1/13 Procedimiento Nº PS/00094/2018 RESOLUCIÓN: R/01515/2018 En el procedimiento sancionador PS/00094/2018, instruido por la Agencia Española de Protección de Datos a Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de febrero de 2018, tiene entrada en esta Agencia un escrito en el que la denunciante manifiesta que durante el año 2016 mantuvo una relación sentimental con el pediatra Don A.A.A.. Que el 5 de abril de 2016, antes de conocerse personalmente, le envió por whatsapp una fotografía de una paciente en la camilla de su consulta. El día 27 de abril de 2016 le envió por whatsapp una fotografía de su agenda en la que aparecen anotados 31 pacientes menores de edad, con sus nombres y apellidos y su teléfono móvil de contacto. El 30 de mayo de 2016, el denunciado le envía otra foto de su agenda por el mismo medio con nombres y teléfonos de sus pacientes El 7 de junio de 2016, le envía un vídeo en el que se ve a dos menores con su madre en la consulta. Aporta la denunciante un acta notarial de transcripción de los mensajes telefónicos referidos, así como las fotografías y el vídeo mencionados. SEGUNDO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Don A.A.A., por presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- d)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. TERCERO: Notificado el acuerdo de inicio, el denunciado presentó escrito, con fecha 6 de abril de 2018, por medio de representante, en el que solicita la ampliación del plazo otorgado para formular alegaciones y que se le de vista del expediente. Con fecha 11 de abril de 2018 se remitió escrito concediendo lo solicitado. Con fecha 13 de abril de 2018 el representante del denunciado presenta escrito en el que reitera lo solicitado. CUARTO: Notificado el acuerdo de inicio, D Don A.A.A., mediante escritos de fechas 18 y 27 de abril de 2018, formuló alegaciones, significando, lo siguiente: Que es la denunciante quien incurre en la difusión de los mensajes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 whatsaap mediante su protocolización notarial y su aportación a procedimientos judiciales y administrativos. La denunciante viola el derecho a la intimidad del denunciado, quien tenía expectativa razonable de que la información (trivial, irrelevante e inane) de los mensajes de Whatsapp no saliesen del ámbito de intimidad de la pareja, no accesible a terceros y jamás a un público anónimo genérico. Se aparta del principio de tipicidad porque los 4 mensajes de Whatsapp no contienen datos de carácter personal porque las personas no son identificables. Las fotografías fueron tomadas con consentimiento de los padres de los menores, que el dietario privado del doctor contiene nombres y números de teléfono de escasa legibilidad y no permiten una identificación plena, que el dietario es privado y personal, pertenece a su ámbito doméstico, por lo que forma parte de su derecho a la intimidad. Que la denuncia está guiada por un fin ilegítimo y no por la protección de los menores. La sanción propuesta supone una reacción desproporcionada, inidónea e innecesaria y no responde a ningún interés general. Mientras que las imágenes tienen carácter anecdótico, no revisten gravedad, son puntuales
(4)y no perjudican a las personas que aparecen en ellas. Manifiesta el representante del denunciante en su escrito, su preocupación por la difusión del presente procedimiento. Concluye solicitando, previa práctica de la prueba propuesta, que se dicte resolución de archivo del procedimiento o subsidiariamente se acuerde su apercibimiento. Solicita la práctica de las siguientes pruebas: comparecencia personal del denunciado y que se oficie al Consejo General del Poder Judicial y al Tribunal Superior de Justicia de Illes Balears. QUINTO: Con fecha 5 de mayo la denunciante ha presentado un escrito en el que se ratifica en su denuncia y ofrece su colaboración para el completo esclarecimiento de los hechos investigados. SEXTO: Con fecha 11 de mayo de 2018 se inició el período de práctica de pruebas, acordándose lo siguiente: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00094/2018 presentadas por Don A.A.A.. Todo ello con su correspondiente documentación adjunta. Por otra parte, respecto de las pruebas solicitadas en el escrito de alegaciones al acuerdo de inicio de este procedimiento en las que se solicita la comparecencia personal del denunciado, que se oficie al Consejo General del Poder Judicial y al Tribunal Superior de Justicia de Illes Balears, hay que señalar que la práctica de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 dichas pruebas no se considera determinante ni se estima necesaria para el esclarecimiento de los hechos imputados toda vez que no se considera que vaya a incidir en esos hechos, que son objeto de competencia de esta Agencia Española de Protección de Datos En consecuencia, se rechaza la práctica de prueba formulada, sin perjuicio de que se aporten sus manifestaciones o cualquier documentación que considere de interés para la defensa de su derecho. En este sentido, el artículo 53 