1/11 Procedimiento Nº PS/00087/2015 RESOLUCIÓN: R/02192/2015 En el procedimiento sancionador PS/00087/2015, instruido por la Agencia Española de Protección de Datos a la entidad DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L., (DENTIX) vista la denuncia presentada y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 17/3/14 tiene entrada en esta Agencia escrito de la Junta de Castilla y León (Delegación Territorial de Valladolid) remitiendo denuncia, del día 26/2/14, por si los hechos allí formulados pudieran ser constitutivos de una infracción de la Ley Orgánica de Protección de Datos (LOPD). SEGUNDO: Se refiere la denuncia a la localización en la vía pública, concretamente en la (C/............1), de restos biológicos junto a documentación con datos de carácter personal pertenecientes a la clínica Dentix, sita en el número 8 de la citada plaza y cuyo responsable es Dentoestetic Centro de Salud y Estética Dental (CIF B-*******). (DENTIX) Se manifiesta a sí mismo que se informó a la directora del centro de dicha localización reconociendo que dicha documentación procedía de la clínica Se ha aportado parte de la documentación recuperada en la vía pública en lo que constan datos personales de distintos pacientes, así como fotografías de aquella. TERCERO: De acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, se procedió, con fecha 26/02/15, a la apertura del presente procedimiento sancionador por las presuntas infracciones de los artículos 9 y 10 de la LOPD. CUARTO: Por parte de la entidad denunciada se ha presentado, con fecha de entrada 24/03/15, escrito de alegaciones, en el que se manifiesta, en síntesis lo siguiente: Sobre los hechos denunciados Se manifiesta que os hechos son consecuencia de un acto puntual y esporádico, teniendo adoptados los medios necesarios para que estas incidencias no se produzcan. Sobre las infracciones imputadas Que no cabría imputar a Dentix la comisión de dichas infracciones toda vez que parten de la base de la inexistencia de los métodos que si tiene. Que tampoco cabría imponer dos sanciones por el mismo hecho, toda vez que la comisión de uno lleva a la comisión de otro y en consecuencia existe un concurso medial Sobre la posibilidad que se aperciba por los hechos cometidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Dado que los hechos se produjeron por una circunstancia puntual, de forma accidental y una sola vez sin que se hayan vuelto a repetir. Del reconocimiento expreso y espontáneo de los hechos QUINTO: Con fecha 29/9/14 por el instructor del expediente se abrió periodo de prácticas de pruebas incorporando al expediente la denuncia interpuesta, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05837/2013. Asimismo, se solicitó a la entidad denunciada, a raíz de los hechos, “las instrucciones impartidas a su personal para la destrucción de la documentación a desechar y/o medidas adoptadas para evitar el acceso a la información que vaya a desecharse”. Se aceptó la prueba solicitada, interesando testimonio de la directora de la clínica sobre los hechos denunciados SEXTO: Se ha contestado al requerimiento de dichas pruebas, remitiendo la documentación solicitada y que se ha incorporado al expediente. SEPTIMO: Se ha recibido informe de Dª A.A.A., en calidad de Directora de la clínica Dentix en el momento de los hechos manifestando lo siguiente: - Que se trató de un hecho puntual - Que en dicha clínica, en el momento de los hechos, se procedía a destruir la información no necesaria de los pacientes - Que en el momento de los hechos se produjo una anomalía que se reconoció como tal. Al parecer al proceder a la limpieza y mantenimiento de la clínica se confundieron distintos tipos de desechos y finalmente, entremezclados, pudieron terminar en el contenedor de residuos. - Que la información estaba en bolsas cerradas dentro de la basura OCTAVO: Se emitió, por el instructor del procedimiento, con fecha 16/6/15, la siguiente propuesta de resolución: <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. con multa de 4.000 € (cuatro mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma >>>>> NOVENO: No constan alegaciones al contenido de la propuesta. HECHOS PROBADOS 1º Consta denuncia presentada por la Policia Municipal (Ayuntamiento de Valladolid) relativa a la localización en la vía pública, concretamente en la (C/............1), de restos biológicos junto a documentación con datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 pertenecientes a la clínica Dentix, sita en el número 8 de la citada plaza y cuyo responsable es Dentoestetic Centro de Salud y Estética Dental (CIF B-*******). 2º Que se informó a la directora del centro de dicha localización reconociendo que dicha documentación procedía de la clínica 3º Se ha aportado parte de la documentación recuperada en la vía pública en lo que constan datos personales de distintos pacientes, así como fotografías de aquella. 4º Constan las siguientes manifestaciones realizadas por la entidad denunciada * Se manifiesta que os hechos son consecuencia de un acto puntual y esporádico, teniendo adoptados los medios necesarios para que estas incidencias no se produzcan. * Que no cabria imputar a Dentix la comisión de dichas infracciones toda vez que parten de la base de la inexistencia de los métodos que si tiene. Que tampoco cabría imponer dos sanciones por el mismo hecho, toda vez que la comisión de uno lleva a la comisión de otro y en consecuencia existe un concurso medial * Que se ha reconocido la comisión de los hechos descritos 5º Constan así mismo las siguientes declaraciones de la Directora de la Clínica donde se produjeron los hechos: - Que se trató de un hecho puntual - Que en dicha clínica, en el momento de los hechos, se procedía a destruir la información no necesaria de los pacientes - Que se produjo una anomalía que se reconoció como tal. Al parecer al proceder a la limpieza y mantenimiento de la clínica se confundieron distintos tipos de desechos y finalmente, entremezclados, pudieron terminar en el contenedor de residuos. - Que la información estaba en bolsas cerradas dentro de la basura 6º Se ha aportado por la entidad denunciada Copia del Documento de Seguridad de fecha 17/9/14. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II De acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), se procedió a la apertura del presente procedimiento sancionador al haberse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, Dichos indicios derivan de la localización en la vía pública de documentación procedente de la entidad denunciada, que contenía datos de carácter personal, y que ha estado accesible a terceros, lo que puede suponer, salvo prueba en contrario, una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, III El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento …...
