PS-00197-2025

1/52  Expediente N.º: EXP202414355 (PS/00197/2025) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos tuvo conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A., la farmacia, ***FARMACIA.1 o parte denunciada), a raíz de una denuncia presentada por la Direcció General D’Ordenació i Regulació Sanitària de la Comunidad Autónoma de Cataluña tras la realización de inspecciones a oficinas de farmacia en el ejercicio de sus competencias. La denuncia tuvo entrada en la AEPD el 7 de septiembre de 2023, remitida por la Autoritat Catalana de Protecció de Dades en cumplimiento del artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En la misma, la Direcció General D’Ordenació i Regulació Sanitària alerta sobre posibles vulneraciones de la normativa de protección de datos respecto al tratamiento de datos personales de residentes en centros geriátricos por parte de determinadas oficinas de farmacia como, entre otros: presuntos accesos y cesiones ilícitos a datos personales de salud o el intercambio de datos personales a través de medios electrónicos no seguros. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 19 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: .-1.-. Respecto a la información proporcionada por el Servicio de Inspección de Farmacia de Cataluña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/52 Para el caso particular que nos ocupa, el Servicio de Inspección de Farmacia aporta la siguiente información en sus escritos de respuesta con fecha de registro 22 de enero de 2024 y con fecha de registro 14 de mayo de 2024: 1.1-. Inspección a ***FARMACIA.1 ***ACTA.1 de 9 de mayo de 2023. Extractos del acta (…) .-1.2-. Inspección a ***FARMACIA.1 de 9 de abril de 2024. Extractos del acta ***ACTA.2 (…) .-1.3-. Inspección a Residencia ***RESIDENCIA.1. Extractos del acta ***ACTA.3 3. El 7 de noviembre de 2023, se realizó una inspección la Residència ***RESIDENCIA.1 (…). • (…) .-1.4-. Inspección a farmacia ***FARMACIA.2. Extractos del acta ***ACTA.4 (…) .-1.5-. Inspección a farmacia ***FARMACIA.3. Extractos del acta ***ACTA.5. (…) .-1.6-. Inspección a farmacia ***FARMACIA.4. Extractos del acta ***ACTA.6 6. El 10 de enero de 2024 se realizó una inspección la farmacia ***CÓDIGO.1, situada en (...), la titular de la cual es E.E.E. (hasta entonces era cotitular de la misma). • (…) .-1.7-. Inspección a farmacia ***FARMACIA.5. Extractos del acta ***ACTA.7 1. El 12 de febrero de 2024 se realizó inspección de la farmacia ***CÓDIGO.2, situada en (…), el titular de la cual es B.B.B.. • (….) .-1.8-. Inspección a farmacia ***FARMACIA.6. Extractos del acta ***ACTA.8 2. El 14 de febrero de 2024 se realizó inspección de la farmacia ***FARMACIA.3, situada (…), las titulares de la cual son C.C.C. y D.D.D.. • (…). .-2-. Respecto a las evidencias aportadas en el acta de inspección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/52 Para el caso particular de esta oficina de farmacia, el Servicio de Inspección de Farmacia aporta el Servicio de Inspección de Farmacia aporta las Actas de Inspección especificadas en el apartado previo, en las que se corroboran las manifestaciones anteriores: .-2.1-. ACTA ***ACTA.1 a ***FARMACIA.1 respecto a inspección de 9 de mayo de 2023. Acta de Inspección de Farmacia realizada el día 09/05/2023 con el motivo de comprobar (…). En el acta se especifican las manifestaciones mostradas a continuación (traducción no oficial): (…) .-2.2-. ACTA ***ACTA.2 a ***FARMACIA.1 respecto a la inspección de 9 de abril de 2024. (…) Esta acta incluye las siguientes evidencias: • (…) .-2.3-. ACTA ***ACTA.4 a farmacia ***FARMACIA.2. (…) .-2.2.4-. ACTA ***ACTA.3 a Residència ***RESIDENCIA.1. (…) .-2.2.5-. ACTA ***ACTA.5 a farmacia ***FARMACIA.3. (…) En la que se especifican las manifestaciones mostradas a continuación (traducción no oficial) en lo referente a la ***FARMACIA.1: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/52 .-2.2.6-. ACTA ***ACTA.6 a farmacia ***FARMACIA.4 (…) .-2.2.7-. ACTA ***ACTA.7 a farmacia B.B.B. . (…) .-2.2.8-. ACTA ***ACTA.8 a farmacia ***FARMACIA.6 (…) En el acta se corroboran las manifestaciones referentes a la parte denunciada, aportadas por el Servicio de Inspección de Farmacia como resumen, que son casi una traducción literal del acta. Adicionalmente, referente a la parte denunciada, en el acta se refleja: (…) .-3-. Respecto a la información aportada por la parte denunciada en las respuestas a los requerimientos de información de la AEPD. Con fecha 6 de noviembre de 2024 se realiza un requerimiento de información a la parte denunciada solicitándole, entre otros puntos, el listado de las residencias a las que presta o ha prestado servicio, descripción de los tratamientos realizados y su base de legitimación, la copia del Registro de actividades de tratamiento (en adelante, RAT), del Análisis de Riesgos y de la Evaluación del Impacto (en adelante, EIPD) e información sobre el intercambio de los datos personales con terceras entidades. La notificación se realizó por sede electrónica el 3/02/2025. La parte denunciada responde a este requerimiento de información con fecha de registro 21 de febrero de 2025, proporcionando la siguiente documentación adjunta a su escrito de respuesta: - Contrato de explotación de oficina de farmacia, y manifestación de titularidad real (Ley 10/2010, de 28 de abril) de la oficina de farmacia, sita en la (...) - Escritura de poder general con fecha14/12/2023 de A.A.A. a ***EMPRESA.1. - Escritura de revocación de poder a ***EMPRESA.1 con fecha 30/11/2023 - Querella criminal presentada contra ***EMPRESA.1, ***EMPRESA.2 y ***EMPRESA.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/52 - Denuncia ante ***ORGANISMO.1 con fecha 12 de febrero de 2024. - Listado de residencias. - Correo electrónico en relación con la residencia ***RESIDENCIA.2. - Correo Reclamación datos (...)+ (***FARMACIA.1) para acceso a ***EMPRESA.2 - Email en el que se comunica el fin de la relación con la residencia ***RESIDENCIA.2. - Burofax enviado a ***EMPRESA.2 en fecha 19/03/2024. - Burofax enviado a Farmacia ***FARMACIA.7 en fecha 19/03/2024. La parte denunciada ofrece la siguiente información en su escrito de respuesta al requerimiento (el subrayado ha sido incorporado por la Agencia): “Desde la formalización de la adquisición de la farmacia en junio de 2022, todas las decisiones operativas y administrativas han sido gestionadas por la mercantil ***EMPRESA.1., dirigida por F.F.F., mediante un contrato de explotación (Doc. 1) y un poder general (Doc. 29) que le otorgaban plena capacidad de actuación sobre la farmacia. Este poder, revocado en 2023 (Doc. 11), permitió a ***EMPRESA.1. firmar contratos, gestionar datos personales y operar la farmacia sin mi intervención ni mi consentimiento real. En la práctica, yo no era más que un trabajador dentro de la farmacia, sin capacidad de gestión ni toma de decisiones, mientras que los verdaderos propietarios y gestores del negocio eran ***EMPRESA.1. y F.F.F.. No solo se me privó de toda capacidad de decisión, sino que se utilizó mi identidad para avalar contratos y autorizar migraciones de datos personales sin mi conocimiento, lo que ha generado una grave vulneración de mis derechos, y daños personales y económicos que me han dejado en una situación de quiebra. Se adjunta Querella criminal presentada contra ***EMPRESA.1, ***EMPRESA.2 y ***EMPRESA.3 (Doc. 4) Además, existen pruebas contundentes de que el tratamiento de datos personales de los residentes fue realizado sin mi supervisión ni mi consentimiento, ya que nunca tuve acceso a los sistemas de gestión informática ni a los registros de los residentes atendidos en la farmacia. Revisados los poderes, se observa que la escritura de revocación de poder tiene fecha anterior a la escritura de poder facilitada por la parte denunciada: - Escritura de poder general con fecha14/12/2023 de A.A.A. a ***EMPRESA.1. Por el mismo se confiere un poder general en favor de F.F.F., en tanto que administrador de ***EMPRESA.1 en los siguientes términos: - C/ Jorge Juan, 6 28001 – Madrid (…) www.aepd.es sedeagpd.gob.es 6/52 - Escritura de revocación de poder a ***EMPRESA.1 con fecha 30/11/2023, en la que A.A.A. revoca el poder conferido a ***EMPRESA.1 en la escritura de poder autorizada en fecha treinta de junio de dos mil veintidós (30/06/2022). Se analiza el documento denominado “Contrato de explotación de oficina de farmacia, y manifestación de titularidad real (Ley 10/2010, de 28 de abril) de la oficina de farmacia, sita en (...)”