1/4 Expediente N.º: EXP202408956 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de denuncia, de fecha 3/06/2024, de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 19/06/2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a IMMUCURA MED, S.L. con NIF B93447464 (en adelante, IMMUCURA o la parte denunciada) en relación con los siguientes hechos: Según los hechos denunciados, IMMUCURA habría permitido el acceso por personal no sanitario a los datos de salud relativos a diagnóstico y tratamiento que afectaría a 721 pacientes desde el 21/12/ 2020 al 16/04/2024, así como a las solicitudes de análisis proteómico, que habría afectado a 31 pacientes entre el 31/06/2022 y el 15/05/2024. Indican que, dada la negativa del responsable de IMMUCURA (A.A.A.) a dar respuesta a los reiterados requerimientos formulados, no ha sido posible establecer el alcance de la actividad ofertada y realizada a pacientes con cáncer. Junto a la notificación no aporta documentación alguna. SEGUNDO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se ha requerido información y documentación a la parte denunciante, en concreto: - Evidencias que reflejen los accesos por personal no sanitario, de los centros que manifiestan, a la información clínica de pacientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/4 - Información sobre la razón por la cual conocen con detalle los accesos de las entidades con el número exacto por periodos temporales, así como que han sido realizados por un perfil no sanitario. Se ha solicitado copia de las evidencias o indicios de que dispongan sobre estos accesos, así como información que dispongan sobre las bases de datos de información clínica de las entidades denunciadas y sobre los procedimientos de acceso por parte del personal de las entidades a los datos de salud de los pacientes, tanto a historias clínicas como a los resultados de solicitudes a laboratorios. No se ha recibido contestación al requerimiento, constando como recibido, el 8/07/2024, según acuse de recibo que obra en el expediente. Se ha solicitado información a la parte denunciada, habiéndose realizado dos requerimientos, el primero electrónico, que resulto expirado el 23/11/2024 y el segundo, por vía postal, con dos intentos de entrega devueltos por desconocidos, pero en el acuse de recibo del envío electrónico adicional asociado al postal, se encuentran los siguientes datos: “El servicio de Dirección Electrónica Habilitada Única (DEHÚ) certifica que: Ante la DEHÚ comparece la entidad denunciada IMMUCURA representada por A.A.A. En calidad de TITULAR para ACEPTAR la notificación puesta a disposición en la DEHÚ. […] Requerimiento Fecha de puesta a disposición: 27/11/2024 14:49 Fecha de acceso al contenido de la notificación: 11/12/2024 10:07.” No consta contestación por parte de IMMUCURA a estos requerimientos de información. Por otra parte, el 28/03/2025, se le notificó a la parte denunciante, acuse de recibo de su denuncia, en el que se le informaba de los requisitos que deben cumplir las reclamaciones presentadas ante esta Agencia y de que los documentos que acrediten los hechos objeto de la reclamación deben incluir necesariamente indicios racionales de la existencia de una infracción vinculada a la vulneración del derecho fundamental a la protección de datos personales, no cumpliendo la denuncia presentada los requisitos previstos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/4 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Conclusión Los hechos objeto de denuncia se dirigen contra IMMUCURA por la posible autorización de acceso por personal no sanitario a los datos de salud relativos a diagnóstico y tratamiento que afectaría a 721 pacientes desde el 21/12/2020 al 16/04/ 2024, así como a las solicitudes de análisis proteómico, que habría afectado a 31 pacientes entre el 31/06/2022 y el 15/05/2024. La parte denunciante no ha dado respuesta al requerimiento, de fecha 8/07/2024, para que aporte evidencias que reflejen los accesos por personal no sanitario, de los centros que manifiestan, a la información clínica de pacientes, entre otra información. Por su parte, la parte denunciada no ha dado respuesta al requerimiento de información, de fecha 12/11/2024, ni a la reiteración de este requerimiento, de fecha 27/11/2024, sobre los hechos objeto de la denuncia. Por consiguiente, ante la falta de contestación por las partes a los ya mencionados requerimientos de información realizados por parte de esta Agencia, no se aprecian elementos suficientes que permitan afirmar que se ha producido una infracción de la normativa de protección de datos por la parte denunciada. Se hace necesario señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la comisión de infracción a la parte denunciada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/4 SEGUNDO: NOTIFICAR la presente resolución a IMMUCURA MED, S.L., con NIF B93447464. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es