← España

PS-00106-2024

1/18  Expediente Nº: EXP202401054 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VALORA PREVENCIÓN, S.L.U. (en adelante, VALORA PREVENCIÓN). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 18 de junio de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202401054 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de diciembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VALORA PREVENCIÓN, S.L.U. con NIF B97673453. Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que con fecha 16/10/2023 se sometió a un reconocimiento médico y que obtuvo los resultados de este sin ninguna incidencia; que en fecha 09/11/2023 recibió una llamada telefónica de un compañero de trabajo para advertirle de que había accedido a través de la web del Servicio de Prevención reclamado para descargar los resultados de su reconocimiento médico y que al abrir el documento PDF descargado, advirtió que, adjunto a su reconocimiento, figuraban anexas las pruebas médicas complementarias que se habían realizado a la parte reclamante. Aporta, entre otros, copia del resultado del reconocimiento médico de su compañero con las pruebas médicas complementarias que se habían realizado al reclamante, correo electrónico de fecha 14/11/2023, del DPD de la parte reclamada reconociendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 el error y comunicando su subsanación. Este último correo, dirigido a la parte reclamante, incluye el texto siguiente: “Estimado Sr… (nombre y apellido de la parte reclamante): Me pongo en contacto con usted por una incidencia que me han comunicado respecto del último reconocimiento médico que se ha realizado. En primer lugar, le pido disculpas por el error y le informo que como medida de contención se ha eliminado de la web privada el reconocimiento médico que contenía información errónea, y se ha procedido a subirlo de nuevo con la información correcta. Además, se ha solicitado al usuario que proceda a eliminar la documentación confidencial que se haya podido descargar y/o imprimir contenida erróneamente en su reconocimiento médico”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VALORA PREVENCIÓN, S.L.U, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/01/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 20/02/2024 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Tras la investigación de los hechos ocurridos se constata que el reconocimiento médico se ha realizado en un centro sanitario externo (***EMPRESA.1) en ***LOCALIDAD.1 y al mecanizar manualmente por parte del sanitario de valora prevención los datos en nuestro sistema y escanear las pruebas complementarias de A.A.A., se han incorporado erróneamente al reconocimiento médico de B.B.B. debido a un error humano. Por parte de la dpo de valora prevención se ha enviado correo electrónico a B.B.B. disculpándose e informándole del incidente ocurrido, las medidas de contención aplicadas y solicitando la eliminación de la información contenida erróneamente. Igualmente se procedió a enviar correo electrónico a A.A.A., informándole de los mismos extremos que a B.B.B.. (…) 4. Conclusión Tras realizar la valoración y cálculos, siguiendo la Guía de la AEPD y sobre notificación de brechas de seguridad y el procedimiento habilitado al efecto por parte de VALORA PREVENCIÓN se llega a la conclusión de que estamos ante un incidente y NO ante una brecha de seguridad de acuerdo a la valoración del riesgo efectuada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 Estos extremos han de ser elevados y valorados por el Responsable del Tratamiento… para refrendar dicha opinión del DPO y actuar en consecuencia no comunicando o -por el contrario- notificándola. Aunque no se comunique a la AEPD se debe de gestionar el incidente. Ello exige que:

  1. a)Se registre internamente. (se adjunta registro interno de la incidencia).
  2. b)Se han adoptado las siguientes medidas para su solución: . Se ha eliminado el documento que contenía la analítica erróneamente y se ha subido el informe correcto. . Se ha comunicado al trabajador vía correo electrónico que proceda a destruir el documento erróneo. . Se ha informado por correo electrónico al afectado por la incidencia, con indicaciones de las medidas de contención
  3. c)Se adopten medidas necesarias para evitar se produzca de nuevo la situación. Habida cuenta de cómo ha sucedido el incidente, se apuntan como medidas recomendables, las siguientes: . Aplicación periódica de programas de formación, educación y sensibilización para los empleados sobre sus obligaciones en materia de privacidad y seguridad, y la detección y notificación de amenazas a la seguridad de los datos personales. Establecimiento de prácticas, procedimientos y sistemas sólidos y eficaces en materia de protección de datos y privacidad: doble comprobación de los archivos antes de enviarlos-subirlos. Tras el seguimiento realizado a la incidencia, ha quedado contrastado que la violación de seguridad solo ha afectado a la confidencialidad de los datos. La cantidad de datos afectados puede considerarse baja. El hecho que el trabajador, se haya puesto en contacto con su compañero de trabajo para informarle de la incidencia se considera un factor de reducción de riesgo. Debido a las medidas adecuadas adoptadas tras la violación de seguridad de los datos, es probable que no tenga ninguna repercusión en los derechos y libertades del interesado”. TERCERO: Con fecha 26 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VALORA PREVENCIÓN, S.L.U. es una gran empresa constituida en el año 2005, y con un volumen de negocios de 68.380.990€ en el año 2023. QUINTO: Con fecha 18 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones del artículo 5.1.
