1/8 Expediente N.º: PS/00031/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de abril de 2021, la Subdirección General de Inspección de Datos recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por el DEPARTAMENTO DE SANIDAD del GOBIERNO DE ARAGÓN con NIF S5011001D (en adelante, SANIDAD DE ARAGÓN), recibido en fecha 30 de marzo de ese mismo año, en el que informa a la Agencia Española de Protección de Datos que han recibido una llamada telefónica en la que una persona manifiesta que, el día 15 de febrero de 2021, le concedieron acceso a un expediente sancionador y le facilitaron en él un listado en el que consta (…). SEGUNDO: D. A.A.A. (en adelante, la parte RECLAMANTE) con fecha 31 de marzo de 2021 interpuso reclamación ante la AEPD. La reclamación se dirige contra SANIDAD DE ARAGÓN. Los motivos en que basa la reclamación son los siguientes: Al solicitar acceso al expediente de un procedimiento sancionador, el Servicio Provincial de Sanidad de Huesca adjuntó al expediente un listado (…). Junto a la reclamación aporta copia de un oficio de la Comisaría Provincial de Huesca, del Cuerpo Nacional de Policía, de fecha 18 de diciembre de 2020 y asunto “Rdo. Denuncias por infracciones recogidas en (…) al Servicio Provincial de Sanidad”. Y aparece un listado de “Actas-Denuncias” (…). Del resto del listado, se pueden ver (…), que el reclamante indica que son los datos de otras personas, que ha ocultado y que enviará en caso de que se le requiera. TERCERO: Con fecha 21 de abril de 2021, y en el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar los términos de la notificación de brecha de seguridad de datos personales presentada en fecha 30 de marzo de 2021 ante la Agencia Española de Protección de Datos, y en uso de las facultades conferidas por el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), y el Art. 67 de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se solicita información a SANIDAD DE ARAGÓN, relacionada con la notificación de la brecha de seguridad. CUARTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado a SANIDAD DE ARAGÓN de la reclamación interpuesta por la parte RECLAMANTE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se remitió con fecha 23 de abril de 2021 a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada siendo rechazada la notificación; reiterándose el traslado por correo certificado y notificándose el día 17 de mayo de ese mismo año. Con fecha 16 de junio de 2021 se recibe en esta Agencia escrito de respuesta indicando que tuvieron constancia de la existencia de la brecha de seguridad mediante comunicación telefónica, procediendo a informar a la Agencia Española de Protección de Datos; si bien, no se realizó la comunicación a los afectados en ese momento porque no existía ninguna prueba (sólo la llamada anónima, no se aportó ningún documento) de si había una filtración y en caso de ser cierta de a qué ciudadanos afectaba. Junto a la contestación se aporta: - Justificante de presentación de la notificación de la brecha ante la AEPD el 30 de marzo de 2021. - Informe del Servicio Provincial de Sanidad de Huesca, con fecha de firma del 2 de junio de 2021, en el que se responde a la información solicitada por la AEPD respecto a los motivos que provocaron la incidencia, las medidas adoptadas, la respuesta al denunciante y la comunicación efectuada a los afectados por la brecha. - Indicación de que esta brecha se ha producido debido a un error puntual, y se aporta una copia de la circular de fecha 10 de junio de 2021 enviada a la Unidad de Recursos y Reclamaciones, que se indica que es la que gestiona el procedimiento de expedientes sancionadores. En esta circular se hace un recordatorio de las obligaciones en cuanto a la protección de los datos personales que trata la unidad, especialmente en el momento del acceso a los expedientes por parte de los interesados para que sólo se le aporten datos personales relativos a él o a sus representados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 - Copia de carta enviada al reclamante, con fecha de salida del 10 de junio de 2021, indicándole la resolución de esta brecha y la notificación a la AEPD. - Indicación de que se ha comunicado esta brecha a los afectados, y se aportan copias de varias cartas, con fecha de salida del 14 de junio de 2021, destinadas a los afectados por esta brecha en las que se les informa de esta brecha en los siguientes términos: “En concreto, le informo que, por error, un listado (…) por supuestos incumplimientos (…), se remitió a una de las personas que aparecía en dicho listado.” y se facilitan unos datos de contacto para obtener más información sobre la incidencia. QUINTO: Con fecha 31 de junio de 2021, de conformidad con el artículo 65.5 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte RECLAMANTE. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Respecto de la cronología de los hechos y acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. (…). (…). (…). (…). (…). Respecto de las causas que hicieron posible la brecha. (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Respecto de los datos afectados. (…). Respecto de las medidas de seguridad implantadas. (…): - (…). - (…). Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. - (…). - (…). - (…). Respecto de la notificación con posterioridad a las 72 horas. (…). (…). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. (…). SÉPTIMO: Con fecha 10 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que, se considera que el crecimiento exponencial de la carga de trabajo que experimentaron la Unidad de Recursos y Reclamaciones y los funcionarios que en ella trabajan influyó decisivamente en el error cometido; si bien, de forma absolutamente puntual y aislada, pese al incremento exponencial de procedimientos. Por todo ello, se entendía que las medidas existentes en materia de protección de datos funcionan, en general, de manera adecuada y conforme a la normativa vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 No obstante, este organismo desestimó las alegaciones presentadas por entender que; en ningún caso, la carga de trabajo justifica un acceso no autorizado (…). NOVENO: Con fecha 30 de mayo de 2022 se formuló propuesta de resolución, proponiendo se imponga a DEPARTAMENTO DE SANIDAD del GOBIERNO DEW ARAGÓN, con NIF S5011001D, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD una sanción de apercibimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta acreditado que, D. A.A.A. al solicitar acceso al expediente de un procedimiento sancionador, el Servicio Provincial de Sanidad de Huesca adjuntó a dicho expediente un listado (…). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que SANIDAD DE ARAGÓN, al conceder a la parte RECLAMANTE el derecho acceso a un expediente sancionador, facilitó junto con la copia del mismo un (…); si bien, no consta si se ha producido o no la utilización ulterior, por parte de terceros, de la información personal de la parte RECLAMANTE. III Tipificación de la infracción del artículo 5.1.
- f)del RGPD La citada infracción del artículo 5.1.
- f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: ...
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al DEPARTAMENTO DE SANIDAD y GOBIERNO ARAGÓN, con NIF S5011001D, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución al DEPARTAMENTO DE SANIDAD y GOBIERNO ARAGÓN. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es