PA-00001-2023

1/23 Expediente N.º: EXP202303482 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 1 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). El motivo en el que basa la reclamación es la publicación en la red social Google Maps del nombre y de la dosis del medicamento prescrito en la receta médica que él presentó en la farmacia de la calle ***DIRECCIÓN.1. La parte reclamada -farmacéutico cotitular de esa oficina de farmacia- respondió a un comentario negativo que la parte reclamante hizo sobre la farmacia en la red social e incluyó en su respuesta el nombre y la dosis del medicamento que figuraba en la receta. La parte reclamante expone en su escrito de reclamación: “Fui a esta farmacia el 1 de febrero de 2023, a las 3 de la tarde, buscando un medicamento. No me sentí bien atendido debido a la falta de educación del personal. Dejé una reseña negativa en Google Maps y la persona que representaba a la farmacia publicó el nombre y la dosis del medicamento que solicité.” Aporta una captura de pantalla de Google Maps que incorpora algunos de los comentarios publicados en esa red social. En el encabezamiento del documento consta “***DIRECCIÓN.1”. A continuación, puede verse la fotografía del perfil que la parte reclamante tiene en Google Maps, su nombre y un apellido. Seguidamente se indica “3 reviews” y aparece marcada una estrella. Figura el comentario publicado en la red social por la parte reclamada, en respuesta al que el reclamante hizo sobre la farmacia: “XXXXXXXXX, receta incompleta. Muy señor mío. Aunque solo ha puesto una estrella, sin indicar el motivo algo que considero de muy poca educación. Para quien le pueda interesar ha intentado comprar un XXXXXXXX con una receta que no estaba completa, y eso lo siento mucho no es legal vender este producto así. Y usted tenía que saberlo aunque ha hecho ver que no.” Consta también la respuesta del reclamante a ese comentario del reclamado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 “Contestando a la respuesta. Primero, que la receta estaba completa y si no estuviera hay formas de decirlo. Segundo, que según la normativa de protección de datos una farmacia no puede publicar que hago el uso de una determinada medicación. Tomaré las medidas formales adecuadas a esta situación.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se notificó al reclamado de conformidad con lo prevenido en la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recibido el 5 de abril de 2023, tal y como lo acredita el acuse de recibo que obra en el expediente. La parte reclamada solicita en escrito de fecha 3 de mayo de 2023 que se acuerde la inadmisión de la denuncia con archivo del expediente. Alega que la denuncia debe ser inadmitida “Vista la clara ausencia de captación, tratamiento y/o difusión de datos personales del denunciante, particularmente de salud, y visto el carácter abusivo y reactivo del denunciante que formula una denuncia carente manifiestamente de fundamento y ante la inexistencia de toda infracción, en los términos del artículo 65.2 de la referido Ley Orgánica 3/2018”. Hace las siguientes manifestaciones: -Respecto a la empresa “FARMACIA COLLBLANCH, CB”: que es titular de la oficina de farmacia ubicada en la calle ***DIRECCIÓN.1. La comunidad de bienes (en adelante C.B.) está constituida por dos socios comuneros, la parte reclamada y Doña C.C.C., ambos farmacéuticos. -Respecto a los hechos acaecidos declara: “[…]cuando el Sr. [la parte reclamante] entró en la farmacia, […] al entregarme la recepta en cuestión para que la dispensara el medicamento allí prescrito, comprobé que era, efectivamente, un XXXXXXXXX, mediante una receta privada lo que, junto su nerviosismo, me levantó ciertas sospechas. Así pues, cuando le indiqué que no veía clara la receta y que quería verificarla, su primera reacción fue de contención -supongo que no se lo esperaba- pero tan pronto como la dejé sobre el mostrador para acercarme al ordenador a hacer una primera comprobación la recogió, me dijo que era un borde y un maleducado y salió por la puerta corriendo. Nunca más volvió. […] Todo transcurrió tan deprisa que no pude tomar nota de ningún dato, ni para comprobarlo en la base de datos de médicos y, menos aún para registrarlo en base de datos alguna, lo que impidió que pudiera verificar la bondad de esa receta e, incluso, llegado el caso, formular la oportuna denuncia a la policía. De hecho, no pude ni comprobar si el destinatario del medicamento que obraba en la receta era el propio Sr. [la parte reclamante] o un tercero, pues tampoco tuve tiempo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 de pedirle que se identificara. Así pues como he dicho, el nombre del Sr. [la parte reclamante] no lo conocí hasta que recibí la comunicación de esta AEPD.” “[…] al día siguiente, por casualidad, vi que se había