1/12 Procedimiento Nº: PS/00187/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La reclamante presento interpuso escrito de reclamación el 03/01/2019 ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HM HOSPITALES 1989, S.A. con NIF A79325858 (en adelante HM). Los motivos en que basa la reclamación son, en síntesis, los siguientes: que el 08/11/2018 acudió al servicio de urgencias de HM siendo ingresada; con motivo del ingreso hubo de rellenar formulario donde constaba una casilla para marcar en la que se señalaba que cedía los datos a terceros si no la marcaba; que posteriormente HM remitió el informe médico a Mapfre, su compañía aseguradora, para solicitar el ingreso; que el 23/11/2018 le fue denegada por Mapfre prueba medica basándose en el informe remitido y que su ingreso hospitalario no estaba autorizado por lo que se iba a solicitar el reingreso del importe y, aprovechándose de estas circunstancias, recalcular el importe de la prima de la póliza de seguro. Aporta la siguiente documentación: - Copia del DNI. - Copia de reclamación ante la Consejería de Salud de la CCAA de Madrid. - Copia del escrito presentado en el HM solicitando documentación. - Copia de la documentación entregada por HM. - Copia de denuncia ante la Comisaria de Policía de Getafe y ampliación de denuncia ante la Comisaria de Policía de Móstoles. En el documento aportado por el reclamante Solicitud de Ingreso Urgente de HM consta lo siguiente clausula: Y a continuación se añade lo siguiente en relación con la normativa de protección de datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). El 01/02/2019, fue trasladada al reclamante la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 06/03/2019 HM dio respuesta al requerimiento de información señalando lo siguiente: que todo paciente que acude a la Unidad de Urgencias es informado que los gastos de su estancia se comunicaran a la entidad aseguradora como en el presente caso, al objeto de comprobar la cobertura que pueda tener contratada como asegurado y que su negativa a dicha comunicación comportaría el compromiso de satisfacer los citados gastos; que para poder prestar una asistencia adecuada es necesario que existan cesiones de datos entre HM y las aseguradoras con la que tienen firmado Convenio sin que en ningún momento se tenga que pedir un consentimiento específico para dicha comunicación; que el motivo principal por el que se dirigió a HM se centró el acceso a los datos por parte de agente y operadora de Mapfre cuestión que es de funcionamiento de aquella y en cuanto a la documentación solicitada que en ningún momento se le ha negado sino que debía ser documentada informándole sobre los plazos de contestación y las medidas de seguridad aplicadas. El 03/05/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: Con fecha 27/06/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1.
- a)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el 10/07/2019 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 documento de ingreso de la reclamante no se encontraba adaptado a la nueva normativa sobre protección de datos; que la información dada a los pacientes que acuden a los centros del reclamado se realiza de conformidad con los artículos 13 y 14 del RGPD, no considerando adecuado la tipificación realizada por la AEPD de la infracción cometida; que en el caso concreto se necesitaba autorización de la aseguradora para abonar los gastos derivados del ingreso siendo imprescindible darle traslado del documento de urgencias; que el reclamado tiene implantadas medidas de seguridad a fin de evitar que se produzcan incidencias similares a la ocurrida. QUINTO: Con fecha 02/08/2019 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/01052/2019. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00187/2019 presentadas por HM y la documentación que a ellas acompaña. SEXTO: En fecha 15/11/2019, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a HM, por una infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa de 48.000 € (cuarenta y ocho mil euros). Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de HM en escrito de 29/11/2019 presento escrito reiterando lo señalado en el procedimiento y, además, que procede la desestimación del procedimiento sancionador al no existir infracción del artículo 6 del RGPD habiendo actuado de conformidad con lo señalado en la Guía publicada por la AEPD, solicitando la desestimación de la sanción al reclamado. HECHOS PROBADOS PRIMERO. El 03/01/2019 tuvo entrada en la AEPD escrito de la afectada en el que reclama contra HM; declara que habiendo acudido a su servicio de urgencias, tuvo que ser ingresada y con motivo del mismo hubo de rellenar un formulario donde constaba una casilla para marcar en la que se señalaba que cedía los datos a terceros si no la marcaba; que posteriormente HM remitió el informe médico a Mapfre, su compañía aseguradora, para solicitar el ingreso; que posteriormente le fue denegada por su aseguradora prueba medica basándose en el informe remitido y que su ingreso hospitalario no estaba autorizado por lo que se iba a solicitar el reingreso del importe abonado y recalcular el importe de la prima de la póliza de seguro. SEGUNDO. La reclamante ha aportado copia de su DNI nº ***NIF.1. TERCERO. En el documento Solicitud de Ingreso Urgente aportado por la reclamante donde se recogieron sus datos personales consta la siguiente clausula informativa: “De conformidad con la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal, le informamos que los datos aquí suministrados van a ser incorporados en un conjunto de ficheros debidamente inscritos en la Agencia Española de Protección