AAPP-00003-2018

1/7 Procedimiento Nº AP/00003/2018 RESOLUCIÓN: R/00499/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00003/2018, instruido por la Agencia Española de Protección de Datos a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD y en virtud de los siguientes, ANTECEDENTES PRIMERO: En resolución de fecha 10 de marzo de 2017 relativa al procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00051/2016, la Directora de la Agencia Española de Protección de Datos resolvió DECLARAR que la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD había infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, infracciones tipificadas como graves en los artículos 44.3.

1. h)y 44.3.
2. d)de la citada Ley Orgánica. En el mismo acuerdo la Directora resolvió REQUERIR a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes las medidas de orden interno que constaten el cumplimiento de lo previsto en los artículos 9.1 y 10 de la LOPD y que impidan que en el futuro vuelva a producirse una nueva infracción de estos artículos. Se comunicaba también la apertura de un expediente de investigación con la referencia E/01527/2017 para la comprobación de lo requerido. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD. Con fecha 6 de abril de 2017, la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD interpuso recurso de reposición contra la citada resolución. Con fecha 3 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos resolvió inadmitir el recurso de reposición interpuesto, dado que el responsable del fichero de titularidad pública de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional. SEGUNDO: Con objeto de constatar el cumplimiento de lo requerido, por la Directora de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación. En el expediente de investigación con la referencia E/01527/2017, para la comprobación de lo requerido a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, figura la respuesta de la Defensora del Pueblo de fecha 19 de abril de 2017 solicitando que se informe a esa institución sobre las actuaciones que lleve a cabo la Consejería de Salud de la Junta de Andalucía, al objeto de tener conocimiento de la adecuada resolución del problema planteado. Ante la falta de respuesta de la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD a lo requerido, con fecha 30 de mayo de 2017 la Directora de esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 envió un nuevo escrito requiriendo que, a la mayor brevedad posible, se comuniquen las medidas adoptadas con el fin de que sean trasladadas a la Defensora del Pueblo. De la información que consta en el expediente de investigación iniciado, se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 10 de marzo de 2017, por la Directora de la Agencia Española de Protección de Datos. TERCERO: Con fecha 30 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD por la presunta infracción del artículo 37.1.
3. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
4. i)de dicha norma. CUARTO: El artículo 64.2.
5. f)de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que el acuerdo de iniciación en los procedimientos de naturaleza sancionadora, deberá contener al menos: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” HECHOS PROBADOS PRIMERO: El 10 de marzo de 2017 en el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00051/2016, la Directora de la Agencia Española de Protección de Datos resolvió DECLARAR que la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD había infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, infracciones tipificadas como graves en los artículos 44.3.
6. h)y 44.3.
7. d)de la citada Ley Orgánica. SEGUNDO: En el mismo acuerdo la Directora resolvió REQUERIR a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, para que acredite en el plazo de un mes las medidas de orden interno que constaten el cumplimiento de lo previsto en los artículos 9.1 y 10 de la LOPD y que impidan que en el futuro vuelva a producirse una nueva infracción de estos artículos. Se comunicaba también la apertura de un expediente de investigación para la comprobación de lo requerido. Esta resolución fue comunicada al Defensor del Pueblo. TERCERO: El 19 de abril de 2017 el Defensor del Pueblo solicita que se informe a esa institución sobre las actuaciones que lleve a cabo la Consejería de Salud de la Junta de Andalucía, al objeto de tener conocimiento de la adecuada resolución del problema planteado. CUARTO: Con fecha 30 de mayo de 2017 la Directora de esta Agencia envió un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 nuevo escrito a la Consejería de Salud de la Junta de Andalucía, requiriendo que, a la mayor brevedad posible, se comuniquen las medidas adoptadas con el fin de que sean trasladadas al Defensor del Pueblo. QUINTO: Del expediente de investigación iniciado se desprende que la Consejería de Salud de la Junta de Andalucía no ha adoptado las medidas correctoras solicitadas y no ha atendido el requerimiento efectuado en la resolución de 10 de marzo de 2017, por la Directora de la Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
9. f)de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que el acuerdo de iniciación en los procedimientos de naturaleza sancionadora, deberá contener al menos: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: Que dicha posibilidad sea advertida expresamente en el acuerdo de iniciación. Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el citado artículo. Que no se presenten alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El artículo 37.1.
10. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
11. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento de declaración de infracción de Administraciones Públicas, ha quedado acreditado que con fecha 10 de marzo de 2017 la Directora de la Agencia Española de Protección de Datos resolvió DECLARAR que la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, había infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, con relación a la denuncia por la vulneración de las medidas de seguridad y del deber de secreto respecto de la custodia de la documentación clínica encontrada por la Guardia Civil en una instalación de una empresa. En el mismo acuerdo la Directora resolvió REQUERIR a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acreditase en el plazo de un mes las medidas de orden interno que avalen el cumplimiento de lo previsto en los artículos 9.1 y 10 de la LOPD. En esta Resolución se requirió en concreto que: “Si bien la Consejería de Salud ha acompañado el contrato de prestación de servicios para la destrucción de documentación con Alregón Medio Ambiente, se le requiere a que informe si es esa empresa quien procede a la recogida y destrucción de las recetas o si existe una subcontratación autorizada con Cartón Jerez, S.L.” La resolución se notificó a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD el día 16 de marzo de 2017. Con fecha 11 de abril de 2017 formuló recurso de reposición, que se inadmitió. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD. Con fecha 21 de abril de 2017 el Defensor del Pueblo solicitó a esta Agencia que, con objeto de tener conocimiento de la adecuada resolución del problema planteado, se informe sobre las actuaciones que lleve a cabo la Consejería expresando el parecer de la Agencia al respecto. Con fecha 30 de mayo de 2017 se reiteró el requerimiento realizado en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00051/2016 a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, respecto de la custodia de la documentación clínica encontrada por la Guardia Civil en las instalaciones de una empresa, en cumplimiento de lo previsto en los artículos 9.1 y 10 de la LOPD. La JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD no ha enviado respuesta alguna a los requerimientos realizados por la Directora de esta Agencia Española de Protección de Datos. De todo ello se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 10 de marzo de 2017, por la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 En el presente procedimiento se imputa la falta de atención a un requerimiento de la Directora de esta Agencia Española de Protección de Datos efectuado al responsable del fichero y del tratamiento, al que se declaró una infracción y se requirió la adopción de medidas correctoras que impidieran que la infracción declarada siguiera cometiéndose. Una vez transcurrido ampliamente el plazo concedido para la adopción de medidas y para su comunicación a esta Agencia, no consta que se hayan adoptado las medidas correctoras solicitadas respecto del cumplimiento de los artículos 9.1 y 10 de la LOPD en relación con la custodia de la documentación clínica encontrada por la Guardia Civil. En la resolución del procedimiento de referencia AP/00051/2016 se concedió un plazo de un mes para el cumplimiento de las medidas que impidieran que se produjeran nuevas infracciones como las declaradas. En dicho plazo no se atendió el requerimiento respecto de los artículos 9.1 y 10 de la LOPD. En esta ocasión es evidente la existencia de, al menos, una falta de diligencia plenamente atribuible a la entidad denunciada por la falta de atención al requerimiento de la Directora de esta Agencia Española de Protección de Datos. Del contenido de las actuaciones previas de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 10 de marzo de 2017, de la Directora de la Agencia Española de Protección de Datos. IV El artículo 44.3.
12. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que no se atendió el requerimiento efectuado en la resolución de declaración de infracción notificada a la entidad denunciada. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD ha infringido lo dispuesto en el artículo 37.1.
13. f)de la LOPD, tipificada como grave en el artículo 44.3.
14. i)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde la notificación de este acto, las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 37.1.
15. f)de la LOPD, para lo que se abre expediente de actuaciones previas con la referencia E/01472/2018. En concreto se solicita que se atienda el requerimiento efectuado en la resolución de declaración de infracción notificada a la entidad denunciada. TERCERO: NOTIFICAR la presente resolución a la JUNTA DE ANDALUCIA, CONSEJERÍA DE SALUD. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es