efectuado una mala calificación de la farmacia en el Google Maps […] lo que más me chocó fue identificar en la pequeña foto junto a la valoración la imagen de la persona que había venido el día anterior. El nombre que constaba junto a la fotografía, “A.A.A.” no me sonaba de nada, por lo que concluí que no se correspondía con el de la receta que, aunque no recordaba cual era, estaba convencido que era más común pues no me llamó la atención. Ante este hecho, internamente me sentí persuadido que se me había escapado una receta irregular y un posible infractor, así que suponiendo que “A.A.A.” era un pseudónimo, pensé que mi obligación era alertar que se estaba haciendo circular una recepta muy posiblemente falsificada por lo que indique lo que reza el Post que se reproduce en la denuncia, esto es: “ha intentado comprar un XXXXXXXXXX con una receta que no estaba completa, y eso lo siento mucho no es legal vender este producto”. -Niega que haya existido un tratamiento de datos personales de la parte reclamante, ni cuando el reclamante acudió a la oficina de farmacia ni posteriormente cuando él respondió al comentario publicado en Google Maps. Insiste en que él no ha identificado a la parte reclamante. Que ha sido la parte reclamante quien se ha identificado con su nombre a través de la reseña publicada en la red social. Insiste también en que no ha tratado ningún dato de salud en los términos en los que ese concepto se define en el artículo 4.15 del RGPD, pues nunca ha declarado que la parte reclamante fuera el destinatario del medicamento sino que se ha limitado a decir que la parte reclamante había tratado de adquirirlo. Que ha sido la propia parte reclamante, en la contestación a su respuesta -cuando dice “que según la normativa de protección de datos una farmacia no puedo publicar que hago el uso de una determinada medicación” – quien da a entender que el medicamento solicitado era para él. Se transcriben seguidamente algunos fragmentos del escrito que la parte reclamada dirigió a la Subdirección de Inspección de la Agencia en respuesta al traslado de la reclamación:  “Como se puede apreciar tanto del extracto como de todo el texto del Post ni digo el nombre de la persona que vino a la farmacia (que tampoco lo sabía por entonces) ni el nombre a favor de quien estaba expedida la receta y, por tanto, menos aún que la persona que vino a la farmacia, a la sazón el Sr. [la parte reclamante], tomara ese medicamento. Sólo indique que quiso comprarlo.”  Que “En ningún caso se ha producido captación de datos de tipo alguno y, menos aún, tratamiento de datos personales del Sr.[parte reclamante] en los términos del artículo 1 y 4 apartado 2) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, dado que, cuando estuvo en la farmacia no tuve tiempo material de registrar nada y menos aún tratar sus datos o los de la persona a cuyo nombre estaba expedida la receta, más cuando el Sr. [la parte reclamante] nunca llegó a identificarse.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 “[…]en ningún caso se puede considerar que efectué un tratamiento o difusión de datos al contestar a su Post en Google Maps en los términos del artículo 4 apartado 2 citado, toda vez que ni publiqué su nombre o datos identificativos -y los suyos eran manifiestamente insuficientes, pues sólo costaban sus dos nombres de pila pero no sus apellidos- pues no los he conocido hasta que se me notificó el expediente. Y finalmente, menos aún he tratado datos de salud del mismo con la publicación del Post, pues en los términos del artículo 4 apartado 15 del Reglamento sólo tiene la consideración de los datos de salud: “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. (El subrayado es nuestro)  Anexa a su escrito los siguientes documentos: -La portada de “Documentación Protección de Datos”. Se trata de un documento elaborado el 3 de octubre de 2019 que informa de que la adaptación ha sido realizada por TAXFARMA ASESORES, S.L., y que el responsable de protección de datos es Farmacia Collblanc, con CIF ***CIF.1. Incluye un índice de la documentación que lo integra (no aporta la documentación en sí): “1) Documento de seguridad; 2) RAT;3) Análisis de riesgos; 4) Derecho usuarios; 5) Violaciones de seguridad; 6) Cláusulas corporativas;7) Cláusulas web; 8) Contratos encargados de tratamiento; 9) Compromiso trabajadores; 10) Manual usuarios; 11) Checklist”. -El Informe de Análisis de Riesgos - El “Documento de Seguridad Farmacia Collblanc, C.B.” TERCERO: En fecha 1 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admite a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 22 de enero de 2024 la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento de apercibimiento a la parte reclamada por la presunta infracción de los artículos 9.1 y 5.1.

1. c)del RGPD, tipificadas ambas en el artículo 83.5.