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento …… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, DENTIX es responsable de los ficheros y tratamientos, derivados de su actividad laboral, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. A este respecto debe manifestarse que la entidad denunciada tiene registrado en esta Agencia un Fichero denominado “Historial Clínico” cuyo objeto es la recopilación de datos identificativos de salud y procesos asistenciales de clientes de la entidad. Aportándose descripción del mismo que se detalla en un anexo del documento de seguridad. V El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. El art.5 del RLOPD define, en el apartado g como datos de carácter personal relacionados con la salud “las informaciones concernientes a la salud pasada, presente y futura, física o mental de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad a la información genética”, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros y que han sido contempladas en el documento de seguridad de la denunciada. En el Título VIII se definen las medidas de seguridad en el tratamiento de datos de carácter personal. En el art. 81.3 del mismo se establece que además de las medidas de seguridad básica y medio, se aplicaran las medidas de seguridad de nivel alto a aquellos ficheros, entre otros, que contengan datos referidos a la salud. La recuperación por parte de la Policía Nacional, en la vía pública, de cinco bolsas de basura que contenían, junto a restos biológicos, documentación y datos de pacientes de la entidad denunciada, se debe, - según la entidad denunciada – a un hecho puntual derivado de una deficiencia o confusión a la hora de proceder a la limpieza de la instalación en virtud de la cual se confundieron distintos tipos de desechos que, entremezclados, terminaron siendo depositados en un contenedor. La documentación localizada dentro de un contenedor situado en la vía pública, y procedente de la entidad denunciada, entra en la consideración de documento de trabajo, (conteniendo información de los pacientes cuando finalizaba la relación con los mismos o resultaba innecesaria) incorporando información derivada de un fichero automatizado, que contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Existe pues un tratamiento de datos, volcándose en formato papel una información derivada de ficheros automatizados, que contiene datos de carácter personal. En consecuencia, deberían de haberse adoptado, por parte de la entidad denunciada, las medidas suficientes para impedir el acceso a la información contenida en los mismos, así como su posible recuperación posterior Debe tenerse en cuenta las obligaciones específicas que se establecen en los artículos 108 (custodia de soportes) y 112 (copia y reproducción de documentos) del RD 1720/07 por el que se aprueba el Reglamento de Desarrollo de la LOPD. Debe deducirse que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 criterios de archivo deben garantizar la correcta conservación de los documentos, la localización y consulta de la información, y que mientras la documentación con datos de carácter personal no se encuentra archivada, porque se encuentre en un proceso de tramitación, la persona que se encuentre a cargo de la misma deberá custodiarla e impedir que pueda ser accedida por persona no autorizada. De los hechos probados en este procedimiento, se deduce que DENTIX en su calidad de responsable del tratamiento, debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho que dicha documentación fuese recuperada por la policía al estar dentro de un contenedor situado en la vía pública. Esta necesidad de especial diligencia en la custodia de la documentación ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor. Se alega por parte de la denunciada que ha adoptado las medidas de protección de datos de carácter personal que se han plasmado en el documento de seguridad cuya copia se ha adjuntado a su escrito de alegaciones, y que recoge en su apartado 6 la “gestión de soportes y documentos” y que cuenta con un protocolo de seguridad que debe evitar que se produzcan estos incidentes tales como la destrucción de los soportes que vayan a causar baja. Dichas circunstancias, sin perjuicio que deban tenerse en cuenta a la hora de graduar la sanción no exonera la responsabilidad de la entidad denunciada , en base a la interpretación dada por la Audiencia Nacional, en la recurso 559/2007, que desestimaba el recurso de una entidad basado en la existencia de responsabilidad de unos de sus empleados: “Es cierto que dicha entidad bancaria acredita el cumplimiento de las medidas de seguridad, tanto en sus sucursales, como respecto de su personal, en los términos exigidos por la LOPD, y también es cierto que fue un empleado de dicha entidad el que provocó los hechos ahora sancionados. Más esta Sala ha declarado con reiteración, en las sentencias reseñadas en el fundamento jurídico anterior e igualmente en la SAN de 14-2-2007 ( Rec. 229/2005 , entre otras) que no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales si luego no se exige a