. Es un documento firmado con fecha 30 de junio de 2022 entre A.A.A. (farmacéutico) y F.F.F. (administrador solidario de ***EMPRESA.1) (…) Con relación a la querella criminal presentada contra ***EMPRESA.1, ***EMPRESA.2 y ***EMPRESA.3, se observa que se interpone ante el ***JUZGADO.1 con fecha 10 de enero de 2024: (…) La parte denunciada continúa explicando en su escrito de respuesta al requerimiento: “I. IMPOSIBILIDAD DE PRESENTAR DOCUMENTACIÓN SOBRE EL TRASPASO DE LOS ROBOTS No puedo aportar ninguna documentación relativa al traspaso de los robots de preparación de SPD por la sencilla razón de que estos dispositivos fueron sustraídos y trasladados sin mi consentimiento. Según la información proporcionada por los propios trabajadores de la farmacia, los robots fueron desmontados por empleados de ***EMPRESA.1. y trasladados a ***FARMACIA.7 sin ninguna autorización formal por mi parte. La desaparición de los robots de farmacia ha impedido acceder a los datos personales de los residentes y a los registros de dispensación de medicación. Ante la gravedad de estos hechos, interpuse una denuncia ante ***ORGANISMO.1 (Doc. 22), en la que expuse la sustracción de los dispositivos y la posible manipulación de información contenida en ellos. Hasta la fecha, no se ha recibido ninguna explicación por parte de ***EMPRESA.1 sobre el destino final de estos robots ni sobre la integridad de los datos personales que manejaban. La denuncia ante ***ORGANISMO.1 tiene fecha 12 de febrero de 2024 y en ella la parte denunciada manifiesta: (…) La parte denunciada continúa explicando en su escrito de respuesta al requerimiento: “II. INFORMACIÓN SOBRE LAS RESIDENCIAS ATENDIDAS En relación con las residencias a las que la farmacia ha prestado servicio, dispongo de un listado de residencias obtenido a través de diferentes documentos (Doc. 50). Sin embargo, no tengo acceso a los contratos firmados con estas residencias ni a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/52 documentación administrativa relacionada con la prestación del servicio, dado que toda la gestión comercial y contractual ha sido llevada exclusivamente por ***EMPRESA.1, a través de F.F.F.. Dicho listado es meramente informativo y no contiene detalles sobre las condiciones contractuales, volúmenes de pacientes atendidos ni las bases legales del tratamiento de datos personales, información que debe ser requerida directamente a ***EMPRESA.1. Además, en relación con la residencia ***RESIDENCIA.2, quedó acreditado mediante correo electrónico (Doc. 241) que todas las gestiones con esta residencia fueron realizadas exclusivamente por F.F.F., sin que yo tuviera conocimiento de los acuerdos ni acceso a la documentación contractual. Cuando solicité una copia del contrato con ***RESIDENCIA.2, se me informó de que esta relación siempre se había tratado con F.F.F., sin intervención alguna por mi parte. El documento “listado de residencias” especifica las siguientes residencias: (…) Se coteja este listado con las farmacias especificadas en el acta ***ACTA.1 y se comprueba que este listado es incompleto. El documento “correo electrónico en relación con la residencia ***RESIDENCIA.2” es un correo con fecha 16/01/2024 de la ***RESIDENCIA.3 como respuesta a la solicitud de ***FARMACIA.1 respecto al motivo del fin de la relación laboral con su farmacia y la solicitud de la copia del contrato con el centro. (…) La parte denunciada continúa detallando en su escrito de respuesta al requerimiento: “III. RELACIÓN ENTRE LA FARMACIA Y LAS EMPRESAS INTERVINIENTES Respecto a la relación entre la farmacia y las distintas empresas intervinientes en la gestión de datos personales, la farmacia ***CÓDIGO.3 ha operado bajo un esquema completamente gestionado por terceros, sin que yo tuviera capacidad alguna de supervisión o decisión sobre los acuerdos con estas empresas. 1. ***EMPRESA.1. Desde el primer momento, ***EMPRESA.1., a través de F.F.F., gestionó completamente la farmacia como si fuera suya, sin consultarme las decisiones que tomaba. Según el contrato de explotación (Doc. 1) y el poder general que firmé en 2022 (Doc. 29), ***EMPRESA.1 tenía control total sobre el negocio: ellos manejaban las cuentas, firmaban contratos, negociaban con proveedores y decidían con qué empresas trabajar. 2. ***EMPRESA.2 ***EMPRESA.2., cuyo administrador (G.G.G.) era socio y administrador solidario de ***EMPRESA.1, era la empresa que proporcionaba el software de gestión farmacéutica ***EMPRESA.2, utilizado para la dispensación de medicación y el tratamiento de datos personales de los residentes en residencias geriátricas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/52 Nunca tuve acceso a este software, ni credenciales ni usuario asignado (Doc. 33). De hecho, cuando solicité información sobre el acceso a estos datos, ***EMPRESA.2 me lo negó, lo que demuestra que yo no tenía ninguna capacidad de gestión sobre los datos personales que se manejaban en la farmacia. (…)” Respecto al acceso a ***EMPRESA.2, presenta: “Correo Reclamación datos (...)+ (***FARMACIA.1)”, el documento muestra un intercambio de correos entre la fecha 28 de febrero de 2024 y 1 de marzo de 2024 en el que A.A.A. solicita acceso al sistema(...) al departamento de soporte de ***EMPRESA.2: (…) Y como respuesta: (…) La parte investigada aporta el correo en el que se comunica el fin de la relación con la residencia ***RESIDENCIA.2: (…) También aporta dos burofaxes enviados ***FARMACIA.7 en fecha 19/03/2024. a ***EMPRESA.2 y a Farmacia Burofax enviado a ***EMPRESA.2 en fecha 19/03/2024. (…) Burofax enviado a Farmacia ***FARMACIA.7 en fecha 19/03/2024. (…) Por último, la parte denunciada señala: “Por todo lo expuesto, no puedo aportar la documentación solicitada sobre la gestión de datos personales en la farmacia, dado que nunca tuve acceso a estos datos ni participé en su tratamiento. Toda la información y contratos relacionados con residencias y proveedores fueron gestionados exclusivamente por ***EMPRESA.1 y ***EMPRESA.2 S.L., quienes son los únicos responsables del tratamiento de estos datos”. El Servicio de Inspección de Farmacia ha corroborado el cierre temporal voluntario de la ***FARMACIA.1 con efectos de 15 de octubre de 2024. CUARTO: La oficina de farmacia ***CÓDIGO.4, con nombre ***FARMACIA.1, situada en (…), es titularidad de A.A.A. con NIF ***NIF.1 desde el 30 de junio de 2022. La farmacia cuenta con autorización para el cierre temporal voluntario desde el 15 de octubre de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/52 QUINTO: Con fecha 12 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte denunciada, por: ─ ─ ─ ─ ─ Una presunta infracción del artículo 6 del RGPD tipificada en el artículo 83.5.

1. a)del RGPD por el tratamiento de datos personales para preparar sistemas personalizados de dosificación sin contar con el consentimiento expreso de los pacientes. Una presunta infracción del artículo 6 del RGPD tipificada en el artículo 83.5.
2. a)del RGPD por el tratamiento de datos personales para la dispensación de medicación sin contar con base de legitimación. Una presunta infracción del artículo 6 del RGPD tipificada en el artículo 83.2.
3. a)del RGPD por cesión ilícita de datos personales a terceros no autorizados. Una presunta infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.
4. b)del RGPD por no facilitar la información exigida cuando los datos personales no son obtenidos del interesado y, Una presunta infracción del artículo 32 del RGPD, tipificada en el artículo y 83.4.
5. a)del RGPD por carecer de medidas técnicas y organizativas de seguridad adecuadas al riesgo. SEXTO: Tras dos intentos de notificación del acuerdo de inicio por vía postal los días 16 y 25 de abril de 2025, de acuerdo con el artículo 44 de la LPACAP se procedió a la notificación por medio de un anuncio publicado en el Boletín Oficial del Estado (BOE) el 6 de mayo de 2025. Notificado el 21 de mayo de 2025 el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegaciones por la parte denunciada. El artículo 64.2.
