1/14 Expediente N.º: EXP202401045 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 5 de diciembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERÍA DE SALUD Y SERVICOS SOCIALES de la JUNTA DE EXTRAMADURA, con NIF S0611001I (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la parte reclamante expone que recibió copia del expediente de protección de su hijo menor de edad (...) de la técnico competente, que contiene datos sobre su salud ((...)), información relativa a la entrevista mantenida el pasado ***FECHA.1, en la que la parte reclamante manifestó que iba a presentar una demanda de custodia compartida a su exmujer y que ella no lo sabía y él no quería que lo supiera y a varias anotaciones respecto de conversaciones telefónicas mantenidas con la técnico señalada; afirma igualmente que su exmujer también ha obtenido copia del referido expediente, sin anonimizar, lo que podría vulnerar la normativa en materia de protección de datos; manifiesta que su exmujer le ha confirmado, a través de la aplicación de mensajería instantánea WhatsApp, que tiene copia del expediente de los servicios sociales. Aporta copia del referido expediente. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/01/2024 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25/01/2024 como consta en el acuse de recibo que obra en el expediente. En escrito de fecha 09/02/2024 la parte reclamante aporta Ley 14/2015, de 9 de abril de Servicios Sociales de Extremadura. La parte reclamada en escrito de 13/03/2024 ha manifestado que una vez analizada la documentación que le fue remitida por la AEPD, aporta el informe emitido por la Secretaría General de Servicios Sociales, Inclusión, Infancia y Familia junto con el informe del personal técnico que recoge una cronología de las actuaciones llevadas a cabo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 TERCERO: Con fecha 05/03/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 14/06/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. QUINTO: Notificado el acuerdo de inicio (remitido por la AEPD el día 17/06/24 a las 08:51 ha sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 28/06/24 a las 00:00 según consta en acuse de recibo) la parte reclamada no presento escrito de alegaciones. SEXTO: Con fecha 29/07/2024 se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados que forman parte del expediente. Con fecha 13/08/2024 se ha recibido correo electrónico de la parte reclamada en el que señala que “El pasado 7 de agosto se ha accedido por esta Administración en el servicio de Dirección Electrónica Habilitada Única (DEHÚ) a una notificación de esa AEPD relativa al expediente EXP202401045, la cual versa con el siguiente contenido: Transcurrido el plazo de alegaciones que se concedió en el acuerdo de iniciación del procedimiento sancionador nº EXP202401045, se acuerda abrir periodo de práctica de pruebas por un plazo de 10 (diez) días a contar desde el día siguiente a aquel en el que tenga lugar la notificación del presente acto (...)" De esta forma, comunicamos a esa AEPD de que no consta que se haya enviado a esta Administración y, por consiguiente, esta Administración no ha recibido ninguna documentación sobre la apertura de acuerdo de iniciación de procedimiento sancionador en el asunto con nº de expediente EXP202401045. Solicitamos a esa AEPD subsane o nos aclare el posible error en el asunto referenciado lo antes posible”. Como consta con anterioridad el 14/06/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, acuerdo de inicio que fue remitido el día 17/06/24 08:51 expirando por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 28/06/24 00:00, según consta en acuse de recibo Rechazo de notificación por caducidad. SEPTIMO: El 29/08/2024 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se declarara que la parte reclamada había infringido lo dispuesto en el artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Con fecha 09/09/2024 la parte reclamada presente escrito de alegaciones formulando en síntesis las siguientes: que los padres del menor son considerados como interesados en el procedimiento, ostentan la patria potestad del menor y podrían verse afectados por la resolución que pudiera recaer en el expediente instruido; el expediente administrativo, que viene regulado en el artículo 70 de la LPACAP, formando parte del mismo los documentos y diligencias de las actuaciones llevadas a cabo en el desarrollo del procedimiento que sirven de antecedente y fundamento a la