2. a)del RGPD. QUINTO: La notificación del acuerdo de inicio se practicó conforme a las normas establecidas en la LPACAP y, según consta en el acuse de recibo que obra en el expediente, fue recogida por la parte reclamada el 30 de enero de 2024. SEXTO: En fecha 12 de febrero de 2024 se recibe en esta Agencia el escrito de alegaciones de la parte reclamada en el que, además de manifestar su voluntad de dar cumplimiento al requerimiento que le hizo el acuerdo de apertura, solicita “el archivo del presente procedimiento”. Aduce los siguientes argumentos: i. Que, aunque no comparte algunas de las manifestaciones contenidas en el escrito de apertura del procedimiento, está “plenamente conforme en la necesidad de que mi publicación en Google Maps deje de estar accesible a terceros, de ahí que actualmente la misma ya no lo esté por decisión mía”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 Aporta, documento anexo 1, una captura de pantalla con el resultado de la búsqueda en la aplicación Google Maps por el nombre del establecimiento: “Farmacià C/ de ***DIRECCIÓN.1”. Aparece en ella, además de la fotografía y el nombre de la parte reclamante, la fecha 1 de febrero de 2023 y el siguiente texto: “Contestando a la respuesta. Primero, que la receta estaba completa y si no estuviera hay formas de decirlo. Segundo, que según la normativa de protección de datos una farmacia no puede publicar que hago el uso de una determinada medicación. Tomaré las medidas formales adecuadas a esta situación.” A continuación, figura: “Farmacia” “Propietario” y un espacio destinado a sus comentarios que está en blanco e incluye, únicamente, la siguiente leyenda: “Responder públicamente”. Ya no figura el comentario que la parte reclamada hizo en la red social respondiendo al del reclamante. ii. Añade que obró de buena fe y reconoce que fue un “error” circulación de una receta aparentemente ilegítima por tal medio”. “intentar evitar la iii. Reitera su disposición a adoptar las medidas y recomendaciones que la Agencia le traslade. A la vista de todo lo actuado, la Agencia Española de Protección de Datos considera acreditados en el presente procedimiento los siguientes HECHOS PROBADOS PRIMERO: La parte reclamante presenta en la Agencia en fecha 1 de febrero de 2023 una reclamación en la que expone que ese día fue a la oficina de farmacia de la calle ***DIRECCIÓN.1 de ***DIRECCIÓN.1 buscando un medicamento y, puesto que no se sintió bien atendido, dejó una reseña negativa en Google Maps, tras lo cual “la persona que representaba a la farmacia publicó el nombre y la dosis del medicamento que solicité.” SEGUNDO: Obra en el expediente -aportada por la parte reclamante- una captura de pantalla de la aplicación Google Maps relativa a la “***DIRECCIÓN.1” En ella se puede ver, en primer término, la fotografía del perfil del reclamante en la red social seguida de su nombre y un apellido (A.A.A.). A continuación, se indica: “3 reviews”. Seguidamente consta: “15 minutes ago” y el siguiente comentario: “Contestando a la respuesta. Primero, que la receta estaba completa y si no estuviera hay formas de decirlo. Segundo, que según la normativa de protección de datos una farmacia no puede publicar que hago el uso de una determinada medicación. Tomaré las medidas formales adecuadas a esta situación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 Más abajo figura: “Response from the owner” “42 minutes ago” y el texto de una reseña redactado en inglés (traducción de Google). A continuación, redactada en castellano, esta reseña: “(Original)XXXXXXXXX, receta incompleta. Muy señor mío. Aunque solo ha puesto una estrella, sin indicar el motivo algo que considero de muy poca educación. Para quien le pueda interesar ha intentado comprar un XXXXXXXX con una receta que no estaba completa, y eso lo siento mucho no es legal vender este producto así. Y usted tenía que saberlo aunque ha hecho ver que no.” TERCERO: La parte reclamada reconoce en su respuesta al traslado de la reclamación que fue él quien atendió al reclamante cuando acudió a la farmacia y que fue él, también, quien escribió en Google Maps la respuesta en la que se publicaba el nombre del medicamento. Dice en la alegación tercera de su escrito (página 2 del documento enviado): <<En primer lugar, reseñar que cuando el Sr. [la parte reclamante] entró en la farmacia, percibí una actitud nerviosa en su manera de proceder, así que me ofrecí personalmente a atenderlo.>> << […]pensé que mi obligación era alertar que se estaba haciendo circular una recepta muy posiblemente falsificada por lo que indique lo que reza el Post que se reproduce en la denuncia, esto es: “ha intentado comprar un XXXXXXXXX con una receta que no estaba completa, y eso lo siento mucho no es legal vender este producto”.