  4. f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos (en adelante, RGPD) y artículo 32 del RGPD, tipificadas en el artículo 83.5.
  5. a)del RGPD y artículo 83.4.
  6. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones, el 02/08/2024 en el que, en síntesis, manifestaba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 - Para asegurar un tratamiento de datos acorde a las medidas de seguridad implantadas en la compañía, todo el personal sanitario recibe al empezar a trabajar una formación en el uso de las herramientas informáticas. Esta formación se refresca de forma periódica y se actualiza en función de las nuevas mejoras y funcionalidades del sistema propio de gestión que se van incorporando. - Todos los sanitarios disponen de manuales, procedimientos, tutoriales, etc., actualizados como referencia para su trabajo rutinario y son conocedores de sus compromisos de confidencialidad. - La parte reclamada dispone de un paquete de servicios contratado para realizar campañas de formación obligatorias y remitir informaciones periódicas a todos los empleados de en materia de seguridad de la información. - En base al principio de mejora continua, inspirado en los procedimientos de calidad, se han reforzado sus políticas de seguridad iniciando un proceso de adaptación y certificación en normativa ISO 27001 incluso antes de conocer el presente acuerdo de inicio de procedimiento sancionador. - La parte reclamada manifiesta que ejerce no solo por un lado la responsabilidad proactiva, así como la evolución constante de las medidas de seguridad “Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas” tal como exige el art. 32 del RGPD. - También hace constar la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), la cual señala que: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento. En las obligaciones de resultado existe un compromiso consistente en el cumplimiento de un determinado objetivo, asegurando el logro o resultado propuesto, en este caso garantizar la seguridad de los datos personales y la inexistencia de filtraciones o quiebras de seguridad. En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia " o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada. En la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable. En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado.” Por lo que considera que no se le puede atribuir la infracción del art. 32 del RGPD. - Solicita que se imponga un apercibimiento o se reduzca la propuesta de sanción, circunscribiéndola únicamente a una infracción del art. 5.1.
  7. f)del RGPD. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En fecha 16/10/2023, la parte reclamante se somete a un reconocimiento médico, cuyo resultado le fue comunicado sin ninguna incidencia. SEGUNDO: El 09/11/2023, un tercero, compañero de trabajo, le comunica que había accedido a través de la web del Servicio de Prevención del reclamado para descargar los resultados de su reconocimiento médico y que al abrir el documento PDF descargado, figuraban anexas las pruebas médicas complementarias que se habían realizado a la parte reclamante. TERCERO: El 14/11/2023, la parte reclamante recibe un correo electrónico de la delegada de protección de datos de la reclamada “***EMAIL.1” en el que procede a informarle de la incidencia: “Me pongo en contacto con usted por una incidencia que me han comunicado respecto del último reconocimiento médico que se ha realizado. En primer lugar, le pido disculpas por el error y le informo que como medida de contención se ha eliminado de la web privada el reconocimiento médico que contenía información errónea, y se ha procedido a subirlo de nuevo con la información correcta. Además, se ha solicitado al usuario que proceda a eliminar la documentación confidencial que se haya podido descargar y/o imprimir contenida erróneamente en su reconocimiento médico”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, consta la realización de un tratamiento de datos personales por parte de VALORA PREVENCIÓN, S.L.U en su actividad de negocio, según lo establecido en el artículo 4.2 del RGPD, consistente en enviar información relativa a los datos de salud de la parte reclamante a un tercero. «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; VALORA PREVENCIÓN, S.L.U realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas se debe señalar lo siguiente: - La parte reclamada en su escrito de alegaciones ha señalado que para asegurar un tratamiento de datos acorde a las medidas de seguridad implantadas en la compañía todo el personal sanitario recibe al empezar a trabajar una formación en el uso de las herramientas informáticas; todos los sanitarios disponen de manuales, procedimientos, tutoriales, etc., actualizados; se dispone de un paquete servicios contratado para realizar campañas de formación obligatorias y remitir informaciones periódicas a todos los empleados en materia de seguridad de la información; y, se han reforzado sus políticas de seguridad iniciando un proceso de adaptación y certificación en normativa ISO 27001. Esta Agencia considera positivamente las medidas adoptadas por la entidad para eliminar o reducir, en la medida de lo posible, las probabilidades de que ocurran hechos como los que han dado lugar a este procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 sancionador, si bien, el hecho de que se adopten medidas a posteriori, tal como la contratación de un centro de operaciones de seguridad en el año 2024, no elimina la responsabilidad por una infracción cometida con anterioridad. Por parte de esta Agencia se procede a desestimar esta alegación. - En cuanto a la alegación en la que afirma que no se le puede atribuir la infracción del art. 32 del RGPD, a la vista de la documentación que obra en el expediente, no queda acreditado la falta de otras medidas técnicas y organizativas de seguridad independientes de las que dan lugar a la infracción del artículo 5.1
