PS-00036-2019

1/11 Procedimiento Nº: PS/00036/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 01/06/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el reclamante), interno en el Centro Penitenciario ***CENTRO.1, en el que expone que el Centro Penitenciario de ***LOCALIDAD.1, en el que estuvo ingresado anteriormente, ha “perdido, extraviado y/o hecho desaparecer”, en todo caso “ha quitado de en medio” su historia clínica. Manifiesta que tuvo conocimiento de los hechos que denuncia en el mes de septiembre de 2017 y que tanto el Centro Penitenciario de ***LOCALIDAD.1 como el Centro Penitenciario ***CENTRO.1, al que fue trasladado en enero de 2018, le han confirmado reiteradamente la pérdida de su historia clínica El denunciante destaca la relevancia que tenía su historia clínica como medio de acreditar la conveniencia de recibir un tratamiento médico especializado que solicitó insistentemente con resultado negativo. Explica que por estos hechos interpuso denuncia ante el Juzgado de Instrucción de guardia de ***LOCALIDAD.1, del que nunca recibió respuesta, y “reclamación y denuncia” ante el Juzgado de Vigilancia Penitenciaria número 1 de ***COMUNIDAD.AUTONOMA.1 que le respondió mediante Auto de 08/02/218 (número de expediente 1183/2017) desestimando su queja. Además, presentó en fecha 25/03/2018 una reclamación ante el Defensor del Pueblo sin que, según dice, haya recibido respuesta. SEGUNDO: A la vista de los hechos reclamados, la AEPD da traslado de la reclamación a la Secretaría General de Instituciones Penitenciarias, dependiente de la Secretaría de Estado de Seguridad, Ministerio del Interior, mediante un escrito dirigido al Delegado de Protección de Datos (en lo sucesivo DPD) notificado electrónicamente en fecha 29/06/2018, notificación que se reiteró mediante correo postal el 11/07/2018. En fecha 17/08/2018 tiene entrada en el Registro de esta Agencia la respuesta del DPD, firmada el 31/07/2018, de la que destacan los siguientes extremos: - Manifiesta que, recibida la notificación de la AEPD con la que se adjuntaba la reclamación del denunciante, dio traslado de ella a la “Subdirección General de Coordinación de Sanidad Penitenciaria” como “responsable principal del tratamiento de los datos recogidos en la historia clínica del interno”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 - Que la citada Subdirección General de Coordinación de Sanidad Penitenciaria le informa de que “efectivamente, consta la desaparición de parte de la historia clínica del reclamante que estaba recogida en formato papel”. - Que la referida Subdirección General ha informado de que la “historia clínica se debe haber traspapelado, pudiendo haberse incluido dentro de otra carpeta que contenga la historia clínica de otro interno, lo que ha podido pasar con motivo de la conducción o traslado del interno”. Añaden que han buscado la documentación incluso en los distintos Centros Penitenciarios por los que ha pasado el interno sin resultados positivos. - Afirma la Subdirección General de Coordinación de Sanidad Penitenciaria que los datos más relevantes del paciente constan en su Historia Clínica digital, por lo que no se habría producido, a su juicio, una desatención médica del interno habiendo podido analizar y valorar su evolución sanitaria. Se remiten a la AEPD, anexos al escrito firmado por el DPD, estos documentos: - La copia de una “Nota interior”, que tiene fecha de 08/08/2018, cuyo destinatario es el Defensor del Pueblo. El remitente es la Subdirección General de Relaciones Institucionales y Coordinación Territorial de la Dirección General de Instituciones Penitenciarias. En el escrito se responde al Informe del Defensor del Pueblo relativo a las quejas del interno D. B.B.B. en lo que respecta a la pérdida de parte de su historia clínica. - Escrito firmado por el ex DPD respecto al expediente relativo a la reclamación presentada por D. B.B.B. en el que señala: (

1. i)Que remite a esta Agencia como documento adjunto “notificación dirigida al paciente arriba reseñado, con relación a la queja que interpuso por pérdida de parte de la historia clínica penitenciaria”, (
2. ii)Que la medida adoptada ha sido “requerir al personal de sanidad penitenciaria que extremen el cuidado en evitación de eventualidades similares, circunstancia que dicen tener siempre presente en su funcionamiento habitual …” (iii) Que no se ha encontrado la historia clínica perdida. Examinada la documentación se advierte que la notificación a la que se alude en el punto (i), que el ex DPD dice haber dirigido al paciente interno en relación con la queja formulada, es un escrito que presenta estas características:
3. a)No se acredita ni el envío al denunciante ni menos aún su recepción por éste.
