1/24 Expediente N.º: EXP202307719 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES Con fecha 7 de noviembre de 2024 se formuló propuesta de resolución, proponiendo lo siguiente: PRIMERO: La CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA DE LA GENERALITAT VALENCIANA (en adelante, la parte denunciante) con fecha 16 de mayo de 2023 interpuso denuncia ante la Agencia Española de Protección de Datos. La denuncia se dirige contra MARINA SALUD, S.A. con NIF A97563563 (en adelante, la parte denunciada). Los motivos en que basa la denuncia son los siguientes: La parte denunciante es el órgano de contratación en el marco de un contrato relacionado con la prestación del servicio de atención sanitaria en el Departamento de Salud de Denia (en vigor desde el 1 de febrero de 2009). Expone que la parte denunciada (entidad concesionaria), como encargada de tratamiento, realiza tratamientos de datos personales especialmente protegidos bajo la responsabilidad de la Conselleria. A continuación, expone una serie de hechos: “- En una inspección realizada el 19 de enero de 2023, se pone de manifiesto por la parte denunciante la utilización de un software concreto. En este contexto se ha requerido a la parte denunciada la presentación de los contratos de licencia/asistencia y/o prestación de servicios suscritos con las empresas propietarias de las aplicaciones de los sistemas de información sanitaria utilizados en el Hospital de Denia y se han negado a presentarlos. - El 31 de enero de 2023 se le notificó a la parte denunciada la intención de no prorrogar el contrato y su consiguiente extinción el 31 de enero de 2024, así como las normas para la recuperación de la gestión directa del servicio público. -El 27 de enero de 2023 se han dictado instrucciones para el tratamiento, acceso y utilización de datos. En las referidas instrucciones se indica que la entidad concesionaria no recurrirá a otro encargado sin autorización de la Conselleria.” En definitiva, la parte denunciante, ante sospechas de que se está desmantelando la aplicación de la actual encargada del tratamiento de los datos, pone en conocimiento de la AEPD que se puede estar incumpliendo por parte de la denunciada la normativa de protección de datos, en lo relativo a las obligaciones del encargado del tratamiento, poniendo a su juicio, en riesgo, la devolución de los datos y la recuperación del servicio, a escasos meses de la finalización del contrato, así como la seguridad y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 derechos fundamentales de las personas a las que se refieren dichos datos. No aporta copia del contrato de encargo entre la Conselleria y la entidad concesionaria. Junto a la denuncia se aporta la siguiente documentación: -Instrucciones para el tratamiento de datos por cuenta de terceros conforme al artículo 28 del Reglamento General de Protección de Datos. -Transcripción de la inspección realizada fechada el 19/01/2023 a las 11:04 horas y el acta de la inspección realizada (***REFERENCIA.1) fechada el 19/01/2023 a las 12:45 horas, requiriendo a la parte denunciada que facilite copia de los contratos de licencia, asistencia y/o de prestación de servicios suscritos con los propietarios de varias aplicaciones que detallan. -Respuesta de la parte denunciada de fecha 01/02/23 al requerimiento anterior en la que indica lo siguiente: “Que, en consecuencia, no entra dentro de las funciones de la Inspección Sanitaria solicitar la copia de los contratos de licencia/asistencia y/o prestación de servicios que tenga suscritos con las empresas propietarias de las aplicaciones de sistemas de información que se indican en el DIGO II de este escrito, pues requerir esta información no tiene como finalidad última inspeccionar aspectos relacionados con el ámbito sanitario y de la salud pública.” -Requerimiento de fecha 10/02/2023 enviado por la parte denunciante, para que faciliten la información solicitada el 19 de enero de 2023 contenida en el Acta de Inspección ***REFERENCIA.1. -Tercer requerimiento emitido por la parte denunciante de fecha 29/03/2023, solicitando la información indicada en el primer requerimiento. -Correo electrónico enviado por ***EMPRESA.1 el 28/03/2023 a la parte denunciante, mostrando interés en presentar propuesta en la consulta de mercado que se va a realizar, a pesar de, según manifiestan, estar colaborando en la desinstalación de ***SISTEMA.1. -Comunicación del órgano de contratación (parte denunciante) a la concesionaria del departamento de salud de Denia (parte denunciada), en relación con el tratamiento de datos por cuenta de terceros de fecha 6/04/2023. SEGUNDO: Con fecha de 7 de junio de 2023 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones previas de investigación por los hechos que se describen en la denuncia. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Hechos puestos de manifiesto en la denuncia: Mediante Resolución del Conseller de Sanidad de fecha 07/02/2005 se adjudicó a la empresa denunciada el contrato de gestión de servicio público para la prestación de la atención sanitaria integral del Área 12, Departamento de Salud de Denia, formalizándose el contrato con fecha 14/03/2005 e iniciándose los servicios el 01/02/2009. En fecha 19/01/2023 se realizó una inspección en el Hospital de Denia en la que comparecieron el Director de Sistemas y Tecnologías de la Información del Hospital de Denia acompañado del Director Corporativo de Sistemas de Información del GRUPO RIBERA, grupo al que pertenece la entidad denunciada. Constatándose: -El sistema de información hospitalario utilizado en el Hospital de Denia es ***SISTEMA.1, de la empresa ***EMPRESA.3. -La gestión de laboratorio y anatomía patológica se realiza con el sistema de información ***SISTEMA.2 cuyo propietario es la empresa ***EMPRESA.4. -La gestión del tratamiento anticoagulación, utiliza el sistema ***SISTEMA.3 de la empresa ***EMPRESA.6 (desde el 19/12/2022). -En Recursos Humanos se implantó la aplicación ***SISTEMA.4 de la empresa ***EMPRESA.1. -Para gestionar la logística del hospital y del departamento se utilizaba ***SISTEMA.5 cuyo propietario es ***EMPRESA.1. -Por último, consta un contrato con la empresa ***EMPRESA.5 que realiza la gestión de infraestructuras y telecomunicaciones y en el que se indica que, en un futuro, podría contratar otros nuevos servicios. En la Inspección se requiere la aportación de los contratos y licencias de los productos mencionados. (ANEXO II y III acta de la inspección). En fecha 27/01/2023 y con el fin de garantizar el cumplimiento de la normativa de protección de datos, se dictaron las “Instrucciones para el tratamiento de datos por cuenta de terceros conforme al art. 28 del Reglamento General de Protección de Datos”, (ANEXO I), donde consta que la Conselleria es responsable de los tratamientos de datos personales y requiere que la entidad concesionaria realice tratamientos de datos personales bajo responsabilidad de la Conselleria, desempeñando el papel de encargada de tratamiento. En este documento se recogen las obligaciones del art. 28 del RGPD, se especifican las operaciones a realizar, la categoría y tipología de datos y se expone que la entidad concesionaria no recurrirá a otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria. También se especifican las instrucciones para la finalización del servicio. La prestación de los servicios requiere que la entidad concesionaria realice tratamiento de datos personales especialmente protegidos de los que es responsable la Conselleria, siendo la entidad concesionaria la encargada del tratamiento. Con fecha 31/01/2023, se le notificó a la concesionaria la intención de no prorrogar el mencionado contrato y se les comunicaron las normas para la recuperación de la gestión directa del servicio y elementos vinculados con dicho servicio público. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 Con fecha 01/02/2023, se recibe escrito de la concesionaria (ANEXO IV), en el que comunican su negativa a la entrega de la documentación requerida (contratos de licencia/asistencia y/o prestación de servicios suscritos con las empresas propietarias de las aplicaciones de los sistemas de información sanitaria utilizados en el Hospital de Denia y del contrato de gestión de infraestructuras y telecomunicaciones). Motivo por el cual se les requiere de nuevo el 10/02/2023 (ANEXO V y Vbis) indicando las posibles sanciones en caso de incumplimiento. Finalmente se requiere una tercera vez (ANEXO VI). En fecha 28/03/2023, se recibe un e-mail por parte de la empresa ***EMPRESA.3. (ANEXO VII), en la que, entre otros asuntos, indican la desinstalación del sistema Millennium en la concesionaria. En fecha 06/04/2023, se notificó a MARINA SALUD, los pasos a seguir en caso de que estén modificando o tengan la intención de modificar el actual contrato para el tratamiento de datos por cuenta de terceros, la cual se adjunta como (ANEXO VIII). Todos los ANEXOS mencionados corresponden a la documentación aportada por la parte denunciante en fecha 15/05/2023. Documentación relevante aportada por la parte denunciante: - Anexo I.- Documento “Instrucciones para el tratamiento de datos por cuenta de terceros conforme al art. 28 del Reglamento General de Protección de Datos” de la Conselleria de Sanidad Universal i Salut Publica de la Generalitat Valenciana, de fecha 27/01/2023, en el que se indica que el 7 de febrero de 2005 se adjudicó a la mercantil MARINA SALUD SA el contrato de gestión de servicio público por concesión cuyo objeto era la prestación de la atención sanitaria integral del Área 12 formalizándose el contrato el 14 de marzo de 2005. Entre estas instrucciones se indica: La Conselleria de Sanidad es la responsable de los tratamientos de datos personales y la entidad concesionaria es la encargada del tratamiento. Los tratamientos de datos incluyen las operaciones de: recogida; adaptación o modificación; registro; extracción; habilitación de acceso, cotejo o interconexión; organización; consulta; estructuración; utilización; conservación; comunicación por transmisión; destrucción. Tipología de datos: datos identificativos y de contacto (nombre y apellidos, DNI/NIE, dirección postal, teléfonos, dirección de correo electrónico...); datos de características personales (sexo, edad, lengua materna...); Datos de salud (diagnósticos, tratamientos, vacunas, pruebas diagnósticas...); otros datos sensibles (estilo de vida, familiares, laborales, socioeconómicos...); datos relativos a la vida sexual; datos genéticos; datos profesionales (formación, titulaciones...); datos laborales (puesto de trabajo, historial laboral, retribuciones...). Categorías de datos: Usuarios del sistema público de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 En relación con las subcontrataciones consta: “La entidad concesionaria no recurrirá a otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria”. Al finalizar la prestación, la entidad concesionaria, en función de lo que determine la Conselleria y conforme a las presentes instrucciones, deberá devolver todos los datos personales y, una vez verificado el correcto funcionamiento de los servicios públicos y previa comunicación de la Conselleria, suprimir las copias existentes. La concesionaria podrá conservar los datos, debidamente bloqueados, en tanto pudieran derivarse responsabilidades de los tratamientos realizados por cuenta de la Conselleria. Asimismo, deberá facilitar la transferencia de los servicios a la Conselleria o a la entidad que ésta determine para hacerse cargo de la prestación de dichos servicios cuando finalice la actual concesión. - Anexo II.- Documento emitido por la Dirección General de Investigación y Alta Inspección Sanitaria de la Conselleria de Sanidad Universal i Salut Publica de la Generalitat Valenciana sobre una inspección sanitaria en el Hospital de Denia de fecha 19 de enero de 2023. En este documento se requiere la documentación relativa a la licencia y/o servicios de las aplicaciones/empresas: ***SISTEMA.1, ***SISTEMA.2, ***SISTEMA.3, ***SISTEMA.4, ***SISTEMA.5 y Contrato de gestión de infraestructuras y telecomunicaciones con ***EMPRESA.5 en el Acta aparte. -Anexo III.- Acta de Inspección nº ***REFERENCIA.1 de Dirección General de Investigación y Alta Inspección Sanitaria, de fecha 19 de enero de 2023. Se requiere para que en el plazo de diez días se aporte copia de los contratos suscritos por MARINA SALUD SA con las empresas propietarias de ***SISTEMA.1, ***SISTEMA.2, ***SISTEMA.3, ***SISTEMA.4, ***SISTEMA.5 y Contrato de gestión de infraestructuras y telecomunicaciones con ***EMPRESA.5. - Anexo IV.- Contestación de fecha 1 de febrero de 2023 de la entidad MARINA SALUD SA al Acta nº ***REFERENCIA.1, indicando que no corresponde a las funciones de la Inspección Sanitaria solicitar copia de los contratos. - Anexo V y Vbis.- Escrito de la ***PUESTO.1 de fecha 10 de febrero de 2023 requiriendo de nuevo lo solicitado el día 19/01/2023 y reiteración del mismo. - Anexo VI.- Escrito de notificación de fecha 29/03/23 a la entidad MARINA SALUD SA denegando el archivo de las actuaciones y requiriendo nuevamente la información solicitada. - Anexo VII.- Correo electrónico de fecha 28/03/2023 remitido desde ***EMPRESA.1 a la Generalitat Valenciana (gva.
- es)en donde se pone de manifiesto la colaboración de la empresa en la desinstalación de ***SISTEMA.1. - Anexo VIII.