resolución administrativa que se emita incluidas las diligencias en las que se reproducen las entrevistas mantenidas con los progenitores del menor, y dado que la entrevista constituye una herramienta de valoración fundamental dentro del procedimiento donde se lleva a cabo la actividad de tratamiento; por todo ello la parte reclamada ha actuado cumpliendo en todo momento la normativa reguladora del procedimiento, asi como la relativa a la protección de datos personales por lo que solicita el archivo del procedimiento. HECHOS PROBADOS PRIMERO. El 05/12/2023 tiene entrada en la Agencia Española de Protección de Datos escrito de la parte reclamante manifestando que había recibido copia del expediente de protección de su hijo, menor de edad, nº (...) de la técnico competente de la parte reclamada en el que se contienen datos sobre su salud e información relativa a la entrevista que había mantenida con la citada técnico el ***FECHA.1, en la que le había hecho saber que iba a presentar demanda de custodia compartida a su exmujer, que ella no lo sabía y tampoco quería que se enterara, así como anotaciones relacionadas con conversaciones telefónicas mantenidas con la misma persona; manifiesta que su exmujer también ha obtenido copia del referido expediente, sin anonimizar, lo que su exmujer le ha confirmado, a través de la aplicación de mensajería instantánea WhatsApp que tiene copia del expediente de los servicios sociales. SEGUNDO. Consta aportada comunicación cruzada por la parte reclamante con su exmujer a través de la red social Wasap en la que ésta confirma que tiene copia del expediente de los servicios sociales donde se contienen los hechos y datos manifestados por la parte reclamante en su escrito de reclamación. TERCERO. Consta aportado por la parte reclamante expediente nº (...), cuya copia le fue entregada en fecha 01/12/2023. En él se contiene la solicitud de la exmujer de la parte reclamante dirigida a la parte reclamada solicitando que le sea entregado copia del mismo, de fecha ***FECHA.2. CUARTO. Asimismo, consta aportado Informe Programa de Familias y Servicio Social de Atención Social Básica de la Dirección General de Políticas Sociales e Infancia y Familias relativo al menor, hijo de la parte reclamante. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones a la Propuesta de Resolución La parte reclamada ha alegado que “forman parte y constan en el Expediente de protección nº (...) los documentos y diligencias de las actuaciones llevadas a cabo en el desarrollo del procedimiento que sirven de antecedente y fundamento a la resolución administrativa que finalmente se emite, incluidas las diligencias en las que se reproducen las entrevistas mantenidas con los progenitores del menor, habida cuenta de que la entrevista constituye una herramienta de valoración fundamental dentro del procedimiento donde se lleva a cabo la actividad de tratamiento” y que de conformidad con lo regulado en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), y previa su solicitud, se facilitó a los afectados el conocer los datos o actuaciones del expediente administrativo para no limitar su derecho de defensa. El artículo 53, Derechos del interesado en el procedimiento administrativo, establece que: “1. Además del resto de derechos previstos en esta Ley, los interesados en un procedimiento administrativo, tienen los siguientes derechos:
- a)A conocer, en cualquier momento, el estado de la tramitación de los procedimientos en los que tengan la condición de interesados; el sentido del silencio administrativo que corresponda, en caso de que la Administración no dicte ni notifique resolución expresa en plazo; el órgano competente para su instrucción, en su caso, y resolución; y los actos de trámite dictados. Asimismo, también tendrán derecho a acceder y a obtener copia de los documentos contenidos en los citados procedimientos. Quienes se relacionen con las Administraciones Públicas a través de medios electrónicos, tendrán derecho a consultar la información a la que se refiere el párrafo anterior, en el Punto de Acceso General electrónico de la Administración que funcionará como un portal de acceso. Se entenderá cumplida la obligación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Administración de facilitar copias de los documentos contenidos en los procedimientos mediante la puesta a disposición de las mismas en el Punto de Acceso General electrónico de la Administración competente o en las sedes electrónicas que correspondan.
