← España

PS-00181-2022

1/13  Expediente N.º: PS/00181/2022 RESOLUCIÓ-N DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el reclamante), con fecha 1 de febrero de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO CANTABRO DE SALUD con NIF Q3900738J (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que se acogió a lo previsto en la Ley 7/2006, de 15 de junio, de garantías de tiempos máximos de respuesta en atención sanitaria especializada en el sistema sanitario público de Cantabria. Se trata una Ley a la que pueden acogerse todos los ciudadanos de Cantabria que dispongan de tarjeta sanitaria y figuren en el Registro de Pacientes en Lista de Espera durante un tiempo determinado por la ley. Conforme a lo establecido en la mencionada normativa, el reclamante solicitó el reembolso de gastos de realización de una prueba diagnóstica (...) y otros gastos (desplazamiento y dietas), sin que recibiera la respuesta legalmente establecida. Tras realizar gestiones con el Servicio Cántabro de Salud, considera que le han extraviado la solicitud y la documentación adjunta a la misma. El reclamante aporta copia de la solicitud oficial de reintegro de gastos de fecha 22 de septiembre de 2020, en la que consta marcadas las casillas correspondientes a la documentación requerida y escrito a mano también consta que se hace entrega de CD (...). La solicitud consta sellada con el sello del “Centro de Salud Doctor Morante”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10/03/2021, como consta en el acuse de recibo que obra en el expediente. En dicho traslado, esta Agencia solicitaba expresamente al reclamado, información, entre otros extremos, por “las causas que han motivado la incidencia que ha originado la reclamación”, así como por “las medidas adoptadas para evitar que se produzcan incidencias similares”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 Con fecha 05/04/2021 se recibe en esta Agencia escrito de respuesta, que, eludiendo pronunciarse sobre las cuestiones requeridas, contiene únicamente un relato cronológico de los siguientes hechos: «Una vez analizada la documentación remitida y los hechos relacionados con la misma, deben indicarse los siguientes aspectos ordenados de modo cronológico: 1. En fecha 22 septiembre de 2020, el interesado presenta la documentación de reintegro de gastos por realización de prueba diagnóstica, acogiéndose a la Ley 7/2006, de 15 de junio, de garantías de tiempos máximos de respuesta en atención sanitaria especializada en el sistema sanitario público de Cantabria. La coordinadora de admisión del Centro de Salud Dávila manifiesta por escrito que presentó la documentación el 22 de septiembre. 2. En fecha 30 diciembre de 2020, tiene entrada, en el registro delegado del Servicio Cántabro de Salud, las fotocopias de la documentación para proceder al reintegro de gastos. 3. En fecha 30 de diciembre de 2020, en el Registro Electrónico Común, se presenta una reclamación exigiendo responsabilidades por el extravío de la documentación. 4. En fecha 5 enero de 2021, tiene entrada, en el registro delegado del Servicio Cántabro de Salud, la documentación para el abono de dietas y desplazamiento a Bilbao para la realización de la prueba diagnóstica. 5. Se abona al interesado la cantidad de 210,23 euros, correspondientes a la prueba diagnóstica, desplazamientos y dietas. No se le valoran los gastos ocasionados por copia de CD y portes, por importe de 45,89 euros. Y ello, dado que el CD no tenía que haberlo presentado, ya que no forma parte de la documentación requerida y necesaria en esta materia. 6. En fecha 12 marzo de 2021, en el Registro Electrónico Común, el interesado presenta reclamación contra la Subdirección de Asistencia Sanitaria del Servicio Cántabro de Salud por el pago de los intereses legales de 210,23 euros abonados el 11 marzo de 2021 y los gastos ocasionados por la copia de CD y portes (45,89 euros). 