los empleados del banco la observancia de aquellas instrucciones. Por lo que necesariamente te ha de concluir que… debió adoptar las medidas necesarias para impedir cualquier recuperación por terceros no autorizados de la información reservada a la que tuvo acceso la empresa de limpieza, y al no efectuarlo así, no observó la diligencia necesaria, pues de otro modo no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 se explica que un importante volumen de documentos de uso interno de la entidad ( a la denuncia se acompañaba una gran caja), en muchos de los cuales figuraban datos personales, fueran a parar a manos de tal concesionaria de la recogida de basura” VI El hecho constatado en el presente procedimiento, relativo a la aparición de documentación procedente de la entidad denunciada en un contenedor situado en la vía pública supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable del tratamiento. El artículo 44.3
- h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de Sanatorio de Nuestra Señora de la Salud se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales pudieran ser vistos por un tercero, infracción que procede calificarla en el grado señalado. La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado... Existe una obligación de resultado, que no se ha cumplido al haberse encontrado documentación procedente de la clínica en un contenedor de basuras accesibles a terceros, de la que se desprende una falta de negligencia del responsable del tratamiento, obligado a implementar las medidas de seguridad. VII Debe precisarse que los hechos acreditados, por el contra, no suponen una vulneración del art. 10 de la LOPD que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Ahora bien la obligación impuesta por el artículo 10 debe entenderse como una obligación de resultado, donde lo relevante, tal como lo ha entendido la Audiencia Nacional, entre otras en la sentencia de 18/06/09, es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto), que exista o no una omisión de las medidas de seguridad. En el caso que nos ocupa, aun cuando a entidad denunciada es responsable de la custodia de la documentación relativa a sus pacientes, la documentación recuperada se encontraba dentro de bolsas de basura depositadas en la vía pública junto con otros restos. Fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 recuperada y retirada por la Policía Nacional pero no se puede considerar que fuera revelada a terceras personas vulnerando así el deber de secreto. Entendiéndose así que no se ha producido vulneración del artículo 10 por parte de la denunciada. VIII El artículo 45 apartados 2,4 y 5 de la LOPD estipula: “3. Las infracciones graves serán sancionadas con multa de 60.101,21€ a 300.506,05 €. 4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” 5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. En primer lugar hay que tener en cuenta lo establecido en el art. 45.5, que trata de hacer efectivo hasta sus últimas consecuencias el principio de proporcionalidad, mediante la aplicación de la sanción correspondiente relativa a la escala inferior y ello cuando se aprecie disminución de la culpabilidad del imputado o de la antijuridicidad del hecho. Estos dos criterios no son sino criterios jurídicos indeterminados que deben concretarse en cada supuesto en el que se pretenda su aplicación. Debe tenerse en cuenta la interpretación establecida la Audiencia Nacional, en sus Sentencias, entre otras, de 24/05/2002 y 16/02/2005, “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos.” Valorando las circunstancias del presente caso donde se ha establecido, en los hechos probados, que se trató de un hecho puntual; que se dispone de documento de seguridad y de medios técnicos y organizativos para salvaguardar la seguridad de los datos, debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad; aplicadas ya por esta Agencia, en otros procedimientos similares relativos a la localización en la vía pública de documentación con datos de carácter personal. Por otra parte Dentix en las alegaciones al Acuerdo de Inicio ha procedido al reconocimiento voluntario de la responsabilidad, motivo por el que se procede aplicar el art. 45.5
- d)LOPD Debe también tenerse en cuenta que a raíz de los hechos, por parte de DENTIX se manifiesta que se han adoptado las oportunas medidas de protección de datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 contratando a una tercera empresa para reforzar dichas medidas de conformidad al Título VIIII del RLOPD. En segundo lugar, el art. 45.4 de la LOPD recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorándolas en aplicación de dichos criterios, permiten, que en este caso, se considere procedente imponer, una sanción en 4.000 euros, al haberse constatado una disminución cualificada de la culpabilidad. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma, una multa de 4.000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a DENTOESTETIC CENTRO DE SALUD Y ESTÉTICA DENTAL, S.L. y a POLICIA MUNICIPAL DE VALLADOLID. TERCERT: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es