de Datos por HM Hospitales, que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 comprende las siguientes entidades: HM Hospitales 1989, S.A., Sanatorio Quirúrgico Modelo, S.L., Universal Médico Quirúrgica, Unmequi, S.A., Gabinete Médico Velázquez S.L., Centro Médico La Moraleja, S.L. Cada una de estas entidades cuenta con ficheros cuya finalidad es la asistencia y gestión sanitaria, así como la gestión administrativa de los servicios. Le comunicamos que sus datos serán tratados con la confidencialidad exigida en la normativa en materia de protección de datos y con las medidas de seguridad exigidas en la misma. Podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición a través del Servicio de Atención al Paciente de cualquiera de los Hospitales de la Sociedades o remitiendo escrito a HM Hospitales Plaza conde Valle de Suchil nº 2, 28015 Madrid. Si no desea que se facilite esta información a terceros, marque esta casilla Asimismo y salvo indicación expresa, autorizo al responsable del fichero HM HOSTALES 1989, S.A., a la utilización de los datos personales del paciente para el envío de información de sus productos y servicios, pudiendo revocar dicho consentimiento en cualquier momento. Si no desea autorizar el envío de publicidad, maque esta casilla CUARTO. Consta que la afectada formuló denuncia el 26/11/2018 ante la Comisaria de Policía de ***LOCALIDAD.1, posteriormente ampliadas en la Comisaría de Policía de ***LOCALIDAD.2, así como reclamación ante la Consejería de Sanidad de la Comunidad de Madrid el 26/11/2018 por los mismos hechos. También consta escrito dirigido a HM solicitando las copias de los documentos firmados en relación con su ingreso hospitalario. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El RGPD en su artículo 5, Principios relativos al tratamiento de datos personales, señala que: “1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»); (…) Por otra parte, el artículo 6 del RGPD, Licitud del tratamiento, señala que: “1. El tratamiento solo será licito si se cumplen al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…) El artículo 4 del RGPD, Definiciones, en su apartado 11 señala que: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” Y el artículo 7 del citado Reglamento, Condiciones para el consentimiento, señala que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. III Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime, como el consentimiento del interesado para el tratamiento de los datos personales para uno o varios fines específicos. En el presente caso, se imputa a HM la vulneración del artículo 6.1.
- a)del RGPD al evidenciarse la ilicitud del tratamiento en la obtención del consentimiento por parte del reclamado; procedimiento que se instruye además de por la falta de adaptación de la normativa de protección de datos al nuevo RGPD, por las cláusulas incluidas en el documento Solicitud de Ingreso Urgente aportado por la reclamante y que fue expedido por HM. Hay que destacar que en el citado documento se evidencia la ausencia de adaptación a la nueva normativa en materia de protección de datos y la obsolescencia de las cláusulas incluidas en el mismo para la obtención del consentimiento. En primer lugar, hace referencia a la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal, que no se encontraba en vigor en el momento en el que se recabaron los datos de carácter personal, noviembre de 2018, de lo que se deduce que su contenido no se encontraba adaptado a lo establecido en la normativa vigente en el momento de recoger la información relativa a los datos de carácter personal, pues el RGPD es de plena aplicabilidad a partir del 25/05/2018, tras un periodo de dos años desde su aprobación que se estimó suficiente para adecuarse a las obligaciones recogidas en el mismo. En segundo lugar, la fórmula para obtener el consentimiento de la reclamante en el momento de su ingreso hospitalario, tanto para información a terceros como para el envío de publicidad, es inadecuada no cumpliendo los requisitos del RGPD. El reclamado contempla la utilización de los datos personales de la reclamante con finalidades distintas del mero cumplimiento de la relación negocial. En concreto, en la cláusula del documento Solicitud de Ingreso Urgente, HM limita las opciones del interesado en la marcación de las casillas a través de las cuales deja constancia de su oposición a los indicados tratamientos de datos, tanto en relación con la información a terceros como en el envío de publicidad. El formulario de recogida de datos y prestación del consentimiento dice así: Si no desea que se facilite esta información a terceros, marque esta casilla Asimismo, y salvo indicación expresa, autorizo al responsable del fichero HM HOSTALES 1989, S.A., a la utilización de los datos personales del paciente para el envío de información de sus productos y servicios, pudiendo revocar dicho consentimiento en cualquier momento. Si no desea autorizar el envío de publicidad, marque esta casilla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Con este mecanismo el consentimiento se recaba mediante la inacción del interesado (Si no desea…, marque esta casilla), en contra de lo establecido en el RGPD. No se trata de una acción afirmativa, sino de una pura inacción que no asegura que el interesado otorgue inequívocamente el consentimiento (normalmente cuando marcas algo es porque lo quieres, no porque no lo quieres; puede no haber entendido la doble negación; puede no haber prestado la atención debida al leer rápidamente las indicaciones en cuestión). Se trata, en definitiva, de un consentimiento tácito (el consentimiento se deduce de la inacción) y