>> (El subrayado es nuestro) CUARTO: La parte reclamada afirma en su respuesta al traslado de la reclamación que a través de la fotografía publicada en Google Maps identificó a la parte reclamante como la persona que solicitó el medicamento cuyo nombre él publicó en la red social. Dice en la alegación tercera de su escrito, último párrafo, página 2 del documento enviado: << […] al día siguiente, por casualidad, vi que se había efectuado una mala calificación de la farmacia en el Google Maps lo cual me sorprendió pues no es habitual. El caso es que lo que más me chocó fue identificar en la pequeña foto junto a la valoración la imagen de la persona que había venido el día anterior. […]>> (El subrayado es nuestro) QUINTO: La parte reclamada declara en sus alegaciones al acuerdo de inicio del procedimiento: <<[…] comparto y estoy plenamente conforme en la necesidad de que mi publicación en Google Maps deje de estar accesible a terceros, de ahí que actualmente la misma ya no lo esté por decisión mía.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 Aporta con sus alegaciones al acuerdo de inicio una captura de pantalla de la aplicación Google Maps relativa a la farmacia precitada que evidencia que ha suprimido el comentario en el que informaba del nombre del medicamento. En la captura de pantalla que aporta puede verse, después de la fotografía y del nombre de la parte reclamante, la fecha de 1 de febrero de 2023 y una casilla destinada a los comentarios entre los que consta el que hizo el reclamante en respuesta al comentario del reclamado. Seguidamente se indica: “Farmacia” “Propietario”. Y en el espacio destinado a sus comentarios esta leyenda: “Responder públicamente”. El comentario que mencionaba el nombre del medicamento prescrito en la receta ha desaparecido. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Sobre el responsable del tratamiento La reclamación que da origen a este procedimiento se dirigió frente a la farmacia ubicada en la calle ***DIRECCIÓN.1. No obstante, la titular de la farmacia es la empresa “FARMACIA COLLBLANCH, CB”, comunidad de bienes que está constituida por dos comuneros, Doña C.C.C.. y la parte reclamada, ambos farmacéuticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 El artículo 4 del RGPD, apartado 7, define al “«responsable del tratamiento» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; […]”. La C.B. no es una persona jurídica, por lo que no puede ser titular de derechos y obligaciones. A grandes rasgos es una asociación entre personas físicas para facilitar la gestión y administración de un proyecto empresarial o de un patrimonio común sin que su naturaleza se vea alterada por el hecho de que la Agencia Estatal de Administración Tributaria (AEAT) asigne a la C.B. un número de identificación fiscal. En las declaraciones que la parte reclamada hace en su respuesta al traslado de la Subdirección General de Inspección manifiesta que él es cotitular, junto con doña C.C.C., de la empresa “***EMPRESA.1.” y reconoce, además, que fue él quien atendió a la parte reclamante cuando acudió a la oficina de farmacia y quien respondió al comentario que el reclamante publicó en Google Maps sobre la farmacia. Respuesta en la que la parte reclamada informaba del nombre del medicamento y de la dosis que se prescribía en la receta médica que la parte reclamante le presentó. Así pues, la parte reclamada, cotitular de la oficina de farmacia, es quien ha decidido sobre los fines y los medios del tratamiento de datos personales que ha dado origen al presente procedimiento y, por consiguiente, tiene la consideración de responsable del tratamiento. III Sobre la existencia de un tratamiento de datos de carácter personal La parte reclamada negó taxativamente en su respuesta al traslado de la reclamación que él hubiera tratado datos personales de la parte reclamante, ni cuando el reclamante acudió a la oficina de farmacia ni posteriormente cuando respondió a su comentario en Google Maps. Insiste también en que no trató ningún dato de salud, toda vez que nunca declaró que la parte reclamante fuera el destinatario del medicamento, sino que se limitó a decir que la parte reclamante había tratado de adquirir el medicamento. La definición legal de datos personales y de tratamiento se recoge en el artículo 4 del RGPD, apartados 1 y 2, preceptos que disponen: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. “2) «Tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. (El subrayado es nuestro) La parte reclamada, en defensa de que no llevó a cabo un tratamiento de datos personales, adujo en su respuesta al traslado: “no digo el nombre de la persona que vino a la farmacia, ni el nombre a favor de quien estaba expedida la receta”. Pese a la negativa del reclamado a admitir que a través de los comentarios que publicó en Google Maps, en los que informaba del nombre del medicamento y de la dosis prescrito en la receta que le presentó el reclamante, llevó a cabo un tratamiento de datos personales, cabe subrayar, por una parte, que, a tenor del artículo 4.1 del RGPD, es dato personal “toda información” que concierna a una persona física “identificada o identificable” y, por otra, que el reclamado publicó su comentario en una red social respondiendo a otro comentario anterior de una persona física que se identificaba en dicha red social por su nombre, un apellido y por