E-05945-2021

1/6  Expediente Nº: E/05945/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Autoridad Catalana de Protección de Datos en fecha remite escrito de reclamación, al no encontrarse los mismos dentro de los supuestos sobre los que tiene competencia. En la reclamación interpuesta Dña. A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamante), con fecha 19/02/2021, se dirige contra Dña. B.B.B. con ***NIF.2 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la reclamante acusa a la reclamada de acceder a sus datos personales en el Registro de Prestación Farmacéutica, gestionado por el Servicio Catalán de Salud, haciendo uso de su receta electrónica y la cantidad económica que se le asigna, en calidad de pensionista, para la adquisición de medicamentos. Constan actuaciones llevadas a cabo la Autoridad Catalana de Protección de Datos antes de dar traslado de la reclamación, acreditando que desde la farmacia se accedió a los datos de la reclamante a través del Registro de Prestación Farmacéutica, que tiene como finalidad la dispensación de medicamentos recetados por el Servicio Catalán de Salud. Según Admisión, su dueña es Dña. C.C.C.. Se solicito información a la AEAT, pero no consiguieron encontrar a esta persona; no obstante, en Google Maps aparece que dicha farmacia está a nombre de Dña. B.B.B.. Según Admisión, en la supuesta web de la farmacia, ***URL.1, aparece el dato de contacto USUARIO.1@hotmail.com, lo cual ha conducido a los pantallazos de Facebook y al nombre de C.C.C.. Sin embargo, no figura claramente que la web sea de la farmacia. Asimismo, la Autoridad Catalana de Protección de Datos ha realizado una serie de actuaciones previas, en relación con el Servei Català de Salut, decidiendo archivar pues “no se puede inferir que el CatSalut haya vulnerado la normativa de protección de datos”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 23/03/2021 y 26/04/2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta respuesta de la reclamada al requerimiento de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 TERCERO: Con fecha 21/05/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 13/12/2021 se remite escrito solicitando información a la reclamada, quien el 27/12/2021 manifiesta que ha sido propietaria de la farmacia situada en ***DIRECCIÓN.1, hasta el pasado día 08-04-2021. El medicamento al que se refiere la reclamante fue dispensado a la propia reclamante el día 30-05-2020 por cuanto lo tenía reservado. En cuanto a los motivos de la incidencia manifiesta que la reclamante no se ajusta a la verdad cuando señala que el 30/05/2020 fue a su “farmacia habitual” y que el personal le informó de que la operación no era posible porque otra farmacia había consumido el remanente de su asignación, para dispensar a otro paciente distinto a ella. Asimismo, señala que tampoco es cierto cuando afirma que fue a su farmacia habitual cuando sabe y le consta que su farmacia habitual era la farmacia reclamada y ello por cuanto de los antecedentes que constan en los programas informáticos, la reclamante acudía a la misma cada mes, para retirar sus medicamentos desde el 24-08-2019 hasta abril de 2020, siendo ello así y pensando que podía haberle pasado alguna cosa, de manera excepcional y para que no se quedara sin el medicamento (broncodilatador), se le reservó en la farmacia. Esto fue como algo excepcional y atendiendo a la situación de pandemia, y a la necesidad de la paciente de contar con su inhalador. La afirmación de que se trata de una práctica corriente el esperar a los últimos días del mes para hacer uso de los remanentes no utilizados de pensionistas registrados en el sistema y librar medicamentos sin coste para los clientes no es cierto; no es una práctica habitual al menos en la esta farmacia, se hizo de forma excepcional con una clienta habitual para que no se quedara sin su medicación. El broncodilatador es un medicamento que con receta privada se vende a 4,20 euros, que deja un beneficio bruto de un 30 %, es decir, 1,26 euros. Se trata de un inhalador común, que no tiene sentido venderlo a otro cliente o entregarlo a otro cliente sin coste. Ese medicamento, quedó reservado para que la clienta habitual viniera a buscarlo, como hizo, ese mismo día. No es una práctica que se hace en la farmacia y todo el personal sabe que no se puede hacer, fue un hecho puntual, que no se había hecho con anterioridad ni con posterioridad. Y es evidente que no se volverá a hacer. FUNDAMENTOS DE DERECHO I De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 5, Principios relativos al tratamiento, establece en su punto 1, que: “1. Los datos personales serán:
3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 En el presente caso, se imputa a la reclamada el acceso a los datos personales de la reclamante en el Registro de Prestación Farmacéutica, gestionado por el Servicio Catalán de Salud, haciendo uso de su receta electrónica y de la cantidad económica que se le asigna, en calidad de pensionista, para la adquisición de medicamentos. La reclamada ha señalado que de manera excepcional y para que no pudiera quedarse sin el medicamento recetado, se le reservó en la farmacia como algo excepcional, atendiendo a la situación de pandemia y ante el posible agotamiento del stock de aquel y la necesidad del beneficiario, clienta habitual, de que no se quedara sin su medicación. Por tanto, parece evidente que no es el móvil económico lo que motivo la actuación de la reclamada puesto que el medicamente con receta privada se vende a 4,20 euros, siendo su beneficio bruto 1,26 euros. Es cierto, que desde la farmacia se accedió a los datos de la reclamante a través del Registro de Prestación Farmacéutica, acceso confirmado por la propia reclamada, si bien con una finalidad distinta de la predicada por la reclamante, proveer para garantizar la dispensación del medicamento recetado, ante la situación que se estaba viviendo. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos reclamados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir al reclamado una vulneración de la normativa en materia de protección de datos en relación con el acceso a los datos de la reclamante. El Real Decreto 1718/2010, de 17 de diciembre, sobre receta médica y órdenes de dispensación, en su artículo 7; Coordinación en el Sistema Nacional de Salud, en su punto 3, señala que: “3. El sistema de receta médica electrónica de cada una de las Administraciones sanitarias del Sistema Nacional de Salud posibilitará la identificación del régimen de pertenencia del paciente, a efectos de cobro de la aportación que en cada caso corresponda, y la realización de la facturación de las oficinas de farmacia a la correspondiente Administración sanitaria por medios telemáticos, con las necesarias medidas de seguridad y control que garanticen su correspondencia con las dispensaciones realizadas. Por las autoridades sanitarias competentes se determinarán los datos necesarios a los que podrán acceder los farmacéuticos para la facturación de la receta médica electrónica y el desarrollo de programas de calidad de la prestación farmacéutica. En cualquier caso, se facilitará el acceso de los farmacéuticos que posibilite el desarrollo de las funciones contempladas en el artículo 84.1 de la Ley 29/2006, de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios, en las condiciones que se establezcan por las autoridades sanitarias competentes”. Y el citado artículo 84, relativo a las oficinas de farmacia, establece que: “1. En las oficinas de farmacia, los farmacéuticos, como responsables de la dispensación de medicamentos a los ciudadanos, velarán por el cumplimiento de las pautas establecidas por el médico responsable del paciente en la prescripción, y cooperarán con él en el seguimiento del tratamiento a través de los procedimientos de atención farmacéutica, contribuyendo a asegurar su eficacia y seguridad...” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por otra parte, la Agencia de Protección de Datos Catalana APDCAT ha señalado en relación con el Servicio Catalán de Salud que “no se puede inferir que el CatSalut haya vulnerado la normativa de protección de datos. Así, de los eventuales accesos no justificados que haya llevado a cabo la Farmacia (…) al "Registro de prestación farmacéutica"…no se puede derivar ninguna conculcación de la normativa de protección de datos por parte del CatSalut como responsable del citado registro, en la medida que a esta entidad le es imposible poder determinar a priori si los accesos a dicho registro llevados a cabo por los establecimientos de farmacia obedecen a una efectiva dispensación farmacéutica, y por tanto, que los accesos son o no justificados." Hay que señalar que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando claro la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: “No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro-reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos reclamados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 se han acreditado elementos probatorios que permitan atribuir al reclamado una vulneración de la normativa en materia de protección de datos. IV De conformidad con lo indicado en los párrafos anteriores y con la información de la que se dispone, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A. y Dña. B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-120122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es