1/7 Procedimiento Nº: A/00262/2015 RESOLUCIÓN: R/00053/2016 En el procedimiento A/00262/2015, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Doña B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 14 de noviembre de 2014, tuvo entrada en esta Agencia un escrito de la Consejería de Salud del Govern de les Illes Balears con el que remiten una reclamación presentada por Doña A.A.A. en la que declara lo siguiente: Con fecha 3 de septiembre de 2014, le realizaron unas pruebas médicas en la Clínica Juaneda (Palma de Mallorca). Un enfermero de la citada clínica, de nombre A.A.A., accedió a sus datos personales (número de teléfono) utilizándolo para mandarle mensajes ese mismo día y al día siguiente. Por estos mismos hechos presento una denuncia ante la Guardia Civil de Palma Nova con fecha 4 de septiembre de 2014. Aporta copia de la reclamación presentada por esos hechos ante la CLINICA JUANEDA, en fecha 25 de septiembre de 2014. Con fecha 8 de enero de 2015, a requerimiento de esta Agencia, la denunciante ha aportado la siguiente documentación: Copia de la Diligencia de inicio por denuncia ante la Guardia Civil de fecha 4 de septiembre de 2014, donde consta que la denunciante manifiesta haber recibido varios whatsapp desde el número de teléfono ***TEL.1, con fechas 3 y 4 de septiembre de 2014. Así mismo, manifiesta que facilitó su número de teléfono en la Clínica Juaneda cuando se realizó unas pruebas médicas el día 3 de septiembre de 2014. Copia impresa de los mensajes de whatsapp recibidos desde el número ***TEL.1, en los que la persona que los manda se identifica como A.A.A. y ante las preguntas de la denunciante, indica que es la persona que la atendió en la clínica. En la conversación A.A.A. muestra su interés en la denunciante ya que según manifiesta “ha llamado su atención” “es muy guapa” y le pide disculpas por dirigirse a ella. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo tuvo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Con fecha 26 de marzo de 2015, TELEFONICA MOVILES DE ESPAÑA S.A. ha remitido a esta Agencia la siguiente información: 1. El titular del número de teléfono ***TEL.1, en la fecha en que la denunciante recibió los mensajes de whatsapp objeto de la denuncia, es Don A.A.A., indicando su domicilio y su N.I.F. Con fecha 23 de abril de 2015, SERVICIOS INTEGRALES DE SANIDAD S.L. (CLINICA JUANEDA), ha remitido a esta Agencia la siguiente información: 1. Confirman que la denunciante fue atendida en su clínica con fecha 3 de septiembre de 2014. A este respecto adjuntan copia de la ficha de sus datos personales, en la que consta, entre otros, su número de teléfono móvil. 2. Así mismo, confirman que Don A.A.A., es trabajador de la Clínica Juaneda y que ha tenido acceso a los datos personales de la denunciante como consecuencia del desempeño de su actividad profesional. TERCERO: Con fecha 18 de septiembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00262/2015. Dicho acuerdo fue notificado a la denunciante y al denunciado. El denunciado no recogió en la Oficina de Correos la notificación del acuerdo de Audiencia, siendo notificado a través del Boletín Oficial del Estado de fecha 16 de octubre de 2015. HECHOS PROBADOS PRIMERO: Con fecha 3 de septiembre de 2014, Doña A.A.A. Juaneda, en la cual le realizaron unas pruebas médicas. acudió a la Clínica SEGUNDO: En la Clínica Juaneda, la denunciante fue atendida por un enfermero, de nombre A.A.A.. TERCERO: La denunciante manifiesta haber recibido varios whatsapp desde el número de teléfono ***TEL.1, con fechas 3 y 4 de septiembre de 2014. Por estos mismos hechos presento una denuncia ante la Guardia Civil de Palma Nova con fecha 4 de septiembre de 2014; y una reclamación presentada ante la CLINICA JUANEDA, en fecha 25 de septiembre de 2014. CUARTO: TELEFÓNICA informó a esta Agencia que el titular del número de teléfono ***TEL.1, en la fecha en que la denunciante recibió los mensajes de whatsapp objeto de la denuncia, era Don A.A.A. . QUINTO: Los mensajes de whatsapp se iniciaban indicando que consideraba a la denunciante muy guapa y la preguntaba si tenía novio. Cuando le contestó que si lo tenía se disculpó. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 4.2 de la LOPD dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El principio de calidad que prohíbe utilizar datos para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se contiene en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. A esta conclusión parece llegar también el propio Tribunal Constitucional cuando en su Sentencia 292/2000, de 30 de noviembre, establece: “el derecho a consentir la recogida y tratamiento de los datos personales no implica en modo alguno consentir la cesión de tales datos a terceros...Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos supone una nueva posesión y uso que requiere el consentimiento del interesado.” La Audiencia Nacional, en su Sentencia de fecha 15/06/05, considera que el artículo 4 de la LOPD establece una sutil distinción entre finalidad de la recogida y finalidad del tratamiento, “pues la recogida sólo puede hacerse con fines determinados, explícitos y legítimos, y el tratamiento posterior no puede hacerse de manera incompatible con dichos fines. Así pues, y de acuerdo con el artículo 1.
- b)de la Directiva 95/46/CE de 24 de octubre de 1995 (en cuya redacción se inspira el repetido artículo 4.2 de nuestra LOPD), si la recogida se hizo con fines determinados, cualquier uso o tratamiento posterior con finalidad distinta es incompatible con la primera finalidad que determinó la captura por lo que, en este contexto, diferente o incompatible significan lo mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. En el caso que nos ocupa, el denunciado estaba habilitado para tratar los datos de la denunciante para las finalidades propias de la Clínica a la que ésta acudió para que le realizaran pruebas médicas. A la vista de la argumentación expuesta, debe considerarse que la utilización, por parte del denunciado, de los datos de la denunciante, en concreto de su número de teléfono para enviarles mensajes a través de la aplicación de mensajería instantánea ““whatsApp”, con el fin de contactar con ella de manera privada y ajena al objeto de la actividad como agente comercial tal como se detalla en los Hechos Probados de la presente resolución, supone una desviación de la finalidad en el tratamiento de los datos de la denunciante, que implica la vulneración del artículo 4.2 de la LOPD. III El artículo 44.3.
- c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” El principio de calidad de los datos se recoge en el artículo 4 de la LOPD, y se configura, como ya se ha señalado, como un principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En el presente caso, se concluye que la conducta del denunciante vulnera el principio de calidad de datos en la medida en que utilizó los datos de la denunciante para una finalidad incompatible y distinta (contactar de manera privada) con aquella para la cual habían sido recabados (la prestación de un servicio sanitario por parte de la Clínica Juaneda), lo cual supone la comisión de infracción del artículo 4.2 de la LOPD. IV La disposición final quincuagésima sexta de la Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE 5-3-2011), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de Sr. A.A.A. por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal y su actividad. Asimismo, se considera determinante para la aplicación de lo previsto en el artículo 45.6 de la LOPD que el enfermero pidió disculpas de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 inmediata por el uso del número de teléfono de la denunciante. Ha de añadirse el hecho de que se trata de una actuación puntual. En consecuencia, no resulta necesario formular requerimiento específico de adopción de medidas. Si es necesario insistir en que no debe proceder a la utilización de datos de las pacientes que acuden a la Clínica en la que presta servicios con finalidad distinta a la sanitaria, salvo que cuente el consentimiento inequívoco del afectado. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00262/2012) a Don A.A.A., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica, en su redacción vigente en el momento en que se cometió la infracción, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso- administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora, salvo no volver a usar datos para finalidades incompatibles con la que originó su recogida. No obstante, se solicita se comuniquen las que de forma autónoma decida, en su caso, adoptar. 3.- NOTIFICAR el presente Acuerdo a Don A.A.A.. 4.- NOTIFICAR el presente Acuerdo a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es