su fotografía. Tal es así, que el reclamado manifestó en el escrito que dirigió a la Subdirección de Inspección de esta Agencia: “[…] vi que se había efectuado una mala calificación de la farmacia en el Google Maps […] lo que más me chocó fue identificar en la pequeña foto junto a la valoración la imagen de la persona que había venido el día anterior”. (El subrayado es nuestro) Cabe añadir, además, que el comentario que el reclamado publicó en la red social incluía en dos ocasiones el nombre y la dosis del medicamento que se prescribía en la receta médica que el reclamante le presentó cuando acudió el 1 de febrero de 2023 a su farmacia. La parte reclamada, al publicar en la red social Google Maps el nombre y la dosis del medicamento prescrito, llevó a cabo un tratamiento – una “utilización”- de datos personales del reclamante, quien estaba identificado en la red social a través de diversos elementos, como el nombre, el apellido y su fotografía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 IV Disposiciones aplicables El RGPD regula en su artículo 5 los principios que presiden el tratamiento de los datos de carácter personal y dispone en el apartado 1: “1. Los datos personales serán: [...] c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); […]” El artículo 5.2 del RGPD establece: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 9 del RGPD regula el “Tratamiento de categorías especiales de datos personales” y dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
3. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
4. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión, de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
5. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
6. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
7. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
8. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
9. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
10. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
11. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
12. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 3.Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” (El subrayado es nuestro) V Obligación incumplida del artículo 9 del RGPD 1.Tratamiento de datos de salud. Se responsabiliza a la parte reclamada de haber llevado a cabo un tratamiento de datos especialmente protegidos - datos de salud- que vulnera el artículo 9.1 del RGPD. Conforme al artículo 4.15 del RGPD son datos de salud los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. Ha quedado acreditado que la parte reclamada hizo público en la red social Google Maps -con ocasión de responder a un comentario que el reclamante hizo en esa red social sobre la farmacia- el nombre del medicamento y la dosis que se prescribía en la receta que le presentó cuando acudió a su establecimiento. La reclamada niega haber tratado datos de esta categoría especial y se basa en que no es posible afirmar que la parte reclamante fuera el destinatario del medicamente prescrito en la receta que le exhibió cuando acudió a su farmacia el 1 de febrero de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 Al margen de que la parte reclamante parece haber reconocido a través de la red social, en su respuesta al comentario del farmacéutico reclamado, que el medicamento sí era para él -dice que “según la normativa de protección de datos una farmacia no puede publicar que hago el uso de una determinada medicación”- hemos de añadir que, en caso de que el destinatario del medicamento prescrito en la receta no fuera el reclamante, sino alguien de su entorno, esa persona “podría ser identificada” (“persona identificable”). Esto, porque a raíz de los hechos, visto que el acceso a la red social Google Maps y a los comentarios que en ella se incluyen vinculados a los establecimientos, en este caso a la farmacia, es libre y, visto que la persona del reclamante estaba identificada en la red social a través de su fotografía, así como por el nombre y apellido, se ha creado y difundido públicamente una conexión entre la parte reclamante y el medicamento en cuestión. 2.Prohibición general de tratamiento de datos de salud y excepciones. El artículo 9.1 del RGPD prohíbe, con carácter general, tratar datos de categoría especial, entre los que se incluyen los relativos a la salud. No obstante, el apartado 2 del precepto introduce diez excepciones, diez supuestos en los que la prohibición de tratamiento puede levantarse si concurre alguna de ellas. En relación con el alcance de las excepciones recogidas en el artículo 9.2 del RGPD hemos de señalar que, en la mayoría de ellas, su aplicación exige la presencia de dos elementos: i. Que el tratamiento resulte “necesario” en relación con su finalidad específica. Este elemento se incluye en la descripción de todas las circunstancias del artículo 9.2 RGPD, con excepción de las contempladas en los apartados a),
