E-02180-2018

1/8 Expediente Nº: E/02180/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AMBULANCIAS SANCHEZ S.L., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de marzo de 2018, tuvo entrada en esta Agencia un escrito remitido por una persona que solicitó que se mantuviesen sus datos en el anonimato, en el que expone lo siguiente: La empresa denunciada tiene varias sedes a nivel nacional; la denuncia se refiere a la sede de Murcia, ubicada en San Javier, que presta el servicio de transporte no urgente en ambulancia (traslado de pacientes a citas médicas, altas hospitalarias, tratamientos médicos, diálisis…) al Servicio Murciano de Salud en el Hospital de Los Arcos del Mar Menor. La empresa, en concreto su trabajadora Doña A.A.A., que realiza funciones de supervisión y dirección de la plantilla, ha creado un grupo de Whatsapp desde hace varios años en el que están incluidos los 14 conductores y los tres administrativos de la oficina. A través del citado grupo de Whatsapp se solicita a los conductores que remitan documentos de los pacientes, tales como DNI y Tarjeta Sanitaria, volante de traslado realizados por el médico donde constan diagnósticos; y datos personales y de salud de los pacientes como dirección, teléfono, número de sesiones médicas, nombre del médico, tipo de tratamiento, diagnóstico y, en algunos casos, fotografías de la fachada de la vivienda del paciente. Así mismo, la empresa remite desde la dirección de correo electrónico ***EMAIL.1 a la dirección de correo electrónico particular de los conductores, los datos de los servicios a realizar con los datos personales del paciente, dirección, DNI y tratamiento y hospital de destino. Estos datos los consultan desde su domicilio particular y fuera del horario laboral. Y, entre otra, anexa la siguiente documentación:  Copia impresa de varias pantallas obtenidas desde un dispositivo móvil del grupo de Whatsapp denominado AMBULANCIAS SANCHEZ, donde consta creado desde el número ***TELEFONO.1, con fecha 15 de enero de 2015, y los datos de número de teléfono y nombre de los por 17 componentes del grupo Entre las imágenes archivadas en el grupo figuran documentos de pacientes (volantes médicos con datos de domicilios de pacientes, motivos del desplazamiento (diagnóstico) etc…), así como tarjetas sanitarias.  Copia de dos correos electrónicos remitidos, con fechas 2 de junio y 22 de julio de 2016, desde la dirección ***EMAIL.1 a 14 direcciones de correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 de GMAIL y HOTMAIL en el que se informa de los servicios a realizar e incluye los datos del paciente, dirección, teléfono etc. Los correos figuran firmados por el Departamento de Administración de AMBULANCIAS SANCHEZ – A.A.A. Y B.B.B..  Copia de los correos electrónicos remitidos con fechas 6 de junio de 2016, 14 de junio de 2016 y 30 de enero de 2018, desde la dirección ***EMAIL.1 a la dirección de correo electrónico del denunciante ***EMAIL.2 en el que le informan de los servicios a realizar con los datos de los pacientes (dirección, teléfono y destino (centro hospitalario o servicio). Los correos figuran firmados por el Departamento de Administración de AMBULANCIAS SANCHEZ – A.A.A. Y B.B.B.. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 1 de junio de 2018, ORANGE ESPANGE S.A.U. ha remitido a esta Agencia la siguiente información: 1. Los datos del titular del número de teléfono ***TELEFONO.2, desde el que se creó el grupo de Whatsapp “Ambulancias Sanchez” son: A.A.A., con domicilio en la ***DIRECCION.1. 2. La línea se activó con fecha de alta 24 de enero de 2011 y permanece en estado activo. Con fechas 6 de junio de 2018 y 27 de junio de 2018 se solicita información a A.A.A. y a AMBULANCIAS SANCHEZ respectivamente, sin que se tenga constancia de que los requerimientos de información hayan sido recibidos. Con fecha 30 de julio de 2018, tras mantener una conversación telefónica con la denunciada, se remite requerimiento de información a la dirección indicada por la misma. Con fecha 2 de agosto de 2018, AMBULANCIAS SANCHEZ S.L., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Confirman que A.A.A., mantiene una relación laboral con la empresa desde el 1 de agosto de 2008, desempeñando el cargo y funciones propias de un trabajador del departamento de administración. 2. Los 17 miembros del grupo de Whatsapp “Ambulancias Sánchez” en la actualidad son trabajadores de la empresa y mantienen relación laboral con la misma. Facilitan una relación de los 17 trabajadores y su DNI. (en la relación de trabajadores no constan los datos del denunciante.) 3. Respecto al grupo de Whatsapp, con fecha 15 de enero de 2017 y desde el número ***TELEFONO.2, del que es titular la citada trabajadora, según manifiestan se creó internamente con el conocimiento de la gerencia de la empresa y con el fin de agilizar la transmisión de información en el ámbito de la empresa por parte de los trabajadores al departamento de administración para optimizar la gestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 4. Ninguno de los 17 trabajadores se incluyó en el grupo en contra de su voluntad, disponiendo todos ellos de la libertad de poder salirse del grupo. 5. La causa por la que se remitían a través del citado grupo documentos con datos personales y de salud de los pacientes a los que prestaban servicio, era para agilizar el proceso de registro de los servicios de transporte sanitario y optimizar la gestión al permitir este medio la transmisión de datos y documentos el que los trabajadores pudieran realizar el servicio de forma inmediata. 6. Respecto a las instrucciones facilitadas por la empresa a los trabajadores con respecto al intercambio de información en el grupo de datos de carácter personal, todos los trabajadores han firmado con la empresa un acuerdo de confidencialidad que incluye cláusulas sobre sus responsabilidades y obligaciones en el tratamiento de la información. 