4. b)La dirección de destino atribuida al denunciante -figura en el encabezado izquierdo del documento- es errónea. Desde enero de 2018, por haberlo decidido así la Dirección General de Instituciones Penitenciarias, el denunciante se encuentra en el Centro Penitenciario de ***CENTRO.1 al que fue trasladado desde el de ***LOCALIDAD.1. Pese a ello, el documento facilitado a la AEPD, que tiene fecha de firma por el ex DPD del mes de diciembre de 2018, incorpora como dirección del destinatario el Centro Penitenciario de ***LOCALIDAD.1, en el que el denunciante no está interno desde casi un año antes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 TERCERO: Con fecha 13/02/2019 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la Secretaría General de Instituciones Penitenciarias (en lo sucesivo, la reclamada), por la presunta infracción del artículo 9 de la LOPD, tipificada en el artículo 44.3.
5. h)de la LOPD. CUARTO: Con fecha 13/03/2019 tienen entrada en la AEPD las alegaciones al acuerdo de inicio del expediente sancionador en las que la reclamada hace estas manifestaciones: - Que, pese a que en un principio los servicios de salud penitenciaria de ***COMUNIDAD.AUTONOMA.1 no habían encontrado rastro de la historia clínica del reclamante, con posterioridad al 07/08/2018, fecha en la que se respondió a la petición informativa de la Agencia, el servicio médico del centro penitenciario de ***LOCALIDAD.2 les ha enviado una carpeta de la “historia clínica, que entendemos se trata de la parte que se hallaba perdida”. - Explica que el reclamante, en el cumplimiento de sus condenas, fue trasladado en numerosas ocasiones a distintos centros penitenciarios siendo varios de esos traslados a la Comunidad Autónoma de ***COMUNIDAD.AUTONOMA.1. Añade que “es habitual que dicha Comunidad no envíe la historia clínica de los internos que son trasladados al resto del Estado, remitiendo únicamente un informe-resumen” y que “En este caso, parece claro que en alguno de los traslados a esa Comunidad, la historia clínica en papel debió de acompañarle, quedándose luego en el Centro Penitenciario de ***LOCALIDAD.2”. - La reclamada dice también: “…confirmamos que la información sanitaria contenida tanto en la historia clínica que nos ocupa, como en cualquier otra, es accesible únicamente al personal sanitario autorizado. De hecho, la historia clínica del Sr. [el reclamante] nos ha sido remitida por el servicio médico del Centro Penitenciario de ***LOCALIDAD.2 y no por personas ajenas a éste”. - La reclamada informa de que los procesos hasta ahora vigentes se están modificando; que en la actualidad están elaborando “una norma escrita que determine el manejo de las antiguas historias clínicas en papel mientras sea necesaria su consulta, y la manera en la que deber ser trasladadas cuando lo sean los internos. En lo que respecta a ***COMUNIDAD.AUTONOMA.1, la norma va a contemplar que la historia clínica en papel ha de quedar en el último centro de la Administración del Estado de origen, y que sólo será remitido un informe con los datos más relevantes” - Afirma que se informó al reclamante de que su documentación sanitaria había sido hallada. A tal fin aporta una copia del documento de “Notificación de la recepción de la Historia Clínica” por medio del que se le hizo saber “que se ha recibido en este establecimiento historia clínica de la que usted es titular remitida por el servicio médico del centro penitenciario de ***LOCALIDAD.2. Lo cual se le comunica para que usted esté informado de la recuperación de la mencionada historia clínica”. El documento está firmado en ***LOCALIDAD.1 el 06/03/2019 por el Director del Centro Penitenciario y el recibí está firmado por el reclamante, firma que coincide plenamente con la que consta en el escrito de reclamación presentada en esta Agencia. QUINTO: El acuerdo