13. d)y e). Pues bien, el término “necesidad” tiene en el Derecho comunitario un significado propio e independiente. El Tribunal de Justicia de la Unión Europea considera que es un “concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C524/2006, apartado 52) y el Tribunal Europeo de Derechos Humanos afirma que el <<adjetivo necesario no es sinónimo de “indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”>> (apartado 97 de la STEDH 25/03/1983). ii. Que el tratamiento, para la finalidad específica a la que se refiere cada uno de los supuestos del artículo 9.2. del RGPD, esté expresamente autorizado por una norma de Derecho interno o de la Unión. Esta exigencia se incluye en todos los supuestos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 artículo 9.2 del RGPD con la excepción de las circunstancias recogidas en los apartados
14. c)
15. d)
16. e)y f). Examinadas las excepciones del artículo 9.2. del RGPD que alzan la prohibición general del artículo 9.1 del RGPD, concluimos que, en el supuesto de hecho examinado, no concurre ninguna de las que contempla el precepto. -No concurre obviamente el consentimiento de la parte reclamante, apartado
17. a)del artículo 9.2. del RGPD. -Tampoco era necesario el tratamiento de los datos de salud que se ha efectuado para que la parte reclamada cumpliera obligaciones o ejercitara derechos específicos, ni existe en el Derecho interno ni en el Derecho de la Unión una norma jurídica que ampare el tratamiento que analizamos (apartado b). -Igualmente, no era necesario para la protección de intereses vitales, ni del interesado ni de terceros, incluir en la respuesta a un comentario en una red social el dato relativo al nombre y dosis del medicamento (apartado c). -Tampoco pueden operar las excepciones de los apartados
18. e)-relativa a datos que el interesado ha hecho públicos de forma manifiesta-, ni
19. f)-el tratamiento necesario la formulación o el ejercicio de reclamaciones-. - No puede levantar la prohibición general para tratar datos de salud el apartado g), pues se refiere al tratamiento necesario por motivos de “interés público esencial” previsto en una norma del Derecho interno o del Derecho de la UE y que además establezca las medidas adecuadas para la protección de los derechos del interesado. - Igualmente inaplicable es la circunstancia recogida en el apartado h), que vuelve a exigir, además de una finalidad específica (entre otras la de medicina preventiva), la necesidad del tratamiento, la habilitación del tratamiento aquí efectuado a través de una norma de Derecho interno o de la UE y que hubiera sido realizado por un profesional sujeto a la obligación de secreto profesional. - No es aplicable la circunstancia del apartado
20. j)que se refiere a tratamientos realizados con finalidades específicas que no vienen al caso (de archivo en interés público, fines de investigación científica o histórica o fines estadísticos) y exige que el tratamiento esté amparado en una norma de Derecho interno o del Derecho de la UE y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 que el tratamiento para el que la norma habilita sea proporcional al objetivo perseguido, respete en lo esencial el derecho a la protección de datos y establezca las medidas que sean adecuadas para proteger los intereses y derechos fundamentales del interesado. Por último, haremos una mención particular a la circunstancia prevista en el apartado
21. i)del artículo 9.2: “
22. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional”. (El subrayado es nuestro) El motivo que lleva a analizar la circunstancia del artículo 9.2.
23. i)del RGPD es que la parte reclamada ha alegado que actuó “en interés de la salud pública”. Así, ha declarado: “Por consiguiente, aunque es cierto que seguramente debí ahorrarme ese comentario, debo decir que no pensé más que no tenía otro medio para dificultar la circulación irregular de un medicamento -por tanto, actúe en interés de la salud pública-, ante mi imposibilidad de cursar una denuncia ante la policía que es lo que habría hecho si hubiera podido confirmar la irregularidad de la receta, lo que no pude al habérsela llevado el Sr. [la parte reclamante] de aquella manera.” (El subrayado es nuestro) A propósito de tal cuestión -la pretendida aplicación al supuesto examinado de la circunstancia del apartado
24. i)del artículo 9.2 del RGPD- hemos de indicar que no existe una norma de Derecho interno ni de Derecho de la UE que habilite a la parte reclamada para un tratamiento de datos de salud como el que ha efectuado. Se añade, además, que falta también otro de los elementos que integran la excepción descrita en el apartado