- Documento denominado “Comunicación del órgano de contratación a la concesionaria del departamento de Salud de Denia, en relación con el tratamiento de datos por cuenta de terceros” dirigido a MARINA SALUD SA de fecha 6/04/2023 donde se recuerda el deber del encargado de tratar los datos únicamente siguiendo las instrucciones documentadas del responsable, cualquiera de los cambios antedichos realizados sin la correspondiente autorización incumpliría las instrucciones referidas del 27 de enero de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN RIBERA SALUD SA figura en AXESOR como una sociedad anónima española y con la actividad “Actividades Hospitalarias”. En su página web riberasalud.com consta que es un grupo empresarial proveedor de servicios sanitarios públicos y privados. Entre las sociedades que forman parte del Grupo figura MARINA SALUD SA y en su red asistencial figura el Hospital de Salud de Denia. MARINA SALUD SA figura en AXESOR como una sociedad anónima española y con la actividad “Actividades Hospitalarias”. En su web marinasalud.es consta que es una empresa sanitaria que presta servicios sanitarios públicos, entre ellos al Hospital de Denia. El Hospital de Denia, en su web denia.com/hospital-marina-salud/ indica que el Departamento de Salud de Denia consta de 1 hospital, 4 centros sanitarios integrados, 8 centros de salud, 34 consultorios y dos consultorios adicionales durante el verano. Se puso en marcha en 2009. Con fecha 7 de julio de 2023 se remitió requerimiento de información a la parte denunciada y de las respuestas recibidas se desprende: -La entidad concesionaria ha aportado el “CONTRATO DE GESTIÓN DE SERVICIOS PÚBLICOS POR CONCESIÓN”, celebrado con la Conselleria, firmado en fecha 14 de marzo de 2005 (Documento nº 1), así como el Pliego de Cláusulas Administrativas Particulares y el Pliego de Prescripciones Técnicas de dicho contrato (Documentos nº 2 y nº 3). También se ha aportado el Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD, firmado por ambas partes en fecha 1 de abril de 2009 (documento nº 4). En dicho Convenio, figura, entre otras una cláusula relativa al “Deber de devolución y no conservación” y a la “Subcontratación”, en la que se indica “el responsable apodera al encargado para que subcontrate, en nombre y por cuenta del responsable, el tratamiento de los datos necesarios para la prestación de los servicios objeto de la concesión. A estos efectos, el Encargado informará al Responsable de la identidad de las sociedades a las cuales pretende él subcontratar los servicios objeto del contrato del que este convenio trae causa, así como de los servicios que son objeto de esta subcontratación. La validez del apoderamiento que el responsable en su caso otorgue (y que en tal caso deberá constar por escrito) quedará sujeta a la firma de un contrato escrito entre el Encargado y la empresa subcontratada, que recoja términos análogos a los previstos en este convenio con el contenido íntegro establecido en el artículo 12 de la LOPD y a la asunción expresa por el encargado en su propio nombre y el subcontratista de una responsabilidad solidaria por cualquier incumplimiento de los términos del tratamiento por el subcontratista. El Encargado deberá enviar al Responsable del fichero una copia del contrato suscrito entre las partes, teniendo la facultad el Responsable de revocar el convenio y denegar la posibilidad de subcontratar de no cumplir con la normativa vigente aplicable. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 este caso, el encargado será el único responsable del desino de la información que hubiere comunicado al subcontratista, debiendo recuperarla asegurándose que éste no almacena copia alguna.” En fecha 27 de enero de 2023 el contenido del contrato se completó con las “Instrucciones para el tratamiento de datos por cuenta de terceros conforme al art. 28 del Reglamento General de Protección de Datos”. (Documento nº 5) donde se indica que “La entidad concesionaria no recurrirá a otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria”. En el Portal de Transparencia de la Generalitat Valenciana, a través del siguiente enlace https://gvaoberta.gva.es/es/concesiones-administrativas sanidad//documentos/UU0OMSTrPZLv/folder/162575572?p_auth=Fb4qewiS Diligencia D PLIEGO) constan los documentos relativos a la concesión. -La entidad concesionaria ha aportado copia de los contratos suscritos con terceros, en su calidad de encargado del tratamiento: -Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil ***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo ***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018. -Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD de la solución informática propiedad de ***EMPRESA.4 denominada ***SISTEMA.2 que actuará como Sistema Informático de Laboratorio (LIA) para la informatización del laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16). -Contrato de prestación de servicios de licencia y mantenimiento sin hosting de aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil ***EMPRESA.6. en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte técnico. En el Anexo II constan las previsiones relacionadas con la prestación de servicio por parte del subencargado del tratamiento. (Documento nº 17). La concesionaria manifiesta que las subcontrataciones mencionadas se llevaron a cabo en virtud del apoderamiento general otorgado por la Conselleria conforme a lo señalado en la cláusula octava del Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD aportado (Documento nº 4) en el que se apodera al encargado para la subcontratación. -La entidad concesionaria manifiesta que los contratos que a continuación se detallan no forman parte del encargo de tratamiento de la concesión: -Contrato de implementación de las herramientas ***EMPRESA.1 y ***SISTEMA.4, celebrado con ***EMPRESA.7 (Documento nº 6), de fecha 12/07/2010, los servicios de mantenimiento (Documento nº 7) y contrato para la mejora de la operativa de las áreas usuarias del sistema (Documento nº 8) de fecha 8/10/2010. Estos contratos ya no se encontraban en vigor a la fecha de la contestación de la parte denunciada de 14/08/2023, puesto que se firmaron el 1/11/2009 con un periodo de vigencia de cuatro años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 -Contrato celebrado con la empresa ***EMPRESA.8 relacionado con el uso de la herramienta ***SISTEMA.4 (Documentos nº 9, 10) de fecha 22/03/2011 y actualizado el 9/05/22. -Contrato marco para la prestación de servicios de tecnologías de la información, firmado con la ***EMPRESA.5, (Documento nº 11), convenio de tratamiento de datos personales complementario (Documento nº 12) y servicios de infraestructura y telecomunicaciones contratados dentro del ámbito del citado contrato marco (Documento nº 13) de fecha 17/03/22. -La entidad concesionaria ha aportado copia de los siguientes documentos: -“Normas para la recuperación de la gestión directa del servicio público de la atención sanitaria integral del departamento de salud de Denia” (Documento nº 18) en la que se indica la no prórroga y consiguiente extinción del contrato, prevista para el 31 de enero de 2024 elaboradas por la parte denunciante. En este documento se definen los trabajos preparatorios para la recuperación de la gestión sin impacto asistencial y se concretan las tareas durante el año anterior a la finalización del contrato. A este respecto la entidad concesionaria aporta Decreto de 10 de mayo de 2023 por el que se admite a trámite el recurso contencioso-administrativo interpuesto ante el Tribunal Superior de Justicia de la Comunitat Valenciana, en relación con las mencionadas Normas (Documento nº 19). El recurso mencionado es contra una resolución de fecha 27/03/2023 que desestimaba un recurso de reposición contra la comunicación de fecha 31/01/2023 anunciando no prorrogar el contrato de gestión de asistencia sanitaria del Departamento de Salud de Denia. -Con fecha 23/01/2024 en la web de la Consejería en la dirección https://www.san.gva.es/ca/web/sanidad se ha publicado una comunicación donde se indica que el día 1 de febrero de 2024, el Departamento de