de Inicio del PS/36/2019 en el punto 3 de su parte dispositiva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 acuerda incorporar al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección de Inspección de Datos durante la fase de investigaciones. SEXTO: Procede en el presente asunto aplicar el artículo 82.4 de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) que dispone: “Se podrá prescindir del trámite de audiencia cuando no figuren en el procedimiento ni sean tenidos en cuenta en la resolución otros hechos ni otras alegaciones y pruebas que las aducidas por el interesado”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS 1.- El reclamante, D. A.A.A., con NIF ***NIF.1, quien al tiempo de formular la reclamación estaba interno en el Centro Penitenciario ***CENTRO.1, expone que el Centro Penitenciario de ***LOCALIDAD.1, en el que anteriormente había estado ingresado, ha “perdido, extraviado y/o hecho desaparecer”, su historia clínica; documentación que le resulta imprescindible para acreditar la necesidad que tiene de recibir un tratamiento médico especializado. 2.- La Secretaría General de Instituciones Penitenciarias confirmó a la AEPD en escrito de fecha 31/07/2018 que “consta la desaparición de parte de la historia clínica del reclamante que estaba recogida en formato papel”. Manifestó también que le habían informado que “no es frecuente este tipo de pérdidas”; que “están convencidos que dicha historia clínica se debe haber traspapelado, pudiendo haberse incluido en otra carpeta que contenga la historia clínica de otro interno” y añadió que no se tenía ninguna noticia de que se hubiera filtrado los datos del reclamante. 3.- La Secretaría General de Instituciones Penitenciarias comunica a la AEPD el 13/03/2019 que el Servicio Médico del Centro Penitenciario de ***LOCALIDAD.2 les ha remitido una carpeta con la histórica clínica del reclamante que “entendemos es la parte que se hallaba perdida” 4.- Obra en el expediente la documentación que acredita que la Dirección del Centro Penitenciario en el que se encuentra ingresado en la actualidad el reclamante le comunicó el hallazgo de su historia clínica perdida. Historia clínica que se ha recibido en ese Centro Penitenciario. 5.- La explicación de los hechos acaecidos ofrecida por la reclamada es que entre los centros penitenciarios en los que el reclamante cumplió condena se encontraban algunos de ***COMUNIDAD.AUTONOMA.1 y que “Es habitual que dicha Comunidad no envíe la historia clínica de los internos que son trasladados al resto del Estado, remitiendo únicamente un informe-resumen”. 6.- La reclamada ha informado que, en la actualidad, están modificando los procesos hasta ahora vigentes y están elaborando “una norma escrita que determine el manejo de las antiguas historias clínicas en papel mientras sea necesaria su consulta, y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 manera en la que deber ser trasladadas cuando lo sean los internos. En lo que respecta a ***COMUNIDAD.AUTONOMA.1, la norma va a contemplar que la historia clínica en papel ha de quedar en el último centro de la Administración del Estado de origen, y que sólo será remitido un informe con los datos más relevantes” FUNDAMENTOS DE DERECHO I En virtud de lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 15/1999, de 5 de diciembre, de Protección de Datos y Garantía de los derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En el acuerdo de inicio del procedimiento PS/00036/2019 se atribuyó a la Secretaría General de Instituciones Penitencias una infracción del artículo 9 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) en relación con los artículos 90, 91, 106,107,108,111, 113 y 114 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por el Real Decreto 1720/2007, tipificada como infracción grave en el artículo 44.3.