25. i)del artículo 9.2 RGPD al que nos referimos: con ocasión del tratamiento efectuado el reclamado no adoptó ninguna medida que garantizase el derecho a la protección de los datos personales del afectado, más al contrario, en este caso el reclamado habría incumplido el deber de secreto profesional que le incumbe. El “Código de Deontología de la Profesión Farmacéutica – 2023”, publicado por el Consejo General de Colegios Farmacéuticos, en su artículo 20, “El secreto profesional”, dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 “La información de carácter personal que el farmacéutico conozca fruto del desempeño de su ejercicio profesional está sujeta al deber de secreto profesional. El secreto profesional obliga a todos los farmacéuticos en todas sus actuaciones cualquiera que sea su modalidad de ejercicio. El deber de secreto profesional solo podrá ser eximido por el consentimiento expreso e inequívoco del interesado, por mandato judicial, o en cumplimiento de los deberes de comunicación o denuncia ante cualquiera de los supuestos previstos por la legislación, en las condiciones que ésta establezca. Excepcionalmente, este deber podrá ser también eximido cuando esté en peligro la vida o derechos fundamentales de otra u otras personas que debieran prevalecer frente al deber de secreto profesional. El farmacéutico velará por que sus colaboradores se atengan estrictamente al deber de secreto profesional. El fallecimiento del paciente o usuario no libera al farmacéutico de las obligaciones del secreto profesional.” (El subrayado es nuestro) Parece conveniente traer a colación el Real Decreto 1718/2010, de 17 de diciembre, “sobre receta médica y órdenes de dispensación”, dictado en desarrollo de los artículos 19.6 y 77.6 y 8 de la Ley 29/2006, de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios, y al amparo de las competencias exclusivas que en materia de legislación sobre productos farmacéuticos y bases para la coordinación general de la sanidad atribuye al Estado el artículo 149.1.16.ª de la Constitución. El artículo 19, “Protección de datos en las recetas médicas y órdenes de dispensación hospitalaria” establece: “1. En los trámites a que sean sometidas las recetas médicas […] deberá quedar garantizada, conforme previene la normativa específica de aplicación, la confidencialidad de la asistencia médica y farmacéutica, la intimidad personal y familiar de los ciudadanos y la protección de sus datos de carácter personal. A tal efecto, se implantarán en el tratamiento de los datos las medidas de seguridad previstas en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y en su normativa de desarrollo.” Los hechos declarados probados acreditan que la parte reclamada efectuó un tratamiento de datos especialmente protegidos -datos de salud- sin que concurrieran en dicho tratamiento ninguna de las circunstancias que contempla el apartado 2 del artículo 9 del RGPD que levantan la prohibición general para tratar datos de esa naturaleza. Por tanto, el tratamiento de datos de salud efectuado por la parte reclamada entraña una vulneración del artículo 9.1. del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 VI Tipificación y plazo de prescripción La infracción del artículo 9 del RGPD de la que se responsabiliza a la parte reclamada, materializada en haber tratado datos especialmente protegidos – datos de salud- sin que concurriera alguno de los motivos contemplados en el artículo 9.2. del RGPD que permiten levantar la prohibición general para el tratamiento de datos de esa naturaleza, se encuentra tipificada en el artículo 83.5.
26. a)del RGPD, que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000000EUR como máximo o, tratándose de una empresa de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
27. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6, 7 y 9; [...]” A los solos efectos de determinar el plazo de prescripción, la LOPDGDD dice en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves": “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: [...]
28. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica. [...]”. VI Obligación incumplida del artículo 5.1.
29. c)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 1. Todo tratamiento de datos personales debe respetar los principios que presiden el derecho fundamental a la protección de datos establecidos en el artículo 5 del RGPD, entre ellos, el de minimización de datos (artículo 5.1.c, del RGPD) Se responsabiliza a la parte reclamada una infracción del principio de “minimización de datos” conforme al cual “Los datos personales serán: […]
30. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados” (artículo 5.1.c). Consta acreditado en el expediente que el reclamado respondió a un comentario sobre la farmacia que la parte reclamante había hecho a través de la red social Google Maps, facilitando el nombre del medicamento y la dosis que prescribía la receta médica que le presentó cuando acudió a su establecimiento farmacéutico. El artículo 5.1.
31. c)del RGPD dispone que los datos tratados deberán ser “adecuados y pertinentes” y “limitados a lo necesario” en conexión con “los fines” que la operación de tratamiento persigue. La idoneidad del tratamiento de determinados datos personales o la necesidad del tratamiento a la que alude el principio de minimización de datos aparece conectada indefectiblemente con la finalidad o finalidades que el responsable busca satisfacer con su operación de tratamiento. Y es preciso tener en cuenta, además, que el RGPD exige que el fin del tratamiento sea legítimo, esto es, respetuoso con el ordenamiento jurídico (artículo 5.1.