6. f)de la LPACAP -disposición de la que se informó a la parte denunciada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la denunciada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte denunciada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
7. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/52 PRIMERO: Desde el 30 de junio de 2022, A.A.A., con NIF ***NIF.1, es titular de la oficina de farmacia ***CÓDIGO.4, ***FARMACIA.1, (…). SEGUNDO: Los días 9 de mayo de 2023 y 9 de abril de 2024, el Servicio de Inspección de Farmacia de la Comunidad Autónoma de Cataluña, realizó inspecciones de farmacia a la oficina de farmacia ***CÓDIGO.4 titularidad de A.A.A., a raíz de las cuales se dictaron, respectivamente, las actas de inspección ***ACTA.1 y ***ACTA.2. TERCERO: Asimismo, el Servicio de Inspección de Farmacia de la Comunidad Autónoma de Cataluña realizó inspecciones en las oficinas de farmacia siguientes: - El 23 de noviembre de 2023, en la oficina de farmacia ***CÓDIGO.5, sita en (...), dictándose el acta de inspección ***ACTA.4. - El 28 de noviembre de 2023, en la oficina de farmacia ***CÓDIGO.6, situada en (...), dando lugar al acta ***ACTA.5. - El 10 de enero de 2024, en la oficina de farmacia ***CÓDIGO.1, ubicada en (...), dando lugar al acta ***ACTA.6. - El 14 de febrero de 2024, en la oficina de farmacia ***FARMACIA.3, situada en (...), dictándose el acta de inspección ***ACTA.8. - El 12 de abril de 2024, en la oficina de farmacia ***CÓDIGO.2, ubicada en la (...) dando lugar al acta de inspección ***ACTA.7. El 14 de febrero de 2024 la inspección se llevó a cabo en la oficina de farmacia ***FARMACIA.3, situada en (...), dictándose el acta de inspección ***ACTA.8. CUARTO: Entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2024 A.A.A. preparó sistemas personalizados de dosificación (SPD), previa dispensación de la medicación a estos efectos, para aproximadamente 1.500 pacientes de 29 centros geriátricos de Cataluña, de acuerdo con las mencionadas actas. En concreto: (…) QUINTO: Para la preparación de sistemas personalizados de dosificación y para la dispensación de medicamentos trataba los datos personales de los residentes, incluyendo datos de salud. SEXTO: A.A.A. no dispone del consentimiento informado de los mencionados pacientes para la preparación de SPD. SÉPTIMO: Tampoco consta acreditada base legitimadora que amparara el tratamiento de datos personales realizado por A.A.A. para la dispensación de medicamentos anteriormente señalada. OCTAVO: Entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2024 A.A.A. facilitó de manera periódica datos personales de residentes (nombre, apellidos y CIPA, entre otros) a otras oficinas de farmacia (***CÓDIGO.5, ***CÓDIGO.2, ***CÓDIGO.1 y ***FARMACIA.3, al menos), para que estas procedieran a la dispensación de pañales, tal y como se recoge en las actas del Servicio de Inspección de Farmacia de Cataluña correspondientes a sus respectivas inspecciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/52 NOVENO: No consta consentimiento de los interesados a favor de A.A.A. para la comunicación de datos personales, incluyendo datos de salud, a otras farmacias para que estas dispensaran pañales para los pacientes. DÉCIMO: La comunicación de los datos personales a otras farmacias para la dispensación por estas de pañales se realizaba desde la dirección de correo electrónico ***EMAIL.1 mediante la remisión de documentos Excel. Los documentos Excel se enviaban mediante correo electrónico carente de cualquier tipo de cifrado u otras medidas de seguridad, de acuerdo con las mencionadas actas. Además, la parte denunciada facilitaba claves de acceso a otras farmacias al programa ***EMPRESA.2. En este programa figuraban los datos personales de los residentes, como el nombre, apellidos, DNI, tarjeta sanitaria, CIPA o la receta electrónica, entre otros. UNDÉCIMO: A.A.A. no facilitó ninguna información sobre el tratamiento de sus datos personales a los residentes de los 29 centros geriátricos para quienes dispensaba medicación, preparaba SPD o cuyos datos facilitaba a otras farmacias que estas procedieran a la dispensación de sus pañales, ni mientras tuvo lugar el tratamiento, entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2024, ni con posterioridad. DUODÉCIMO: El responsable del tratamiento en materia de protección de datos personales es A.A.A., con NIF ***NIF.1, en tanto que titular de la oficina de farmacia. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/52 1. Normativa sectorial aplicable 1.1 Oficinas de farmacia Las oficinas de farmacia son, de acuerdo con el artículo 86.6 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, establecimientos sanitarios privados, de interés público. Su regulación se encuentra, entre otras normas de aplicación, en la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 16/1997, de 25 de abril, de Regulación de Servicios de las Oficinas de Farmacia; el Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios; así como en la legislación autonómica aplicable como, en el caso de Cataluña, la Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. Tanto la Ley 14/1986, de 25 de abril como la Ley 16/1997, de 25 de abril, señalan: “el farmacéutico titular-propietario de las mismas, asistido, en su caso, de ayudantes o auxiliares, deberá prestar los siguientes servicios básicos a la población: 1. La adquisición, custodia, conservación y dispensación de los medicamentos y productos sanitarios. 2. La vigilancia, control y custodia de las recetas médicas dispensadas (…)”. Por su parte, el artículo 3 del Real Decreto Legislativo 1/2015, de 24 de julio, es más tajante al afirmar que la custodia, conservación y dispensación de medicamentos de uso humano corresponde exclusivamente a: “
8. a)A las oficinas de farmacia abiertas al público, legalmente autorizadas.
9. b)A los servicios de farmacia de los hospitales, de los centros de salud y de las estructuras de atención primaria del Sistema Nacional de Salud para su aplicación dentro de dichas instituciones o para los medicamentos que exijan una particular vigilancia, supervisión y control del equipo multidisciplinar de atención a la salud, de conformidad con la calificación otorgada por la Agencia Española de Medicamentos y Productos Sanitarios para tales medicamentos (…)”. Las oficinas de farmacia están obligadas, de acuerdo con el artículo 86.3 del Real Decreto Legislativo 1/2015, de 24 de julio, a la “dispensación de medicamentos que se les demanden tanto por los particulares como por el Sistema Nacional de Salud en las condiciones reglamentarias establecidas”. No obstante, debe respetarse el principio de libre elección de farmacia. Así esta norma consagra como infracción grave en su artículo 111 b): “26.ª Coartar la libertad del usuario en la elección de la oficina de farmacia mediante cualquier acto u omisión”. También se tipifica como infracción grave en el mismo artículo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/52 “22.ª Defraudar, las oficinas de farmacia, al Sistema Nacional de Salud o al beneficiario del mismo con motivo de la facturación y cobro de recetas oficiales”. Se subraya, asimismo, que, de acuerdo con el mencionado Real Decreto Legislativo, 1/2015, de 24 de julio, constituye una infracción muy grave según el artículo 111 c): “23.ª Realizar, por parte de las oficinas de farmacia, actividades de distribución de medicamentos a otras oficinas de farmacia, entidades de distribución autorizadas, u otras entidades, centros o personas físicas sin autorización para la actividad de distribución o bien la realización de envíos de medicamentos fuera del territorio nacional” Por su parte, la Ley 16/1997, de 25 de abril, consagra la figura del farmacéutico como elemento esencial e imprescindible para el funcionamiento de una oficina de farmacia al determinar en su artículo 5: “1. La presencia y actuación profesional de un farmacéutico es condición y requisito inexcusable para la dispensación al público de medicamentos. La colaboración de ayudantes o auxiliares no excusa la actuación de farmacéutico en la oficina de farmacia, mientras permanezca abierta al público, ni excluye su responsabilidad profesional. 2. Las Comunidades Autónomas podrán regular el número mínimo de farmacéuticos adjuntos, que, además del titular, deban prestar servicios en las oficinas de farmacia al objeto de garantizar la adecuada asistencia profesional a los usuarios. Esta regulación deberá tener en cuenta, entre otros factores, el volumen y tipo de actividad de las oficinas de farmacia y el régimen de horario de los servicios. 3. Sin perjuicio de la actuación del adjunto, el farmacéutico titular será responsable de garantizar el servicio a los usuarios”. Asimismo, el artículo 103 de la Ley 14/1986, de 25 de abril, General de Sanidad señala: “1. La custodia, conservación y dispensación de medicamentos corresponderá:
10. a)A las oficinas de farmacia legalmente autorizadas.