de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su punto e), otorga al interesado el derecho a formular alegaciones, utilizar los medios de defensa admitidos por el Ordenamiento Jurídico, y a aportar documentos en cualquier fase del procedimiento anterior al trámite de audiencia, que deberán ser tenidos en cuenta por el órgano competente al redactar la propuesta de resolución. Así mismo, respecto de los oficios solicitados al Consejo General del Poder Judicial y al Tribunal Superior de Justicia de Illes Balears, se considera que constituyen cuestiones ajenas al presente procedimiento que no influyen en la resolución del mismo, por lo que se rechaza también su práctica. SÉPTIMO: Con fecha 5 de junio de 2018 el denunciado presentó escrito aportando prueba documental que se concreta en lo siguiente: Certificado de haber encomendado a una empresa la adaptación al nuevo Reglamento Europeo de Protección de Datos de los tratamientos de datos personales realizados en su actividad profesional. Transcripción de las conversaciones mantenidas por whatsapp con la denunciante. Se solicita que se dicte resolución por la que se archive el expediente o subsidiariamente se acuerde la medida de apercibimiento. OCTAVO: Con fecha 22 de junio de 2018, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € (seis mil euros) a Don A.A.A., por la comisión de una infracción de los artículos 6 y 10 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha Ley. En dicho acto, se ponía de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pudiera alegar cuanto considerase en su defensa y presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 73.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Asimismo, de conformidad con lo establecido en el artículo 85.2 de dicha norma, se informaba de que podría, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma, quedando en ese caso establecida la sanción en 4.800 euros. Su pago implicaría la terminación del procedimiento. NOVENO: Notificada la propuesta de resolución, y en contestación a la petición formulada en tal sentido, con fecha 10 de julio de 2018 se remitió escrito al denunciado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 adjuntando copia de la documentación solicitada y comunicándole, a su vez, el acuerdo de ampliar el plazo para formular alegaciones a la citada propuesta de resolución hasta un máximo de cinco días, a computar desde el día siguiente a aquel en el que finalice el primer plazo concedido. DÉCIMO: Con fecha 18 de julio de 2018 el representante legal del denunciado, según acreditó posteriormente mediante escrito de fecha 27 de julio de 2018, formuló alegaciones a la citada propuesta de resolución, significando, lo siguiente: Al no facilitar el escrito de la denunciante se les ha producido indefensión. Tampoco se ha garantizado su derecho a la defensa puesto que no se admitió la prueba consistente en la declaración del denunciado, que fue propuesta en tiempo y forma. Los hechos se concretan en los envíos de fotografías por medio de la aplicación whatsapp de imágenes de sus pacientes, pero ya se ha venido alegando que contaba con el consentimiento verbal de los progenitores fotografiados. Las fotos de su agenda entran en el marco de su agenda privada y no se refieren a ningún fichero de clientes. Se aprecia una notable falta de proporcionalidad entre los hechos y la sanción impuesta; admitiendo, hipotéticamente, que fueran sancionables resulta desproporcionada la cuantía de la sanción impuesta. Sería más que suficiente, a su criterio, apercibir al denunciado. Ya se ha indicado que la denuncia obedece a motivos de venganza por parte de la denunciante. Reitera las alegaciones presentadas con anterioridad. El denunciado ha aportado poder de representación y solicita que se notifique las notificaciones sucesivas al Sr. B.B.B.. Se presentan nuevas alegaciones tras recibir la documentación solicitada, indicando que la denunciante incurre en numerosas falsedades que habrían quedado en evidencia si se hubiese admitido la prueba de la declaración personal del denunciado. Es falso que el denunciado haya informado a la denunciante de la iniciación de este procedimiento. Se ha denunciado que las fotografías y extractos de las conversaciones recogidas en el acta notarial presentada por la denunciante están descontextualizados y deformados. Los comentarios descriptivos de las fotografías son los que hace la denunciante, no el Notario. Si la conducta del denunciado era tan grave, desde la perspectiva de la denunciante que es Magistrada, no se entiende como ha tardado dos años en denunciarlo. HECHOS PROBADOS PRIMERO: Se ha comunicado a esta Agencia que el denunciado, de profesión pediatra, ha enviado por whatsapp, los datos de carácter personal de sus pacientes a un tercero no autorizado con quien mantenía una relación sentimental. Consta que el 5 de abril de 2016, envió a la denunciante, por whatsapp, una fotografía de una paciente en la camilla de su consulta. El día 27 de abril de 2016 el denunciante envió por whatsapp a la denunciante