- b)A identificar a las autoridades y al personal al servicio de las Administraciones Públicas bajo cuya responsabilidad se tramiten los procedimientos. (…)” De aquí podemos deducir que el acceso puede ejercerse en cualquier momento, y que dicho acceso comprende: - El estado de tramitación del procedimiento, es decir, la fase del procedimiento administrativo en el que se encuentra. - El acceso físico al mismo expediente. - Derecho a obtener copia de los documentos que obren en él. (El derecho a la obtención de copias no implica la gratuidad de las mismas). - Derecho a identificar a los funcionarios intervinientes en é, etc. De esta forma, se facilita a los interesados conocer los datos, informes, actuaciones, etc., que integran el expediente administrativo a fin de no limitar sus derechos y que no se genere indefensión Ahora bien, también el artículo 13, Derechos de las personas en sus relaciones con las Administraciones Públicas, establece que: “Quienes de conformidad con el artículo 3, tienen capacidad de obrar ante las Administraciones Públicas, son titulares, en sus relaciones con ellas, de los siguientes derechos: “(…)
- h)A la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas. (…) Estos derechos se entienden sin perjuicio de los reconocidos en el artículo 53 referidos a los interesados en el procedimiento administrativo”. La parte reclamante en su escrito de reclamación aludía que en el expediente se le había trasladado a la técnico de la Consejería de manera confidencial y privada su intención de presentar una demanda de custodia compartida a su exmujer, que ella no lo sabía, y que esperaba dicha información no fuera desplazada para su conocimiento, así como datos sensibles vertidos en el expediente, de las cuales su exmujer había obtenido copia de todos ellos, considerando que esa información privada que le había sido trasladada era excesiva e innecesaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Consta en el expediente el documento INFORME PROGRAMA DE FAMILIAS Y SERVICIO SOCIAL DE ATENCION SOCIAL BASICA. DIRECCIÓN GENERAL DE POLITICAS SOCIALES E INFANCIA Y FAMILIAS. En este documento en el epígrafe 2. NIVEL DE ESTABILIDAD Y ESTILO DE VIDA DE LOS PROGENITORES, en el apartado
- c)Estado de salud física y mental, referido a ambos progenitores. En relación con la progenitora se señala: “(…) (…) no se encuentra bien, le dieron (…) este verano… (…). Además, (…) de forma privada, una vez a la semana… (…)” Y en relación con el progenitor: “El progenitor está (…) Después del suceso, (…) pero todavía no tiene (…). Refiere no estar bien (…). El progenitor precisa (…). También tiene (…). (…) lo veía desde antes de verano, ya que quiere pedir (…) y fue para que este le orientara en (…) Cuenta que ha sufrido (…) (…)”. En la Propuesta de Resolución ya se señalaba que era necesario llevar a cabo con la debida ponderación un análisis de las consecuencias que pudieran tener la posibilidad de acceder, con motivo de la entrega del expediente administrativo, a datos sensibles, datos de carácter personal sometidos a una especial protección como los de salud, así como a información contenida en declaraciones o manifestaciones realizadas en entrevistas durante el transcurso del procedimiento, que aisladamente considerados no parecen aportar o revelar información importante sobre la vida privada, la salud u otra circunstancia relativa a una persona determinada, pero que conjuntamente considerados pueden arrojar información extremadamente sensible y confidencial sobre la situación particular, privada e íntima y de una persona, que en todo caso debería ser anonimizado. Los datos de salud constituyen una categoría especial de datos, conforme al artículo 9.1 del RGPD, cuyo tratamiento está prohibido con carácter general, salvo que concurran determinadas excepciones contempladas en el punto 2 