E-01071-2017

1/7 Expediente Nº: E/01071/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad NEODIAGNOSTICA, S.L., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19 de enero de 2017, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que expone lo siguiente: Que el laboratorio Neodiagnostica, S.L., ha tratado sus datos personales y de su hijo menor sin su consentimiento ni su conocimiento con objeto de realizar análisis de muestras químicas y genéticas. Que la información fue facilitada en un procedimiento judicial contra su persona sin haberla requerido el juzgado por lo que no han actuado como perito judicial. Que según la denunciante tuvieron lugar los hechos en el periodo comprendido entre: octubre y noviembre de 2016. Con el escrito de denuncia se anexa, entre otra, la siguiente documentación:  Libro de familia: cuyos titulares son la denunciante, C.C.C. (TERCERO) y el hijo de ambos B.B.B. (MENOR).  Informe confirmatorio de detección de consumo de drogas en pelo: emitido por el laboratorio Neodiagnostica, de fecha 3 de octubre de 2016, cuyo destinatario es el TERCERO, nº de proyecto ***Nº.1 y ***Nº.2, en el que consta, entre otros, lo siguiente “Neodiagnostica declina toda responsabilidad a nivel de la toma de las muestras biológicas y considera que el solicitante posee el consentimiento del participante a la prueba solicitada” y se detalla información del resultado de los análisis realizados a dos muestras de cabello de “identidad indubitada del participante”.  Identificación genética de la muestra ***MUESTRA.1, para uso judicial: emitido por el laboratorio Neodiagnostica, de fecha 23 de noviembre de 2016, nº de análisis ***ANALISIS.1, cuyo destinatario es el TERCERO, en el que consta, entre otros, lo siguiente: “La recogida de las muestras biológicas ha sido realizada por el solicitante de los análisis por lo que no se puede certificar los siguientes elementos: La identidad indubitada del participante (…). Para realizar la identificación genética, se propuso la realización de una prueba de maternidad entre los pelos pertenecientes supuestamente a la Madre biológica del MENOR y el propio MENOR”.  Investigación del consumo de drogas y alcohol, informe con carácter judicial, muestra bajo cadena de custodia: emitido por el laboratorio Neodiagnostica, de fecha 30 de noviembre de 2016, cuyo destinatario es TERCERO, nº de proyecto ***Nº.3, en el que consta lo siguiente: “En fecha 3 de noviembre de 2016, de personaron en Neodiagnostica el TERCERO (Padre) y MENOR (Hijo) para realizar una toma de muestras para la determinación (…). El Padre actúa como representante legal del menor y autoriza y da el consentimiento, en nombre del mismo, para realizar la citada prueba de investigación (…)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7  Informe confirmatorio de detección de consumo de drogas y alcohol en pelo: emitido por el laboratorio Neodiagnostica, de fecha 30 de noviembre de 2016, cuyo destinatario es TERCERO, nº de proyecto ***Nº.4, en el que consta los resultados del análisis de muestras de pelo.  Escrito de la denunciante dirigido al laboratorio Neodiagnostica, mediante burofax entregado el 3 de enero de 2017, en el que solicita la destrucción de las pruebas orgánicas y que “procedan a eliminar de sus bases de datos los datos personales relativos a mi persona y a mis hijos”. Que le remitan toda la documentación del encargo de los análisis por parte del TERCERO, sin su consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La compañía NEODIAGNOSTICA, S.L., ha informado a la Inspección de Datos en relación con las pruebas e informes emitidos por dicha entidad sobre la denunciante y su hijo MENOR lo siguiente:  Los análisis y pruebas de ADN fueron realizados a petición del cliente (TERCERO). En el caso de las muestras dubitadas, el cliente es el que autoriza que se realicen los análisis de las muestras aportadas, siendo su responsabilidad la obtención de las mismas. Se adjuntan sendos formularios de solicitud firmados por el solicitante de fecha 19 de septiembre y 3 de noviembre de 2016. En todos los análisis solicitados a Neodiagnostica, el solicitante de la prueba firma en el formulario, lo siguiente “Los solicitantes entregan las muestras biológicas bajo sus integras responsabilidades, dan su consentimiento expreso para realizar los análisis solicitados, manifiestan haber leído y aceptan la integridad de las condiciones de los análisis descritas en el reverso de la presente página”. Además, en los informes con muestras dubitadas se estipula que: “La recogida de las muestras biológicas ha sido realizada por el solicitante de los análisis por lo que la identidad de los participantes no ha podido ser verificada por el laboratorio. Neodiagnostica, S.L. declina toda responsabilidad a nivel de la toma de las muestras biológicas y considera que el solicitante posee el consentimiento de los participantes al análisis”.  Que desconocen a quién corresponden los datos genéticos y toxicológicos obtenidos a partir de las muestras aportadas por el TERCERO, en los informes con referencia ***MUESTRA.1, ***ANALISIS.1 y ***Nº.3, puesto que en ningún momento se han analizado muestras indubitadas de la denunciante. Los datos genéticos obtenidos a partir de las muestras solo permiten establecer vínculos de filiación; en ningún caso aportan dato personal del individuo. Neodiagnostica, S.L., en sus conclusiones, solamente afirma que las muestras dubitadas analizadas corresponden a la madre biológica del MENOR, pero en ningún caso atribuyen una identidad a la supuesta madre, por lo que no ha realizado tratamiento alguno de dato de la denunciante, sino de un individuo no identificado formalmente.  