PD-00075-2023

1/12 Expediente Nº: EXP202301813 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) ejerció el derecho de acceso a su expediente sanitario ante DIRECCIÓN GENERAL DE LA POLICÍA (en adelante, la parte reclamada), que le deniega dicho derecho indicando que “(…) deberá solicitar mediante instancia o minuta a esta Unidad Regional de Sanidad, ser citado en estas dependencias, con el fin de hacerle entrega de su historial clínico laboral, dando cumplimiento a lo que así establece la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. Que una vez tramitada y recibida dicha solicitud, se procederá a la citación del solicitante mediante los canales reglamentarios para tales fines, debiendo personarse en esta Unidad Regional de Sanitad sita en (…) a la fecha y hora indicada con objeto de dar cumplimiento a lo expuesto.” La parte reclamante refiere que solicitó que se le remitiera la documentación solicitada y muestra su disconformidad con que se le obligue a acudir a por ella personalmente. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El Delegado de Protección de Datos de la parte reclamada considera que “(…) el informe de la Unidad Sanitaria de la Jefatura Superior de Policía de Madrid (…), responde de forma precisa y ajustada a la normativa vigente en materia de protección de datos a las cuestiones planteadas por esa AEPD. Es de reseñar que dada la singularidad de los datos vinculados a la solicitud de acceso, referidos a la salud, el tratamiento de esta solicitud ha tenido presente los principios de confidencialidad, así como de custodia activa y diligente de las historias clínicas.” El argumento principal que recoge el citado informe es que en ningún momento la Unidad Sanitaria de la Jefatura Superior de Policía de Madrid se planteó denegar el derecho de acceso a los datos solicitados por el interesado, sino que teniendo éste pleno derecho a su acceso, debían garantizarse, por parte de la referida Unidad Regional de Sanidad, todas las medidas de seguridad, custodia y confidencialidad que este tipo de documentos requieren para su entrega, copia y tramitación. Entre las garantías, la Unidad Sanitaria informa, el proceso de cómo debe realizarse la citación del paciente mediante los canales establecidos reglamentariamente, la posterior C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 comprobación de su identidad, así como la entrega del historial mediante un acta ex professo (con Instructor/a y Secretario/a), extremos que refuerzan la diligencia en la tramitación por parte de la Unidad Sanitaria.” TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 9 de abril de 2023, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, reiterando, en síntesis, las alegaciones presentadas anteriormente. “(…) Que esta Unidad regional de Sanidad, así como el personal facultativo y técnico que la compone, NUNCA se ha negado a facilitar copia del expediente médico a D. A.A.A., teniendo éste pleno derecho a su acceso, pero debiendo garantizarse, por parte de esta Unidad Regional de Sanidad, todas las medidas de seguridad, custodia y confidencialidad que este tipo de documentos requieren para su entrega, copia y tramitación. Igualmente, esta Unidad Regional de Sanidad no tiene acceso a los canales de comunicación y trámite a los que hace referencia el citado funcionario en sus escritos, siendo la instancia o minuta a través de la secretaría de su comisaría de destino o a través de la secretaría de esta Unidad Regional de Sanidad, los conductos reglamentarios habilitados para dar tramitación de las solicitudes expuestas por los funcionarios miembros de la Policía Nacional, además de ser los más eficientes en plazos, dada la red propia de comunicación entre los distintos estamentos que conforman la Dirección General de la Policía y todos sus órganos centrales y periféricos. (…) Que esta Unidad Regional de Sanidad ha recibido varios correos electrónicos de quien dice ser D. A.A.A., siendo enviados a la dirección oficial de esta Unidad (…) Se informa que la dirección de correo electrónico usada por el remitente, no corresponde con un servidor oficial de la Policía Nacional, no teniendo este Servicio Médico las garantías necesarias de autenticidad del mismo, ni