del referido art. 9 del RGPD. El RGPD define en su artículo 4.15 los datos relativos a la salud como los “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” El considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” En este sentido el Tribunal de Justicia (TJUE) interpretó dicho concepto en un sentido amplio, considerando como datos relativos a la salud, la información relativa a todos los aspectos, tanto físicos como psíquicos, de la salud de una persona, tanto relativo a su estado de salud (que se ha lesionado un pie) como que la misma se encuentra en una situación de baja parcial (STJUE de 6 de noviembre de 2003, Lindqvist, C-101/01). Y la STJUE de 04/10/2024, en el asunto C 21/23, determina que cuando el tratamiento de datos personales puedan revelar indirectamente informaciones sensibles de una persona, dichos datos se encuadran en el régimen previsto en el artículo 9 del RGPD: “82 En particular, no cabe interpretar tales disposiciones en el sentido de que el tratamiento de datos personales que puedan desvelar indirectamente informaciones sensibles sobre una persona física queda fuera del régimen de protección reforzado establecido por las mencionadas disposiciones, pues de quedar fuera se menoscabaría el efecto útil de ese régimen y la protección de las libertades y de los derechos fundamentales de las personas físicas que pretende garantizar (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 127)“. También el Dictamen 1/15 del Tribunal de Justicia (Gran Sala) de 26/07/2017, el apartado 128 establece que: “128 Por otra parte, aun cuando algunos de los datos del PNR, aisladamente considerados, no parezcan poder revelar información importante sobre la vida privada de las personas afectadas, no deja de ser cierto que, conjuntamente considerados, dichos datos pueden revelar, entre otros extremos, un itinerario de viaje completo, hábitos de viaje, relaciones existentes entre dos o varias personas así como información sobre la situación económica de los pasajeros aéreos, sus hábitos alimentarios o su estado de salud, y podrían incluso proporcionar datos sensibles sobre dichos pasajeros, tal como se define en el artículo 2, letra e), del Acuerdo previsto”. Es por ello que, como ocurre en el presente caso, los datos de carácter personal sometidos a especial protección aisladamente considerados pueden no entrañar un riesgo en relación con los citados tratamientos, como cuando son objeto de acceso con ocasión de su inclusión y traslado de un expediente administrativo, previa solicitud del mismo, a los interesado; pero la combinación de todos ellos puede revelar/desvelar indirectamente informaciones sensibles o intimas sobre una persona física y posibilitando un retrato de la vida privada de la/s persona/s afectada/s. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Por otra parte, es cierto que como señala la parte reclamada que la entrevista es una de las técnicas utilizadas durante el proceso de instrucción de un Expediente de Protección con el objetivo de evaluar y realizar una toma de decisiones respecto a la situación familiar de una persona menor de edad. Sin embargo, no se trata de poner en cuestión la citada técnica con la que es posible, como en el caso presente, constatar o rebatir los datos existentes en relación con la posible existencia de una situación de desprotección, que por otra parte en nada compete a ese organismo; sino que la información volcada en el transcurso de la misma o bien en informes con respecto a una situación personal determinada, cuando son trasladados en conjunto, como en el caso presente, a raíz de la petición de expediente por un tercero, puede posibilitar dar una imagen o un juicio de la persona afectada. Por tanto, la alegación formulada por la parte reclamada debe ser rechazada. III Obligación incumplida: infracción del artículo 5.1.