11. b)A los servicios de farmacia de los hospitales, de los Centros de Salud y de las estructuras de Atención Primaria del Sistema Nacional de Salud para su aplicación dentro de dichas instituciones o para los que exijan una particular vigilancia, supervisión y control del equipo multidisciplinario de atención a la salud. 2. Las oficinas de farmacia abiertas al público se consideran establecimientos sanitarios a los efectos previstos en el título IV de esta Ley. 3. Las oficinas de farmacia estarán sujetas a la planificación sanitaria en los términos que establezca la legislación especial de medicamentos y farmacias. 4. Sólo los farmacéuticos podrán ser propietarios y titulares de las oficinas de farmacia abiertas al público”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/52 En consecuencia, el titular de la farmacia es quien responde de las actuaciones realizadas por la oficina de farmacia y a quien cabe exigir responsabilidades. 1.2 Dispensación de medicamentos Además de la normativa anteriormente mencionada, resulta de interés en materia de dispensación farmacéutica el Real Decreto 1718/2010, de 17 de diciembre, sobre receta médica y órdenes de dispensación cuyo capítulo IV está dedicado a “la receta médica electrónica oficial del SNS”, contemplando los criterios generales de su desarrollo, así como la coordinación en el SNS. En su artículo 9, se señala: “1. La dispensación será realizada por las oficinas de farmacia conectadas al sistema de receta médica electrónica, mediante el procedimiento normalizado establecido por las autoridades sanitarias competentes, que determinarán sus condiciones específicas, siendo necesario el certificado electrónico del titular de la oficina de farmacia, o, en su caso, del farmacéutico regente, adjunto o sustituto, expedido por la entidad competente. 2. Tras la identificación inequívoca del paciente, y en su caso de la persona en quien delegue, el farmacéutico sólo podrá acceder desde los equipos instalados en la oficina de farmacia, con los requisitos y condiciones que se establecen en el apartado siguiente, a los datos necesarios para una correcta dispensación informada y seguimiento del tratamiento y dispensará exclusivamente, de entre las prescripciones pendientes de dispensar, las que el paciente solicite. 3. Sólo se permitirá el acceso de los farmacéuticos al sistema electrónico mediante la tarjeta sanitaria del paciente debidamente reconocida por el sistema de receta electrónica, debiendo ser devuelta de forma inmediata a su titular y sin que pueda ser retenida en la oficina de farmacia. El acceso del farmacéutico siempre quedará registrado en el mencionado sistema. 4. En el momento de la dispensación, los sistemas de receta electrónica deberán incorporar y remitir a las Administraciones sanitarias correspondientes, los datos de identificación del producto dispensado, codificados conforme al Nomenclátor oficial de productos farmacéuticos del Sistema Nacional de Salud, número de envases dispensados y su identificación unitaria cuando sea posible, identificación de la oficina de farmacia dispensadora, utilizando para ello el NIF/CIF de su titular, así como el número de identificación de la oficina de farmacia otorgado por la Administración sanitaria competente, y la fecha de dispensación, en el formato que el nodo nacional de intercambio tenga establecido al efecto. Esta información será la única que quedará a efectos de facturación en la organización farmacéutica colegial, en tanto intervenga como responsable de la misma, y estará a disposición de las Administraciones sanitarias competentes de conformidad con su normativa de aplicación”. Asimismo, en su artículo 11 determina: “El sistema de receta médica electrónica garantizará la seguridad en el acceso y transmisión de la información, así como la protección de la confidencialidad de los datos, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Se implantarán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/52 las medidas de seguridad de nivel alto, previstas en la referida normativa de protección de datos de carácter personal. Para garantizar dichos niveles de seguridad, esta información sólo será accesible desde la oficina de farmacia a efectos de dispensación, residirá de forma permanente en los sistemas de receta electrónica gestionados por las Administraciones sanitarias y no podrá ser almacenada en los repositorios o servidores ajenos a éstas, establecidos para efectuar la facturación, una vez esta se haya producido.” A nivel autonómico, en Cataluña destaca el Real Decreto 159/2007, de 24 de julio, Recepta electrònica i la tramitació telemàtica de la prestació farmacèutica a càrrec del Servei Català de la Salut. Por último, señalar la Orden SLT/72/2008, de 12 de febrero, por la que se desarrolla el Decreto 159/2007, de 24 de julio, por el que se regula la receta electrónica y la tramitación telemática de la prestación farmacéutica a cargo del Servicio Catalán de la Salud. En su artículo 7 determina: “Con el fin de acceder a la dispensación de recetas electrónicas, se tiene que identificar la persona paciente como titular del derecho a la prestación farmacéutica a la oficina de farmacia mediante la presentación de la tarjeta sanitaria individual, y se tiene que entregar al farmacéutico o farmacéutica la hoja de medicación activa donde se recoja el tratamiento para el que se solicita la dispensación del producto incluido en la prestación farmacéutica.” 1.3 Sistema personalizado de dosificación (SPD). El artículo 86.1 del Real Decreto Legislativo 1/2015, de 24 de julio, señala que, en las oficinas de farmacia, los farmacéuticos, son responsables de la dispensación de medicamentos a los ciudadanos y participarán en el uso racional de los mismos y abre la puerta a la posibilidad de implementación de este tipo de sistemas: “1. En las oficinas de farmacia, los farmacéuticos, como responsables de la dispensación de medicamentos a los ciudadanos, velarán por el cumplimiento de las pautas establecidas por el médico responsable del paciente en la prescripción y cooperarán con él en el seguimiento del tratamiento a través de los procedimientos de atención farmacéutica, contribuyendo a asegurar su eficacia y seguridad. Asimismo, participarán en la realización del conjunto de actividades destinadas a la utilización racional de los medicamentos, en particular a través de la dispensación informada al paciente. Una vez dispensado el medicamento podrán facilitar sistemas personalizados de dosificación a los pacientes que lo soliciten, en orden a mejorar el cumplimiento terapéutico, en los tratamientos y con las condiciones y requisitos que establezcan las administraciones sanitarias competentes”. La regulación del SPD parte de los Criterios consensuados entre las diferentes Comunidades Autónomas y la Agencia Española del Medicamento y Productos Sanitarios, para la preparación de sistemas personalizados de dosificación por parte de las oficinas de farmacia que define el SPD como (el subrayado es de la AEPD): “el conjunto de actuaciones profesionales farmacéuticas post dispensación desarrolladas por la oficina de farmacia, previa autorización por parte del paciente o de su representante legal, que confluyen en el proceso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/52 reacondicionamiento de todos o de parte de los medicamentos que toma un paciente polimedicado en dispositivos de dosificación personalizada (DDP), tipo multidosis (blíster con alvéolos), multicompartimental (pastilleros semanales o bandejas de medicación compartimentadas) u otros similares con igual finalidad, para un periodo determinado, con el objetivo de facilitar la correcta utilización de los mismos mediante una buena información al paciente y una adecuada preparación y supervisión del tratamiento. Los medicamentos pueden extraerse de su envase primario original antes de prepararse en DDP o ser preparados en DDP manteniendo el envase primario”. Tal y como se establece en los criterios, los requisitos en estos establecidos serán de aplicación tanto en lo casos en los que la SPD se realice a pacientes que los recojan en la propia oficina de farmacia, como en aquellos supuestos en los que los pacientes se encuentren en centros residenciales: “Los requisitos establecidos en este documento serán de aplicación tanto en los casos de SPD preparados a solicitud de pacientes para su entrega en la oficina de farmacia como en aquellos otros casos que vayan destinados a pacientes institucionalizados. Las oficinas de farmacia pueden preparar medicación en SPD para aquellos pacientes de la misma que lo soliciten, una vez les hayan dispensado la medicación prescrita por un facultativo. En cualquier caso, la receta médica (o documento de indicación facultativa en caso de medicamentos no sujetos a prescripción médica) debe estar disponible en la farmacia en su formato original, u otro soporte válido autorizado (receta electrónica), antes de dispensar los medicamentos”. Asimismo, se establecen, con carácter general los siguientes requisitos para que una oficina de farmacia pueda prestar este tipo de servicios: “- Declaración responsable del titular de la oficina de farmacia (…) - Preparación: La preparación de los medicamentos en SPD debe realizarse por la misma oficina de farmacia en la cual han sido dispensados y que es la que lleva a cabo la entrega de los dispositivos y el seguimiento del cumplimiento terapéutico de los pacientes. En ningún caso, puede encargarse la preparación de los SPD a otra oficina de farmacia o a un tercero, ni tampoco pueden prepararse SPD para terceros. (…) - Documentación necesaria: .Registro de datos de los pacientes que deben cumplir con la normativa vigente de protección de datos. .Hojas de control de la medicación activa del paciente deben incluir la dosis, posología y duración del tratamiento. .Justificantes de cambios de tratamiento del prescriptor del centro. .Consentimiento por escrito del paciente (…)” A partir de estos criterios consensuados, cada Comunidad Autónoma puede establecer sus propias guías, instrucciones o documentos. Así, Cataluña cuenta con la Guia de seguiment farmacoterapèutic amb Sistemes Personalitzats de Dosificació (Guía de seguimiento farmacoterapéutico con sistemas personalizados de dosificación, en adelante, Guía SPD) de 2012, que exigía contar con una autorización administrativa específica concedida por el órgano competente ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/52 sea para preparar SPD de manera manual o de manera automatizada. La autorización deberá renovarse cada 5 años y cuando se produzca un cambio de titularidad o de robot, entre otros supuestos (traducción no oficial): “(…) 5. Autorización administrativa: Los farmacéuticos titulares de una oficina de farmacia que quiera llevar a cabo el servicio de SPD requieren de una autorización administrativa al efecto. La resolución de las solicitudes corresponde al Director General de Regulación, Planificación y Recursos Sanitarios del Departamento de Salud (…)”. En el año 2014 fue actualizada la Guía SPD, pasando de un sistema basado en la autorización administrativa a un sistema de adhesión al Convenio suscrito entre la Administración y el Colegio de Farmacéuticos de Cataluña (traducción no oficial): “5. Adhesión Los farmacéuticos