conociendo la identidad de la/s persona/s que lo remite/n y no pudiéndose establecer comunicación oficial por dicho canal desde este Servicio Médico.” “(…) Que desde esta Unidad Regional de Sanidad, siguiendo instrucciones precisas del Área Sanitaria de la División de Personal de esta Dirección General, así como lo establecido en la ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, la entrega de la copia del expediente médico que obra en poder de esta Unidad, se realiza en estas dependencias en presencia del funcionario solicitante una vez se compruebe la pertenencia e identidad del solicitante en el citado acto, recibiendo copia de los documentos seleccionados por el titular mediante Acta de entrega de las copias de los documentos entregados, debidamente compulsados y en presencia de un Facultativo Médico que actúa como Instructor/a del procedimiento y un funcionario policial que actúa como secretario/a, ambos destinados en esta Unidad Regional de Sanidad y asignados/as para dicho procedimiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, señalando, en síntesis, que se ratifica en su reclamación. “Que su pretensión ha sido hacer uso del derecho que le asiste a relacionarse de manera telemática con la Administración, cuestión reconocida en la Ley 39/2015 del Procedimiento Administrativo Común, siendo de hecho el modo preferente para hacerlo. (…) Que en cuanto a la falta de seguridad alegada para enviar la documentación requerida por no tener la certeza de que el solicitante es quien dice ser, hay que recordar que quien suscribe dejó clara su intención de que se enviase lo instado al correo electrónico mencionado en la solicitud o, en su defecto, a la Dirección Electrónica Habilitada Única (DEHú). Dicha Instancia fue firmada con Certificado Electrónico, lo que no dejaba dudas de que era el que suscribía quien pedía dichos datos de los que es titular, además mediante la DEHú se asegura la notificación, quedando acreditado el acceso a la misma en fecha y hora y, por consiguiente, teniendo la certeza del correcto envío a su destinatario (…) La parte reclamante señala que presentó una nueva solicitud con fecha 22 de diciembre de 2022 “(…) donde solicitaba únicamente “Acceso y copia del EXPEDIENTE SANITARIO PERSONAL que consta en esa Unidad” sin pedir que le fuera enviada telemáticamente y, aun así, no se le facilito el acceso a la misma. Esta instancia de fecha 22 de Diciembre fue presentada ante la Secretaría de los Grupos de Atención al Ciudadano (GGAC) (…)” QUINTO: Otorgada audiencia a la parte reclamada, y por lo que al presente procedimiento interesa, ésta reitera lo ya alegado con anterioridad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 9 de abril de 2023, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertados de otros, es decir, el derecho de acceso se otorgará de modo que no afecte a datos de terceros. El derecho de acceso en relación con la historia clínica se regula específicamente en el artículo 18 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica (en lo sucesivo LAP), cuyo tenor literal expresa: "1. El paciente tiene derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. 3. El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas. 4.Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o, de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso, el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros". En este sentido, hay que destacar el artículo 15 de la LPA que recoge el contenido mínimo de la historia clínica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 "1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente:

1. a)La documentación relativa a la hoja clínico-estadística.
2. b)La autorización de ingreso.
3. c)El informe de urgencia.
4. d)La anamnesis y la exploración física.
5. e)La evolución.
6. f)Las órdenes médicas.
7. g)La hoja de interconsulta.
8. h)Los informes de exploraciones complementarias.
9. i)El consentimiento informado.
10. j)El informe de anestesia.
11. k)El informe de quirófano o de registro del parto.
12. l)El informe de anatomía patológica.
13. m)La evolución y planificación de cuidados de enfermería.
14. n)La aplicación terapéutica de enfermería. ñ) El gráfico de constantes.
