1/4 Procedimiento Nº: E/00159/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el JUZGADO DE INSTRUCCIÓN (…) (en adelante, el reclamante) tiene entrada con fecha 11 de septiembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Doña A.A.A., con NIF ***NIF.1 (en adelante, la reclamada). Los motivos en que basa la reclamación son que la reclamada ha sido denunciada por dos clientes de la Herboristería Madre Tierra, de la que es responsable. Denuncian que a través de unos tests que les realizaron, les diagnosticó unas gravísimas enfermedades que no tenían y les vendió productos por cientos de euros. Las diligencias penales se tramitan por delito de intrusismo y estafa. La Fiscalía de la Audiencia Provincial de Málaga remitió sus actuaciones al órgano competente, entre las que se encuentra la de comunicar a la Agencia Española de Protección de datos que la reclamada tenía documentación de 54 clientes en el año 2017 y 19 clientes en el año 2018, de una estructura similar a la de una historia clínica sin tener fichero inscrito en el Registro de la mencionada Agencia, a los efectos de depurar las posibles responsabilidades por ello. (Folio 143 de la reclamación) SEGUNDO: Con fecha 12 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Es aplicable la LOPD puesto que los hechos denunciados se produjeron en el año 2017 (registro de 54 clientes) y en los primeros meses de 2018 (las inspecciones se realizaron en el mes de junio de 2018), cuando todavía era la norma en vigor en España. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 La denuncia de la Fiscalía se concreta en que la reclamada no tenía inscrito el fichero de Clientes en el Registro de la Agencia Española de Protección de Datos. El artículo 26 de la LOPD, dispone lo siguiente: <<1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que deba contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación. 4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación. 5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos.>> También se refiere Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) en el TÍTULO V. Obligaciones previas al tratamiento de los datos, especificando en su CAPÍTULO II. Notificación e inscripción de los ficheros de titularidad pública o privada, artículo 55.2: “Notificación de ficheros”. “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” En las presentes actuaciones, tras las visitas de inspección realizadas a la Herboristería Madre Tierra ha quedado acreditado que la responsable tenía documentación de sus clientes sin que hubiese procedido a inscribir el fichero por parte de la denunciada que, en la fecha en que produjeron los hechos. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 El artículo 44.2.
- b)de la LOPD, dispone: Son infracciones leves: “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos” La denunciada habría cometido dicha infracción del artículo 26 de la LOPD que encuentra su tipificación en lo dispuesto en el artículo 44.2.
- b)de la LOPD. Por otro lado, el artículo 47 de la LOPD <<1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.>> Al tratarse de una infracción leve prescribió antes de la entrada de la reclamación en esta Agencia. Además, la obligación de inscripción de los ficheros no es exigible desde la plena aplicación del Reglamento Europeo de Protección de Datos que se produjo el 25 de mayo de 2018. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es