  8. f)y cuya ausencia ha quedado probada. Por lo tanto, la Agencia considera que esta alegación debe ser estimada. - Ante la solicitud de archivo de las presentes actuaciones, o en su defecto, modificar las sanciones económicas por un apercibimiento, el RGPD, dispone en su art. 58.2
  9. b)la posibilidad de sancionar con apercibimiento, en relación con el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” - En atención a los términos en los que se pronuncia, el RGPD insta con carácter general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique una carga desproporcionada cuando la infracción haya sido cometida por una persona física. Por su parte, la LOPDGDD, en su artículo 64.3 también recoge la posibilidad de imponer un apercibimiento: 3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 El RGPD clasifica las infracciones en leves, graves y muy graves, y en su artículo 83, establece que las sanciones deben ser efectivas, proporcionadas y disuasorias. Las infracciones muy graves, que impactan de manera significativa los derechos y libertades de los individuos, demandan sanciones más severas que un simple apercibimiento. Esto se debe a la necesidad de asegurar que las sanciones cumplan una función disuasoria y reflejen adecuadamente la gravedad de las violaciones cometidas. En el caso que nos ocupa, no cabe imponer el apercibimiento debido a la naturaleza y severidad de la infracción, teniendo en cuenta que afecta al artículo 5 del RGPD y que es considerada muy grave debido a la importancia fundamental de los principios que establece para el tratamiento de datos personales. Por lo tanto, la Agencia considera que esta alegación debe ser desestimada, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación. IV Artículo 5.1.
  10. f)del RGPD El artículo 5.1.
  11. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
  12. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Este principio atribuye a VALORA PREVENCIÓN, S.L.U., como responsable del tratamiento de datos personales, la obligación de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Por lo tanto, no debería tratar datos personales si no está en disposición de garantizar la confidencialidad e integridad de estos e impedir que un tercero acceda a datos que no le conciernen, así como evitar su pérdida o destrucción. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice su confidencialidad mediante la aplicación de medidas técnicas u C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 organizativas apropiadas. Para que se produzca una vulneración del art. 5.1.
  13. f)del RGPD, debe de haberse producido una pérdida de confidencialidad o de integridad. En el presente caso, se produce una vulneración por parte de VALORA PREVENCIÓN, S.L.U. de lo dispuesto en el artículo 5.1.
  14. f)del RGPD, al haberse producido una falta de confidencialidad en el tratamiento de los datos de carácter personal, consecuencia de haber anexado el documento PDF con los resultados del reconocimiento médico de la parte reclamante a los resultados médicos de un tercero en la web del Servicio de Prevención y a los que este último tuvo acceso al proceder a la descarga del fichero. Ello se produjo por la ausencia o indebida implementación de medidas de técnicas y organizativas de todo tipo y que derivó en la pérdida de confidencialidad de los datos de la parte reclamante. El principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de estos. Un incidente como el ocurrido en el caso que nos ocupa puede tener una serie de efectos adversos considerables en las personas, susceptibles de ocasionar daños y perjuicios físicos, materiales o inmateriales, y que pueden incluir la pérdida de control sobre sus datos personales, la restricción de sus derechos, la discriminación, la usurpación de identidad o fraude, las pérdidas financieras, la reversión no autorizada de la seudonimización, el daño para la reputación y la pérdida de confidencialidad de datos personales sujetos al secreto profesional, especialmente considerando que en este caso se trata de información de carácter médico. Por tanto, en este momento de acuerdo de propuesta de resolución del procedimiento sancionador se considera que los hechos conocidos son constitutivos de una infracción, imputable a VALORA PREVENCIÓN, S.L.U. por vulneración del artículo 5.1.
  15. f)del RGPD. V Tipificación y calificación de la infracción del artículo 5.1.
  16. f)del RGPD La vulneración del artículo 5.1.
