1/12 Expediente N.º: EXP202100124 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de junio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA, GENERALITAT VALENCIANA con NIF S4611001A (en adelante, la CONSELLERIA). Los motivos en que basa la reclamación son los siguientes: manifiesta que la versión digital del periódico ***PERIÓDICO.1 publicó la noticia sobre su dimisión tras constatar el incumplimiento de la estrategia de vacunación. En el pie de la noticia se indica que "... figura entre las personas que se han vacunado contra la SARS-CoV-2, según documentación a la que ha tenido acceso ***PERIÓDICO.
(2000)7 del Comité de Ministros del Consejo de Europa, de 8 de marzo de 2000, ha recalcado que se considera información que podría revelar la fuente, y que por tanto está protegida por el secreto profesional, el “contenido no publicado de la información facilitada por una fuente al periodista”. Por todo ello, y en la medida en que la documentación solicitada se encuentra expresamente protegida por el secreto profesional, como derecho fundamental reconocido por la jurisprudencia dentro de las libertades de expresión e información, siendo así que el mismo incluye los materiales y documentación que han podido servir de soporte a la información publicada, dado además que según la doctrina citada de dichos documentos podría inferirse la identificación de la fuente de la que se obtuvo la información, cuyo secreto es igualmente objeto de protección en el marco del derecho fundamental, consideramos que no es posible atender el requerimiento de información ni facilitar a la AEPD una copia del documento solicitado.” - Sobre las finalidades y la base jurídica del tratamiento realizado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 “[…] la única finalidad para la que se ha llevado a cabo el citado tratamiento no es otra el ejercicio del derecho a la libertad de expresión y de información, consagrado igualmente en el artículo 20 de la Constitución Española. Existiendo en este caso un posible conflicto entre dos derechos fundamentales, la doctrina de la Audiencia Nacional ha reconocido en reiteradas ocasiones desde su sentencia de 12 de abril de 2013 (rec. 410/2010) que la base jurídica del tratamiento se encontraría en el interés legítimo prevalente que el legislador constitucional y la doctrina del Tribunal Constitucional han concedido a los derechos consagrados en el artículo 20 de la Constitución, respecto de los que los medios de comunicación ostentan, además, una titularidad reforzada conforme a la citada doctrina jurisprudencial. Por ello, la base jurídica del tratamiento se encuentra en el artículo 6.1.
- f)[…] y en particular, la satisfacción de dos intereses legítimos: o Por un lado, el consistente en el derecho del autor del artículo, como periodista y trabajador de un medio de comunicación y, en definitiva, del propio medio de comunicación, a comunicar información veraz a los potenciales destinatarios de la información. o Por otro, de forma correlativa, el derecho de tales receptores en ser informados sobre acontecimientos de relevancia pública de forma tal que se les faciliten elementos de juicio que contribuyan a formar su propia opinión acerca de tales sucesos, tal y como ha sucedido en este caso. Adicionalmente, y partiendo de lo que acaba de razonarse, debe tenerse igualmente en cuenta el contexto y contenido de la información a la que se refiere el artículo publicado, debiendo también considerar, sobre la base misma de la protección reforzada que nuestra jurisprudencia constitucional otorga al artículo 20 de la Constitución que la base jurídica del tratamiento de los datos de salud que pudieran derivarse de la noticia se encontraría igualmente en la excepción a la prohibición de tratamiento de datos pertenecientes a categorías especiales recogida en el artículo 9.2.
- g)del citado Reglamento, siendo ese interés público esencial el ejercicio del derecho fundamental a la libertad de información y su contribución a la formación de la opinión pública sobre asuntos que tienen relevancia pública e interés social, mediante la divulgación de información veraz. En este sentido, la Sentencia de la Audiencia Nacional 3343/2018, de 12 de junio (rec. 551/2016) sostiene que “merece especial protección constitucional la difusión de ideas que colaboren a la formación de la opinión pública y faciliten que el ciudadano pueda formar libremente sus opiniones y participar de modo responsable en los asuntos públicos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 No cabe duda de que el hecho de que un cargo público utilizara presuntamente su condición para recibir un trato preferente en el protocolo de vacunación contra la SARS-CoV-2, en el contexto de la pandemia mundial, es un hecho dotado de una especial relevancia pública que justifica que el mismo debe ser conocido por los ciudadanos.” CONCLUSIONES La parte reclamante refiere una exfiltración de datos de los sistemas de la CONSELLERIA de Salud, así como un tratamiento de datos personales carente de base jurídica por parte del medio de comunicación. Requerida aclaración de los hechos a la CONSELLERIA ésta ha facilitado documentación que muestra la apertura de un expediente informativo interno sobre los hechos en marzo de 2021 que no habría llegado a conclusiones. Asimismo facilita un informe que describe el procedimiento de alta de usuarios en el Sistema de Información Vacunal de la comunidad autónoma y expresa que todos los usuarios que accedieron al sistema se encontraban autorizados para ello. El medio de comunicación que publicó la noticia, amparándose en el artículo 20 de la Constitución Española y en la jurisprudencia existente al respecto, no facilita la documentación a la que tuvo acceso como fuente de la noticia. Asimismo, refiere el medio de comunicación que la finalidad del tratamiento es el ejercicio del derecho a la libertad de expresión y de información consagrado en el artículo 20 de la Constitución Española. Sobre la base jurídica del tratamiento cita el interés legítimo en una doble vertiente, del autor y de los receptores del artículo. Igualmente, refiere el interés público esencial como la excepción que levanta la prohibición al tratamiento de categorías especiales de