15. o)El informe clínico de alta. Los párrafos b), c), i), j), k), I), ñ) y
16. o)sólo serán exigibles en la cumplimentación de la historia clínica cuando se trate de procesos de hospitalización o así se disponga. 3. La cumplimentación de la historia clínica, en los aspectos relacionados con la asistencia directa al paciente, será responsabilidad de los profesionales que intervengan en ella. 4. La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo, para facilitar el mejor y más oportuno conocimiento por los facultativos de los datos de un determinado paciente en cada proceso asistencial". Respecto a la conservación de la historia clínica, el artículo 17 de la LPA, en sus puntos 1 y 5, dispone que: "1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial(...) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen". V Conclusión En el supuesto aquí analizado, ha quedado acreditado que la parte reclamante ejercitó su derecho de acceso a su expediente sanitario personal y que la parte reclamada se lo ha denegado indicando que deberá solicitar ser citado en sus dependencias para hacerle entrega de dicho expediente sanitario personalmente una vez que se compruebe la pertenencia e identidad del solicitante en el citado acto, recibiendo copia de los documentos seleccionados por el titular mediante Acta de entrega de las copias de los documentos entregados, debidamente compulsados y en presencia de un Facultativo Médico que actúa como Instructor/a del procedimiento y un funcionario policial que actúa como secretario/a, ambos destinados en esta Unidad Regional de Sanidad y asignados/as para dicho procedimiento. Cabe señalar que, en estos casos, en que la solicitud no se presente mediante el canal facilitado o en la oficina correspondiente, el órgano receptor debe transmitir la solicitud recibida al Delegado de Protección de Datos asignado o el departamento encargado de la gestión de este tipo de solicitudes. Asimismo, aunque es adecuado que dicha solicitud se dirija a la dirección declarada por el responsable a efectos del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 o, a la oficina central, se considera que la recepción de la solicitud por cualquier departamento o sucursal del responsable es destino válido de la misma, conforme con el artículo 12 de LOPDGDD, que dispone: “El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” Según el Comité Europeo de Protección de Datos, no hay requisitos específicos sobre el formato de una solicitud. El responsable del tratamiento debe proporcionar canales de comunicación adecuados y fáciles de usar que puedan ser fácilmente utilizados por el interesado. Sin embargo, el interesado no está obligado a utilizar estos canales específicos y, en su lugar, puede enviar la solicitud a un punto de contacto oficial del responsable del tratamiento. El controlador no está obligado a actuar sobre las solicitudes que se envían a direcciones completamente aleatorias, o aparentemente incorrectas. Así las directrices del citado Comité indican que: “32. En caso de solicitud por medios electrónicos, la información se facilitará por medios electrónicos siempre que sea posible y a menos que el interesado solicite otra cosa (véase el artículo 12, apartado3, del RGPD). El artículo 15, apartado 3, tercera frase, complementa este requisito en el contexto de las solicitudes de acceso indicando que el responsable del tratamiento también está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 obligado a proporcionar la respuesta en un formato electrónico de uso común, a menos que el interesado solicite otra cosa. El artículo 15, apartado 3, presupone que, para los responsables que puedan recibir solicitudes electrónicas, será posible dar respuesta a la solicitud en un formato electrónico de uso común (para más detalles, véase sec. 5.2.5). Esta disposición se refiere a toda la información que debe facilitarse de conformidad con el artículo 15, apartados 1 y 2. Por lo tanto, si el interesado presenta la solicitud de acceso por medios electrónicos, toda la información debe facilitarse en un formato electrónico de uso común. Las cuestiones de formato se desarrollan en la sección 5. El responsable del tratamiento debe, como siempre, aplicar las medidas de seguridad adecuadas, en particular cuando se trate de una categoría especial de datos personales (véase más adelante, en el punto 2.3.4). (…) 2.3.4. Cumplimiento de los requisitos de seguridad de los datos 40. Dado que la comunicación y puesta a disposición de los datos personales al interesado es una operación de tratamiento, el responsable del tratamiento siempre está obligado a aplicar las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento (véanse el artículo 5, apartado 1, letra f), el artículo 24 y el artículo 32 del RGPD). Esto se aplica independientemente de la modalidad en la que se proporciona el acceso. En caso de transmisión no electrónica de los datos al interesado, dependiendo de los riesgos que presente el tratamiento, el responsable del tratamiento puede considerar el uso de correo certificado o, alternativamente, ofrecer, pero no obligar, al interesado a recopilar el archivo contra firma directamente de uno de los establecimientos del responsable del tratamiento. Si, de conformidad con el artículo 12, apartados 1 y 3, la información se facilita por medios electrónicos, el responsable del tratamiento elegirá los medios electrónicos que cumplan los requisitos de seguridad de los datos. También en caso de proporcionar una copia de los datos en un formato electrónico de