titulares de la oficina de farmacia que quieran llevar a cabo el servicio de seguimiento farmacoterapéutico con SPD han de formalizar su adhesión al convenio de colaboración entre el Departamento de Salud y el Consejo del Colegio de Farmacéuticos de Cataluña para la prestación del servicio de seguimiento farmacoterapéutico con sistemas personalizados de dosificación a las oficinas de farmacia. La adhesión al convenio de colaboración comporta el cumplimiento de los siguientes requisitos: a. Asumir las responsabilidades inherentes a esta actividad y durante el tiempo dentro del conjunto de actividades de atención farmacéutica, siguiendo el protocolo de la Guía de seguimiento farmacoterapéutico con sistemas personalizados de dosificación del Departamento de Salud y el Consejo del Colegio de Farmacéuticos de Cataluña. b. En el caso de traslado de la oficina de farmacia, cambio de titularidad, o modificación estructural sustancial posterior de las condiciones existentes en el momento de la adhesión, debe formalizarse de nuevo. El formulario de adhesión (anexo I) debe presentarse en el Colegio de Farmacéuticos del ámbito territorial correspondiente a través de la página web del Colegio de Farmacéuticos. El Colegio Oficial de Farmacéuticos verificará los datos del formulario y formalizará la adhesión. Adherido al Convenio, el farmacéutico titular también deberá notificar a la Agencia Española de Protección de Datos (AEPD) el nuevo fichero creado por la prestación del servicio. El formulario de adhesión debe contener la siguiente información: a. Datos de la oficina de farmacia: Nombre y apellidos del/los farmacéutico/s titular/es de la oficina de farmacia. Datos de identificación de la oficina de farmacia (dirección y número de oficina de farmacia). Datos de contacto: teléfono, correo electrónico. b. Datos del personal de la oficina de farmacia que interviene en el programa: Nombre y apellidos de los distintos trabajadores. Para cada uno de ellos: Titulación académica Puesto de trabajo: farmacéutico titular, regente, adjunto, sustituto, técnico o auxiliar. Tipo de responsabilidad atribuida en el programa, de acuerdo con el punto 4.2.3. de la presente guía.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/52 Además, se establece que, una vez que se tuviera la habilitación para poder preparar SPD, en tanto que condición previa, es necesario contar con el consentimiento previo informado del paciente (traducción no oficial): “4.4.3. Consentimiento informado del paciente Para poder llevar a cabo el servicio, es necesario disponer de la autorización firmada del paciente o el representante legal (Anexo 3). En el documento de consentimiento informado, con la firma del paciente y del farmacéutico, quedará constancia de que el paciente o el representante: • Conoce y ha entendido en qué consiste el servicio de seguimiento farmacoterapéutico con SPD y cuál es su finalidad. • Asume voluntariamente que se le preste el servicio, y que se mantendrá mientras dure el acuerdo. • Consiente el registro de sus datos personales, farmacológicos y sanitarios para ser usados exclusivamente en el servicio de seguimiento con SPD. • Deja en depósito en la farmacia la medicación previamente dispensada para la preparación de los DDP. • Avisará de cualquier cambio de medicación u otras circunstancias que puedan modificar las condiciones iniciales del tratamiento.” También se prevé la necesidad de informar al paciente (traducción no oficial): “(…) La información que el farmacéutico debe proporcionar al paciente tiene que incluir la siguiente: - Explicar de forma clara y sencilla qué es y en qué consiste el servicio de SPD (…) Explicar que para el buen funcionamiento del servicio farmacéutico necesita disponer de sus datos personales y farmacéuticos actualizados, manteniendo confidencialidad total y garantía de protección de datos, para lo que deberá otorgar su consentimiento informado”. De la misma manera, se establece como responsable al farmacéutico titular de la farmacia (traducción no oficial): “(…) El farmacéutico titular de la oficina de farmacia es el responsable de las actividades que se llevan a cabo en la farmacia. Cualquier incidencia con el producto final es responsabilidad de la oficina de farmacia y, por tanto, del farmacéutico titular(…)”. En cualquier caso, no cabe realizar subcontrataciones a otra farmacia y requiere de formación continuada y la determinación precisa de las funciones de cada empleado. 2. Sobre la presunción de veracidad de las actas de la Inspección de Farmacia El artículo 108 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, señala que compete a las administraciones sanitarias en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/52 ámbito de sus competencias la realización de las inspecciones necesarias para asegurar el cumplimiento de lo previsto en esta ley. Este artículo supone prácticamente una reproducción de lo previsto por el artículo 30 de la Ley 14/1986, de 25 de abril, General de Sanidad que determina que “todos los centros y establecimientos sanitarios, así como las actividades de promoción y publicidad, estarán sometidos a la inspección y control por las Administraciones Sanitarias competentes”. Ambas normas prevén, en sus artículos 108.3 y 31 respectivamente, a tales efectos, una serie de potestades para el personal al servicio de las Administraciones Públicas en el ejercicio de la potestad inspectora entre las que se incluyen la posibilidad de entrar libremente y sin notificación en los centros sujetos a las mismas, como son las oficinas de farmacia; así como proceder a las pruebas, investigaciones o exámenes necesarios para comprobar el cumplimiento normativo; tomar muestras, en orden a la comprobación del cumplimiento de las mismas, así como realizar cuantas actuaciones sean precisas en orden al cumplimiento de las funciones de inspección que desarrollen. En el ámbito autonómico, la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Catalunya consagra en su artículo 89.2 la consideración de autoridad del personal de su Administración encargado de las funciones públicas de inspección y control. A este respecto conviene señalar que el artículo 77.5 de la LPACAP establece la presunción de veracidad de los documentos firmados por empleados públicos que tengan la consideración de autoridad, salvo prueba en contrario. En concreto, señala: “los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes recojan los hechos constatados por aquéllos, harán prueba de éstos salvo que se acredite lo contrario”. En el mismo sentido, la anteriormente citada Ley 26/2010, de 3 de agosto, de Catalunya en su artículo 90. 1 determina que los hechos constatados por el personal de la Administración encargado de las funciones públicas de inspección y control, y que se formalizan en un documento público observando los requisitos legalmente establecidos, tienen valor probatorio, sin perjuicio de las pruebas que puedan aportar las personas interesadas en defensa de sus derechos e intereses. En consecuencia, las actas han de estar firmadas ineludiblemente por el inspector, sin perjuicio de que la falta de firma por parte del inspeccionado no invalide el acta ni su valor probatorio. 3. Responsabilidad del tratamiento en el ámbito de protección de datos personales El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/52 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Por su parte, las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (en adelante, Directrices 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” (subrayado de la AEPD). En definitiva, la identificación del responsable debe realizarse atendiendo a criterios materiales de acuerdo con las condiciones y circunstancias reales de cada tratamiento, no puede entenderse como una mera constatación formal de lo que figure, por ejemplo, en un contrato suscrito entre partes. Así, habrá ocasiones en las que los partícipes en una cadena de tratamientos se hayan identificado respectivamente como responsable y encargado y, sin embargo, atendiendo a quién determina la finalidad del tratamiento y los medios esenciales del mismo la figura de responsable le corresponde a quien fue identificado formalmente como tal. A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices del CEPD destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/52 tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” (subrayado de la AEPD). Asimismo, las referidas Directrices del CEPD 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). Por otra parte, tal y como enuncia el artículo 4.7 del RGPD, es posible que en ocasiones sea una norma la que defina al responsable, ya sea de manera implícita o explícita. Así, puede ocurrir que una norma establezca obligaciones que suponen tratamientos de datos personales y se lo encomiende a un determinado ente, que tendrá la condición de responsable del tratamiento desde la perspectiva de protección de datos. Esto ocurre, tal y como se ha expuesto en el apartado primero de estas Cuestiones previas, en el presente supuesto, dado que la normativa sectorial específica atribuye en exclusiva a las oficinas de farmacia y, en concreto, al farmacéutico titular, la dispensación de medicamentos, pañales u otros productos sanitarios que requieran receta. En consecuencia, las oficinas de farmacia son las únicas que determinan los fines y medios respecto al mencionado tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que, la preparación de SPD o la dispensación de medicación llevada a cabo por la oficina de farmacia A.A.A. conlleva un conjunto de operaciones realizadas sobre datos personales, como, entre otros, el acceso a los datos personales que constan en el Sistema Nacional de Salud (SNS), su consulta y cotejo de estos, así como su estructuración y organización. En el presente caso se observa que A.A.A. ha llevado a cabo un tratamiento de los datos personales siguientes, entre otros: nombre y apellidos, NIF del representante legal y del cliente, centro residencial en el que vive, número de cuenta bancaria, Código de Identificación Personal (CIP) y su plan de medicación. Aun cuando A.A.A. asegure que la responsable del tratamiento es otra entidad, con la que suscribió un contrato por el que esta se definía como “TITULAR REAL de la [oficina de farmacia], no siendo también la oficial por no poder cumplir con los requisitos dela normativa sectorial para ostentar la titularidad de oficinas de farmacia, dado que la citada compañía no cuenta con las condiciones administrativas, para asumir la titularidad sanitaria y colegial de la Oficina de Farmacia anteriormente descrita”, no puede obviarse que el Código Civil en su artículo 1.261 establece los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/52 requisitos básicos para la validez de todo contrato, entre los que destaca “el objeto cierto que sea materia del contrato”. Tal y como se ha señalado, la dispensación de medicamentos y/o pañales y la preparación de SPD es competencia exclusiva de las oficinas de farmacia. Asimismo, únicamente un farmacéutico puede ser propietario y titular de estas de acuerdo con lo previsto, entre otros, en el artículo 103.4 de la Ley General de Sanidad. Por tanto, no cabe la “cesión” de la titularidad a terceros que no cumplan los requisitos por la ley y, en consecuencia, el objeto del mencionado contrato no puede entenderse como cierto. Atendiendo a lo anterior, A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. 4. Los datos de salud como dato de categoría especial. El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
12. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
13. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
14. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
15. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/52
16. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
17. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
18. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
19. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
20. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
21. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." Hay que señalar que los datos de categoría especial son aquellos datos personales cuyo tratamiento requiere de una protección reforzada, debido a su incidencia especial en la intimidad, las libertades públicas y los derechos fundamentales de la persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/52 Así considerados, su tratamiento, en principio, está prohibido tanto por el RGPD, salvo que exista alguna de las circunstancias indicadas en el artículo 9.2 del RGPD. Por tanto, los datos de categoría especial son datos personales que, por su importancia para la privacidad del individuo, han de ser tratados con mayor cuidado y siguiendo unos requisitos especiales. El Considerando 71 señala : “sobre las decisiones automatizadas y la elaboración de perfiles, los responsables del tratamiento deben utilizar métodos que corrijan «los factores que introducen inexactitudes en los datos personales y reduzcan al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto”. (el subrayado es de la AEPD). El artículo 4.15 del RGPD define “datos relativos a la salud” como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El Considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Conviene señalar que, el Tribunal de Justicia de la Unión Europea (TJUE) ha consignado un concepto amplio de los datos de salud. Así, de conformidad con la STJUE de 4 de octubre de 2024, en el asunto C 21/23 (el subrayado es de la AEPD): “76 Entre estas categorías especiales de datos personales, que se enumeran en el artículo 8, apartado 1, de la Directiva 95/46 y en el artículo 9, apartado 1, del RGPD, figuran los datos relativos a la salud. Estos incluyen, de conformidad con el artículo 4, punto 15, del Reglamento, en relación con su considerando 35, todos los datos personales que revelen información sobre el estado de salud física o mental pasado, presente o futuro de una persona física, incluidos los datos relativos a la prestación de servicios de atención sanitaria a esa persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/52 81 A este respecto, el Tribunal de Justicia ya ha declarado que, a la vista del objetivo de la Directiva 95/46 y del RGPD, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos personales que las afectan, el concepto de «datos relativos a la salud» previsto en el artículo 9, apartado 1, de dicho Reglamento y en el artículo 8, apartado 1, de la citada Directiva debe interpretarse de forma amplia (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C 101/01, EU:C:2003:596, apartado 50, y de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 125)”. Asimismo, la misma STJUE determina que cuando el tratamiento de datos personales pueda revelar indirectamente informaciones sensibles de una persona, dichos datos se encuadran en el régimen previsto en el artículo 9 del RGPD: “82 En particular, no cabe interpretar tales disposiciones en el sentido de que el tratamiento de datos personales que puedan desvelar indirectamente informaciones sensibles sobre una persona física queda fuera del régimen de protección reforzado establecido por las mencionadas disposiciones, pues de quedar fuera se menoscabaría el efecto útil de ese régimen y la protección de las libertades y de los derechos fundamentales de las personas físicas que pretende garantizar (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 127)“. En la misma línea, la mencionada sentencia determina que las categorías especiales de datos personales están sometidos a la prohibición del art. 9 del RGPD independientemente de que sea información exacta o no y de que el tratamiento tenga por finalidad obtener datos personales que pertenezcan a dicha categoría: “87 Esta prohibición de principio es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que dicho farmacéutico actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en el artículo 8, apartado 1, de la Directiva 95/46 y el artículo 9, apartado 1, del RGPD. En efecto, teniendo en cuenta los riesgos significativos para las libertades fundamentales y los derechos fundamentales de los interesados, generados por cualquier tratamiento de datos personales comprendidos en tales categorías, estas disposiciones tienen por objeto prohibir dichos tratamientos, con independencia de la finalidad que expresen y de la exactitud de la información en cuestión [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros. (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartados 69 y 70]”. Por su parte, la STS de 8 de octubre, en el recurso de casación 1920/21, reafirma el concepto amplio de datos de salud, al indicar que: “(…) cabe subrayar, al respecto, que la lectura del artículo 4.15 y del considerando 35 del Reglamento general de protección de datos avalan, tal como sostiene la sentencia de la Audiencia Nacional impugnada, la inclusión de la noción de "datos relativos a Ia salud" de los datos referidos al estado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/52 salud de los deportistas, pues, aunque la normativa de la Unión Europea no contiene ninguna previsión especifica acerca de los datos relacionados con la aplicación de las técnicas de control del dopaje, define en un sentido amplio el tratamiento de los datos de salud. El considerando 35 del citado Reglamento (ÜE) 2016/679 incluye específicamente, entre los datos relativos a la salud, todos los datos relativos al estado de salud de! interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro, incluyendo la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad”. No cabe duda, por tanto, de que los datos referentes a la dispensación de medicamentos o pañales por parte de una farmacia, el CIPA (Código de Identificación Personal Autonómico), el número de tarjeta sanitaria son datos de salud, así como también lo son todos aquellos que revelen de manera indirecta el estado de salud de una persona. En cualquier caso, las circunstancias que permiten el levantamiento de la prohibición del tratamiento de datos de salud establecida por el artículo 9.1 vienen determinadas en el artículo 9.2 del RGPD. Es decir, es necesario que concurra alguna de las premisas establecidas en el mencionado artículo para que se pueda llevar a cabo el tratamiento de datos de salud. Estas excepciones han de interpretarse de manera restrictiva, tal y como se desprende de los considerandos del 51 al 56 del RGPD. La dispensación de medicamentos y pañales supone el tratamiento de datos de salud y el levantamiento de la prohibición de tratamiento de estos datos se encontrará en el artículo 9.2 h); en la medida en que el tratamiento es necesario para la prestación de asistencia o tratamiento de tipo sanitario. Además, el artículo 9.3 exige, para la premisa concreta del artículo 9.2
22. h)que el tratamiento se realice por un profesional sujeto a la obligación de derecho profesional o bajo su responsabilidad. El levantamiento de la prohibición contenida en la letra
23. h)del artículo 9.2, así como las previsiones añadidas del artículo 9.3 para la utilización de esta premisa exige una norma del Derecho a la UE o del Estado miembro que lo regule, que, en el caso de España, requiere que la asistencia o tratamiento de tipo sanitario se encuentre recogido en una norma con rango de ley, en la medida en que el derecho a la protección de datos personales es un derecho fundamental. En este sentido, las diferentes operaciones de tratamiento de datos personales que conlleva la dispensación de medicamentos por las oficinas de farmacia encontraría su habilitación en la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 16/1997, de 25 de abril, de Regulación de Servicios de las Oficinas de Farmacia; el Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios; así como en la legislación autonómica aplicable como, en el caso de Cataluña, la Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/52 Así, por ejemplo, las oficinas de farmacia están obligadas, de acuerdo con el artículo 86.3 del Real Decreto Legislativo 1/2015, de 24 de julio, a la “dispensación de medicamentos que se les demanden tanto por los particulares como por el Sistema Nacional de Salud”. IV Obligaciones incumplidas. Artículo 6 del RGPD. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
24. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
26. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
27. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
28. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
29. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
30. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
31. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
32. c)y e), deberá ser establecida por:
33. a)el Derecho de la Unión, o
34. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/52 por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
35. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
36. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
37. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
38. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
39. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En este sentido, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/52 Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. En definitiva, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. 1. Primera conducta infractora del artículo 6 del RGPD: preparación de SPD sin contar con el consentimiento expreso de los interesados. Tal y como se ha señalado en las cuestiones previas, la realización de SPD requiere, una vez que se ha cumplido con las condiciones previas necesarias para que una oficina de farmacia pueda proceder a su preparación, contar con el consentimiento informado del paciente. Se trata, en definitiva, de una actividad separada a la dispensación de medicamentos. Así se exige tanto por los Criterios consensuados entre las diferentes Comunidades Autónomas y la Agencia Española del Medicamento y Productos Sanitarios, para la preparación de sistemas personalizados de dosificación por parte de las oficinas de farmacia como en la Guía de SPD de Cataluña. De esta manera, estos documentos normativos determinan la base de legitimación específica que exige la preparación de SPD de una medicación una vez que los medicamentos ya hubieran sido dispensados. Se exige un consentimiento en los mismos términos que prevé el RGPD: demostrable inequívoco, informado y libre. El concepto de “informado” referente al consentimiento, se encuentra estrechamente ligado al principio de licitud, lealtad y transparencia contenido en el artículo 5. 1
