AAPP-00079-2017

1/8 Procedimiento Nº AP/00079/2017 RESOLUCIÓN: R/01568/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00079/2017, instruido por la Agencia Española de Protección de Datos a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE LA SALUD EN EL DEPORTE, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9/08/2017, se recibe denuncia de D. A.A.A. contra la AGENCIA ESPAÑOLA DE PROTECCIÓN DE LA SALUD EN EL DEPORTE manifestando que ésta acordó iniciarle el 25/04/2017 un procedimiento disciplinario por posible infracción de la ley antidopaje. En el acuerdo de inicio se designó como instructor a D. B.B.B., y el 25/07/2017 se notificó la providencia del Instructor del procedimiento disciplinario, fechada a 21/07/2017, en la que se acuerda ampliar el periodo de suspensión provisional. En la providencia figuran datos de salud del denunciante, como la sustancia detectada en su orina y otros datos personales. La citada providencia ha sido a su vez, notificada a D. C.C.C., en calidad de representante del denunciante, cuando no tiene tal representación, ya que según manifiesta el denunciante, en este procedimiento actúa en su propio nombre y derecho. Con fecha 27/07/2017, el denunciante recibió de D. C.C.C., la copia del escrito que éste había remitido a la AEPSAD (4/2017) en el que manifiesta que ha recibido la citada providencia y que procede a su devolución a la AEPSAD, ya que no ostenta la representación del denunciante en el procedimiento. Con fecha 1/08/2017, el denunciante recibe de D. C.C.C. un nuevo escrito que éste ha remitido a la AEPSAD (4/2017), confirmando que ha recibido la diligencia de fecha 28/07/2017 en ese mismo procedimiento y que procede a su devolución por no ostentar la representación del denunciante. Y, entre otra, anexa la siguiente documentación: A) Copia de acuerdo de incoación de procedimiento sancionador 4/2017 que se acompaña por un oficio de 25/04/2017, figurando como interesado los datos del denunciante y su dirección. En el contenido se revela además de la suspensión de la licencia, la sustancia que se detecta. B) Copia de la providencia del Instructor, de 21/07/2017, en el que acuerda ampliar el periodo de suspensión provisional de la licencia deportiva. El escrito refiere la sustancia detectada y las pruebas pedidas por el inculpado. En el pie del escrito figura el “notifíquese”, a A.A.A., a D C.C.C., en representación del deportista. C) Copia de escrito de 27/07/2017 de C.C.C. dirigido al Instructor (sello de presentación en Correos de 27/07/2017) en el que le informa que ha recibido la diligencia de 21/07/2017 y que no ostenta su representación, acompañando el documento. Del escrito figura “copia”, al denunciante. D) Copia de diligencia del instructor de 28/07/2017 en el que acuerda la práctica de las pruebas propuestas, en el notifíquese figura a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 E) Copia del escrito remitido por D. C.C.C. a la AEPSAD, con copia al denunciante, de fecha 1/08/2017 en el que manifiesta que no solo recibió la diligencia de 21/07/2017, sino que ahora ha recibido la diligencia de 28/07/2017 del mismo procedimiento. Esta resolución de 28/07/207 acuerda practicar las pruebas. Y en el pie figura “notifiques a A.A.A.”. Con fecha 30/08/2017, a requerimiento de esta Agencia, el denunciante remite un nuevo escrito en el que manifiesta que D. C.C.C. no ha actuado como su representante ante la AEPSAD previamente al expediente disciplinario citado en su denuncia ni ha cursado ningún escrito en su nombre ante la AEPSAD, ni le ha otorgado ningún poder de representación. Así mismo, manifiesta que D. C.C.C., presta asesoramiento laboral a la Asociación de R.R.R. Profesionales, sindicato al que está afiliado. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE LA SALUD EN EL DEPORTE, teniendo conocimiento en escrito de 17/11/2017 de lo siguiente: 1. Con fecha 25/07/2017, se remitió mediante correo certificado, copia de la PROVIDENCIA dictada por el Instructor del expediente Sancionador 4/2017, a D. C.C.C., en representación de D. A.A.A.. 2. Con fecha 28/07/2017, se vuelve a remitir mediante correo certificado, copia de la DILIGENCIA dictada por el instructor del expediente a D. C.C.C., como representante del deportista “y a éste mismo”. 3. Con la misma fecha, 28/07/2017, se recibió en la AEPSAD, un escrito de D. C.C.C. en el que informa de que no ostenta ningún poder de representación de D. A.A.A.. Desde esa fecha no se le vuelve a remitir ninguna comunicación relacionada con el expediente del deportista. 4. Los citados documentos se enviaron a D. C.C.C., por error accidental en la determinación de los destinatarios de las comunicaciones del expediente sancionador, dado que simultáneamente se estaba tramitando otro expediente en el que si figuraba como letrado representante del otro deportista D. C.C.C.. El error se produjo por la duplicidad de los datos del letrado en ambos expedientes. Es la primera vez que se produce un error similar. 5. Respecto a los datos de D. C.C.C. informan de que: es representante de los deportistas en la Comisión Nacional M.M.M. del Consejo Superior de Deportes y antiguo presidente de la Asociación de R.R.R. Profesionales, además es letrado habitual de deportistas en cuestiones de dopaje, por lo que sus datos constan en la base de datos de la AEPSAD. 