← España

PS-00066-2021

1/5  Procedimiento Nº: PS/00066/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: UNIDAD AVANZADA SALUD BUCODENTAL, S.L.P (en adelante, el reclamante) con fecha 11 de septiembre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1, (en adelante, la reclamada). Los motivos en que basa la reclamación son que la reclamada está tratando datos personales sin contar con la legitimación requerida según la ley de protección de datos. Los datos personales objeto de conflicto fueron obtenidos por el reclamante con el contrato de compraventa que formalizó con la reclamada el 26 de junio de 2016, pese a indicarse en la estipulación séptima del contrato que “el número de fichas registradas de pacientes es de 15.000, de las cuales como mínimo 1.500 se encuentran en activo, que pasan a ser propiedad del comprador. La parte vendedora no podrá, en ningún caso, hacer copia del registro de fichas de pacientes.” La entidad reclamante manifiesta que la reclamada, está tratando los datos personales de sus antiguos clientes, incumpliendo el contrato y contraviniendo lo establecido en la normativa de protección de datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/10009/2019, se dio traslado de dicha reclamación A.A.A., el día 19 de noviembre de 2019, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En respuesta al citado requerimiento el 23 de noviembre de 2019, la reclamada manifiesta no ser la encargada del tratamiento de los datos del CENTRO MEDICO LA MASO INTERMEDIACION Y SERVICIOS, S.L. al no formar parte de la Dirección ni de la Administración del citado centro. TERCERO: Con fecha 4 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: Notificado el mencionado acuerdo de inicio del presente procedimiento sancionador se le otorga un plazo de audiencia de DIEZ DÍAS HÁBILES para que formule las alegaciones y presente las pruebas que considere convenientes, de acuerdo con lo preceptuado en los artículos 73 y 76 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas. QUINTO: No habiendo formulado alegaciones ni presentado pruebas en el plazo dado, por parte del reclamado, de conformidad con los artículos 64.2.

  1. f)y 85 de la Ley 39/2015, se procede a dictar la presente resolución teniendo en cuenta los siguientes: HECHOS PRIMERO: Se denuncia que la reclamada está tratando datos personales sin contar con la legitimación requerida según la ley de protección de datos. SEGUNDO: Con fecha 13 de marzo de 2021, se notifica al reclamado el acuerdo de inicio de este procedimiento, convirtiéndose dicho acuerdo en propuesta de resolución de conformidad con los artículos 64.2.
  2. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuar el reclamado alegaciones en el plazo indicado. TERCERO: La reclamada, está tratando los datos personales de sus antiguos clientes, incumpliendo el contrato y contraviniendo lo establecido en la normativa de protección de datos, ya que se dirigió a antiguos pacientes de la clínica reclamante indicándoles que prestaba servicios en la nueva clínica. El contrato de compraventa que formalizó el reclamante con la reclamada en la cláusula séptima indica que “el número de fichas registradas de pacientes es de 15.000, de las cuales como mínimo 1.500 se encuentran en activo, que pasan a ser propiedad del comprador. La parte vendedora no podrá, en ningún caso, hacer copia del registro de fichas de pacientes.” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 En este sentido, el artículo 6.1 del RGPD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. III Los hechos denunciados, es decir, hacer uso por parte de la reclamada de la lista de ficheros de clientes de la entidad reclamante y enviar WhatsApp a clientes de la entidad reclamante sin el consentimiento previo de los mismos, remitiéndoles publicidad e información comercial, supone una infracción del art. 6 del RGPD. Esto es así, porque cuando la reclamada dejó de ejercer su actividad profesional en UNIDAD AVANZADA SALUD BUCODENTAL, S.L.P, y vendió dicha clínica dental, perdió toda legitimación para el tratamiento de los datos de los pacientes de dicha clínica, ya que con su venta deja de ser la responsable del tratamiento de los datos personales de los clientes, lo cual implica que no puede mantener dichos datos, ni usarlos o tratarlos, ni siquiera para informar de su nuevo lugar de trabajo. IV El artículo 72.1
  3. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y en particular, las siguientes:
  4. c)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  5. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  6. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  7. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes:  En el presente caso estamos ante acción negligente no intencional, pero significativos identificados (artículo 83.2
  8. b) Se encuentran afectados identificadores personales básicos -imagen-, (art 83.2
  9. g)Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A. con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 3000 euros (tres mil euros). SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  10. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.