por tanto contrario al RGPD. Por tanto, no se cumple el requisito según el cual “el consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen”, entendiéndose que “la inacción no debe constituir consentimiento” (Considerando 32). El RGPD excluye el consentimiento tácito y exige que sea explícito. Con la entrada en vigor del RGPD y la nueva LOPDGDD, solo será válido el consentimiento expreso. La novedad más importante respecto al consentimiento que incorpora el RGPD se basa es que debe otorgarse a través de un acto afirmativo claro que evidencie una declaración de voluntad libre, específica, informada e inequívoca del interesado de admitir el tratamiento de datos de carácter personal que le afectan; que no exista la más mínima duda de que ha habido voluntad manifiesta por parte del cliente, dando su consentimiento expreso para poder tratar sus datos personales con los fines específicos detallados en el formulario. El RGPD no acepta la inactividad; la petición de consentimiento ha de ser clara y concreta, que no altere inútilmente el uso del servicio para el que se presta. Todo ello no hace sino insistir en la necesidad de que el interesado consienta expresamente el tratamiento, no siendo un medio adecuado el establecimiento de fórmulas como las señaladas en el impreso-formulario de ingreso de HM. La referencia a manifestar la negativa al tratamiento permite redactar el texto en sentido negativo. Esto es, se puede señalar como se hace en el formulario “si no desea que se facilite esta información marque esta casilla” ó “si no desea autorizar el envió de publicidad marque esta casilla”, en lugar de una marcación positiva “marque esta casilla si desea que se facilite o ceda esta información” ó “marque esta casilla si desea recibir publicidad”, ya que la diferencia entre un texto y otro es importante puesto que se suele utilizar el primero porque crea confusión y la tendencia a no marcar la casilla. Por tanto, HM vulneró el artículo 6.1 del RGPD, no al obtener el consentimiento de la reclamante, sino al incluir en el documento Solicitud de Ingreso Urgente, como se señala anteriormente, una forma de obtener el consentimiento en el momento de su ingreso hospitalario, tanto para información a terceros como para el envío de publicidad, inadecuada no cumpliendo los requisitos del RGPD. IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
- a)del RGPD, que considera que la infracción de “los principios básicos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” La representación de la denunciada ha alegado que la infracción no puede tipificarse como muy grave y que se tengan en cuenta las medidas adoptadas con posteriormente durante el procedimiento iniciado por la Agencia, evidenciando la implantación de medidas de seguridad para subsanar cualquier error que se pudiese producir. En el presente caso, ha quedado acreditado que HM vulneró el artículo 6.1.
- a)como consecuencia de la formula inadecuada y obsoleta de obtener el consentimiento incluido en la cláusula del documento Solicitud de Ingreso Urgente en el momento del ingreso hospitalario tanto para información a terceros como para el envío de publicidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 al no cumplir los requisitos del RGPD y la falta de adaptación del documento al citado Reglamento. Por otra parte, de acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de la que se responsabiliza a HM, en una valoración inicial, se estiman concurrentes los siguientes factores: - El alcance meramente local del tratamiento llevado a cabo por la entidad reclamada. - La duración de la infracción puesto que la adaptación a la nueva normativa de protección de datos debió haberse realizado a partir del 25/05/2018, fecha de entrada en vigor del RGPD. - El daño y perjuicio causado a la reclamante, puesto que como consecuencia de la incidencia producido tuvo que dirigirse a la entidad interponiendo reclamación, ante la Consejería de Sanidad y denuncia ante la policía. - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, puesto que debido a su actividad trata habitualmente datos de clientes y de terceros. - La entidad reclamada tiene la consideración de una gran empresa. - No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque se observa una actuación negligente. - Solo se ha visto afectada una persona por la conducta infractora. - También es digno de destacar que la entidad ha aportado documentación que acredita haber adoptado medidas para evitar que se vuelvan a producir incidencias como la reclamada. Por tanto, de conformidad con los criterios de graduación establecidos, tanto adversos como favorables, se propone una sanción de 60.000 euros de la que HM debe responder. No obstante, HM ha reconocido en el escrito de alegaciones al acuerdo de inicio del presente procedimiento que el 08/11/2018 el documento Solicitud de ingreso urgente no se encontraba adaptado a la nueva normativa de protección de datos, en concreto al RGPD, reconociendo su responsabilidad en los hechos, por lo que de conformidad con el artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), lleva aparejada una reducción de un 20% de la sanción que proceda imponer, equivalente en este caso a 12.000 euros, por lo que con la aplicación de esta reducción, la sanción quedaría establecida en 48.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a HM HOSPITALES 1989, S.A., con NIF A79325858, por una infracción del Artículo 5.1.
- a)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 48.000 € (cuarenta y ocho mil euros). SEGUNDO: NOTIFICAR la presente resolución a HM HOSPITALES 1989, S.A. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es