Salud de Denia pasará a ser gestionado por la Conselleria. Y el día 24/01/2024 consta una publicación del Conseller de Sanidad donde se informa de que la transición de la gestión pública del Hospital de Denia que se hará efectiva el próximo 1 de febrero está siendo ordenada y serena. Indica que desde la Conselleria tienen un dialogo constante y fluido con los trabajadores con los que todos los días miembros del equipo directo de la Conselleria están realizando la transición. (https://valenciaplaza.com/marciano-gomez-afirma-transicion-hospital-denia-siendoordenada-serena) (Diligencia D Comunicado). -Con fecha 6 de febrero de 2024 esta Agencia remite un escrito de requerimiento de información a la Conselleria solicitando información y documentación sobre la finalización de la concesión y el traspaso de la gestión del Área 12, Departamento de Salud de Denia que ha finalizado con fecha 1 de febrero de 2024. Con fecha 29 de febrero de 2024 se ha recibido contestación de ***PUESTO.2 en la que se informa de que la concesionaria ha aportado la documentación solicitada, a la vez que la citada Subdirectora asegura que mediante dicha documentación cumple formalmente las obligaciones establecidas al respecto en las normas de reversión y sus deberes como encargada de tratamiento por cuenta de la Conselleria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MARINA SALUD, S.A. es una empresa (…), constituida en el año 2005, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2022. QUINTO: Con fecha 24 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba, en su alegación PRIMERA, una relación de los hechos acaecidos. En la alegación SEGUNDA, que lleva por título, DE LA INEXISTENCIA DE VULNERACIÓN DE LA NORMATIVA DE PROTECCIÓN DE DATOS POR PARTE DE MARINA SALUD indicaba, entre otras cosas, lo que a continuación se transcribe: “1. El alcance del supuesto incumplimiento imputado a Marina Salud. Se imputa a nuestra representada la comisión de una supuesta infracción del artículo 28.2 del RGPD, a cuyo tenor “[e]l encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios”. Entiende la AEPD en el Acuerdo de Inicio que nuestra representada no comunicó a la Administración responsable del tratamiento la información relacionada con la identidad de las entidades con las que había subcontratado el tratamiento de datos personales, lo que determinaría el incumplimiento del mencionado precepto. Y ello sobre la base de la reclamación formulada por la Conselleria, en la que, sin embargo, se pone de manifiesto expresamente el conocimiento por parte de aquélla de los contratos suscritos por nuestra representada que implican el recurso a un subencargado del tratamiento para llevar a cabo actividades que impliquen un tratamiento de datos personales. Es decir, la reclamación centra su rep***EMPRESA.6 en el hecho de que nuestra representada no ha facilitado a la reclamante una copia de los contratos celebrados con dichas entidades, pero no en el desconocimiento por aquélla de cuáles son dichas entidades. Igualmente, su contenido pone de manifiesto que nuestra representada no incumplió su obligación de informar al responsable del tratamiento acerca de las actividades de tratamiento objeto de subcontratación, sino únicamente que nuestra representada no había facilitado a la Conselleria responsable del tratamiento una copia de los mencionados contratos. 1. Régimen aplicable a los contratos celebrados por MARINA SALUD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 Teniendo en cuenta lo anterior, es preciso referir cuál resultaba ser el marco aplicable a la relación entre nuestra representada y la Conselleria en el momento en que se suscribieron los contratos, así como el régimen aplicable a los mismos. En cuanto a la relación que vinculaba a nuestra representada con la Conselleria, en su condición de responsable del tratamiento de los datos tratados por MARINA SALUD, debe tenerse en cuenta que, al menos hasta la adopción de las Instrucciones, la misma se regía por el Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD, en que, como se ha indicado, la Conselleria (como responsable del tratamiento) otorgaba a nuestra representada (como encargada del tratamiento) un apoderamiento general para la subcontratación de aquellas actividades de tratamiento que resultasen precisas para la adecuada gestión de los servicios objeto de la concesión. Como se ha indicado, el Convenio preveía expresamente que la Conselleria autorizaba y, en consecuencia, apoderaba a Marina Salud “para que subcontrate, en nombre y por cuenta del responsable, el tratamiento de datos necesarios para la prestación de los servicios objeto de la concesión”. 2. La Conselleria tenía conocimiento a la fecha de la aprobación de las Instrucciones de los subencargados contratados por MARINA SALUD, manifestando igualmente su idoneidad a los efectos previstos en el RGPD y la LOPDGDD. Consecuencia de todo ello es que no resulta ajustado a la realidad lo indicado en el Acuerdo de Inicio, dado que: • La Conselleria responsable del tratamiento si tenía conocimiento al tiempo de formular su reclamación de los subencargados contratados por nuestra representada y el alcance de los servicios prestados por los mismos. • La Conselleria consideraba idóneos a los mencionados encargados del tratamiento (
- i)requiriendo a nuestra representada que no los reemplazase por otros sin su autorización; y (
- ii)contratando directamente a los mismos como encargados del tratamiento una vez producida la reversión de la concesión. 3. El hecho de no haber facilitado a la Conselleria los contratos celebrados con las subencargados del tratamiento no supone un incumplimiento de la normativa de protección de datos personales. Gran parte del rep***EMPRESA.6 sustentado por la Conselleria en su reclamación ante esa AEPD se funda exclusivamente en el hecho de que nuestra representada no facilitó a la misma copia de los contratos celebrados con las entidades subencargadas del tratamiento. Sin embargo, Marina Salud considera preciso poner de manifiesto que ni el RGPD ni la LOPDGDD establecen una obligación como la que se acaba de indicar. 4. La Conselleria ratifica la legalidad de la actuación de MARINA SALUD. En la TERCERA alegación, titulada DE LA VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD EN LA DETERMINACIÓN DE LA SANCIÓN indicaba, entre otras cosas, lo siguiente: “[…] Y es que, en efecto, en el presente caso el incumplimiento supuestamente imputado a nuestra representada, ya desvirtuado en las alegaciones anteriores, tendría un carácter exclusivamente formal y consistiría en no haber facilitado al responsable, como máximo hasta la fecha de realización de la inspección que tuvo lugar el 19 de enero de 2023, es decir, unos meses después de la celebración de dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 de los tres contratos analizados en el Acuerdo de Inicio, la identidad de los subencargados del tratamiento. “[…] la AEPD no ha tomado en consideración un hecho que conoce plenamente de la mera lectura del expediente: en el presente momento, nuestra representada no presta los servicios que constituían su fuente de ingresos, al ser su objeto social la gestión del Departamento de Salud de Denia. Sin embargo, la AEPD considera que esta circunstancia resulta en todo punto irrelevante, tomando como cifra de referencia para la cuantificación de la sanción la cifra de negocio de nuestra representada en 2022, fecha en la que sí desarrollaba su actividad como concesionaria del servicio público ahora revertido.” SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba, la ratificación de lo indicado en las alegaciones al acuerdo de inicio. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Mediante Resolución del Conseller de Sanidad de fecha 07/02/2005 se adjudicó a MARINA SALUD, S.A. con NIF A97563563, la parte denunciada, el contrato de gestión de servicio público para la prestación de la atención sanitaria integral del Área 12, Departamento de Salud de Denia, formalizándose el contrato con fecha 14/03/2005 e iniciándose los servicios el 01/02/2009. No consta que se haya renovado el contrato de encargo más allá del 25 de mayo de 2022, fecha hasta la cual mantenían su vigencia los contratos indefinidos según la DT 5ª de la LOPDGDD. SEGUNDO: El 01/04/2009 se formalizó entre las partes citadas, al amparo del contrato indicado en el HECHO PRIMERO, el Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD, que, en su cláusula Octava, en la que regula la subcontratación, indica lo siguiente: “El responsable apodera al encargado para que subcontrate, en nombre y por cuenta del responsable, el tratamiento de los datos necesarios para la prestación de los servicios objeto de la concesión. A estos efectos, el encargado informará al responsable de la identidad de las sociedades de las cuales pretende el subcontratar los servicios objeto de esta subcontratación. La validez del apoderamiento que el responsable en su caso otorgue (y que en tal caso deberá constar por escrito) quedará sujeta a la firma de un contrato escrito entre el Encargado y la empresa subcontratada, que recoja términos análogos a los previstos en este convenio con el contenido íntegro establecido en el artículo 12 de la LOPD y la asunción expresa por el encargado en su propio nombre y el subcontratista de una responsabilidad solidaria por cualquier incumplimiento de los términos del tratamiento por el subcontratista…….” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 Siendo la parte denunciante la responsable del tratamiento la Conselleria de Sanidad y la parte denunciada MARINA SALUD, S.A la encargada del mismo. TERCERO: El 19/01/2023, se realizó una inspección por la parte denunciante, en cuya acta se requirió a la parte denunciada que facilitara copia de los contratos de licencia, asistencia y/o de prestación de servicios suscritos con los propietarios de varias aplicaciones que detallan, al comprobar que estaban siendo utilizadas en el Hospital de Denia. CUARTO: El 27/01/2023 se dictaron Instrucciones por parte de la parte denunciante para el tratamiento de datos por cuenta de terceros conforme al artículo 28 del RGPD, en las que se detallan, entre otros extremos, lo siguiente: “La Conselleria de Sanidad es la responsable de los tratamientos de datos personales y la entidad concesionaria es la encargada del tratamiento. Los tratamientos de datos incluyen las operaciones de: recogida; adaptación o modificación; registro; extracción; habilitación de acceso, cotejo o interconexión; organización; consulta; estructuración; utilización; conservación; comunicación por transmisión; destrucción. Tipología de datos: datos identificativos y de contacto (nombre y apellidos, DNI/NIE, dirección postal, teléfonos, dirección de correo electrónico...); datos de características personales (sexo, edad, lengua materna...); Datos de salud (diagnósticos, tratamientos, vacunas, pruebas diagnósticas...); otros datos sensibles (estilo de vida, familiares, laborales, socioeconómicos...); datos relativos a la vida sexual; datos genéticos; datos profesionales (formación, titulaciones...); datos laborales (puesto de trabajo, historial laboral, retribuciones...). Categorías de datos: Usuarios del sistema público de salud. En relación con las subcontrataciones consta: “La entidad concesionaria no recurrirá a otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria. Al finalizar la prestación, la entidad concesionaria, en función de lo que determine la Conselleria y conforme a las presentes instrucciones, deberá devolver todos los datos personales y, una vez verificado el correcto funcionamiento de los servicios públicos y previa comunicación de la Conselleria, suprimir las copias existentes. La concesionaria podrá conservar los datos, debidamente bloqueados, en tanto pudieran derivarse responsabilidades de los tratamientos realizados por cuenta de la Conselleria. Asimismo, deberá facilitar la transferencia de los servicios a la Conselleria o a la entidad que ésta determine para hacerse cargo de la prestación de dichos servicios cuando finalice la actual concesión.” QUINTO: El 31 /01/2023 la parte denunciante notificó a la parte denunciada la intención de no prorrogar el contrato y su consiguiente extinción en fecha 31 de enero de 2024, así como las normas para la recuperación de la gestión directa del servicio público. SEXTO: Con fecha 01/02/2023, la parte denunciante recibió escrito de la parte denunciada, en el que comunican su negativa a la entrega de la documentación requerida, (copia de los contratos suscritos por MARINA SALUD SA con las empresas propietarias de ***SISTEMA.1, ***SISTEMA.2, ***SISTEMA.3, ***SISTEMA.4, ***SISTEMA.5 y Contrato de gestión de infraestructuras y telecomunicaciones con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 ***EMPRESA.5.), indicando que no corresponde a las funciones de la Inspección Sanitaria solicitar copia de los contratos. SÉPTIMO: En fecha 06/04/2023, la parte denunciante notificó a la parte denunciada el documento denominado “Comunicación del órgano de contratación a la concesionaria del departamento de Salud de Denia, en relación con el tratamiento de datos por cuenta de terceros” donde se indican los pasos a seguir en caso de que estén modificando o tengan la intención de modificar el actual contrato para el tratamiento de datos por cuenta de terceros. OCTAVO: Tras la entrada en vigor del RGPD la parte denunciada formalizó los siguientes contratos: -Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil ***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo ***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018. -Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD de la solución informática propiedad de***EMPRESA.4denominada ***SISTEMA.2 que actuará como Sistema Informático de Laboratorio (LIA) para la informatización del laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16). -Contrato de prestación de servicios de licencia y mantenimiento sin hosting de aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil ***EMPRESA.6 en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte técnico. En el Anexo II constan las previsiones relacionadas con la prestación de servicio por parte del subencargado del tratamiento. (Documento nº 17). La concesionaria manifiesta que las subcontrataciones mencionadas se llevaron a cabo en virtud del apoderamiento general otorgado por la Conselleria conforme a lo señalado en la cláusula octava del Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD aportado (Documento nº 4) en el que se apodera al encargado para la subcontratación. NOVENO: No consta que se haya informado al responsable del tratamiento antes de la formalización de los contratos citados en el HECHO OCTAVO. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD consta la realización de tratamientos de datos personales en los cuales la parte denunciada es la encargada de los tratamientos, que lleva a cabo en el ejercicio de sus competencias y atribuciones. La figura del “responsable del tratamiento” se define en el artículo 4.7 del RGPD como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Para la prestación de los servicios contemplados en el contrato de concesión, referido a la prestación del servicio de atención sanitaria en el Departamento de Salud de Denia, se requiere que la parte denunciada realice tratamientos de datos personales en los que desempeña el papel de encargada de tratamiento. Entre estos tratamientos se incluyen la recogida, adaptación o modificación, registro, extracción, habilitación de acceso, cotejo o interconexión, consulta, estructuración, utilización, conservación, comunicación por transmisión y destrucción de datos personales, entre los cuales se encuentran categorías de datos especiales, datos de salud (diagnósticos, tratamientos, vacunas, pruebas diagnósticas), datos relativos a la vida sexual, o datos genéticos. El artículo 4.8 del RGPD entiende por “encargado de tratamiento” “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. La parte denunciada desempeña el papel de encargado del tratamiento lo que se desprende de la Resolución del Conseller de Sanidad de 07/02/2005 en la que se adjudicó a la parte denunciada el contrato de gestión de servicio público por concesión (***REFERENCIA.1), cuyo objeto era la prestación de la atención sanitaria integral del Área 12, Departamento de Salud de Denia. El 14/03/2005 se formalizó el contrato, siendo la fecha de inicio de los servicios el 01/02/2009. La prestación de los servicios contemplados en el contrato de concesión requiere que la parte denunciada como entidad concesionaria realice tratamiento de datos personales especialmente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 protegidos bajo responsabilidad de la parte denunciante. En dichos tratamientos, la entidad concesionaria (parte denunciada) desempeña el papel de encargada del tratamiento, ex artículo 4 apartados 7) y 8), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante RGPD). III Alegaciones al acuerdo de inicio y propuesta de resolución En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En lo relativo a la alegación referida a la inexistencia de vulneración de la normativa de protección de datos por la parte denunciada, cabe señalar que la parte denunciada recurrió a otros subencargados en base a una autorización general, recogida en el Convenio firmado entre las partes en 2009, por lo que sería de obligado cumplimiento lo dispuesto en el apartado segundo del artículo 28, que se refiere, precisamente, a los casos en que exista una autorización general del responsable del tratamiento, como es el caso que nos ocupa: “En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios”. Debe recordarse que el RGPD es de obligado cumplimiento desde el 25 de mayo de 2018, como ya se indicó en el Acuerdo de Inicio, fecha anterior a la inspección realizada por la parte denunciante de 19/01/2023, a las instrucciones emitidas por la misma en fecha 27/01/2023 y a la comunicación de no continuación del contrato el 31/01/2023. En el presente caso, no consta que la parte denunciada, como encargada del tratamiento, haya informado al responsable del tratamiento, la parte denunciante, de los contratos de tratamiento suscritos con posterioridad a dicha fecha con los otros subencargados, y, teniendo en cuenta que los contratos celebrados suponen incorporaciones de otros subencargados, entrarían en la categoría de los cambios previstos en el artículo 28.2 y deberían haberse informado con anterioridad a su formalización para que el responsable hubiera tenido la oportunidad de oponerse a dichos cambios. A mayor abundamiento, convendría resaltar de nuevo, que la obligación de informar al responsable de la identidad de las sociedades con las que se pretendía subcontratar, ya existía en el Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD, firmado el 1/04/2009, que en su clausula Octava, en la que regula la subcontratación, indicaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 “El responsable apodera al encargado para que subcontrate, en nombre y por cuenta del responsable, el tratamiento de los datos necesarios para la prestación de los servicios objeto de la concesión. A estos efectos, el encargado informará al responsable de la identidad de las sociedades de las cuales pretende el subcontratar los servicios objeto de esta subcontratación. Por lo que tampoco es novedoso lo recogido en el RGPD, aunque la infracción imputada se circunscribe exclusivamente a la obligación del 28.2 de los contratos con los subencargados ya detallados en el Acuerdo de Inicio y que serían los siguientes: -Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil ***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo ***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018. -Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD de la solución informática propiedad de***EMPRESA.4denominada ***SISTEMA.2 que actuará como Sistema Informático de Laboratorio (LIA) para la informatización del laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16). -Contrato de prestación de servicios de licencia y mantenimiento sin hosting de aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil ***EMPRESA.6 en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte técnico. En el Anexo II constan las previsiones relacionadas con la prestación de servicio por parte del subencargado del tratamiento. (Documento nº 17). La concesionaria manifiesta que las subcontrataciones mencionadas se llevaron a cabo en virtud del apoderamiento general otorgado por la Conselleria conforme a lo señalado en la cláusula octava del Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD aportado (Documento nº 4) en el que se apodera al encargado para la subcontratación. Como se detalló en el acuerdo de inicio persiste la obligación de informar mientras se mantenga la relación entre el responsable y el encargado del tratamiento, la cual deberá realizarse antes de la firma de los contratos citados, para que de acuerdo con el artículo 28.2 el responsable tenga la posibilidad de oponerse. Como ya indicó la parte denunciada en sus alegaciones, la DT5ª de la LOPDGDD dice que “Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse pactado de forma indefinida, hasta el 25 de mayo de 2022”. Esta Agencia en ningún momento se está cuestionando la vigencia de los contratos. Las partes podrían haber pedido su adecuación al RGPD, aunque no consta que lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 