En los casos de las muestras indubitadas analizadas en los informes ***ANALISIS.1-I y ***Nº.3, el TERCERO dio su consentimiento expreso y voluntario para realizar el análisis de sus propias muestras y las de su hijo menor, del cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 tiene la tutoría legal. Añaden que Neodiagnostica, S.L., bajo ningún concepto usa datos personales sin el consentimiento expreso, libre y voluntario del solicitante, estando acreditada la compañía por ENAC bajo la normativa ISO 17025, desde el mes de febrero de 2013, organismo que audita periódicamente el laboratorio y garantiza el correcto tratamiento de datos y competencias técnicas del mismo.  Los informes no fueron solicitados por el juzgado, aunque sí que se presentaron como indicio de prueba en el marco del procedimiento nº ***/AA, guardia y custodia, ante el Juzgado de primera Instancia ***LOCALIDAD.1, siendo la parte demandante TERCERO y la parte demandada la denunciante.  En relación con la respuesta dada por Neodiagnostica al escrito de la denunciante en el que solicitaba, entre otros, la eliminación de sus datos personales y de sus hijos, manifiestan que los análisis fueron solicitados por el TERCERO quién tiene el derecho de acceso, rectificación, cancelación y oposición de los datos él mismo, por lo que la compañía no tiene ningún dato personal obtenido de forma indubitada de la supuesta madre. Pero no acreditan la respuesta dada a la denunciante. La denunciante no ha dado respuesta al requerimiento de la Inspección de Datos en el que se le solicitaba información en relación con los informes emitidos por Neodiagnostica, S.L., presentados en procedimiento judicial y, en su caso, si habían sido admitidos por el juez, habiendo sido entregado en destino el día 30 de junio de 2017. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III La denuncia se concreta en el tratamiento de los datos de la denunciante y de uno de sus hijos, menor de edad, sin su consentimiento y su presentación en un juicio contra su persona en el Juzgado de 1ª Instancia de ***LOCALIDAD.1, sin que lo hubiese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 solicitado el Juzgado. El artículo 6.1 de la LOPD, señala lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mismo artículo añade que “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, (Fundamento Jurídico 7, primer párrafo) “... consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, debemos diferenciar entre las muestras facilitadas y analizadas referidas al hijo menor de edad, con el consentimiento y en presencia de su padre, y las muestras denominadas “dubitadas” que fueron facilitadas por el padre del menor. En cuanto a las muestras del menor de dos años, el artículo 13, apartado 1 del Reglamento de desarrollo de la LOPD establece lo siguiente acerca del consentimiento para el tratamiento de datos de menores de edad: <<1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.>> En consecuencia, el tratamiento de los datos asociados al menor cuenta con el consentimiento expreso de su padre. IV Por otra parte, Neodiagnóstica ha efectuado análisis sobre muestras aportadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 por el padre del menor. Esos análisis se denominan “dubitados”, puesto que las muestras han sido facilitadas por un tercero para realizar una determinada prueba. Por tanto, cuando la denunciante se dirigió a la entidad Neodiagnóstica ejerciendo el derecho de cancelación de sus datos, contestaron que no tenían datos suyos, por lo que no podían atender su solicitud. En cuanto a la cesión de los datos de los análisis al Juzgado de 1ª Instancia de ***LOCALIDAD.1 por parte del padre del menor, el artículo 11, apartados 1 y 2 de la LOPD, relativo a la cesión de datos, señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una Ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
5. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
6. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
7. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” En el marco de un procedimiento judicial, el padre del menor aportó informes asociados a “individuo dubitado”, “identidad indubitada” y “madre biológica”; por lo que no necesitaba el consentimiento de los afectados para dicha comunicación. Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa, Neodiagnóstica solo incluyó los datos personales de los titulares de las muestras y de los resultados de los análisis cuando ellos mismos recogieron las muestras y obtuvieron el consentimiento expreso del afectado y de su hijo de dos años, al cual representaba legalmente. En los demás análisis no incluyeron ningún dato personal ni identificaron al titular. No trató los datos para finalidades diferentes para las que los obtuvo o le facilitaron. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a NEODIAGNOSTICA, S.L., y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es