- c)del RGPD En el presente caso los hechos se materializan en la recepción por la parte reclamante de copia del expediente de protección de su hijo menor de edad, conteniendo datos especialmente protegidos y en el que la parte reclamante señala al técnico actuante su pretensión de presentar demanda de custodia compartida a su exmujer y que dicha información no se protegió adecuadamente, ya que se envió una copia completa del informe a su exmujer, lo que podría constituir vulneración de la normativa en materia de protección de datos de carácter personal. El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)” La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al posibilitar el acceso a los datos de carácter personal como consecuencia de la remisión del expediente de declaración de desamparo a su exmujer, vulnerándose el principio de minimización de datos previstos en el citado artículo. El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
- c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero no con ningún otro objetivo. La parte reclamante ha manifestado que en el expediente se contienen datos sobre su estado de salud y que, además, en la entrevista mantenida el ***FECHA.1, expreso al técnico que iba a presentar una demanda de custodia compartida a su exmujer y que, dado que ella no lo sabía no deseaba que se enterara; estos datos y las declaraciones de la parte reclamante figuran en el informe de Servicios Sociales y han sido trasladados a su exmujer, sin su consentimiento. Por su parte, la parte reclamada ha señalado que los progenitores del menor solicitaron copia del expediente, una el ***FECHA.2 y otro el día ***FECHA.1, haciéndose entrega del mismo en las dependencias de la Consejería de Servicios Sociales, Inclusión, Infancia y Familia; que se les facilito a los afectados conocer los datos y las actuaciones integrantes del expediente administrativo para no limitar su derecho de defensa y, por tanto, que no se pudiera generar indefensión, cumpliendo en todo momento con la normativa reguladora del procedimiento administrativo. En el presente caso se atribuye a la reclamada en el procedimiento sancionador incoado una infracción del principio de minimización de datos previsto en el artículo 5.1.
- c)del RGPD que dispone: “Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. (…)” Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente. En epígrafe 74 de dichas directrices se establece que: “En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento.” (Epígrafe 74). Y en su epígrafe 76 las Directrices 4/2019 indican que pueden ser “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos” entre otros, los siguientes: “• Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. • Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 • Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia. • Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. • Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” Pues bien, la parte reclamada dio traslado del expediente conteniendo datos e información que no era necesaria, ni adecuada, ni pertinente pues solo deben tratarse de acuerdo a la finalidad perseguida. Por tanto, es necesario llevar a cabo una debida ponderación de la información a entregar, sopesando las circunstancias que rodean un determinado tratamiento, analizando las consecuencias que puede conllevar el acceso a determinados datos como los de salud, especialmente protegidos, así como la información privada vertida a través de declaraciones y manifestaciones en el transcurso de una entrevista, cuya cesión o traslado puede ser considerada excesiva e innecesaria, vulnerando la normativa en materia de protección de datos de carácter personal, artículo 5.1.
- c)del RGPD. También en el Considerando 39 del RGPD se señala que: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”. Por tanto, se considera que la conducta de la parte reclamada trasladando determinados datos contenidos en el expediente revelando no solo los datos de salud de la parte reclamante, datos especialmente protegidos, sino también las impresiones y declaraciones privadas formuladas en la entrevista con el técnico de servicios sociales, se consideran inadecuados, innecesarios y no limitados a la finalidad especifica vulnerando el artículo 5.1.
- c)del RGPD, infracción tipificada en el artículo 83.5
- a)del RGPD. III Tipificación y calificación de la infracción La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
- a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Régimen aplicable a la parte reclamada El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. V Adopción de medidas Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
- a)a j). Al haberse confirmado la infracción, procede ordenar al responsable la adopción de medidas para ajustar su actuación a la normativa mencionada con anterioridad, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se considera procedente ordenar que el reclamado en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que, en todo caso, se dicte para que adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable, en este caso, a lo dispuesto en el artículo 5.1.
- c)del RGPD. En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias puestas de manifiesto se acuerda requerir a la entidad reclamada para que adopte medidas que eviten la puesta a disposición de los interesados en los procedimientos que tramite de datos personales de terceros que no sean estrictamente necesarios para la defensa de sus intereses. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE SALUD Y SERVICOS SOCIALES, con NIF S0611001I, ha infringido lo dispuesto en el artículo 5.1.
- c)del RGPD, infracción tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: ORDENAR a la CONSEJERÍA DE SALUD Y SERVICOS SOCIALES, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas adecuadas que impidan incidencias como la que dio lugar a la apertura del procedimiento sancionador. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE SALUD Y SERVICOS SOCIALES. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es