. Los datos personales que recaben u obtengan las partes en el desarrollo y aplicación del Convenio serán tratados y utilizados de conformidad con la normativa vigente.
Asimismo, el Servicio Madrileño de Salud respetará el deber de secreto y las limitaciones en su uso marcadas por la normativa de aplicación y serán aplicables a cualquier información a la que se pudiera tener acceso en la realización de actividades objeto de este Convenio, salvo aquella información que deba ser pública según lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid.
4. El tratamiento de los datos del presente Convenio queda sometido a la mencionada normativa, así como a la vigente en cada momento, de conformidad con el Anexo II.
Novena
Vigencia, Prórroga, modificación y denuncia
1. El presente convenio tendrá vigencia durante cuatro años, pudiendo prorrogarse antes de su finalización por un período máximo de cuatro años.
2. Asimismo, el presente convenio podrá ser revisado y modificado por mutuo acuerdo de las partes, para mejorar la colaboración entre las mismas, mediante adenda suscrita por las partes intervinientes.
3. Cualquiera de las partes podrá denunciar el presente convenio comunicándolo a la otra por escrito, al menos con dos meses de antelación a la terminación del mismo o, en su caso, al de las correspondientes prórrogas.
Décima
Causas de resolución
El presente convenio quedará resuelto en los siguientes supuestos:
1. Por mutuo acuerdo escrito entre las partes.
2. Por incumplimiento de los compromisos establecidos en el convenio por alguna de las partes que será comunicado a la Comisión Mixta.
En este supuesto, cualquiera de las partes podrá notificar a la parte incumplidora un requerimiento para que cumpla en el plazo de dos meses con las obligaciones o compromisos que se consideran incumplidos. Este requerimiento será puesto en conocimiento de la comisión mixta de seguimiento.
Si transcurrido el plazo indicado en el requerimiento persistiera el incumplimiento, la parte que lo dirigió notificará a las partes firmantes la concurrencia de la causa de resolución y se entenderá resuelto el convenio. No se prevé indemnización por los perjuicios causados.
3. Por su denuncia, en la forma establecida en la cláusula decimoprimera.
4. Por imposibilidad sobrevenida, legal o material, de cumplir las obligaciones derivadas del objeto del convenio.
5. Por decisión judicial declaratoria de la nulidad del convenio.
6. Por cualquier otra causa legalmente prevista.
De acuerdo con el artículo 52 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, si cuando concurra cualquiera de las causas de resolución del convenio existen actuaciones en curso de ejecución, las partes, a propuesta de la comisión mixta de seguimiento, podrán acordar la continuación y finalización de las actuaciones en curso que consideren oportunas, estableciendo un plazo improrrogable para su finalización, transcurrido el cual deberá realizarse la liquidación de las mismas en los términos establecidos en esa misma ley.
Undécima
Régimen jurídico
El presente convenio tiene naturaleza administrativa, quedando excluido de la aplicación de lo establecido en el artículo 6.1 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, sometiéndose a los principios de dicha ley para resolver las dudas y lagunas que pudieran presentarse, así como a las normas generales de derecho administrativo, cuando proceda, a los principios de buena administración y al ordenamiento jurídico en general.
Duodécima.
Controversias
Dada la naturaleza administrativa del convenio, todas aquellas discrepancias que no hayan podido resolverse en el seno de la comisión de seguimiento prevista en la cláusula séptima, se resolverán por los tribunales de la jurisdicción contencioso-administrativa, de conformidad con lo dispuesto en la Ley 29/1998, de 13 de julio, reguladora de dicha jurisdicción.
Y en prueba de conformidad se firma el presente convenio en las fechas correspondientes a las firmas digitales
Madrid, a 1 de octubre de 2024.—Por el Servicio Madrileño de Salud: La Viceconsejera de Sanidad y Directora General del Servicio Madrileño de Salud, Laura Gutiérrez Barreno.—Por la Oficina de Gestión y Liquidación de los Derechos Individuales: El Jefe de Servicio de la Oficina, M. Christian Levasseur.
ANEXO I
CARACTERÍSTICAS DEL DOCUMENTO ACREDITATIVO
1. En el anverso del documento figurarán impresos los logotipos identificativos de la Comunidad de Madrid y de la Comisión Europea de acuerdo a las siguientes especificaciones:
— Logotipo de la Consejería de Sanidad de la Comunidad de Madrid situado en la parte superior izquierda
— Logotipo de la Comisión Europea situada en la parte superior derecha
— Leyenda RCAM en la segunda línea del cuerpo de escritura
— Leyenda Sin Farmacia en la tercera línea del cuerpo de escritura
— Leyenda Asistencia Sanitaria a Facturar en la cuarta línea del cuerpo de escritura.
