← España

PS-00020-2017

1/9 Procedimiento Nº PS/00020/2017 RESOLUCIÓN: R/01154/2017 En el procedimiento sancionador PS/00020/2017, instruido por la Agencia Española de Protección de Datos a la entidad LYSER DENTAL, S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de marzo de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. (en lo sucesivo el denunciante) en el que declara que, contrató los servicios médicos de la entidad Siete Palmas Odontológica, S.L. (en la actualidad Alpasoma Servicios, S.L.). Por una serie de problemas causados por las intervenciones, requirió la documentación médica, para poder elaborar un dictamen pericial, pero le comunicaron que había sido traspasada a la entidad Lyser Dental, S.L., sin haberle solicitado su consentimiento. En el Juzgado de Primera Instancia nº ** de Las Palmas de Gran Canaria, se tramita procedimiento Diligencias Preliminares nº *****/2015, la demandada Alpasoma Servicios, S.L., manifiesta que no se presenta ninguna documentación requerida por el denunciante toda vez que la clínica dental, sus activos y derechos de explotación fueron vendidos a la mercantil Lyser Dental, S.L., por lo que es la entidad que mantiene y custodia la documentación clínica. Según Contrato de compraventa de activos y derechos de explotación de clínica dental, de fecha 2 de junio de 2014, la entidad Siete Palmas Odontológica, S.L., es titular de la explotación de una clínica dental en régimen de franquicia bajo la enseña VITADENT y transmite los bienes y derechos que constituyen el negocio a la compañía Lyser Dental, S.L., incluido los pacientes: “que hará suyos los datos relativos a los pacientes de la clínica, sin perjuicio de los dispuesto en la legislación vigente en materia de tratamiento de datos, asumiendo las obligaciones que ello conlleve”. Se adjunta copia del citado contrato. También, se aporta Acta de presentación de documentos, de fecha 22 de enero de 2016, del Juzgado de primera instancia nº ** de Las Palmas de Gran Canaria, en la que consta que la documentación solicitada por el denunciante no la tiene la compañía Siete Palmas Odontológica, S.L., ya que la entidad que custodia la documentación es la mercantil Lyser Dental, S.L. Manifiesta el denunciante que la entidad no solicitó su consentimiento para comunicar todos sus datos personales médicos a otra entidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 La compañía LYSER DENTAL, S.L. ha informado que compró, el día 2 de julio de 2014, los activos de la mercantil Siete Palmas Odontológica, S.L., y que a su vez, en la misma fecha transmitió dichos activos a una tercera sociedad SEVEGAL DENTAL, S.L., que es quién actualmente explota la clínica y es la responsable. Añade LYSER DENTAL, S.L., que no existe documentación que acredite el consentimiento de los pacientes debido a que se trata de un supuesto especial a tenor de lo previsto en el artículo 19 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, que establece lo siguiente: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999”. En relación con el derecho de información a los clientes la compañía LYSER DENTAL, S.L., indica que no procedió a realizarlo dado que en ningún momento se erigió como responsable de los datos ya que la operación de compra y posterior venta se llevó a cabo en el mismo día. La compañía LYSER DENTAL, S.L., no ha acreditado documentalmente la transmisión de los activos, incluida la documentación clínica, a la sociedad SEVEGAL DENTAL, S.L. Por otra parte, la empresa ALPASOMA SERVICIOS, S.L., ha remitido el contrato suscrito con LYSER DENTAL, S.L. de fecha de 2 de junio 2014. TERCERO: De acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, procede la apertura del presente procedimiento sancionador. Dichos indicios consisten en la falta de acreditación del cumplimiento del deber de informar conforme a lo previsto en el artículo 5 de la LOPD, en este caso en que se ha producido una modificación del responsable del fichero como consecuencia de una operación de cesión global de activos y pasivos. CUARTO: Con fecha 9 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a LYSER DENTAL, S.L., por presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo previsto en el artículo 19 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como leve en el artículo 44.2.