hayan hecho. En todo caso, la obligación del art. 28 debía cumplirse, pero es que, además en el contrato ya indicaba que se debía informar al responsable de los subencargos que se hicieran. (Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD, que, en su cláusula Octava, en la que regula la subcontratación, indica que: “El responsable apodera al encargado para que subcontrate, en nombre y por cuenta del responsable, el tratamiento de los datos necesarios para la prestación de los servicios objeto de la concesión. A estos efectos, el encargado informará al responsable de la identidad de las sociedades de las cuales pretende el subcontratar los servicios objeto de esta subcontratación. ) En otro orden de cosas, en ningún caso esta Agencia ha entrado a considerar el hecho de que no se hayan facilitado copia de los contratos celebrados con dichas entidades requeridos en la Inspección realizada Así mismo, no resulta relevante en este caso el hecho de que la Administración conociera los contratos a pesar de no haberlos comunicado según afirma la parte denunciada. La obligación surgió cuando se celebraron los contratos ya que, en virtud del principio de responsabilidad proactiva, el responsable de dichas contrataciones debe estar en condiciones de acreditar que cumplió la obligación, y no lo ha hecho. Por todo lo expuesto, se desestima la presente alegación. En lo que respecta a la alegación relativa a la vulneración del principio de proporcionalidad en la determinación de la sanción ha de señalarse que la motivación de la sanción propuesta ha seguido los criterios del artículo 83.2 del RGPD y del 76.2 de la LOPDGDD. En el presente caso y con respecto al apartado
- a)del artículo 83.2 del RGPD cabe tener en consideración la duración de la infracción y se trataría de una infracción permanente, pues en las infracciones permanentes se crea un estado antijurídico cuya cesación depende de la voluntad de su autor. Por lo tanto, mientras se continúe utilizando a un subencargado persiste la obligación de informar, ya que la obligación se impone para que el responsable esté informado, y debe estarlo mientras actúe un subencargado, La motivación también está plenamente justificada, siguiendo el apartado
- g)del artículo 83.2 del RGPD en cuanto a los datos de carácter personal afectados, datos de salud considerados como categoría especial de datos personales, según el artículo 9 del RGPD. Asimismo, se ha aplicado para la graduación de la sanción el criterio del apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, que resalta que se podrán tener en cuenta la vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b), como es el caso de la parte denunciada que aunque su actividad principal es la gestión del departamento de salud de Denia, para poder realizarla es necesario el tratamiento de datos personales, y en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 este caso de categorías especiales de datos personales, indicadas en el artículo 9 del RGPD, al tratarse de datos vinculados con la salud de las personas. Lo anterior se desprende de los datos obtenidos en las Actuaciones Previas de Investigación que indican lo siguiente: “El Hospital de Denia, en su web denia.com/hospital-marina-salud/ indica que el Departamento de Salud de Denia consta de 1 hospital, 4 centros sanitarios integrados, 8 centros de salud, 34 consultorios y dos consultorios adicionales durante el verano. Se puso en marcha en 2009. MARINA SALUD SA figura en AXESOR como una sociedad anónima española y con la actividad “Actividades Hospitalarias”. En su web marinasalud.es consta que es una empresa sanitaria que presta servicios sanitarios públicos, entre ellos al Hospital de Denia. RIBERA SALUD SA figura en AXESOR como una sociedad anónima española y con la actividad “Actividades Hospitalarias”. En su página web riberasalud.com consta que es un grupo empresarial proveedor de servicios sanitarios públicos y privados. Entre las sociedades que forman parte del Grupo figura MARINA SALUD SA y en su red asistencial figura el Hospital de Salud de Denia.” La alegación de falta de proporcionalidad no puede prosperar en este caso. En primer lugar, recordemos que, respecto a la referencia utilizada para la cuantificación de la sanción, la Agencia ha tomado en cuenta los últimos datos disponibles y publicados en la herramienta AXESOR, que muestra un volumen de negocio de ***CANTIDAD.1 euros para el año 2022. La multa de 500.000€ supone el 0,3% del volumen de negocio, teniendo en cuenta que el RGPD permite multar con hasta el 2% de dicho volumen, no se podría considerar desproporcionada, tomando además en consideración los agravantes indicados, se trata de datos de los del art. 9 RGPD y la entidad esta habituada al tratamiento. Cabe añadir que para cuantías fijas el límite sería de 10 millones de euros, con lo que, con cualquiera de los dos parámetros, la cuantía se encuentra claramente dentro del tramo mínimo. Por otro lado, y a pesar de lo alegado, la parte reclamada no ha aportado ninguna información adicional que justifique la señalada disminución de su volumen de negocios, siendo la última cifra disponible la utilizada por esta AEPD para la cuantificación de la multa propuesta. Por lo tanto, la Agencia no dispone de elementos distintos de los ya utilizados para la cuantificación de la sanción a imponer. En cuanto a lo alegado por la parte denunciante respecto a que la infracción tendría un carácter meramente formal, y por lo tanto la cuantía resultaría desproporcionada, cabe afirmar que no es así, ya que la falta de comunicación de la existencia de subencargados impide al responsable ejercer adecuadamente sus facultades de control. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 Y no hay que perder de vista que nos encontramos antes la prestación de un servicio público tan importante como la sanidad, donde lo habitual es el tratamiento de datos de categoría especial. La Administración no puede desentenderse de la posible existencia de subcontratados (en protección de datos subencargados) que tienen acceso a datos personales de salud. Por todo lo expuesto, se desestima la presente alegación. IV Encargado del tratamiento El artículo 28 del RGPD, “Encargado del tratamiento”, dice lo siguiente: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado de tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable a oponerse a dichos cambios...)” En el caso que nos ocupa, la parte denunciada cuando subcontrató los servicios objeto de la concesión gozaba de una autorización previa por escrito de tipo general firmada por el responsable del tratamiento cuando se formalizó el Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la LOPD firmado el 01 de abril de 2.009. Dicho Convenio, en su clausula Octava, en la que regula la subcontratación, indica lo siguiente: “El responsable apodera al encargado para que subcontrate, en nombre y por cuenta del responsable, el tratamiento de los datos necesarios para la prestación de los servicios objeto de la concesión. A estos efectos, el encargado informará al responsable de la identidad de las sociedades de las cuales pretende el subcontratar los servicios