2. En el reverso figurarán las siguientes especificaciones:
— La leyenda: Datos de Adscripción de Profesionales.
— Datos de los profesionales adscritos (médico/a y enfermero/a).
— Centro de atención primaria asignado.
— La leyenda: "Por el presente documento, su titular puede acceder a todos los servicios del Sistema Madrileño de Salud a cargo del RCAM.
El modelo del anverso y reverso de la tarjeta se recoge a continuación:
ANEXO II
ACUERDO DE CORRESPONSABLE DE TRATAMIENTO MUTUO
La Comisión Europea, la Oficina de Gestión y Liquidación de los Derechos Individuales y el Servicio Madrileño de Salud
Visto el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo de 23 de octubre de 2018 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) no 45/2001 y la Decisión no 1247/2002/CE.
Considerando que el artículo 26 del Reglamento (UE) 2016/679 establece que, cuando dos o más responsables del tratamiento determinen conjuntamente los fines y medios del tratamiento, serán corresponsables del tratamiento. Mediante un acuerdo entre ellos, determinarán de manera transparente sus responsabilidades respectivas en el cumplimiento de sus obligaciones en materia de protección de datos, en particular en lo que se refiere al ejercicio de los derechos del interesado y a sus respectivas obligaciones de facilitar la información a que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679;
Considerando que el artículo 28 del Reglamento (UE) 2018/1725 establece que, cuando dos o más responsables del tratamiento determinen conjuntamente los fines y medios del tratamiento, serán corresponsables del tratamiento. Mediante un acuerdo entre ellos, determinarán de manera transparente sus responsabilidades respectivas en el cumplimiento de sus obligaciones en materia de protección de datos, en particular en lo que se refiere al ejercicio de los derechos del interesado y a sus respectivas obligaciones de facilitar la información a que se refieren los artículos 15 y 16 del Reglamento (UE) 2018/1725;
En el presente convenio las partes fijan formalmente y por escrito los términos y condiciones para regular el tratamiento de datos personales y la confidencialidad de la información suministrada y creada entre ellas.
Acuerdan que
Tendrá la consideración de información confidencial toda la información susceptible de ser revelada por escrito, de palabra o por cualquier otro medio o soporte, tangible o intangible, actualmente conocido o que posibilite el estado de la técnica en el futuro, intercambiada como consecuencia de este convenio, salvo aquella información que deba ser pública según lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid.
Las partes se comprometen a mantener el compromiso de confidencialidad respecto a la información y material facilitado y recibido en virtud del presente convenio de forma indefinida tras su finalización.
DEBER DE SECRETO Y CONFIDENCIALIDAD
Los corresponsables del tratamiento se obligan a guardar la máxima reserva y secreto sobre la información clasificada como confidencial con motivo de la prestación de servicios objeto del convenio.
Se considerará información confidencial cualquier información a la que los corresponsables accedan en virtud del convenio, en especial la información y datos personales a los que haya accedido o acceda durante su ejecución.
Las partes se obligan con respecto a la información y material que hayan podido recibir como consecuencia de este convenio a:
a) Utilizar la información de forma reservada.
b) No divulgar ni comunicar la información facilitada o recibida, de conformidad con la legislación aplicable. El SERMAS se compromete a no divulgar ni comunicar la información facilitada o recibida salvo resolución motivada en los términos establecidos en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid.
c) Impedir la copia o revelación de esa información a terceros, salvo que goce de aprobación escrita de las partes y únicamente en los términos de tal aprobación.
d) Se restringirá el acceso a la información a sus empleados y colaboradores, salvo en la medida en que razonablemente puedan necesitarla para el cumplimiento de sus tareas acordadas.
e) No utilizar la información o fragmentos de ésta para fines distintos de la ejecución de este Convenio.
f) Cumplir con todos los términos fijados en el presente acuerdo y muy especialmente aquellos relativos a las cláusulas sobre confidencialidad y obligación de secreto, manteniendo esta confidencialidad y evitando revelar la información a toda persona que no sea empleado o subcontratado
Cada una de las partes aplicará las medidas técnicas y organizativas adecuadas destinadas a no revelar o permitir el acceso a los datos personales a ninguna persona distinta de los destinatarios o encargados previamente acordados.
Los corresponsables garantizarán que su personal, colaboradores, voluntarios y en general, todas las personas de su responsabilidad que tengan acceso a la información confidencial y a los datos personales del otro corresponsable, respeten la confidencialidad de la información, así como las obligaciones relativas al tratamiento de datos personales, aun después de finalizar su relación contractual.