40. a)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/52 RGPD, así como al deber de información del responsable para con los interesados previsto en los artículos 13 y 14 del RGPD. Así, facilitar información a los interesados antes de obtener su consentimiento es esencial para que estos puedan tomar decisiones informadas, comprender qué están permitiendo y a quién respecto al uso de sus datos personales. El CEPD en las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 señala que: “63. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 64. Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido: i. la identidad del responsable del tratamiento ii. el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento iii. qué (tipo
41. de)datos van a recogerse y utilizarse (…)”. La Guía de SPD de Cataluña exige contar con una “autorización firmada del paciente o del representante legal” en el que quede constancia de los siguientes aspectos que se recogen, a su vez, en el Anexo 3 de la mencionada Guía: “Consentimiento informado del usuario/residente y protección de datos del Servicio de seguimiento farmacéutico con sistemas personalizados de dosificación. (…) Declaro que: (
42. i)Que he leído y entendido la información incluida en el formulario de información y consentimiento sobre el servicio de SPD (sistema personalizado de dispensación diaria. (
43. ii)Que he recibido respuesta satisfactoria de todas las preguntas y, cuando no he entendido alguna palabra o expresión, el médico el farmacéutico o la persona responsable (…) me ha explicado el significado. (iii) Que para el buen funcionamiento del servicio, autorizo que puedan registrar mis datos fármaco terapéuticos, de los cuales no se hará ningún otro uso sin mi consentimiento explícito. (
44. iv)Que entiendo y autorizo la cesión de mis datos personales de forma anonimizada a la empresa designada por el responsable del tratamiento con la única finalidad de tratarlos a efectos de la correcta preparación de la SPD. (
45. v)Que soy consciente que en cualquier momento puedo salir libremente de la prestación de este servicio, sin que eso pueda repercutir en la atención médica y sanitaria”. En el presente caso, de acuerdo con lo contenido en las actas de la Inspección de Farmacia realizadas al establecimiento de la parte denunciada, en concreto con número ***ACTA.1 (relativa a la inspección realizada el 9 de mayo de 2023) y número ***ACTA.2 (respecto a la inspección realizada el 9 de abril de 2024) la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/52 denunciada preparó SPD para los pacientes de, al menos, 29 residencias, afectando a un total aproximado de 1.500 residentes. La preparación se llevó a cabo desde el 1 de noviembre de 2022 hasta el 12 de febrero de 2024, tal y como consta, entre otras, en las actas mencionadas anteriormente, así como en el acta ***ACTA.7 y ***ACTA.8. En el acta ***ACTA.1 de 9 de mayo de 2023 se señala que, cuando inició la preparación de SPD en noviembre de 2022, la documentación de los pacientes que fue facilitada por otra farmacia con la que firmó un documento de traspaso. En concreto se señala: (…). En su respuesta de 21 de febrero de 2025, preguntada sobre la base de legitimación que ampararía el tratamiento correspondiente a la preparación de SPD, la parte denunciada asegura que la gestión de los datos personales de su oficina de farmacia se realizaba por “mercantil ***EMPRESA.1, dirigida por F.F.F., mediante un contrato de explotación y un poder general que le otorgaban plena capacidad de actuación sobre la farmacia”. Por otra parte, hace referencia a que el titular real y, por tanto, responsable, era ***EMPRESA.1, dirigida por F.F.F. en virtud de un contrato suscrito entre las partes. La condición de la parte denunciada como responsable, ya se ha tratado en las cuestiones previas. Además, asegura que “el tratamiento de datos personales de los residentes fue realizado sin mi supervisión ni mi consentimiento, ya que nunca tuve acceso a los sistemas de gestión informática ni a los registros de los residentes atendidos en la farmacia”. Para demostrar esta afirmación presenta copia de un correo electrónico de 28 de febrero de 2024, dirigido al software de gestión informática en el que señala que, en ese momento, esto es, una vez que la actividad había finalizado, “no tengo acceso a (...)+”. Sin perjuicio de lo anterior, se subraya que, de acuerdo con lo contenido en el acta ***ACTA.1 el mencionado programa “(…)”, por lo que no parece que los consentimientos informados de los residentes para los que se preparaba SPD se encontraran en el mismo. Asimismo, en su respuesta hace referencia a que se habría producido una “migración no autorizada de los datos de los pacientes” en tanto que se habría procedido a la retirada de un robot de su establecimiento. No obstante, en el documento por el que pretende acreditar estos hechos, se hace referencia a que el traslado del robot le impedía la identificación de los pacientes a los que correspondería la medicación sobrante -“lo que representa un grave riesgo para la salud pública”, en palabras de la parte denunciada-, sin que en ningún caso pueda entenderse que los consentimientos informados y firmados por los pacientes se encontraran en el mencionado robot. Por último, señala que no puede determinar el número de residencias ni de pacientes a los que preparaba SPD y que, si bien existían contratos con estas, no tiene acceso a los mismos. Así, concluye: “(…) detalles sobre las condiciones contractuales, volúmenes de pacientes atendidos ni las bases legales del tratamiento de datos personales, información que debe ser requerida directamente a ***EMPRESA.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/52 Al respecto, es conveniente referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. En conclusión, en el presente caso, no consta acreditado el consentimiento informado de los residentes legalmente exigido para la preparación de medicación en SPD que la parte denunciada preparó entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2023, correspondiendo a la parte denunciada demostrar su existencia. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6 del RGPD. 1. Segunda conducta infractora del artículo 6 del RGPD: tratamiento ilícito de datos personales de residentes para la dispensación de medicamentos A.A.A. dispensaba la medicación, que posteriormente preparaba en SPD, a los residentes de centros geriátricos, para lo cual trataba los datos personales de estos. Por tanto, la dispensación de medicación se produjo entre 1 de noviembre de 2022 y el 12 de febrero de 2024, para cerca de 1.500 residentes de 29 residencias distintas. Así consta en el acta (…). Asimismo, en el acta ***ACTA.3 referente a la inspección realizada a la ***RESIDENCIA.1 se recoge: “(…)”. Como ya se ha señalado en el apartado correspondiente al SPD, preguntada la parte denunciada por la base de legitimación que ampararía el tratamiento de los datos personales de los residentes para la dispensación de su medicación, asevera que los “(…) detalles sobre las condiciones contractuales, volúmenes de pacientes atendidos ni las bases legales del tratamiento de datos personales, información que debe ser requerida directamente a ***EMPRESA.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/52 Llegados a este punto, y antes de valorar la existencia de una base de legitimación para el tratamiento, conviene precisar que corresponde al responsable del tratamiento identificar y acreditar la base de legitimación que ampare el tratamiento de datos personales, y, en caso de que existan varias posibilidades, seleccionar la más adecuada. En el caso que nos ocupa, el responsable del tratamiento es, como se ha indicado, la parte denunciada. Dicho lo anterior, y analizando la base de legitimación que ampararía el presente supuesto, se subraya que la normativa sectorial específica consagra el principio de libertad de elección de farmacia de usuario o paciente, tal y como se ha determinado en las cuestiones previas de este documento, lo que significa que el paciente o usuario es libre de elegir la farmacia que desea que proceda a la dispensación de su medicación. En el presente supuesto no consta el consentimiento de los pacientes para el tratamiento de sus datos por A.A.A. para la dispensación de medicamentos. Por otra parte, el artículo 6.1 b), que consagra el contrato como base de legitimación, exige que el tratamiento sea necesario para la ejecución de un contrato en el que el interesado sea parte. Sin embargo, no constan contratos suscritos por los residentes afectados, en tanto que titulares del derecho fundamental, o por sus representantes legales. Tampoco puede aplicarse en este caso los supuestos de que el tratamiento fuera necesario para el cumplimiento de una obligación legal o el ejercicio de una misión de interés público reconocidas en una norma con rango de ley. Tal y como se ha señalado previamente, las previsiones normativas recogidas en la legislación sectorial específica levantarían la prohibición del tratamiento de datos de salud por parte de las oficinas de farmacia, conforme al artículo 9.2 h), pero no puede considerarse que las mencionadas previsiones normativas amparen el tratamiento de una farmacia concreta en detrimento de otra y que, por tanto, puedan constituir por sí mismas una base de legitimación. En cuanto al interés vital, el considerando 46 del RGPD establece la excepcionalidad de esta base legal y su singularidad, cuando manifiesta que solo deben tratarse datos personales sobre esta base cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Asimismo, menciona que ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado como, por ejemplo, cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. Y es que la consideración de interés vital necesariamente viene referida a la existencia de un riesgo cierto, plausible, no simplemente potencial basado en datos generales, no concretos en atención a la necesidad de este tratamiento concreto que pase por encima de otras bases jurídicas del tratamiento, como podría ser el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/52 Por último, el interés legítimo de A.A.A. exige la existencia en primer término de éste, y posteriormente, una ponderación del mismo con los derechos y libertades de los afectados, algo que no se aprecia en el presente caso. En definitiva, no se aprecia la existencia de base legal que ampare el tratamiento de dispensación de medicamentos realizado por A.A.A. respecto a los datos personales de los residentes de los centros geriátricos anteriormente mencionados. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6 del RGPD. 2. Tercera conducta infractora del artículo 6 del RGPD: Cesión ilícita de datos personales de clientes a terceras farmacias para la dispensación de pañales Tal y como se recoge en las actas de la Inspección de Farmacia, la parte denunciada facilitaba datos personales de residentes a otras oficinas de farmacia para que estas les dispensaran directamente absorbentes de incontinencia urinaria. Comenzó a realizar estas actuaciones el 1 de noviembre de 2022 en sustitución de otra farmacia que lo hacía hasta la fecha y que reconocía en el acta ***ACTA.5: “(…)”. La asunción de estas actuaciones por parte de A.A.A. se recogen el correo electrónico del acta ***ACTA.7 en el desde la dirección de correo de la anterior farmacia (***EMAIL.2) informan de que la “(…)”. La fecha de fin de la actividad, tal y como consta en el acta ***ACTA.8 respecto a una inspección realizada el 14 de febrero de 2024 a una farmacia colaboradora, se produjo el 12 de febrero de 2024, fecha a partir de la cual la cesión de datos para la dispensación de pañales pasó a realizarse por una nueva farmacia. La cesión de datos personales de los residentes realizada por A.A.A. se llevaba a cabo a través de documentos Excel enviados mediante correos electrónicos sin encriptar a las farmacias colaboradoras con los datos (nombre, apellidos y CIP, al menos) de los residentes. De la misma manera, las farmacias colaboradoras le remitían una vez al mes las facturas correspondientes a sus servicios, incluyendo datos de salud. Esta manera de actuar se recoge en las actas ***ACTA.4, ***ACTA.6, ***ACTA.7 y ***ACTA.8 relativas a inspecciones realizadas a las farmacias dispensadoras, que señalan: “(…)” Además, de acuerdo con las mencionadas actas, la parte denunciada les facilitaba claves para el acceso al programa ***EMPRESA.2 donde figuraban los datos de los residentes. Sobre la cesión de datos personales de residentes a otras farmacias para que estas procedieran a la dispensación de pañales, la parte denunciada no realiza ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/52 manifestación, ni presenta prueba en contrario, en su respuesta a la AEPD de 21 de febrero de 2025, sin que, por tanto, se desvitúe lo recogido en las actas de la Inspección de Farmacia. Así, no consta acreditación de que existiera para el tratamiento de comunicación de datos a terceros no autorizados, como las farmacias anteriormente mencionadas, base de legitimación alguna. A saber, no consta consentimiento de los afectados, tampoco puede admitirse que el tratamiento se haya realizado por ser necesario para la ejecución de un contrato lícito, el cumplimiento de una obligación legal o el cumplimiento de una misión de interés público. No se aprecia tampoco la existencia de un interés vital, debido al carácter restrictivo de este, ni tampoco la existencia de un interés legítimo del responsable que, en cualquier caso, habría obligado a la ponderación de éste con los derechos y libertades de los afectados Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6 del RGPD. V Tipificación de las infracciones del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
46. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
47. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/52 VI Sanciones por los incumplimientos del artículo 6 del RGPD A fin de determinar las multas administrativas a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
48. a)a
49. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
50. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
51. b)la intencionalidad o negligencia en la infracción;
52. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
53. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
54. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
55. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
56. g)las categorías de los datos de carácter personal afectados por la infracción;
57. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
58. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
59. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
60. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
61. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/52
62. a)El carácter continuado de la infracción.
63. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
64. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
65. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
66. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
67. f)La afectación a los derechos de los menores.
68. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
69. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de una multa por cada una de ellas. Las multas deben ser en cada caso individuales, efectivas, proporcionadas y disuasorias, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de las multas administrativas y su cuantía, se considera que procede graduar las sanciones a imponer por cada uno de los incumplimientos del artículo 6 del RGPD anteriormente identificados de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que, para cada una de las infracciones del artículo 6 del RGPD, concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): Los hechos imputados inciden negativamente en el control de los afectados sobre sus datos personales, siendo el control sobre los datos personales elemento fundamental y eje vertebrador del RGPD. En definitiva, las actuaciones llevadas a cabo por la parte denunciada implican la pérdida de control y disposición de los datos que conciernen al titular del derecho fundamental. Por otra parte, no puede obviarse el número de afectados (unos 1500 residentes) de varias residencias (al menos 29), lo que hace que la infracción adquiera connotaciones “sistémicas”. También debe hacerse mención a la duración de los tratamientos que se prolongaron desde noviembre de 2022 hasta febrero de 2024. Por último, se señala que la falta de acreditación de la existencia de una base de legitimación para efectuar el tratamiento, especialmente en aquellos casos en los que esta base sea, conforme a la normativa vigente, el consentimiento, supone una violación del principio de responsabilidad proactiva prevista en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/52 artículo 5.2 del RGPD, principio esencial de la normativa de protección de datos. - La intencionalidad o negligencia en la infracción (artículo 83.2 letra b)): se aprecia negligencia grave en la medida en que el tratamiento de los datos de salud se realiza en incumplimiento de la normativa sectorial específica, basada en la libre elección de farmacia de los pacientes, así como al Código de Deontología de la profesión farmacéutica aprobado por el Consejo General de Colegios Farmacéuticos, que establece que “toda actuación en el ámbito de la salud que tenga como destinatario un paciente o usuario requiere del consentimiento informado, libre y voluntario de éste. El farmacéutico deberá respetar su decisión, en los términos establecidos en la legislación”. - Las categorías de los datos de carácter personal afectados por las infracciones (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, los datos personales objeto de tratamiento incluyen datos de salud, como, por ejemplo, la pauta médica de los afectados o el número de la tarjeta sanitaria o CIPA. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes para cada una de las infracciones del artículo 6 del RGPD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
70. k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): A.A.A. como consecuencia de su actividad en tanto que establecimiento sanitario privado, de interés público, realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados (todos sus pacientes o usuarios) imprescindible para el desarrollo de su negocio. La realización de actividades de dispensación de productos médicos y farmacéuticos, que es su actividad principal, implica necesariamente operaciones de tratamiento de datos personales. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza A.A.A. en su negocio y ligado a este. - Los beneficios obtenidos como consecuencia de la comisión de la infracción (artículo 83.2
71. k)del RGPD en conexión con el artículo 76.2, letra
72. c)de la LOPDGDD): la dispensación de productos farmacéuticos para pacientes de diferentes residencias y la preparación de SPD sin base de legitimación supone C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/52 que A.A.A. ha prestado un servicio mediante la provisión de medicamentos y otros productos farmacéuticos a cambio de una contraprestación económica. En definitiva, la farmacia se ha lucrado por la realización de las diferentes actuaciones objeto de infracción. A tenor de los hechos expuestos y del balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD con respecto a cada una de las infracciones del artículo 6 del RGPD cometidas, se considera que corresponde imponer una sanción de multa administrativa de 5.000 euros por cada infracción, lo que supone un total de 15.000 euros. VII Obligación incumplida. Artículo 14 del RGPD. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado Según lo establecido en el artículo 14 del RGPD: "1. Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:
73. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
74. b)los datos de contacto del delegado de protección de datos, en su caso;
75. c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
76. d)las categorías de datos personales de que se trate;
77. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
78. f)en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
79. a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
80. b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/52
81. c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
82. d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
83. e)el derecho a presentar una reclamación ante una autoridad de control;
84. f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
85. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
86. a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
87. b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
88. c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
89. a)el interesado ya disponga de la información;
90. b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/52 libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
91. c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
92. d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal." Cuando se obtengan datos personales relativos a una persona, y no se hubieran obtenido directamente de esta, el responsable del tratamiento debe facilitarle toda la información sobre el tratamiento de sus datos tal como se indica en el artículo 14 del RGPD. El RGPD exige que esa información se proporcione a la mayor brevedad y, en cualquier caso, no más tarde de un mes, o en el caso de que tuviera que hacérsele una comunicación, no más tarde en el momento de esa primera comunicación o en el momento en que se vayan a comunicar a otro destinatario, como tarde. En este sentido se pronuncia el considerando 61: 61) “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen de los datos personales no pueda facilitarse al interesado por haberse utilizado varias fuentes, debe facilitarse información general”. Conviene resaltar que la obligación de informar en el artículo 14 del RGPD ha de entenderse en el marco de los derechos de los interesados en relación con la transparencia, principio que debe regir el tratamiento de los datos conforme al artículo 5.1
93. a)del RGPD. En este sentido, el artículo 12.1 del RGPD determina que: “(…) El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14 (…) en forma concisa, transparente, inteligible y de fácil acceso con un lenguaje claro y sencillo (…)”. A este respecto, resulta esencial hacer referencia al considerando 39 del RGPD que establece que: “