objeto de esta subcontratación. La validez del apoderamiento que el responsable en su caso otorgue (y que en tal caso deberá constar por escrito) quedará sujeta a la firma de un contrato escrito entre el Encargado y la empresa subcontratada, que recoja términos análogos a los previstos en este convenio con el contenido íntegro establecido en el artículo 12 de la LOPD y la asunción expresa por el encargado en su propio nombre y el subcontratista de una responsabilidad solidaria por cualquier incumplimiento de los términos del tratamiento por el subcontratista…….” Este convenio se firma a raíz del contrato existente entre las partes para la prestación del servicio de atención sanitaria en el Departamento de Salud de Denia por concesión de fecha 14/03/2005 siendo la fecha de inicio de los servicios el 01/02/2009, y ya en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 ese momento, como refleja la cláusula transcrita, existía obligación de informar al responsable de la identidad de las sociedades con las que se pretendía subcontratar. Así mismo el artículo 28.2 del RGPD es de obligado cumplimiento a partir del 25 de mayo de 2018. En el presente caso no consta que la parte denunciada haya informado al responsable del tratamiento de los contratos suscritos con posterioridad a dicha fecha con los subencargados. Son los siguientes, han quedado también detallados en el HECHO PROBADO OCTAVO: -Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil ***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo ***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018. -Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD de la solución informática propiedad de***EMPRESA.4denominada ***SISTEMA.2 que actuará como Sistema Informático de Laboratorio (LIA) para la informatización del laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16). -Contrato de prestación de servicios de licencia y mantenimiento sin hosting de aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil ***EMPRESA.6 en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte técnico. En el Anexo II constan las previsiones relacionadas con la prestación de servicio por parte del subencargado del tratamiento. (Documento nº 17). El 27/01/2023 se dictaron unas instrucciones por parte del órgano de contratación, una serie de obligaciones de carácter general al encargado, que se deducen del artículo 28 del RGPD y que a efectos de las subcontrataciones indican lo siguiente: “La entidad concesionaria no recurrirá a otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria. A tal fin, la concesionaria deberá informar a la Conselleria de cualquier previsión en este sentido con una antelación mínima de 10 días hábiles. En las subcontrataciones la entidad subcontratista también tendrá la condición de encargada del tratamiento, estará obligada a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento, incluidas las relativas a transferencias internacionales, y las instrucciones que pudiera establecer la Conselleria. Corresponde a la concesionaria regular la relación con la subcontratista de modo que ésta quede sujeta a las mismas condiciones en lo referente al tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En caso de incumplimiento por parte del subencargado, la concesionaria seguirá siendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 plenamente responsable ante la Conselleria del cumplimiento de sus obligaciones como encargada de tratamiento. Las autorizaciones a las que se refiere el párrafo primero de este apartado estarán supeditadas a que la concesionaria pueda confirmar la idoneidad de la entidad propuesta, concretamente su conocimiento, capacidad y voluntad de cumplir las exigencias que, para la prestación del servicio objeto del encargo de tratamiento, le imponen tanto la normativa legal aplicable, particularmente la relativa a la seguridad de la información y a la protección de datos personales, como las instrucciones de la Conselleria. A estos efectos, la concesionaria deberá aportar una declaración responsable de la idoneidad de la subcontratista en los términos expuestos. Así mismo, en el caso de que la concesionaria ya disponga de subcontrataciones que conlleven el tratamiento de datos personales cuya responsabilidad ostenta la Conselleria, deberán notificarse en el plazo de 15 días hábiles siguientes a la notificación de las presentes instrucciones.” Estas instrucciones solamente redundan en las obligaciones del encargado ya contenidas en el artículo 28 del RGPD, plenamente exigibles desde la entrada en vigor del RGPD, como ya hemos indicado previamente. Por otro lado, fueron emitidas solo unos días antes a comunicar la no renovación del contrato de gestión de servicios por la parte denunciante. De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte denunciada por vulneración del artículo 28.2 del RGPD. V Tipificación y calificación de la infracción del artículo 28.2 del RGPD La citada infracción del artículo 28.2 del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe al año, conforme al artículo 74 de la LOPDGDD, que califica de leve la siguiente conducta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del RGPD y en particular las siguientes:
- l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles. La infracción es permanente pues se ha creado un estado antijurídico cuya cesación depende de la voluntad de su autor. La infracción del tipo se mantiene por la voluntad del autor y se sigue consumando hasta que se abandona la situación antijurídica por ese motivo no se considera prescrita VI Propuesta de sanción A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no informar de los tres contratos realizado con subencargados, mientras se continúe utilizando a un subencargado persiste la obligación de informar, ya que la obligación se impone para que el responsable esté informado, y debe estarlo mientras actúe un subencargado, desde la fecha de la firma de los contratos con ***EMPRESA.3 de fecha 27/09/18 , ***SISTEMA.3 (***EMPRESA.6) de fecha 12/04/22 y ***EMPRESA.4 de fecha 5/5/22 (Actualización de un contrato de fecha 16/04/08), hasta la inspección realizada por el responsable del tratamiento en fecha 19/01/2023. - Las categorías de los datos de carácter personal afectados por la infracción (apartado g): las categorías de datos de carácter personal afectados por la infracción son datos de salud, que se consideran categorías especiales de datos. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): el tratamiento de datos personales constituye, en la prestación del contrato con la Administración, una parte inherente o sustancial a la prestación encomendada. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 artículo 28.2 del RGPD, permite fijar una sanción de multa administrativa de 500.000,00 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MARINA SALUD, S.A., con NIF A97563563, por una infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de 500.000,00 euros (QUINIENTOS MIL euros). SEGUNDO: NOTIFICAR la presente resolución a MARINA SALUD, S.A. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1479-111224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es