CLÁUSULAS
Primera
Responsables del tratamiento
El Servicio Madrileño de Salud y la Oficina de Gestión y Liquidación de los Derechos Individuales tendrán la consideración de Responsables del Tratamiento (en adelante Corresponsables del Tratamiento), conforme a lo establecido en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante RGPD), así como en el artículo 29 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), y en el resto de normativa vigente en la materia.
Asimismo, la Oficina de Gestión y Liquidación de los Derechos Individuales será igualmente considerada como Responsable del Tratamiento (en adelante Corresponsable del Tratamiento) conforme a lo establecido en el artículo 28 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo de 23 de octubre de 2018 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) número 45/2001 y la Decisión número 1247/2002/CE (en adelante EUDPR).
En consecuencia, el acceso a datos personales en el marco de este convenio se realiza con el único fin de permitir una adecuada prestación de los servicios y no se considerará como una cesión o comunicación de datos.
Segunda
Definiciones
Los términos específicos en materia de protección de datos, serán interpretados conforme a lo establecido en el artículo 4 del RGPD, así como en el artículo 3 del EUDPR.
Tercera
Obligaciones de las partes
Los corresponsables del tratamiento, asumen las siguientes obligaciones:
— Acceder a los datos de personales únicamente cuando sea imprescindible para el buen desarrollo de los servicios.
— Tratar los datos con la única finalidad de dar cumplimiento al objeto del convenio.
— Seguir los procedimientos e instrucciones establecidos por la normativa vigente, especialmente en lo relativo al deber de información y, en su caso, la obtención del consentimiento de los interesados.
— Las Partes tratarán los incidentes de seguridad, incluidas las violaciones de la seguridad de los datos personales, de conformidad con sus procedimientos internos y la legislación aplicable.
— Las Partes se prestarán mutuamente, en particular, la asistencia rápida y eficaz necesaria para facilitar la identificación y el tratamiento de cualquier incidente de seguridad, incluidas las violaciones de la seguridad de los datos personales, relacionado con la operación de tratamiento conjunto.
— Cada Parte es responsable de todos los incidentes de seguridad, incluidas las violaciones de la seguridad de los datos personales, que se produzcan como consecuencia del incumplimiento de las obligaciones de dicha Parte en virtud del presente Acuerdo y del Reglamento (UE) 2018/1725 y del Reglamento (UE) 2016/679, respectivamente.
— Si cualquiera de las partes considera que otra infringe el RGPD, la LOPDGDD, el EUDPR o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, informará inmediatamente a las otras, con el fin de proceder a su rápida subsanación.
— Asumir la responsabilidad que corresponda en caso de que destine los datos a otra finalidad distinta del cumplimiento del objeto del convenio, los comunique o los utilice incumpliendo las estipulaciones de la normativa vigente, respondiendo de las infracciones en que hubiera incurrido personalmente.
— No permitir el acceso a los datos personales a ningún empleado de su responsabilidad que no tenga la necesidad de conocerlos para la prestación de los servicios.
— No revelar, transferir, ceder o de otra forma comunicar los datos personales, ya sea verbalmente o por escrito, por medios electrónicos, papel o mediante acceso informático, ni siquiera para su conservación, a ningún tercero, salvo que exista autorización o instrucción previa para ello.
— En caso de estar obligado a ello por el artículo 30 del RGPD y el 31 de la LOPDGDD, el Servicio Madrileño de Salud mantendrá un registro de todas las categorías de actividades de tratamiento efectuadas en cumplimiento del convenio, que contenga la información exigida por el artículo 30.2 del RGPD. Por su parte, la Oficina de Gestión y Liquidación de los Derechos Individuales, realizará dicho registro de acuerdo con el artículo 31 del EUDPR. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
— Darse apoyo mutuamente en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
— Darse apoyo mutuamente en la realización de las consultas previas a la Autoridad de Control, cuando proceda.
— Poner a disposición de la otra parte toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realice la otra parte con la finalidad de verificar el correcto cumplimiento del convenio.
— Adoptar y aplicar las medidas de seguridad estipuladas en el presente Acuerdo, conforme lo previsto en el artículo 32 del RGPD y artículo 33 del Reglamento 2018/1725, que garanticen la seguridad de los datos personales y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural.
— En caso de estar obligado a ello por el artículo 37.1 del RGPD, y por el artículo 34 de la LOPDGDD, el Servicio Madrileño de Salud designará un delegado de protección de datos y comunicar su identidad y datos de contacto a la otra parte, así como cumplir con todo lo dispuesto en los artículos 37, 38 y 39 del RGPD, y 35 a 37 de la LOPDGDD.
— Por su parte, la Comisión Europea cumplirá con las previsiones de los artículos 43, 44 y 45 del EUDPR en lo que se refiere a la designación, posición y funciones del delegado de protección de datos y comunicar su identidad y datos de contacto a la otra parte.