7. El Jefe de Servicio de Prestaciones, Conciertos y Transporte sanitario del Servicio Cántabro de Salud solicita informe al Servicio de Asesoramiento Jurídico de la Consejería de Sanidad sobre el pago de los intereses y los gastos ocasionados por la copia de CD y los portes de los mismos.» TERCERO: Con fecha 23 de abril de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El reclamante manifiesta que ejercitó el derecho de acceso a sus datos personales (facturas de desplazamiento y comida, informe médico de la prueba y CD con (...)), sin que haya recibido la respuesta legalmente establecida. Considera que le han extraviado dicha documentación y aporta copia de la solicitud de reembolso y de la reclamación puesta tras el extravío de la documentación. Los antecedentes que constan en los sistemas de información son los siguientes: Con fecha 23 de abril de 2021, en el procedimiento E/02584/2021 la Agencia Española de Protección de Datos acordó llevar a cabo las presentes actuaciones de investigación poniéndose de manifiesto las siguientes circunstancias, ya recogidas con anterioridad: El reclamante manifiesta que ejercitó el derecho de acceso a sus datos personales (facturas de desplazamiento y comida, informe médico de la prueba y CD con (...)), sin que haya recibido la respuesta legalmente establecida. Considera que le han extraviado dicha documentación y aporta copia de la solicitud de reembolso y de la reclamación puesta tras el extravío de la documentación. La parte reclamada ha dado respuesta al requerimiento de información efectuado por esta AEPD, manifestando, en síntesis, que se ha procedido a abonar al reclamante una cantidad correspondiente a la prueba diagnóstica, desplazamientos y dietas. Asimismo, se indica que el Jefe de Servicio de Prestaciones, Conciertos y Transporte sanitario del Servicio Cántabro de Salud ha solicitado un informe al Servicio de Asesoramiento Jurídico de la Consejería de Sanidad Cántabra sobre la reclamación del pago de los intereses a la cantidad abonada. No obstante, no se ha aclarado nada sobre el extravío de documentación con datos personales y clínicos de la parte reclamante, por lo que se infiere una posible vulneración de la materia vigente de protección de datos. 1.- El denunciante aporta junto al escrito de denuncia copia de la solicitud oficial de reintegro de gastos de fecha 22 de septiembre de 2020, en la que consta marcadas las casillas correspondientes a la documentación requerida y escrito a mano también consta que se hace entrega de CD (...). La solicitud consta sellada con el sello del Centro de Salud Doctor Morante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 2.- Mediante escrito de fecha de notificación 19 de mayo de 2021, la Inspección de Datos solicitó al Servicio Cántabro de salud que en el plazo de 10 días hábiles remita la siguiente información y documentación: 1.- Especificación detallada de las causas que han hecho posible el incidente de seguridad en la custodia de la documentación entregada por el reclamante, incluyendo información respecto de las condiciones que se dieron para que se hayan producido los hechos relatados. 2.- Descripción de las posibles consecuencias para el afectado. 3.- Respecto de la seguridad de los tratamientos de datos personales: 3.1. Medidas de seguridad implantadas en los tratamientos de datos donde se ha producido la brecha. 3.2. Información respecto del motivo por el cual las medidas de seguridad implantadas no han impedido el incidente de seguridad. 3.3. Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido. 4.- Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. 3.- Con fecha 25 de junio de 2021 tiene entrada un escrito del Servicio Cántabro de Salud que adjunta un informe de la Directora Gerente de Atención Primaria, con el siguiente contenido: “A la vista del escrito emitido por la AEPD en relación con la Reclamación E/02584/2021 respecto del expediente obrante iniciado para conocer las circunstancias de la queja formulada el 1 de febrero de 2021 en relación al funcionamiento del Centro de Salud de Dávila en el extravío de documentación, a continuación, se amplía información solicitada por el Servicio Cántabro de Salud sobre la base de la valoración de las cuestiones planteadas por la agencia. i. Informe de causas que motivaron la incidencia. Las áreas de admisión en los Centros de Salud no son Oficinas de Asistencia en Materia de Registro para que los ciudadanos/usuarios/pacientes puedan formular solicitudes y presentarlas junto con la documentación que corresponda. La normativa reguladora de las oficinas de registro se encuentra recogida en el Decreto 42/2019, de 28 de marzo, por el que se regula el Régimen Jurídico y Organizativo de la Atención Ciudadana y del ejercicio de la Función Administrativa de Registro en la Administración de la Comunidad Autónoma de Cantabria. Establece en el ANEXO IV la LOCALIZACIÓN Y HORARIO DE APERTURA DEL REGISTRO ELECTRÓNICO GENERAL DE LA ADMINISTRACIÓN DE LA COMUNIDAD AUTONÓMA DE CANTABRIA. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 i. Informe de medidas adoptadas Esta gerencia ha establecido como línea estratégica prioritaria la implementación de adecuados sistemas informáticos que permitan la obtención de toda la información y la adecuada explotación de los datos a nivel de gestión sanitaria en los Centros de Salud para que la valija interna sea electrónica y se asegure la trazabilidad de cualquier documento hasta su llegada a los servicios centrales administrativos de la gerencia de atención primaria. No obstante lo anterior, lo cierto es que el Servicio Informático de esta gerencia se encuentra actualmente al servicio de los intereses estratégicos prioritarios de salud pública dirigidos desde la propia Consejería de Sanidad para atender las necesidades de tratamiento electrónico de los datos que son más necesarios en esta situación epidemiológica especial de la Covid-19. Así mismo se trabaja en el despliegue a todos los Centros de Salud de información precisa para que puedan asistir a los usuarios en materia de información sobre las Oficinas de Asistencia en Materia de Registro más próximas; así como sobre el Punto de Acceso Electrónico General de la CAC para que formulen electrónicamente cualquier solicitud susceptible de generar una expectativa de derecho como interesado en un procedimiento administrativo.” QUINTO: Con fecha 19 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículo 5.1.

  1. f)y 32 del RGPD, tipificadas respectivamente en los apartados 5 y 4 del artículo 83 del RGPD. SEXTO. El mismo día 19/04/2022 queda notificado por vía electrónica el citado acuerdo de inicio, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 establecido en el artículo 64.2.
  3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO. El reclamante solicitó al Servicio Cántabro de Salud el reembolso de gastos de realización de una prueba diagnóstica ((...)) y otros gastos, conforme a lo establecido en la Ley 7/2006, de 15 de junio, de garantías de tiempos máximos de respuesta en atención sanitaria especializada en el sistema sanitario público de Cantabria. SEGUNDO. La solicitud mencionada en el apartado anterior fue presentada por el reclamante en un Centro de salud del Servicio Cántabro de Salud. Este centro admitió la solicitud a pesar de que no tiene la consideración de Oficina de Asistencia en Materia de Registro para que los ciudadanos/usuarios/pacientes puedan formular solicitudes y presentarlas junto con la documentación que corresponda. TERCERO. El reclamante no recibió contestación a la solicitud indicada en el apartado anterior. CUARTO. El servicio Cántabro de Salud ha extraviado la solicitud a que se refiere este expediente, junto con la documentación adjunta a la misma, que incluía facturas, informes médicos y un soporte digital con (...). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el Servicio Cántabro de Salud realiza, entre otros tratamientos, la recogida, tramitación, conservación, consulta, utilización y acceso de los datos personales de los ciudadanos, en particular de aquellos como los que, en este caso, les dirigen solicitudes conforme a la Ley. El Servicio Cántabro de Salud realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de disponibilidad, al haberse producido una pérdida de la documentación aportada por el reclamante, sin que el reclamado haya aportado información alguna de qué ha podido acontecer o dónde puede encontrarse la misma. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. La seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Artículo 5.1.
  4. f)del RGPD El artículo 5.1.
  5. f)“Principios relativos al tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 “1. Los datos personales serán: (…)
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que la solicitud de reembolso de gastos de realización de una prueba diagnóstica ((...)) y otros gastos (desplazamiento y dietas) y la documentación adjunta, que contenía datos personales del reclamante, fue objeto de pérdida por parte del Servicio Cántabro de Salud, toda vez que consta la entrada de la misma en un Centro de salud adscrito a dicho servicio, sin que este haya podido dar razón de su paradero ante la reclamación de su titular. De conformidad con las evidencias de las que se dispone se considera que los hechos conocidos son constitutivos de una infracción, imputable al Servicio Cántabro de Salud, por vulneración del artículo 5.1.
