AI-00429-2024

1/5 Expediente N.º: EXP202414197 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de denuncia, de fecha 2/08/2024, de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 18/10/2024, la Directora de la Agencia Española de Protección de Datos acordó la iniciación de las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a VITAMINE DRIP, S.L.P. con NIF B05398631 (en adelante, VITAMINE o la parte denunciada) en relación con los siguientes hechos: Según los hechos denunciados, la denunciada podría haber vulnerado la normativa de protección de datos al haber accedido personal no sanitario a información clínica de los pacientes (diagnóstico y tratamiento recibido) obrante en el registro de solicitudes que facilitó el centro (11 solicitudes entre el 13-2-2024 y 24-4-2024). Indican que continúan con sus investigaciones para establecer el alcance de la actividad ofertada y realizada a pacientes con cáncer. Fecha en la que tuvieron lugar los hechos reclamados: entre el 13 de febrero de 2024 y el 24 de abril de 2024. Junto a la notificación no aporta documentación alguna. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se ha requerido información y documentación a la parte denunciante, en concreto: - Información sobre la actividad sanitaria prestada por la entidad. Servicios ofrecidos a los pacientes. Número de pacientes. Copia de documentación acreditativa de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 Autorización y Registro del Centro Sanitario (Decreto 69/2008, de 26 de febrero, por el que se establecen los procedimientos de las Autorizaciones Sanitarias y se crea el Registro Andaluz de Centros, Servicios y Establecimientos Sanitarios). - Número de empleados de la entidad especificando número de médicos, enfermeros, auxiliares y personal administrativo o no sanitario. - Descripción de la aplicación utilizada para la HC, describiendo los tipos de acceso o perfiles de acceso existentes. Documentación descriptiva del acceso a la HC del personal no sanitario, tal como impresiones de los perfiles creados así como impresiones de pantalla que muestren qué datos de la HC son accedidos por este personal. - Descripción de las funciones del personal no sanitario que accede a datos de las HC del Centro. Justificación existente para su acceso. - Responsabilidad del tratamiento de datos personales efectuado por el personal no sanitario: en quién recae y como se refleja e instrumenta. Documentación que lo acredite, tal como copia de los compromisos de confidencialidad suscritos por el personal o documentación que acredite la sujeción a la obligación de secreto de este personal. - Copia del Análisis de Riesgo elaborado sobre los tratamientos de datos de HC. Descripción de las medidas de seguridad implementadas relacionadas con el acceso a los sistemas de información de HC: autenticación, roles y perfiles de usuarios, monitoreo y auditoria de los accesos. No se ha recibido contestación a los dos requerimientos efectuados por esta Agencia, constando el primero electrónico que resulto expirado el 23/11/2024. El segundo, por vía postal, con dos intentos de entrega devueltos por ausente, con aviso en el buzón, se devuelve a origen el 19/12/2024, por no ser retirado en la oficina de correos (la dirección de destino siendo la misma que consta en la página web de la entidad, el Registro Mercantil, y AXESOR). No consta contestación por parte de la denunciada a estos requerimientos de información. Con fecha 28/03/2025, esta Agencia comunico a la parte denunciante lo siguiente: “la Resolución de 29 de junio de 2023, de la Dirección de la Agencia Española de Protección de Datos, por la que se aprueban los modelos de presentación de reclamaciones (BOE núm. 163/2023, de 10 de julio) establece los requisitos que deben cumplir las reclamaciones presentadas ante esta Agencia. Junto a los documentos que acreditan los hechos que motivan la reclamación, debe detallarse cómo afectan estos, de manera significativa, al derecho fundamental a la protección de datos personales de la persona reclamante, incluyendo necesariamente indicios racionales de la existencia de una infracción vinculada a la vulneración de sus propios derechos. En el Anexo Primero de la Resolución se especifica asimismo que cuando la persona afectada actúe por medio de representante, se deberá identificar a ambos, aportando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 un documento que acredite el otorgamiento de la representación mediante cualquier medio válido en Derecho que deje constancia fidedigna de su existencia. Debe saber, a este respecto, que la utilización de un certificado electrónico de representante de una persona jurídica no permite acreditar la identidad del representante y permite únicamente actuar en representación de aquella. De acuerdo con todo lo anterior, y a los efectos dispuestos en el apartado tercero de la misma Resolución, le comunico que su escrito no cumple los requisitos previstos en el modelo establecido y por tanto no surtirá efectos, con independencia de las actuaciones de oficio que pueda realizar esta Agencia. Le informo de que las personas afectadas pueden presentar una reclamación ajustada a dichos requisitos, cumplimentando el formulario de reclamación accesible en la sede electrónica de la Agencia Española de Protección de Datos, sin perjuicio de lo dispuesto en los artículos 14 y 16.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas”. No consta contestación por parte de la denunciante al cumplimiento de estos requisitos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Conclusión Los hechos objeto de denuncia se dirigen contra VITAMINE por la posible autorización de acceso por personal no sanitario a información clínica de los pacientes (diagnóstico y tratamiento recibido) obrante en el registro de solicitudes que facilitó el centro (11 solicitudes entre el 13-2-2024 y 24-4-2024). Con fecha 28/03/2025, esta Agencia comunico a la parte denunciante que su escrito de denuncia no cumple los requisitos previstos en el modelo establecido y por tanto no surtirá efectos, con independencia de las actuaciones de oficio que pueda realizar esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 Agencia, y no consta contestación por parte de la denunciante al cumplimiento de estos requisitos. Por su parte, la parte denunciada no ha dado respuesta al requerimiento de información, de fecha 12/11/2024, ni a la reiteración de este requerimiento, de fecha 27/11/2024, sobre los hechos objeto de la denuncia. Por consiguiente, ante la falta de cumplimientos de los requisitos por parte de la denunciante para formular la denuncia y no contestación por la parte denunciada a los ya mencionados requerimientos de información realizados por parte de esta Agencia, no se aprecian elementos suficientes que permitan afirmar que se ha producido una infracción de la normativa de protección de datos por la parte denunciada. Se hace necesario señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la comisión de infracción a la parte denunciada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VITAMINE DRIP, S.L.P. con NIF B05398631. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es