E-05088-2021

1/7  Procedimiento Nº: E/05088/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, CENTRO DE RADIOLOGÍA Y DIAGNÓSTICO POR IMAGEN, S.L. con CIF.: B78961844, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 18/11/20, tuvo entrada en esta Agencia, escrito presentado por la parte reclamante, en el que indicaba, en síntesis, lo siguiente: “En fecha 29 de septiembre del 2020, remití por correo administrativo a dicha Agencia (AEPD) reclamación contra el reclamado indicado más arriba (”Centro de Radiología y Diagnóstico por imagen, SL."), en síntesis, por los siguientes hechos: A. No haber respondido dentro del plazo máximo de un mes a mi solicitud de derecho de acceso a mis datos de carácter personal; había cursado dicha solicitud el día 24 de agosto y llegado el 29 de septiembre aún no me habían contestado. B. La poco diligente actuación del Centro de Radiología, que intentó dilatar innecesariamente el ejercicio de mi derecho de acceso de forma indebida, en concreto: Me solicitaron copia de mi DNI prácticamente transcurrido un mes desde que les remití mi petición (en concreto me lo solicitaron el 22 de septiembre, siendo mi petición de acceso a mis datos del 24 de agosto). - La petición fue totalmente injustificada, pues no existía duda alguna sobre mi identidad, ya que como acredité documentalmente, al correo electrónico desde el que remití mi solicitud de derecho de acceso, el Centro de Radiología me había escrito con anterioridad con relación a otro tema ajeno a éste, es decir, se había comunicado ya conmigo a través de dicha dirección de correo electrónico con ocasión de otro asunto y resultaba por tanto evidente que no dudaba de mi identidad. En todo caso, el mismo día en que me solicitaron copia del DNI y para no entrar en polémica, lo remití y, aun así, transcurrido el plazo máximo de un mes no habían dado respuesta a mi escrito de derecho de acceso. Todo lo anterior lo probé con documentos que incluí en mi reclamación previa Nuevas circunstancias: que después de remitir yo a la AEPD la reclamación, me contestó el Centro de Radiología y del contenido de su contestación y demás circunstancias que expondrá a continuación se hace preciso modificar y ampliar mi reclamación inicial, pues no contestar a mi derecho de acceso en el plazo máximo previsto y dilatando el mismo de modo injustificado, se ha convertido en: A. Que el reclamado contestó a mi derecho de acceso DESPUES de transcurrido el plazo máximo de un mes y después de haber remitido yo una reclamación a la AEPD, habiendo dilatado innecesariamente el ejercicio de mi derecho de acceso y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 B. Que el reclamado NO me proporcionó la información relativa al tratamiento de mis datos de carácter personal que exige el artículo 13 del Reglamento General de Protección de Datos (RGPD) en el momento en el me recabó los mismos (…)”. SEGUNDO: Con fecha 27/04/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el art. 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LPDGDD), al considerar que, de la información preliminar de la que se dispone, se aprecian indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. TERCERO: Con fecha 20/05/21, la Subdirección General de Inspección de Datos se dirigió requerimiento informativo a la parte reclamada, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD. CUARTO: Con fecha 03/06/21, la parte reclamante remite a esta Agencia la siguiente información: La entidad manifiesta que el reclamante ha interpuesto numerosas reclamaciones, motivadas por el mismo incidente, en distintos ámbitos: • Reclamación al Ilustre Colegio de Médicos. • Reclamación a la Dirección General de Humanización y Atención al Paciente. • Reclamación y solicitud vía email. • Reclamación ante la Agencia Española de Protección de datos por tutela de derechos (E/09059/2020). • Reclamación ante la Agencia Española de Protección de datos por el deber de información (actual reclamación). Todas estas reclamaciones han sido atendidas y contestadas en tiempo y forma, exigiendo una gran inversión de tiempo y recursos de la clínica, que es una pequeña empresa. El reclamante en ningún momento ha sido paciente del Centro de Radiología y Diagnóstico por Imagen y no se le ha prestado atención médica alguna. La renuncia por el reclamante a la realización de la ecografía, para la que estaba citado el día 12 de agosto, a las 17:10 horas, determinó que de forma inmediata fueran eliminados los datos requeridos para la cita (nombre, apellidos y teléfono), por dejar de ser necesarios para su fin. No obstante, en la contestación que se dio a su ejercicio del derecho de acceso se le informó de manera completa de las previsiones de la normativa en materia de protección de datos. En dicha respuesta figura que los datos del reclamante objeto de tratamiento por CENTRO DE RADIOLOGIA Y DIAGNOSTICO POR IMAGEN SL son los facilitados en sus denuncias y reclamaciones: Cita para ecografía del día 12 de agosto, a las 17:10 horas. No consta cita con los facultativos radiólogos. Copia de Queja/Sugerencia escrita en el centro a la Dirección General de Humanización y Atención al paciente con fecha 12 de agosto 2020, donde figuran sus datos personales. Carta de la Comunidad de Madrid de la reclamación efectuada por el reclamante, con entrada en esta Dirección General de Humanización y Atención al Paciente, el día 18 de agosto de 2020, para que procedan a su tramitación, donde figuran sus datos personales. Carta para recopilar información para responder a la reclamación enviada al Colegio de Médicos de Madrid por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 reclamante, registrada en la institución el 17/08/2020, donde figuran sus datos personales. QUINTO: Según consta en las bases de datos de esta Agencia, el reclamante ya envío una reclamación previa a esta Agencia, por los mismos hechos y contra la misma entidad, el 13/10/20 (un mes antes de la presente reclamación), en el que indicaba, entre otras, lo siguiente: “El 24/8/2020 remití a la dirección de correo electrónico que aparece en la web del Centro de Radiología (info©abadal.