  7. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  8. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  9. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán (…)
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  12. a)la seudonimización y el cifrado de datos personales;
  13. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  14. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  15. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, por parte del reclamante se ha acreditado la presentación ante el Servicio Cántabro de Salud de una solicitud de reembolso de gastos de realización de una prueba diagnóstica ((...)) y otros gastos (desplazamiento y dietas). Todo ello conforme a lo previsto en Ley 7/2006, de 15 de junio, de garantías de tiempos máximos de respuesta en atención sanitaria especializada en el sistema sanitario público de Cantabria. El reclamante denuncia el extravío de dicha documentación, mientras que el reclamado, tanto en la contestación al trámite de traslado con la realización por esta Agencia de las actuaciones previas de investigación se ha limitado a afirmar que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 finalmente la prestación fue abonada al reclamante y que los Centros de salud del Servicio Cántabro de salud no tienen la condición de oficinas de registro. Nada se indica acerca de la brecha de seguridad denunciada por el reclamante, ni sobre sus causas ni sobre el posible paradero actual de la documentación. Asimismo, nada explica el Servicio Cántabro de Salud sobre las medidas que tenía establecidas para evitar que incidentes como este pudieran ocurrir. En sus contestaciones, tan solo se contiene una breve referencia que indica que ha establecido una “línea estratégica prioritaria la implementación de adecuados sistemas informáticos que permitan la obtención de toda la información y la adecuada explotación de los datos a nivel de gestión sanitaria en los Centros de Salud para que la valija interna sea electrónica y se asegure la trazabilidad de cualquier documento hasta su llegada a los servicios centrales administrativos de la gerencia de atención primaria.”. A pesar de ello, el reclamado afirma que esta actuación no se encontraría entre sus prioridades, al aclarar que estas se centran en “atender las necesidades de tratamiento electrónico de los datos que son más necesarios en esta situación epidemiológica especial de la Covid-19.” Por todo ello, no puede considerarse acreditado que el Servicio Cántabro de Salud tuviese implementadas medidas para evitar que una brecha de seguridad como esta pudiese suceder. Existen evidencias suficientes respecto de la ausencia de medidas de seguridad adecuadas. Estos hechos son constitutivos de vulneración del artículo 32 RGPD. VI Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  16. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…) VII Imposición de medidas Entre los poderes correctivos que dispone el artículo 58 “Poderes” del RGPD, en el apartado 2.
  18. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos. VIII Sanción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13
  19. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  20. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Conforme al artículo 1 de la Ley 10/2001, de 28 de diciembre, de Creación del Servicio Cántabro de Salud, este servicio tiene la consideración de organismo público con el carácter de organismo autónomo, con personalidad jurídica y plena capacidad de obrar. De acuerdo con el arriba mencionado artículo 77.2 de la LOPDGDD, la sanción que podría corresponder en este procedimiento sería la de un apercibimiento por cada una de las dos infracciones. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVO PRIMERO: SANCIONAR con un apercibimiento al SERVICIO CANTABRO DE SALUD, con NIF Q3900738J, por la infracción del Artículo 5.1.
  21. f)del RGPD, tipificada en el artículo 83.5 del mismo Reglamento. SEGUNDO: SANCIONAR con un apercibimiento al SERVICIO CANTABRO DE SALUD, con NIF Q3900738J, por la infracción del Artículo 32 del RGPD, tipificada en el artículo 83.4 del mismo Reglamento. TERCERO. REQUERIR al SERVICIO CÁNTABRO DE SALUD que implante las medidas correctoras que impidan que en el futuro se repitan hechos similares, y la actualización del plan de actuación para la gestión y notificación de las brechas de seguridad, en un plazo de 3 meses, e informe a esta Agencia de lo requerido en el mismo plazo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 CUARTO: NOTIFICAR el presente acuerdo al SERVICIO CANTABRO DE SALUD, con NIF Q3900738J, QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.