7. Así mismo, la empresa ha hecho entrega a sus trabajadores de un documento informativo sobre sus funciones y obligaciones en relación con el tratamiento de datos personales. 8. Respecto al procedimiento para comunicar a los conductores de las ambulancias los servicios a realizar, manifiestan que la información se va a enviar, desde el programa de gestión de tablets ubicadas en las ambulancias, desde donde cada conductor ira tramitando los mismos. Todos los datos y documentos (DNI, Tarjeta Sanitaria, Volante de transporte del paciente, se gestionarán a través de los dispositivos y por correo interno de la empresa, que ira encriptado y se utilizará también para transmitir la información al Servicio Murciano de Salud. 9. Por último, manifiestan que desconocían que la creación del grupo de Whatsapp para transmitir información pudiera implicar tratamientos de datos de forma contraria a la normativa vigente y que en ningún caso se ha producido transmisión de datos fuera del grupo en el que solo figuran 17 trabajadores de la empresa que están autorizados para el tratamiento de dichos datos. 10. No obstante, entendiendo que la vía que se utilizaba para transmitir los datos no es la más óptima, han dado instrucciones para que se deje de utilizar el citado grupo de Whatsapp y que se utilicen como medio de transmisión de datos las tablets con conexión a internet asignadas a cada ambulancia y en las que se configuren cuentas de correo de empresa para transmitir los datos de forma cifrada desde los vehículos al departamento de administración. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 II El hecho denunciado se concreta en la remisión de datos de pacientes a través de correo electrónico y whatsapp, sin tener las adecuadas medidas de seguridad. El artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” El citado precepto establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. El artículo 3 de la LOPD recoge las siguientes definiciones relacionadas con los conceptos utilizados en los preceptos de la LOPD anteriormente citados: “
2. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
3. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
4. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
5. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
6. c)del presente artículo.” En relación con las medidas de seguridad, las letras
7. f)y ñ) del artículo 5.2 del RLOPD definen los siguientes conceptos: “
8. f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Así, el artículo 79 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” Por su parte, el artículo 81.1 del citado RLOPD establece en cuanto a la “Aplicación de los niveles de seguridad”, que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94 del RLOPD, las de nivel medio se regulan en los artículos 95 a 100 del mismo reglamento y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104 del mismo. Dichas medidas, en el caso que nos ocupa, no sólo deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal de los usuarios del servicio de ambulancias denunciado, sino también de aquellos datos de carácter personal recabados de los usuarios de dicho sistema. III En el presente supuesto, la concreta medida de seguridad que se ha incumplido es el artículo 104 (medidas de seguridad de nivel alto, al tratarse de datos relacionados con la salud) del RLOPD, que dispone: “Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros” Sentado lo anterior, se considera que en este supuesto se ha producido la vulneración del principio de seguridad de los datos del artículo 9.1 de la LOPD en su relación con lo previsto en el artículo 104 del RDLOP. El citado precepto del RDLOP desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que cuando los datos de salud sean transmitidos no sean accedidos ni manipulados por terceros. Para ello es necesario que por parte de dicho responsable se implanten mecanismos de cifrado para evitar que terceros accedan o manipulen datos personales. IV En el presente caso, de la documentación que consta en el expediente se desprende que Ambulancias Sánchez, S.L., no había incorporado en sus ficheros las medidas de seguridad adecuadas para evitar que los datos personales médicos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 transmitía a sus trabajadores o recibía de sus trabajadores fueran accedidos por terceros; lo que supone una infracción del citado artículo 9 de la LOPD. La infracción que se tipifica como grave en el artículo 44.3.
9. h)de dicha LOPD como “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo, como se deduce del mencionado fundamento de derecho: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
10. c)de la misma Ley.” El artículo 45.6 de la LOPD, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
11. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
12. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la denunciada es una infracción “grave”; que la denunciada no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Al haberse tratado de una práctica cuya finalidad era mejorar el servicio para los pacientes y que no se ha acreditado que los datos fuesen accedidos por terceros, así como que ya se ha corregido el problema procediendo a remitirse toda la información sanitaria cifrada, es obligado con la citada sentencia de la Audiencia Nacional de 29/11/2013, interpretar en congruencia con la naturaleza atribuida al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 apercibimiento, que siendo la finalidad del mismo la imposición de medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. V El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a AMBULANCIAS SANCHEZ S.L., y al denunciante. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es