1. es)una solicitud de acceso a mis datos de carácter personal. Transcurrido casi UN MES tras mi solicitud, recibo mail del Centro de Radiología solicitándome copia de mi DNI, el 22/9. Les remití el mismo día que recibí su correo, copia mi DNI. Pero a fecha de hoy no han respondido a mi solicitud de derecho de acceso”. Dicha reclamación dio como resultado la apertura del expediente, E/09059/2020, dentro del cual se solicitó requerimiento informativo a la entidad reclamada para aclarar los hechos. En respuesta a dicho requerimiento, la entidad indicó, entre otras, lo siguiente: “En el supuesto de ejercicio de los derechos, acreditación de la respuesta facilitada al reclamante. Se adjunta la contestación a su ejercicio del derecho de acceso, remitida el día 5/10/2020, plazo inferior al mes desde la identificación del solicitante (22/09/2020). Con fecha 07/01/21, por parte de esta Agencia, se notifica al reclamante la “NO admisión a trámite de la reclamación”, de conformidad con lo establecido en el artículo 65.4 de la LOPDGDD, basándose en que: “con fecha 5 de octubre de 2020 se remitió al reclamante un escrito en el que se atendía el derecho de acceso solicitado. En dicha contestación se facilitaba sus datos personales, la finalidad para la que eran conservados en la actualidad en referencia a la gestión de reclamaciones interpuestas por el interesado, y asimismo, se le aportaba las cláusulas de protección de datos para reclamaciones y para el ejercicio de los derechos, en las que se incluía la finalidad, el plazo de conservación, la base legítima del tratamiento, las decisiones automatizadas o elaboración de perfiles, las cesiones y las transferencias internacionales de los datos personales recabados del propio interesado”. FUNDAMENTOS DE DERECHO I- Competencia: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), II- Síntesis de los hechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En el presente caso, el reclamante manifiesta que la entidad reclamada no le respondió dentro del plazo máximo de un mes a su solicitud de derecho de acceso a sus datos personales pues había cursado dicha solicitud el día 24/08/20, pero le solicitaron que aportara copia de su DNI el 22/09/20, cosa que acreditó ese mismo día remitiéndoles copia de su DNI. Pero insiste en que transcurrido el plazo máximo de un mes no había recibió respuesta alguna a su escrito de derecho de acceso. También reclama que la entidad, “NO le proporcionó la información relativa al tratamiento de sus datos de carácter personal que exige el artículo 13 RGPD, en el momento en el que le recabó los mismos”. No obstante, la entidad reclamada aporta a esta Agencia el escrito de contestación remitido el 05/10/20, al reclamante en contestación a su ejercicio del derecho de acceso. También acredita que el reclamante “(…) en ningún momento ha sido paciente del Centro de Radiología y Diagnóstico por Imagen y no se le ha prestado atención médica alguna. La renuncia por el reclamante a la realización de la ecografía, para la que estaba citado el día 12 de agosto, a las 17:10 horas, determinó que de forma inmediata fueran eliminados los datos requeridos para la cita (nombre, apellidos y teléfono), por dejar de ser necesarios para su fin (…)”. La entidad reclamada también aporta a esta Agencia, la información que se proporciona a los pacientes cuando acceden a los servicios de la Clínica. Situación, que según indica la entidad, no se produjo con el reclamante pues al anular éste a cita programada para la realización de la prueba, sus datos personales fueron borrados pues no se abrió ficha clínica y no fueron tratados, para otros fines ajenos a los que fueron inicialmente tomados, esto es, para reservar día y hora para la realización de la prueba clínica o ecografía. La información que la clínica suministra a los pacientes cuando se abre la ficha clínica es la siguiente: “CLÁUSULA DE PROTECCIÓN DE DATOS - RECLAMACIONES De conformidad con la normativa vigente y aplicable en protección de datos de carácter personal, le informamos que sus datos serán incorporados al sistema de tratamiento titularidad de CENTRO DE RADIOLOGIA Y DIAGNOSTICO POR IMAGEN SL con CIF B78961844 y domicilio social sito en C/ ALBERTO AGUILERA 29, 1º IZQDA, 28015, MADRID (MADRID), y que a continuación se relacionan sus respectivas finalidades, plazos de conservación y bases legitimadoras, se informa también de la posible elaboración de perfiles y decisiones automatizadas, así como las posibles cesiones y las transferencias internacionales que CENTRO DE RADIOLOGIA Y DIAGNOSTICO