— El Servicio Madrileño de Salud respetará todas las obligaciones que pudieran corresponderle con arreglo al RGPD y a la LOPDGDD, o de cualquier otra disposición o regulación complementaria que le fuera igualmente aplicable.
— La Oficina de Gestión y Liquidación de los Derechos Individuales respetará todas las obligaciones derivadas que pudieran corresponderle con arreglo al EUDPR.
— En caso de que cualquiera de las partes deba transferir o permitir acceso a datos personales responsabilidad de la otra a un tercero en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará a la otra de esa exigencia legal de manera previa, salvo que estuviese prohibido por razones de interés público.
— En caso de que el tratamiento incluya la recogida de datos personales, se establecerán los procedimientos correspondientes a la recogida de los datos, especialmente en lo relativo a la identificación fehaciente de usuarios, al deber de información y, en su caso, la obtención del consentimiento de los interesados, garantizando que estas instrucciones cumplen con todas las prescripciones legales y reglamentarias que exige la normativa vigente en materia de protección de datos.
— Supervisar el tratamiento y el cumplimiento de la normativa de protección de datos por la otra parte.
Cuarta
Medidas de seguridad y violación de la seguridad
Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, las partes aplicarán las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a) La seudonimización y el cifrado de datos personales.
b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento, así como la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
c) Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
d) Un catálogo de medidas de seguridad reconocido en normativas o estándares de seguridad de la información.
Al evaluar la adecuación del nivel de seguridad, las partes tendrán en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. Las partes permitirán y contribuirán a la realización de auditorías, incluidas inspecciones, a la otra parte.
Asimismo, en caso de modificación de la normativa vigente en materia de protección de datos o de otra normativa relacionada y que resultase aplicable al tratamiento objeto del convenio, las partes garantizan la implantación y mantenimiento de cualesquiera otras medidas de seguridad que le fueran exigibles, sin que ello suponga una modificación de los términos del convenio.
En caso de violación de la seguridad de los datos personales en los sistemas de información utilizados por las partes para la prestación de los Servicios, deberán notificarse mutuamente, sin dilación indebida, y en cualquier caso antes del plazo máximo de 24 horas hábiles, las violaciones de la seguridad de los datos personales a su cargo de las que tengan conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia conforme a lo dispuesto en el artículo 33.3 del RGPD y artículo 34.3 del EUDPR.
En tal caso, cada parte en la medida que le corresponda deberá comunicar las violaciones de seguridad de los datos a la Autoridad de Protección de Datos, al Supervisor Europeo de Protección de Datos y/o a los interesados conforme a lo establecido en la normativa vigente.
Quinta
Destino de los datos al finalizar el convenio
Una vez cumplido o resuelto el convenio acordado cada parte deberá solicitar a la otra instrucciones precisas sobre el destino de los datos personales de su responsabilidad, pudiendo elegir entre su devolución, remisión a otro prestador de servicios o destrucción íntegra, siempre que no exista previsión legal que exija la conservación de los datos, en cuyo caso no podrá procederse a su destrucción.
Sexta
Ejercicio de derechos en materia de protección de datos
Cada parte deberá dar traslado a la otra de cualquier solicitud de ejercicio del derecho de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de los datos y a no ser objeto de decisiones individualizadas automatizadas, efectuada por un interesado cuyos datos hayan sido tratados por la otra con motivo del cumplimiento del objeto del convenio, a fin de que por el mismo se resuelva en los plazos establecidos por la normativa vigente.
El traslado de la solicitud a la otra parte deberá hacerse con la mayor celeridad posible y siempre dentro del plazo de dos (2) días hábiles, a contar desde la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.
Asimismo, las partes deberán tramitar cualquier instrucción relativa a derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de los datos y a no ser objeto de decisiones individualizadas automatizadas, que reciban de la otra, a la mayor celeridad posible, y siempre dentro del plazo máximo de dos (2) días hábiles a contar desde la recepción de la solicitud, confirmando por escrito tanto la recepción de la solicitud como la ejecución de la tarea encomendada.
Séptima
Responsabilidad
Los corresponsables se comprometen a cumplir con las obligaciones establecidas en este convenio y en la normativa vigente.
Cada parte tendrá responsabilidad en el caso de que destine los datos a otras finalidades, los comunique o los utilice incumpliendo las estipulaciones del convenio, respondiendo de las infracciones en que hubiera incurrido.
Las partes responderán de las infracciones en que hubiesen incurrido, manteniendo indemne a la parte contraria frente a cualquier perjuicio que se derivase de dicha infracción.
(03/20.380/24)
