1/5 Expediente Nº: E/02727/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DIAGNOSTICO PET, S.L., en virtud de denuncia presentada por la Directora Gerente de la Sociedad Estatal de Gestión de Activos, S.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de marzo de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña C.C.C., en calidad de Directora Gerente de la Empresa Pública de Gestión de Activos, S.A., (actual denominación SOCIEDAD ESTATAL DE GESTION DE ACTIVOS, S.A.), en el que denuncia que la entidad DIAGNÓSTICO PET, S.L., con quien la citada Sociedad mantenía un contrato de arrendamiento, en la (C/.................1) (Sevilla), al abandonar dicho inmueble, tras desahucio por falta de pago, ha abandonado en el interior del inmueble diversa documentación con datos personales pertenecientes presumiblemente a pacientes, así como historiales clínicos. Con fecha 17 de mayo de 2013, remiten DVD con fotográficas de los citados documentos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Con fecha 23 de julio de 2013, se mantuvo conversación telefónica con la Jefa de la Asesoría Jurídica de la Sociedad denunciante, con relación a posibles domicilios correspondientes a la entidad DIAGNOTICO PET, dado que el único domicilio que figura tanto en el Registro Mercantil como en el Registro General de Protección de Datos es el correspondiente al que fue abandonada la documentación
- Con esa misma fecha, se recibió correo electrónico en el que proporcionan la identificación y domicilio de una persona que contaba con algún poder de representación de dicha entidad.
- Con fecha 9 de septiembre de 2013, se recibe en esta Agencia escrito de contestación remitido por Don A.A.A. (persona de contacto proporcionado por la Sociedad Estatal de Gestión de Activos), en el que pone de manifiesto lo siguiente: 3.
- No recuerda haber mantenido nunca relación contractual con la mencionada empresa, tan solo colaboró con ella de forma puntual, como asesor externo neurólogo, para caso relacionados con su especialidad. 3.
- Cree que dicha entidad cerró y desconoce su actual domicilio. 3.
- Hace más de dos años que no tiene ningún trato con compañeros de profesión de dicha clínica y no dispone de dato alguno o de los responsables de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 TERCERO: Efectuada consulta al Registro Mercantil Central se constató que la entidad Diagnóstico Pet depositó las cuentas en dicho registro referidas a los años 2000 hasta 2004 y
- No han vuelto a depositar cuentas de los años posteriores. Asimismo, al acceder al CD con los datos encontrados por la sociedad denunciante, se ha verificado que se trata de informes solicitados por un médico y con fecha de emisión de 2005 hasta 2010, si bien existe algún informe posterior. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 En el caso denunciado, la Sociedad Estatal de Gestión de Activos, S.A. era la arrendadora del local en el que estaba instalada la mercantil Diagnóstico Pet, desahuciada por falta de pago, y denunció que habían encontrado documentos con datos personales en el interior del inmueble. III La aplicación de las medidas de seguridad por parte de las empresas que tratan datos de carácter personal es una obligación de gran trascendencia. Aún en el caso de que una empresa se traslade o cese en su actividad, debe decidir que hace con los documentos generados que contienen datos personales, pudiendo bloquearlos o destruirlos en función de que continúen siendo necesarios o pertinentes en relación con las finalidades para las que se recabaron, o mantenerlos por establecerlo las disposiciones legales o las relaciones contractuales. En el supuesto de que no sean destruidos, deben mantenerse las medidas de seguridad exigidas para el tipo de datos que se traten, para evitar, entre otras cosas, que puedan ser depositados en la vía pública al acceso de cualquier persona. Tras las actuaciones previas de investigación, no se ha podido comunicar con el administrador de la sociedad; al contactar con un médico que colaboró en algún momento como asesor externo, ha indicado que desconoce el domicilio de la mercantil denunciada y que cree que cerró. La documentación aportada, por medio de un CD, se refiere a informes antiguos, en su gran mayoría, si bien alguno de ellos está fechado en los primeros meses del año
- Asimismo, Diagnóstico Pet presentó el último Depósito de Cuentas en el Registro Mercantil Central correspondiente al año
- El artículo 47 de la LOPD, bajo el epígrafe “Prescripción”, establece: “
- Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
- El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.
- Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” Los hechos valorados en las presentes actuaciones, relacionados con la posible falta de medidas de seguridad, y que han podido dar lugar a un acceso por parte de terceros a los datos de carácter personal, se remontan a los años 2003-2010, principalmente, habiendo algunos informes del año 2011 y alguno del año 2012, si bien parece que la entidad dejó de funcionar normalmente algunos años antes, debido a la fecha del último depósito de cuentas. También debe tenerse en consideración que la documentación se encontraba en archivadores dentro del local que tenían arrendado hasta el momento del desahucio, y no abandonada en un contenedor en la vía pública. Los informes encontrados se elaboraron como consecuencia de la solicitud de un médico, siendo entregados a dicho facultativo o al propio paciente. En algunos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 informes aparece la leyenda “COPIA”. La documentación clínica puede destruirse transcurridos cinco años desde la última actuación médica, de conformidad con lo establecido en el la Ley 41/2002, de autonomía del paciente. Por ello, la entidad arrendadora podrá proceder a la destrucción de la documentación fechada con anterioridad al año 2009, o entregarla al Colegio de Médicos de la provincia para su custodia hasta el momento en que pueda ser destruida. Teniendo en cuenta, además, que de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPCA), el único modo de interrumpir el computo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador, y en el presente caso, al no haber tenido conocimiento de los hechos con anterioridad, y al haber desaparecido la presunta entidad responsable (la entidad denunciada informó que el Administrador de Diagnóstico Pet dejó de recibir sus escritos y los del Juzgado), no ha sido posible verificar la situación concreta que dio lugar a dejar la documentación en el local arrendado y, en el caso de incumplir la normativa de protección de datos, formalizar la incoación dentro de plazo establecido, procede el archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a DIAGNOSTICO PET, S.L., y a la Sociedad Estatal de Gestión de Activos, S.A. (a la atención de la Directora Gerente) De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es