uso común (véase el artículo 15, apartado 3), el responsable del tratamiento tendrá en cuenta los requisitos de seguridad de los datos a la hora de elegir los medios de transmisión del archivo electrónico al interesado. Esto puede incluir la aplicación de cifrado, protección por contraseña, etc. Para facilitar el acceso a los datos cifrados, el responsable del tratamiento también debe garantizar que se facilite la información adecuada para que el interesado pueda acceder a la información descifrada. En los casos en que los requisitos de seguridad de los datos requieran un cifrado de extremo a extremo de los correos electrónicos, pero el responsable del tratamiento solo podría enviar un correo electrónico normal, el responsable del tratamiento tendrá que utilizar otros medios, como el envío de una memoria USB por correo postal (registrado) al interesado. (…) 3.3. Evaluación de la proporción con respecto a la autenticación de la persona solicitante 70. Como se ha indicado anteriormente, si el responsable del tratamiento tiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 motivos razonables para dudar de la identidad de la persona solicitante, podrá solicitar información adicional para confirmar la identidad del interesado. Sin embargo, el responsable del tratamiento debe garantizar al mismo tiempo que no recoge más datos personales de los necesarios para permitir la autenticación de la persona solicitante. Por lo tanto, el responsable del tratamiento llevará a cabo una evaluación de proporcionalidad, que deberá tener en cuenta el tipo de datos personales que se tratan (por ejemplo, categorías especiales de datos o no), la naturaleza de la solicitud, el contexto en el que se realiza la solicitud, así como cualquier daño que pueda resultar de la divulgación incorrecta. A la hora de evaluar la proporcionalidad, debe recordarse que debe evitarse la recopilación excesiva de datos, garantizando al mismo tiempo un nivel adecuado de seguridad del tratamiento.” En el presente caso, del examen de la documentación aportada por las partes, se observa que sí estaba debidamente acreditada la identidad del solicitante, toda vez que éste había presentado su solicitud a través de registro electrónico haciendo uso de su certificado digital. Continúan indicando las Directrices del Comité Europeo “154. En este contexto, es importante recordar que existe una distinción entre el derecho de acceso en virtud del artículo 15 del RGPD y el derecho a recibir una copia de los documentos administrativos regulados por la legislación nacional, siendo este último un derecho a recibir una copia del documento real. Esto no significa que el derecho de acceso en virtud del artículo 15 del RGPD excluya la posibilidad de recibir una copia del documento/medio de comunicación en el que aparecen los datos personales. (…) 157. El artículo 12, apartado 3, del RGPD exige que el responsable del tratamiento facilite información al interesado sobre las medidas adoptadas en relación con una solicitud con arreglo al artículo 15 sin demora indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Este plazo puede prorrogarse en un plazo máximo de dos meses, teniendo en cuenta la complejidad y el número de solicitudes, siempre que se haya informado al interesado de los motivos de dicho retraso en el plazo de un mes a partir de la recepción de la solicitud. Esta obligación de informar al interesado sobre la prórroga y sus motivos no debe confundirse con la información que debe facilitarse sin demora y, a más tardar, en el plazo de un mes cuando el responsable del tratamiento no tome medidas sobre la solicitud, tal como se detalla en el artículo12, apartado 4, del RGPD. 158. El responsable del tratamiento reaccionará y, por regla general, facilitará la información prevista en el artículo 15 sin demora indebida, lo que significa que la información debe facilitarse lo antes posible. Esto significa que, si es posible proporcionar la información solicitada en un período de tiempo más corto que un mes, el controlador debe hacerlo. El CEPD también considera que el calendario para responder a la solicitud en algunas situaciones debe adaptarse al período de almacenamiento para poder facilitar el acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 159. El plazo comienza cuando el responsable del tratamiento ha recibido una solicitud del artículo 15, es decir, cuando la solicitud llega al responsable del tratamiento a través de uno de sus canales oficiales. No es necesario que el responsable del tratamiento esté al tanto de la solicitud. Sin embargo, cuando el responsable del tratamiento necesite comunicarse con el interesado debido a la incertidumbre sobre la identidad de la persona que realiza la solicitud, puede haber una suspensión a tiempo hasta que el responsable del tratamiento haya obtenido la información necesaria del interesado, siempre que el responsable del tratamiento haya solicitado información adicional sin demora indebida. Lo mismo se aplica cuando un responsable del tratamiento ha solicitado a un interesado que especifique las operaciones de tratamiento a las que se refiere la solicitud, cuando se cumplan las condiciones establecidas en el considerando 63.” En consecuencia, en el presente caso, procede estimar la reclamación presentada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
17. m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a DIRECCIÓN GENERAL DE LA POLICÍA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-140623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es