6. Tan pronto como tuvieron conocimiento del error, no se remitió ninguna comunicación al letrado, además se ha procedido a tomar las medidas correctoras que eviten errores en el futuro, para lo que se ha nombrado por parte de la AEPSAD un profesional independiente encargado de garantizar el cumplimiento de la normativa de protección de datos, así como del Estándar Internacional de Protección de la Privacidad e Información Personal en el marco del Programa Mundial M.M.M.. Aportan una copia del nombramiento de fecha 1/09/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 7. Así mismo, como consecuencia de las presentes actuaciones, se ha acordado, con fecha 13/11, por el director de la AEPSAD la elaboración y posterior implantación de un Protocolo de Revisión y Garantía de Regularidad en las Comunicaciones que afecten a datos de carácter personal. Adjuntan copia del borrador del Protocolo. TERCERO: Con fecha 26/03/2018, la directora de la AEPD acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE LA SALUD EN EL DEPORTE, por una infracción del artículo 10 de dicha norma, tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 24/04/2018 la denunciada presenta alegaciones en las que indica: -Aporta escrito firmado el 4/07/2017 de notificación a C.C.C. como representante de otro deportista, y la designación en tiempo anterior como representante de ese otro deportista. Manifiesta que el escrito de notificación fue en fechas casi coincidentes con la providencia notificada objeto de esta denuncia. - Aporta copia de noticia aparecida en la prensa digital www.ciclo21 titulada “A.A.A. suspendido por un control adverso”, de 18/05/2017, en la que se informa de la suspensión por resultado analítico adverso. La sustancia no la quiso desvelar, presuntamente EPO, también se indica que “su Abogado C.C.C. “ En copia de otras noticias de la web, se hacen eco de esta. -Aportan copia de un escrito de 5/05/2017 dirigido por el denunciante al director de la AEPSAD por haberse enterado por terceros que se le había abierto un procedimiento sancionador, pidiendo explicaciones. -Solicita como prueba que se pida al denunciante y a C.C.C. información sobre si este último tiene o ha tenido en el desarrollo y sustanciación del expediente sancionador AEPSAD 4/2017 alguna relación profesional o de asesoramiento y de ser así, si se hizo saber de algún modo a esta Agencia tal circunstancia en algún momento anterior a la remisión de la providencia dirigida al Sr. A.A.A. y al Sr. C.C.C.. Añade que ello se hace además necesario para conocer el alcance del perjuicio ocasionado al denunciante o de la responsabilidad de ellos en los hechos. Esta prueba no se estima necesaria por cuanto en el acuerdo de inicio ya se contenía la declaración del denunciante de 30/08/2017 de que dicha persona no ha actuado como su representante previamente al expediente disciplinario citado en su denuncia ni ha cursado ningún escrito en su nombre ante la AEPSAD ni le ha otorgado ningún poder de representación. En todo caso, si en dicho procedimiento ostentara alguna representación, sería la denunciada la que tendría que conocerlo, y aportar prueba no habiendo aportado nada al respecto, habiendo reconocido el error, no se estima necesaria ni relevante para el asunto. QUINTO: Con fecha 20/07/2018 se emite propuesta de resolución proponiendo a la directora de la AEPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 “Declarar que la AGENCIA ESPAÑOLA DE PROTECCIÓN A LA SALUD EN EL DEPORTE ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma. Requerir a la AGENCIA ESPAÑOLA DE PROTECCIÓN A LA SALUD EN EL DEPORTE, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD. “ Frente a la citada propuesta, no se recibieron alegaciones. HECHOS PROBADOS 1) Al denunciante se le inicio un expediente sancionador firmado el 25/04/2017 por la Agencia Española de Protección de la Salud en el Deporte en el que se disponía la suspensión provisional de la licencia deportiva, ignorándose que fecha recibió el mismo, si bien figura en la providencia del Instructor del procedimiento disciplinario llevada a cabo por la AEPSAD, el número 4/2017 de 21/07/2017. En la citada providencia se acordaba además ampliar el periodo de suspensión provisional, y resultó notificada a C.C.C.. D. A.A.A., denuncia que en este asunto dicha persona no ostenta su representación. Además, el literal de la providencia señalaba “notifíquese a A.A.A., a D C.C.C. en representación del deportista”. 2) C.C.C. remitió escrito el 27/07/2017 a la AEPSAD haciéndoles saber que había recibido el mencionado acuerdo de 21/07/2017, y que no ostentaba su representación con una copia de dicho escrito al denunciante para su conocimiento. El denunciante manifestó que dicha persona no ha efectuado trámite alguno relacionado con dicho procedimiento y la denunciada no acredita lo contrario. 3) En el acuerdo de 21/07/2017 se contiene que se le ha detectado al deportista en un resultado analítico una muestra A, sustancia prohibida que no tiene la consideración de sustancia específica, que se otorgó al denunciante un plazo de cinco días para solicitar el contraanálisis de EPO y análogos. 