una fotografía de su agenda en la que aparecen anotados 31 pacientes, con sus nombres, apellidos y su teléfono móvil de contacto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 El 30 de mayo de 2016 el denunciado envía otra foto de su agenda por el mismo medio con nombres y teléfonos de sus pacientes, a la denunciante. El 7 de junio de 2016, envía a la denunciante un vídeo en el que se ve a dos menores con su madre en la consulta. SEGUNDO: Consta la aportación de la denunciante de un acta notarial de fecha 3 de febrero de 2017, de transcripción de los mensajes telefónicos referidos, en la que se describen las imágenes enviadas. Se aportan también las fotografías y el vídeo enviados con esos mensajes. TERCERO: El denunciado no ha acreditado que disponga del consentimiento de los afectados para el tratamiento de datos realizado con sus datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
- f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
- o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, el nombre y apellidos, teléfono de contacto y la imagen de los afectados en este procedimiento, se ajustan a este concepto. Por otra parte, el apartado c del citado artículo 3 de la LOPD expone lo que es un tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Alega el denunciado al acuerdo de inicio que los 4 mensajes de Whatsapp no contienen datos de carácter personal porque las personas no son identificables. Añade que las fotografías fueron tomadas con consentimiento de los padres de los menores, que el dietario privado del doctor contiene nombres y números de teléfono de escasa legibilidad y no permiten una identificación plena, que el dietario es privado y personal, pertenece a su ámbito doméstico, por lo que forma parte de su derecho a la intimidad. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal, así como el nombre y apellidos y número de teléfono que aparecen en las imágenes de la agenda de la consulta y que si son legibles e identificables, como puede comprobarse sin dificultad en la documentación aportada al procedimiento. Por otra parte con relación a que los datos que figuran en las imágenes pertenecen a su ámbito doméstico, cabe contestar que en las fotografías enviadas por whatsapp a un tercero, pueden verse los nombres, apellidos y los teléfonos a ellos asociados, del listado de los pacientes a atender en consulta en un día determinado y como tales, constituyen datos de carácter profesional y están sujetos a la normativa de protección de datos, que exige el tratamiento legítimo de los datos personales y obliga a mantener el deber de secreto para con los mismos. En el presente caso, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías expuestas en la normativa de protección de datos de carácter personal. III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, consta acreditado que el denunciado envió los datos personales de sus pacientes a un tercero sin que conste el consentimiento para este tratamiento de datos realizado al enviar, por el sistema de mensajería whatsapp, fotografías de su agenda profesional e imágenes de sus pacientes a un tercero no autorizado. El denunciado ha alegado que la denunciante es quien difunde los mensajes mediante su protocolización notarial y su aportación a procedimientos judiciales y administrativos. El artículo 3.
- d)de la LOPD expone que el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
- q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Sentado lo anterior, procede resaltar que de acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” Dentro de la doctrina expuesta y de conformidad con las definiciones citadas el denunciado es el responsable del tratamiento de los datos de carácter personal de sus pacientes, toda vez que es quien decide sobre la finalidad, contenido y uso del tratamiento. En consecuencia, el denunciado, como responsable del tratamiento realizado al enviar los datos personales de sus pacientes a un tercero, está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. Por tanto, resulta que el denunciado no ha acreditado que disponga del consentimiento de los afectados para el tratamiento de datos realizado, resultando, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos analizados atribuible al denunciado, que trató los datos de los afectados sin su consentimiento, procediendo considerar infringido el artículo 6.1 de la LOPD por parte del denunciado. El denunciante ha aportado dos escritos manuscritos firmados, aparentemente, por los padres de tres de las menores cuyas fotografías fueron enviadas por whatsapp a la denunciante. Los consentimientos se han obtenido transcurridos más de dos años desde que se enviaron las fotografías y están firmados por los padres de las menores cuando en una de las fotografías se aprecia que la menor acudió a la consulta acompañada de su madre. Por otro lado, tampoco se ha acreditado que contase con el consentimiento de todas las personas que estaban anotadas en la agenda para consulta para su envío a la denunciante. IV El artículo 44.3.