POR IMAGEN SL tiene previsto realizar: - Finalidad: gestión de la reclamación interpuesta. - Plazo de conservación: hasta la prescripción de las posibles acciones derivadas de la prestación del servicio y del tratamiento. - Base legítima: cumplimiento de obligaciones legales impuestas al Responsable del Tratamiento. - Decisiones automatizadas y/o elaboración de perfiles: No se prevén decisiones automatizadas ni elaboraciones de perfiles. - Cesiones: sus datos podrán ser cedidos a las Administraciones Públicas competentes, jueces y tribunales y al Ministerios Fiscal, cuando sea requerido. - Transferencias internacionales: No se prevé realizar transferencias internacionales de datos. De acuerdo con los derechos que le confiere la normativa vigente y aplicable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 en protección de datos podrá ejercer los derechos de acceso, rectificación, limitación de tratamiento, supresión (“derecho al olvido”), portabilidad y oposición al tratamiento de sus datos de carácter personal así como la revocación del consentimiento prestado para el tratamiento de los mismos, cumpliendo los requisitos legales y dirigiendo su petición a la dirección postal indicada más arriba o al correo electrónico info@abadal.es. Podrá dirigirse a la Autoridad de Control competente, en este caso, la Agencia Española de Protección de Datos, para presentar la reclamación que considere oportuna. III.- Respecto a la tardanza en la contestación al derecho de acceso a los datos personales solicitado: En este sentido, los puntos 3 y 6, del artículo 12 del RGPD, establece, respecto a la transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado, lo siguiente: “(…) 3.El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. (…) 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. En el presente caso, según acredita la entidad reclamada, “el reclamante nunca fue paciente del Centro Médico pues La renuncia por el reclamante a la realización de la prueba médica determinó que de forma inmediata fueran eliminados los datos requeridos para la cita (nombre, apellidos y teléfono), por dejar de ser necesarios para su fin. Además, tras la solicitud de ejercicio de información sobre tratamiento de datos personales, se le requirió la aportación del DNI a fin de acreditar la auténtica expresión de su voluntad y consentimiento, por varias razones: - Primera, porque al ser un centro de especialidades médicas, esta entidad procede a actuar con las máximas cautelas a la hora de tratarlos datos personales de las personas que se relacionen con nosotros, así como de contestar los posibles ejercicios a los derechos. - En segundo lugar, el carácter litigante del entonces posible solicitante, las máximas cautelas en materia de privacidad, y para evitar más reclamaciones, aconsejaban identificarle de manera fehaciente dado que hubiera formulado la misma reclamación, pero en sentido contrario en el caso de no haber requerido una identificación fidedigna(…)”. Así las cosas, una vez acreditada por el reclamante, su identidad, el 22/09/20, se le remitió contestación antes del trascurso del mes, esto es, el 05/10/20. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la actuación de la entidad reclamada con respecto a la diligencia mostrada en la gestión de la petición del derecho de acceso del reclamante a sus datos personales no se contradice con lo estipulado en el artículo 12 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 IV.- Respecto a la falta de información proporcionada por la entidad reclamada a los pacientes cuando les proporcionan sus datos personales. En este sentido, el artículo 13 del RGPD establece la información que se deberá facilitarse a los interesados cuando esto proporcionan sus datos personales: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 En el caso que nos ocupa, la entidad reclamada aporta a esta Agencia, la cláusula sobre protección de datos que proporciona a los pacientes, cuando esto proporcionan sus datos personales a la cínica. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la actuación de la entidad reclamada no se contradice con lo estipulado en el artículo 13 del RGPD. SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad CENTRO DE RADIOLOGÍA Y DIAGNÓSTICO POR IMAGEN, S.L. con CIF.: B78961844, y a D. A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
14. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la AEPD, P.O. la Subdirectora General de Inspección de Datos, Olga Pérez Sanjuán, Resolución 4/10/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es