← España

PS-00124-2020

1/5  Procedimiento Nº: PS/00124/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 16 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el reclamado (fisioterapeuta que la atendió en la Clínica de Fisioterapia, Dr. Fisio) ha utilizado los datos de su ficha en esta clínica para enviarle una solicitud de amistad en Facebook y remitirle whatsapps desde su teléfono personal. SEGUNDO: Con fecha 30 de diciembre de 2019 se da traslado de la presente reclamación dentro del expediente E/11218/2019, a C.C.C. (CLÍNICA DR. FISIO) centro de trabajo del reclamado, requiriéndole para que en el plazo de un mes remitiese a esta Agencia, información sobre la respuesta dada a la reclamante por los hechos denunciados, así como las causas que han motivado la incidencia y las medidas adoptadas. El 15 de enero de 2020, en respuesta al citado requerimiento se manifiesta lo siguiente: En nuestra organización hemos llevado a cabo todas las actuaciones tendentes a cumplir la normativa, que se adoptaron las medidas de seguridad precisas, que se habían suscrito acuerdos escritos con los empleados y autónomos sobre confidencialidad de la información, que los datos comprometidos eran básicos, y que únicamente se afectó a una única usuaria, solicitamos que esta Agencia considere probado que nuestra compañía actuó con diligencia debida y que en ningún caso, fue voluntad de esta organización ocasionar un perjuicio a la usuaria. En consecuencia, no puede apreciarse culpa alguna en nuestra actuación, por cuanto el fallo en la utilización indebida de los datos, correspondió al fisioterapeuta autónomo que trató a la paciente. Se han tomado medidas disciplinarias contra el señor B.B.B.: se le ha apercibido de forma fehaciente, comunicándole que a la próxima reiteración de este tipo de conductas, dejará de prestar sus servicios en la Clínica Dr. Fisio. TERCERO: Con fecha 16 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 presunta infracción del Artículo 5.1.

  1. b)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Con fecha 10 de agosto de 2020 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se imponga a B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
  2. b)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: el reclamado utilizo los datos personales de la reclamante, que ésta había facilitado al acudir como paciente a una clínica de fisioterapia, para enviarle una solicitud de amistad en Facebook y remitirle WhatsApp desde su teléfono personal. SEGUNDO: el reclamado manifiesta que el uso del número de teléfono de la reclamante fue solo por motivos profesionales y en cuanto a la solicitud de amistad de Facebook manifiesta que no era consciente de que le estaba enviando dicha solicitud a una de mis pacientes. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III Por lo tanto, se considera que la utilización de los datos personales de la reclamante, obrantes en la base de datos de la Clínica donde trabaja el reclamado, para enviarle una solicitud de amistad en Facebook y remitirle whatsapps desde su teléfono personal, supone la vulneración del principio de «limitación de la finalidad» regulado en el art. 5.1
  9. b)del RGPD. IV El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  10. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  11. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  12. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; El art. 83.5 del RGPD establece que se sancionarán las infracciones que afecten a: “
  13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  14. b)los derechos de los interesados a tenor de los artículos 12 a 22.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 V Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
  15. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. VI Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
  16. b)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a la parte reclamada para que en el plazo de un mes acredite ante este organismo el cumplimiento de que procede a la adopción de todas las medidas necesarias para que el reclamado actúe de conformidad con el principio de «limitación de la finalidad» del art. 5.1
  17. b)del RGPD. TERCERO: NOTIFICAR la presente resolución a B.B.B. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.