4)También se denuncia que el 28/07/2017, se vuelve a remitir mediante correo certificado, copia de una DILIGENCIA dictada por el instructor del mismo expediente a D. C.C.C., como representante del deportista, y a éste mismo en la que se trataba de la práctica de las pruebas, reconociendo la denunciada que así lo hizo, y que no fue sino hasta el 28/07/2017 cuando el escrito de C.C.C. poniendo en conocimiento que no ostentaba representación del denunciante llegó a su poder. 4) La denunciada reconoce en actuaciones previas el envío de dicho escrito a C.C.C. por error. Añadió que dicha persona suele actuar como representante de los deportistas en la Comisión Nacional M.M.M. del Consejo Superior de Deportes, que fue presidente de la Asociación de R.R.R. Profesionales, y suele ser letrado de deportistas en asuntos de dopaje. 5) La denunciada ha elaborado el 13/11/2017 un documento denominado “protocolo de actuación de la unidad jurídica de la AEPSAD con la LOPD” y se ha nombrado una persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 para el cumplimiento con el estándar internacional de protección de la privacidad y la información personal y con la Ley sobre la protección y privacidad de datos LOPD un Consultor que entre otras funciones, revisará el tratamiento y divulgación de datos y procedimientos en caso de incumplimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El Tribunal Constitucional, en la Sentencia 292/2000, garantiza el poder de control sobre los datos personales del titular de los mismos. En palabras del citado Tribunal “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” Además, en el seno de un procedimiento administrativo, la entidad que tramita el asunto es la que controla los intervinientes y el papel que juegan en el mismo, y la providencia dictada tiene como interesado al denunciante en este procedimiento, siendo la denunciada a través del Instructor la que debe ordenar cronológicamente los documentos y formalizar las diligencias de todo tipo habidas en el mismo, sean llamadas de teléfono del denunciado, sea cualquier tipo de incidencia que debe quedar formalizada, sin que figure que consta representación de algún tipo otorgada por el citado denunciado. Por dichos hechos se considera que se ha infringido el artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de estos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Considerando que los datos de tramitación de un procedimiento administrativo se han de comunicar solo a los interesados, y teniendo la denunciada la competencia para la gestión de la instrucción de este, en el seno de su gestión, se dio a conocer por error, la providencia y la diligencia a tercera persona que no forma parte de este, vulnerándose el artículo 10 de la LOPD. La infracción se tipifica en el artículo 44.3.
4. d)de la LOPD que considera: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En cuanto al conocimiento de los perjuicios ocasionados al denunciante o el alcance de la responsabilidad ligada a los mismos, la acreditación objetiva de los mismos no corresponde a esta Agencia, y por tanto su esclarecimiento no está relacionado con la infracción a la LOPD que si corresponde declarar a esta Agencia. Con independencia de que se hayan causado perjuicios, el tipo de los causados o su gravedad, la AEPD debe declarar la infracción, no siendo objeto tampoco de fijación respecto a cuantía alguna pues no existe sanción pecuniaria derivada de este expediente. Por lo demás, se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia. Como señala el Tribunal Supremo en la Sentencia de 23/01/1998 , "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". La denunciada es una entidad que opera en el manejo de datos con carácter habitual y dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales o su cesión a terceros, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados. Las manifestaciones de que el supuesto representante al que se notifica lo es de otros deportistas o pueda haberlo sido del denunciante carecen de fuerza suficiente como causa de exención de la responsabilidad pues desde que se abre el procedimiento se han de concretar los intervinientes en el mismo y en este caso no existe documentación que justifique tener como representante a la persona que se le notificó la providencia. Por otro lado, el hecho de que una noticia informe que dicha persona es su abogado no tiene vinculación alguna con el procedimiento administrativo sancionador, ni acredita que así fuera pues lo que vale es la representación que obre en el expediente. El artículo 46 de la LOPD indica:” Infracciones de las Administraciones públicas”. “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones.” Por el tipo de acción que supone la infracción, relacionada con el trámite del procedimiento, no se considera precisa la adopción de medida específica, salvo reconsiderar la importancia y procesos en las notificaciones de los procedimientos. Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la AGENCIA ESPAÑOLA DE PROTECCIÓN DE LA SALUD EN EL DEPORTE ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE LA SALUD EN EL DEPORTE. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
6. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es