  17. f)del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone (el subrayado es nuestro): “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,5 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Sanción por la infracción del artículo 5.1.
  20. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  21. a)a
  22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  24. b)la intencionalidad o negligencia en la infracción;
  25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  29. g)las categorías de los datos de carácter personal afectados por la infracción;
  30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18
  32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  34. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  35. a)El carácter continuado de la infracción.
  36. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  37. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  38. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  39. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  40. f)La afectación a los derechos de los menores.
  41. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  42. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En este caso, ante la infracción del artículo 5.1
  43. f)del RGPD, procede la imposición de una multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. De acuerdo con los preceptos indicados, en el presente momento de acuerdo de propuesta de resolución del procedimiento sancionador a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción de acuerdo con los siguientes criterios que establecen los preceptos transcritos: Se estiman como circunstancias consideradas para la graduación de la multa, las siguientes: artículo 83.2.
  44. a)del RGPD: Como circunstancias significativas para determinar la naturaleza y gravedad de la infracción se considera, que solo un tercero ha accedido a dichos datos personales, que pertenecen a un único afectado; por otro lado, también se tiene en consideración, lo que determina que la infracción resulte ser grave, que ha acarreado al interesado una pérdida de disposición y control irremediable sobre sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 artículo 83.2.
  45. g)del RGPD: las categorías de los datos de carácter personal afectados por la infracción, al tratarse de datos de salud recogidos en el informe del reconocimiento médico de la parte reclamante. En este sentido, el RGPD otorga siempre al tratamiento de estos datos, una especial protección y consideración. artículo 76.2
  46. b)LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad reclamada exige un continuo tratamiento de datos de carácter personal, incluidos los relativos a la salud de los interesados. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción del artículo 5.1.
  47. f)del RGPD es de 40.000€ (CUARENTA MIL EUROS). VIII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  48. a)la seudonimización y el cifrado de datos personales;
  49. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencias permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o accesos no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 IX Propuesta de archivo de la infracción del artículo 32 del RGPD Revisada la documentación obrante en el expediente administrativo, se evidencia que no se ha producido una conculcación del artículo 32 de RGPD, al no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad independientes de las que están relacionadas con la pérdida de confidencialidad que supone una vulneración del art. 5.1 f). X Adopción de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. La parte reclamada en su escrito de alegaciones ha señalado que para asegurar un tratamiento de datos acorde a las medidas de seguridad implantadas en la compañía todo el personal sanitario recibe al empezar a trabajar una formación en el uso de las herramientas informáticas. Todos los sanitarios disponen de manuales, procedimientos, tutoriales, etc., actualizados, se dispone de un paquete servicios contratado para realizar campañas de formación obligatorias y remitir informaciones periódicas a todos los empleados de en materia de seguridad de la información, y se han reforzado sus políticas de seguridad iniciando un proceso de adaptación y certificación en normativa ISO 27001. Esta Agencia ha tenido en cuenta y considera de forma positiva las medidas adoptadas por la entidad para eliminar o reducir, en la medida de lo posible, las probabilidades de que ocurran hechos como los que han dado lugar a este procedimiento sancionador, si bien, el hecho de que se adopten medidas a posteriori no elimina la responsabilidad por una infracción cometida con anterioridad. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a VALORA PREVENCIÓN, S.L.U., con NIF B97673453, por la infracción del artículo 5.1.
  50. f)del RGPD, tipificada en el artículo 83.5.
  51. a)del RGPD, con una multa de 40.000 € (CUARENTA MIL euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 € (TREINTA Y DOS MIL euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 C.C.C. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 ANEXO Índice del expediente EXP202401054 10/12/2023 Reclamación de A.A.A. 19/01/2024 Traslado reclamación a VALORA PREVENCIÓN, S.L. 20/02/2024 Respuesta solicitud de información de VALORA PREVENCION SLU 26/02/2024 Admisión a trámite a A.A.A. 19/07/2024 Acuerdo de inicio a VALORA PREVENCIÓN, S.L.U. 19/07/2024 Escrito a A.A.A. 02/08/2024 Alegaciones de VALORA PREVENCION SL >> SEGUNDO: En fecha 4 de julio de 2025, VALORA PREVENCIÓN ha procedido al pago de la sanción en la cuantía de 32.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, VALORA PREVENCIÓN, en fecha 4 de julio de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 40.000,00 euros. Tras haber procedido VALORA PREVENCIÓN, S.L.U. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 32.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202401054, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a VALORA PREVENCIÓN, S.L.U.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  52. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
  53. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 968-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.