- b)de la LOPD considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se atribuye al denunciado, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. V Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación de los datos personales de los pacientes del denunciado a un tercero no autorizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, el denunciado, con el envío de los mencionados mensajes, permitió el acceso por parte de terceros a datos personales relativos a sus pacientes, vulnerando así la confidencialidad a ellos debida. Alega el denunciado que la denunciante ha difundido los mensajes de whatsapp mediante su protocolización notarial y su aportación a procedimientos judiciales y administrativos, y que tenía una expectativa razonable de que los mensajes no saliesen del ámbito de intimidad de la pareja, no accesible a terceros y jamás a un público anónimo. A este respecto cabe contestar que el deber de secreto que en este procedimiento se valora es el que tiene el responsable del fichero y del tratamiento, que en este caso es el denunciado, sin que pueda responsabilizarse del mismo a un tercero que no tiene deber de secreto para con esos datos porque no son responsabilidad suya. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 En el mismo sentido, puede recordarse que el Código de Deontología Médica del Consejo General de Colegios Oficiales de Médicos, expone en su artículo 27 respecto del secreto profesional, en su punto 7, que: “El médico preservará en su ámbito social, laboral y familiar, la confidencialidad de los pacientes”. En esta ocasión lo que se valora es esa comunicación de datos realizada en ese llamado “ámbito de intimidad de la pareja” y quienes tenían una expectativa de que sus datos no saliesen del ámbito profesional del facultativo al que acudían, eran los pacientes del denunciado. VII La conducta del denunciado se incardina en el artículo 44.3.
- d)de dicha norma que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este procedimiento se ha acreditado que el denunciado ha divulgado los datos personales de sus pacientes al enviarlos a un tercero no autorizado. Dado que ha existido una vulneración en el deber de guardar secreto por parte de denunciado en relación con datos personales de sus pacientes, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VIII Alega el denunciado que se le ha ocasionado indefensión al no haber admitido la prueba propuesta referente a la toma de su declaración personal. Si se hubiese admitido esa prueba habrían quedado en evidencia las falsedades mantenidas por la denunciante. Se refiere el denunciado a que él no ha informado a la Sra. E.E.E. de la iniciación de este procedimiento sancionador; a la manipulación de las fotografías y los extractos de conversaciones aportados; y a los comentarios descriptivos de las fotografías. Como ya se indicó en la denegación de esta prueba, el denunciante podía aportar sus manifestaciones y cualquier documento que considerase de interés para su defensa a lo largo de todo el procedimiento, como ha venido haciendo. Si ha informado o no a la denunciante de este procedimiento sancionador carece de relevancia para su resolución, así como sus comentarios sobre la manipulación realizada. En los hechos probados solo se refleja lo que está acreditado, sin añadir comentarios ni descripciones de las imágenes. IX Conforme a lo dispuesto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público “Cuando de la comisión de una infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, en el presente caso únicamente procederá imponer la sanción correspondiente por la presunta infracción del artículo 6.1 de la LOPD por tratarse de la infracción originaria que ha dado lugar a la comisión de la vulneración del deber de secreto. De conformidad con las evidencias de las que se dispone en el presente momento, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
- a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto puede apreciarse la concurrencia de los siguientes criterios:
- a)El carácter continuado de la infracción, que en esta ocasión no concurre porque se trató de hechos puntuales.
- b)El volumen de los tratamientos efectuados. Se considera que no se trata de un elevado volumen de tratamiento de datos.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. En este caso no se desprende la vinculación del mismo con la realización habitual de tratamientos de datos de carácter personal.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción.
- g)La reincidencia por comisión de infracciones de la misma naturaleza. El denunciado no figura como responsable de infracciones de la misma naturaleza que la cometida en el presente procedimiento. Teniendo en cuenta la concurrencia de los citados criterios del artículo 45.4 de la LOPD, se considera proporcional a la gravedad de los hechos analizados graduar la sanción a imponer a Don A.A.A. en la cuantía de 6.000 € por la infracción del artículo 6.1 de la LOPD. Alega el denunciado que no se corresponde la gravedad de los hechos con la cuantía de la sanción que se ha propuesto. En este sentido hay que señalar que el apercibimiento es una opción excepcional del órgano sancionador. En este supuesto, se ha tenido en consideración que el tratamiento de datos es de menores de edad y que el responsable del tratamiento es un profesional sujeto de forma especial al secreto profesional sobre los datos de sus pacientes. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. A.A.A., por una infracción del artículo 6.1 de la LOPD, tipificada como Grave en el artículo 44.3.
- b)de la LOPD, una multa de 6.000 € (Seis C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 mil euros), de conformidad con lo establecido en el artículo 45. 1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es