  1. c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 2.000 euros de acuerdo con el artículo 45, apartados 1 y 4 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 QUINTO: Notificado el acuerdo de inicio con fecha 13 de febrero de 2017, LYSER DENTAL, S.L., no ha efectuado alegaciones al mismo. SEXTO: El artículo 64.2.
  2. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), indica lo siguiente, en relación con el contenido del acuerdo de inicio: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” HECHOS PROBADOS PRIMERO: Don A.A.A. contrató los servicios médicos de la entidad Siete Palmas Odontológica, S.L. Por una serie de problemas causados por las intervenciones, requirió la documentación médica, para poder elaborar un dictamen pericial, pero le comunicaron que el negocio había sido traspasada a la entidad Lyser Dental, S.L., sin haberle solicitado su consentimiento. SEGUNDO: Según Contrato de compraventa de activos y derechos de explotación de clínica dental, de fecha 2 de junio de 2014, la entidad Siete Palmas Odontológica, S.L., es titular de la explotación de una clínica dental en régimen de franquicia bajo la enseña VITADENT y transmite los bienes y derechos que constituyen el negocio a la compañía Lyser Dental, S.L., incluido los pacientes: “que hará suyos los datos relativos a los pacientes de la clínica, sin perjuicio de los dispuesto en la legislación vigente en materia de tratamiento de datos, asumiendo las obligaciones que ello conlleve”. TERCERO: La compañía LYSER DENTAL, S.L., compró, el día 2 de junio de 2014, los activos de la mercantil Siete Palmas Odontológica, S.L. CUARTO: LYSER DENTAL, S.L., manifestó que el mismo día día 2 de junio de 2014 transmitió los activos de la Clínica adquirida a una tercera sociedad, SEVEGAL DENTAL, S.L., que es quién actualmente explota la clínica y es la responsable. Pero la compañía LYSER DENTAL, S.L., no ha acreditado documentalmente la transmisión de los activos, incluida la documentación clínica, a la sociedad SEVEGAL DENTAL, S.L. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El tratamiento de datos viene definido en el artículo 3.
  4. c)de la LOPD como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, el artículo 5.
  5. t)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, describe el tratamiento de datos como “Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, la entidad LYSER DENTAL, S.L., como adquirente de una clínica dental, incluso el fichero de pacientes, es responsable del tratamiento de los datos personales de sus clientes, y está sujeta a los requisitos y obligaciones impuestas por la normativa de protección de datos, y por consiguiente está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. III Se imputa a la entidad LYSER DENTAL, S.L., la posible vulneración del derecho de información de los clientes de la entidad Siete Palmas Odontológica, S.L., que adquirió el día 2 de junio de 2014. El artículo 19 del Reglamento de desarrollo de la LOPD establece lo siguiente: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 En el caso denunciado, se produce una cesión global de activos y derechos de explotación de la entidad Siete Palmas Odontológica, S.L., a la compañía Lyser Dental, S.L., incluidos los pacientes. En el contrato consta la siguiente leyenda: “que hará suyos los datos relativos a los pacientes de la clínica, sin perjuicio de los dispuesto en la legislación vigente en materia de tratamiento de datos, asumiendo las obligaciones que ello conlleve”. Luego debía ser Lyser Dental, S.L., quien informase a los pacientes de la clínica Siete Palmas del cambio de titularidad del fichero por compraventa del negocio. IV El deber de información, también denominado principio de transparencia en el tratamiento de datos, constituye uno de los pilares esenciales del sistema establecido en la Ley Orgánica 15/1999. De este modo, para que sea posible el tratamiento de los datos de carácter personal, con independencia de que sea preciso el consentimiento del afectado o de que los datos procedan de aquél o de terceras fuentes en virtud de una cesión lícita, será preciso que el afectado sea adecuadamente informado, en los términos establecidos por el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal. La información al afectado debe producirse en el momento de la recogida de sus datos de carácter personal, y abarcar los extremos esenciales relacionados con el tratamiento. Dicho deber de información al afectado está regulado en el art. 5 de la LOPD que dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” La infracción del artículo 5 está tipificada como leve en el artículo 44.2.
  11. c)de la LOPD, que considera como tal: “El incumplimiento del deber de información al afectado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.”. La exigencia de esta información en la recogida de los datos, constituye un derecho del afectado que es objeto de protección por sí mismo aunque es también un complemento previo de la prestación del consentimiento. De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión puede determinar un vicio de consentimiento. La LOPD reconoce, junto al deber de información, el momento en que se ha de informar al interesado y el contenido de dicha información. La recogida de datos se puede definir como la comunicación de los datos por el interesado al responsable del fichero o la obtención de dichos datos por otros medios distintos del propio afectado. Los procedimientos en la recogida de datos pueden ser diversos; declaraciones o formularios, encuestas o entrevistas, transmisión electrónica, páginas web… Por otro lado en el artículo 5.2 de la LOPD se establece que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior” Este apartado hace una referencia expresa a los supuestos en que para la recogida de datos se utilicen impresos o cuestionarios estandarizados, remarcándose la necesidad de que el interesado sea informado realmente de dichos extremos, al disponer que en dichos impresos debe figurar en forma legible las advertencias a las que se refiere el apartado 5.1 La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A este respecto conviene insistir en la necesidad de que la información sea legible porque cuando se incluyen leyendas informativas con una letra de tamaño mínimo se frustra la finalidad del derecho a la información en la recogida de los datos al no poder llegar a un verdadero conocimiento de sus destinatarios con lo que se conculca el deber de información previa. De manera que los extremos a que hace referencia el precepto han de exponerse de forma adecuada y los impresos ó formularios han de incluir leyendas legibles con lo que se facilita que la información llegue a los afectados. Así, de acuerdo con lo establecido en el artículo 5 trascrito, la entidad LYSER DENTAL, S.L., debió informar a los pacientes de la nueva titularidad del fichero y el resto de la información reseñada, y la información debía ser expresa, precisa e inequívoca. V Por lo que respecta a la alegación realizada por la entidad LYSER DENTAL, S.L., referente a que no informó a los pacientes porque el mismo día que adquirió los activos a Siete Palmas Odontológica los vendió a una tercera entidad, hay que señalar que no ha acreditado esta segunda transmisión y no ha aportado el contrato correspondiente que recoja quien es el obligado a informar a los pacientes, de acuerdo con la normativa de protección de datos reseñada. En este caso se imputa la vulneración del deber de información prevista en el artículo 5 de la LOPD tras una cesión de negocio, incluidos los ficheros con datos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 pacientes. En consecuencia, la referida alegación debe ser desestimada. VI El artículo 44.2.
  12. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, ha quedado acreditado que la entidad denunciada recabó datos personales de los pacientes tras la adquisición de un negocio de clínica dental sin cumplir con lo exigido en el artículo 5 de la LOPD, en relación con el artículo 19 del RLOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita, ya que el cumplimiento del deber de información, o principio de transparencia, es un principio básico del derecho a la protección de datos, recogido en el artículo 5 de la LOPD, siendo necesario que el titular de los datos sea informado en los términos establecidos en dicho artículo y en las normas de desarrollo. VI El artículo 45 de la LOPD, apartados 1 y 4, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  23. a)la existencia de intencionalidad o reiteración,
  24. b)la naturaleza de los perjuicios causados,
  25. c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en este procedimiento, valorada en aplicación de dichos criterios, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 2.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad LYSER DENTAL, S.L., por una infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
  26. c)de dicha norma, una multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45 apartados 1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a LYSER DENTAL, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.