6. h)de la citada Ley Orgánica. El artículo 9.1 de la LOPD establece: “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. La importancia de las medidas de seguridad en relación con el derecho fundamental a la protección de datos ha sido destacada por el Tribunal Constitucional, que ha indicado ( por todas, SSTC 143/1994 y 197/2003) que un sistema normativo que autorice la recogida de datos, incluso con fines legítimos, y no contemple las garantías adecuadas frente a un uso potencialmente invasor de la vida privada del ciudadano a través de su tratamiento técnico vulneraría el derecho a la intimidad del mismo modo que lo harían las intromisiones directas en el contenido nuclear de ésta. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que se traspuso a nuestro ordenamiento jurídico por la LOPD, establecía en su artículo 17, bajo la rúbrica “seguridad del tratamiento” lo siguiente: “1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 accidental y contra la alteración, la difusión o el acceso no autorizado, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. El artículo 3,
7. b)de la LOPD define el fichero como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Asimismo, el apartado
8. d)del artículo 3 de la LOPD considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. III Ha quedado acreditado en el expediente que la historia clínica, en formato papel, del reclamante -quien ha estado interno en diversos centros penitenciarios- estuvo desaparecida al menos entre septiembre de 2017 y marzo de 2019. La desaparición de la histórica clínica del reclamante se confirmó por el DPD de la reclamada durante la fase de admisión a trámite de la reclamación. En su escrito de fecha 17/08/2018, de repuesta a la solicitud informativa de la Agencia, manifestó que la Subdirección General de Coordinación de Sanidad Penitenciaria le había informado que “efectivamente consta la desaparición de parte de la historia clínica del reclamante que estaba recogida en formato papel”. En fecha posterior, el 11/12/2018, el DPD de la reclamada se dirige a la Agencia y explica que “Los referidos documentos no se han localizado aún. La medida adoptada es requerir al personal de sanidad penitenciaria que extremen el cuidado en evitación de eventualidades similares, circunstancia que dicen tener siempre presente en su funcionamiento habitual lo que hace que lo ocurrido se considere una eventualidad que, aunque no imposible, sí es muy excepcional”. La desaparición de su histórica clínica fue conocida por el reclamante -según expuso en su denuncia- en septiembre de 2017, cuando se encontraba en el centro penitenciario de ***LOCALIDAD.1. La reclamada ha explicado que el reclamante había cumplido condena en diferentes centros penitenciarios por lo que con motivo de alguna conducción o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 traslado del interno se había podido producir la perdida de la documentación. Extremo sobre el que la Subdirección General de Coordinación de Sanidad Penitenciaria especuló que tal vez se hubiera traspapelado o incluido en la carpeta con la historia clínica de otro interno. Las explicaciones ofrecidas en su momento por la Administración reclamada, en conexión con la última información facilitada a esta Agencia -el hallazgo de los documentos en el centro penitenciario de ***LOCALIDAD.2-, confirman que la responsable del tratamiento, respecto a las historias clínicas en formato papel de los internos, venía incumpliendo varias de las disposiciones del RGPD en relación con el artículo 9 de la LOPD. Así, a tenor de los hechos declarados probados, se evidencia que la reclamada no había adoptado las medidas exigidas por el artículo 106 del RGPD para garantizar la correcta conservación de esos documentos, su localización y consulta. Este precepto dispone: “Criterios de archivo”. “El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo.” Igualmente, se constata que la Secretaría General de Instituciones Penitenciarias carecía de un Registro de Incidencias surgidas en materia de protección de datos de los internos en el que se dejara constancia del tipo de incidencia, del momento en el que se había producido o detectado, de la identidad de quien notificaba la incidencia, de la persona a la que debería notificársele y de las medidas correctoras que se habrían de aplicar. Registro que era obligado tener implementado de conformidad con el artículo 90 del RGPD que dice “Registro de incidencias”. “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.” Por otra parte, también se estima incumplido el artículo 113 del RGPD que preveía que, cuando los documentos pudieran ser utilizados por múltiples usuarios, deberían adoptarse -a fin de garantizar la seguridad de los datos- los mecanismos que permitiesen identificar los accesos realizados. Y en este sentido cabe destacar que siendo conocedora la Administración reclamada de que el reclamante había sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 trasladado a diversos centros penitenciarios ignoraba qué centro había tenido acceso por última vez a los documentos del reclamante. El artículo 113 del RGPD establecía: “Acceso a la documentación”. “1. El acceso a la documentación se limitará exclusivamente al personal autorizado. 2. Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por múltiples usuarios. 3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad.” Finalmente, a tenor de lo expuesto, parece concluyente que la reclamada incumplió la obligación descrita en el artículo 110 del RGPD, conforme a la cual “Los ficheros comprendidos en la presente sección se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título”. Llegados a este punto es necesario señalar que la presencia del elemento de la culpabilidad es una condición para que nazca la responsabilidad administrativa sancionadora. Esta exigencia ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. En idéntico sentido la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas establece en su artículo 28, “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En el supuesto que aquí se plantea la reclamada omitió claramente la diligencia debida a fin de dar cumplimiento a la obligación impuesta por el artículo 9 de la LOPD de garantizar la seguridad de los datos. Es exponente de la culpabilidad de su actuación la omisión de las medidas que se han detallado anteriormente – no se habían adoptado criterios de archivo y gestión documental en relación a las historias clínicas en formato papel, medidas que reclamada está implementando en la actualidad; no se conocía qué centro penitenciario había accedido a los documentos por última vez; carecía de un registro de incidencias en materia de derecho de protección de datos de los internos, lo que hubiera permitido que la Secretaría General de Instituciones Penitenciarias hubiera conocido esta irregularidad en septiembre de 2017, cuando se produce, y hacer entonces las gestiones para la localización de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 documentos y, claramente, no se practicó ninguna auditoría respecto a la adecuación de las medidas de seguridad implementadas a la normativa de protección de datos si tenemos en cuenta las características del sistema que en esta materia mantenía esa Secretaría General y la antigüedad del RLOPD, que data de 2007. Así las cosas, ha quedado acreditado que la Secretaría General de Instituciones Penitenciarias perdió la historia clínica del reclamante que constaba en formato papel y que ese órgano administrativo no cumplía las obligaciones que en materia de seguridad de los datos le imponían los artículos 90, 106, 110 y 113 del RGPD en relación con el artículo 9 de la LOPD. IV Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” La Secretaría General de Instituciones Penitenciarias ha informado que los procesos que tradicionalmente existieron en el ámbito penitenciario respecto a las historias clínicas se están modificando a raíz de la implantación del OMI. Se designa así al programa de gestión integral de historias clínicas digitales que desde mediados de 2017 se utiliza elaborado por la citada Secretaría General Este programa coexisten en la actualidad con el papel como se puede constatar a tenor de los hechos objeto de la reclamación. Pues bien, la reclamada ha manifestado; “En el momento actual estamos elaborando una norma escrita que determine el manejo de las antiguas historias clínicas en papel mientras sea necesaria su consulta y la manera en la que deberán ser trasladadas cuando lo sean los internos”. Añade que “En lo que respecta a ***COMUNIDAD.AUTONOMA.1, la norma va a contemplar que la historia clínica en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 papel ha de quedar en el último centro de las Administración del Estado de origen, y que sólo será remitido un informe con los datos más relevantes”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF S2813060G, ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como infracción grave en el artículo 44.3.
9. h)de la citada Ley Orgánica 15/1999. SEGUNDO: NO REQUERIR a la SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS la adopción de medidas correctoras, toda vez que manifiesta haber adoptado las medidas adecuadas para evitar en el futuro hechos similares. TERCERO: NOTIFICAR la presente resolución a la SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
10. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es