32. b)Sobre esas premisas procede examinar el contexto en el que se recogieron y se difundieron por el reclamado los datos personales sobre los que versa la reclamación que nos ocupa. El reclamado, mediante la lectura de la receta médica que le exhibió la parte reclamante tuvo acceso, con una finalidad legítima -dispensarle el medicamento-, al nombre y a la dosis del medicamento que en ella se prescribía. Lo que le obligaba, a su vez, a tenor de la normativa sectorial, a comprobar que la receta presentada cumplía los requisitos previstos reglamentariamente. Llegados a este punto debemos recordar que la parte reclamada, por su condición de farmacéutico, está obligada al secreto profesional. Y que el R.D. 1718/2010 “sobre receta médica y órdenes de dispensación” establece en su artículo 19, apartado 1, bajo la rúbrica “Protección de datos en las recetas médicas y órdenes de dispensación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 hospitalaria”, que “En los trámites a que sean sometidas las recetas médicas […] deberá quedar garantizada, conforme previene la normativa específica de aplicación, la confidencialidad de la asistencia médica y farmacéutica, la intimidad personal y familiar de los ciudadanos y la protección de sus datos de carácter personal.” (El subrayado es nuestro) Por otra parte, el contexto en el que la parte reclamada hace público el nombre y la dosis del medicamento solicitado por el reclamante es el de una red social a través de la cual las personas que libremente deciden participar en ella hacen valoraciones sobre los establecimientos. Resulta así que la parte reclamada, con la finalidad de responder a través de la red social Google Maps a un comentario negativo del reclamante sobre la farmacia y su personal, lleva a cabo un tratamiento de datos a los que ha tenido acceso en el ejercicio de su actividad profesional y sobre los que tiene obligación de guardar secreto. Tampoco puede prosperar la explicación que la parte reclamada adujo inicialmente para justificar su comportamiento, que actuó con una finalidad de interés público en defensa de la salud pública, pues trataba de impedir la circulación de una receta que, a su juicio, presentaba indicios de no ser legítima, si bien en su segundo escrito -alegaciones al acuerdo de inicio- reconoce que fue un “error” “intentar evitar la circulación de una receta aparentemente ilegítima por tal medio”. Debe traerse a colación en ese sentido el artículo 15, “Actuaciones del farmacéutico de oficina de farmacia en la dispensación”, párrafo 2, del R.D. 1718/2010, que establece: “4. El farmacéutico, cuando surjan dudas razonables sobre la autenticidad o validez de la receta médica presentada, no dispensará los medicamentos solicitados por los pacientes o usuarios, salvo que pueda comprobar la legitimidad de la prescripción, en caso contrario, lo pondrá en conocimiento de la Administración sanitaria que resulte competente a efectos de determinar la existencia de posibles infracciones administrativas o penales.” (El subrayado es nuestro) En definitiva, el tratamiento que el reclamado hizo de los datos relativos al nombre y a la dosis del medicamento prescrito en la receta -a los que él tuvo acceso por razón de su actividad profesional- que publicó en la red social en la que libre y voluntariamente decidió participar no era pertinente ni adecuado para atender esa finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 Esta Agencia considera que la conducta de la parte reclamada, que consta debidamente acreditada en el procedimiento, supone una injerencia desproporcionada en el derecho a la protección de datos y representa un tratamiento de datos personales excesivo que vulnera el principio de minimización de datos personales establecido en el artículo 5.1.
33. c)del RGPD. VII Tipificación de la infracción y plazo de prescripción La conducta de la parte reclamada, materializada en haber hecho público en Google Maps el nombre y la dosis del medicamento prescrito en la receta que le presentó la parte reclamante, vulnera el principio de minimización de los datos personales previsto en el artículo 5.1.
34. c)del RGPD. Esta infracción se encuentra tipificada en el artículo 83.5.
35. a)del RGPD que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
36. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]” La LOPDGDD fija el plazo de prescripción de la infracción del artículo 5.1.
37. c)del RGPD. El artículo 72. 1 de la LOPDGDD, “Infracciones consideradas muy graves”, dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
38. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. [...]” VII Apercibimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 Ha quedado acreditado en el expediente que la parte reclamada incurrió en sendas infracciones de los artículos 9.1 RGPD y 5.1.
39. c)RGPD. Como se ha expuesto, cuando respondió a través de la aplicación Google Maps al comentario que la parte reclamante había publicado en la red social sobre la farmacia, trató un dato -el nombre del medicamento y su dosis prescrito en la receta médica que le exhibió el reclamanteque no era necesario, ni adecuado ni pertinente para esa finalidad. Y, siendo el dato tratado un dato de salud, un dato especialmente protegido, no concurría ninguna de las circunstancias recogidas en el artículo 9.2 del RGPD que permiten levantar la prohibición general de tratamiento que pesa sobre los datos de esa naturaleza. El RGPD, establece en su artículo 58, “Poderes”: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: [...]
40. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; […]” Por su parte, el artículo 64 de la LOPDGDD, que regula la “Forma de iniciación del procedimiento y duración”, dispone: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” (El subrayado es nuestro) Atendidas las circunstancias que rodean los hechos objeto de este procedimiento, la Agencia estima que en el presente caso procede dirigir un apercibimiento a la parte reclamada como responsable de las infracciones de los artículos 9.1 y 5.
41. c)del RGPD. VIII Medidas correctivas El artículo 58.2
42. d)del RGPD establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 En el acuerdo de inicio del procedimiento se indicó que, de confirmarse las infracciones de los artículos 9.1 y 5.1.
43. c)del RGP, se podría imponer a la parte reclamada la adopción de medidas adecuadas para ajustar su actuación a la normativa de protección de datos, conforme a lo establecido en el artículo 58.2 d). En particular, se hizo constar en dicho acuerdo que en la resolución que se adoptase podría requerirse al responsable para que en un plazo de diez