datos personales en el presente caso. QUINTO: Con fecha 22 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD. Con fecha 04/08/2022 la CONSELLERIA presenta escrito de alegaciones al Acuerdo de Inicio. SEXTO: Con fecha 18 de octubre de 2022 se formuló propuesta de resolución, proponiendo: Que por la Directora de la Agencia Española de Protección de Datos se procede al ARCHIVO de las actuaciones iniciadas contra la CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA, GENERALITAT VALENCIANA, con NIF S4611001A, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 Que por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO de las actuaciones iniciadas contra la CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA, GENERALITAT VALENCIANA, con NIF S4611001A, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. No se han presentado alegaciones a la propuesta de resolución. HECHOS PROBADOS PRIMERO: Consta acreditado que en fecha 27/01/2021 el periódico digital ***PERIÓDICO.1 publicó la noticia de la dimisión de la parte reclamante, tras haberse vacunado del covid-19 sin ser grupo preferente. SEGUNDO: Consta acreditado, extraído de la noticia publicada en el periódico digital EL MUNDO, que la Fiscalía General del Estado emitió un comunicado según el cual, “tras constatar el incumplimiento por parte del (…), de lo dispuesto en la estrategia de vacunación covid-19 en España, aprobada por el pleno del consejo interterritorial del sistema nacional de salud, y ejecutada por las Comunidades Autónomas, la (…), ha aceptado la renuncia” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: PRIMERA: Alega la CONSELLERIA que el sistema de información vacunal (SIV) tiene como objetivo el que la información relativa al historial vacunal de las personas residentes en la Comunitat Valenciana esté disponible en el sistema sanitario para que todos los profesionales puedan disponer de la información necesaria. Todos los usuarios del SIV acceden (…). En cada caso se asigna un perfil de acuerdo con las funciones que debe desempeñar, siendo la consulta de la información registrada de forma individualizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 El acceso a la información se puede realizar directamente al SIV o bien a través de los enlaces disponibles en la historia de atención primaria o de asistencia especializada. En el caso de acceso directamente al SIV la acreditación de los usuarios se realiza desde la Direcció General de Salut Pública i Addiccións (DGSPA). Para ello los usuarios deben remitir un formulario de solicitud en que, además de los datos propios (datos de identificación, ámbito de trabajo y perfil profesional) se incluye la autorización por parte del responsable del centro de trabajo. En el formulario se indica literalmente: ‘El solicitante asume las responsabilidades del uso indebido de la autorización de acceso al Registro de Vacunas Nominal, en especial aquellas derivadas de la normativa de protección de datos en vigor’. Desde la DGSPA se asigna el perfil correspondiente a su categoría profesional y ámbito territorial. Para el acceso al SIV para esta vía se asigna un usuario/contraseña, que el usuario debe cambiar la primera vez que accede, existiendo también la posibilidad de acceder directamente con un certificado digital. La acreditación para el acceso desde las respectivas historias de salud se realiza desde la Dirección General de Planificación, Eficiencia Tecnológica y Atención al Paciente. Desde la DGSPA se ha obtenido la información sobre los accesos al SIV en el centro de salud ***CENTRO.1 los días en los que se supone que se produjo el incidente. Todas las personas cuentan con la debida autorización de acceso al sistema para el ejercicio de sus funciones. De las investigaciones realizadas no se ha podido concluir responsabilidad en la filtración de la información registrada en el SIV a medio de comunicación por parte de ellos ni se ha podido descartar que la información haya sido facilitada por otros medios no directamente relacionados con el SIV. A este respecto, esta Agencia reconoce que, si bien es evidente que la vacunación irregular de la parte reclamante se filtró, dando lugar por ello a que presentase su dimisión, no ha sido posible determinar en qué momento o por parte de quien se produjo dicha filtración. Asimismo, las actuaciones previas de investigación llevadas a cabo por la propia AEPD tampoco han podido concluir de forma determinante cómo se filtró la noticia, al acogerse el periódico ***PERIÓDICO.1 a su derecho de secreto profesional, desconociendo pues, qué datos y documentos obraban en el comunicado facilitado por la Fiscalía, o de donde provenían. En conclusión, no se ha podido determinar si el listado de vacunados al que hace referencia el periódico ***PERIÓDICO.1 es un listado oficial elaborado por la CONSELLERIA, o algún otro tipo de documento donde, de manera informal, se hayan recogido datos de personas vacunadas. III El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 de medidas técnicas confidencialidad»).” u organizativas apropiadas («integridad y En el presente caso, consta que los datos personales de la parte reclamante, obrantes en la base de datos de la CONSELLERIA, fueron indebidamente expuestos, ya que según el comunicado emitido (…) acepta la dimisión de la parte reclamante tras constatar que (…). No obstante, de la instrucción llevada a cabo, no ha podido demostrarse que la filtración de dichos datos proviniese de la propia CONSELLERIA, no pudiendo descartarse que se haya filtrado de algún otro modo, incluso a nivel de ciudadanos particulares que pudieran haber observado el hecho y denunciado el mismo, como consta en diversas noticias publicadas por los medios de comunicación. IV El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 En el presente caso no ha podido demostrarse que en el seno la CONSELLERIA se haya producido una brecha, por lo que no cabe afirmar que no contasen con las medidas técnicas y organizativas apropiadas para evitar que se produjera un incidente. A la vista de todo lo actuado la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA, GENERALITAT VALENCIANA, e informar del resultado de las actuaciones a A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es