1/12 Procedimiento Nº PS/00220/2015 RESOLUCIÓN: R/02215/2015 En el procedimiento sancionador PS/00220/2015, instruido por la Agencia Española de Protección de Datos a la entidad CLINICA LA LUZ S.L., vista la denuncia presentada por Dª. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23 de mayo de 2014 tiene entrada en esta Agencia un escrito de Dª. A.A.A. en el que declara que: Con fecha 29 de abril de 2014, en la consulta del Dr. B.B.B., perteneciente al equipo médico oncológico de la Clínica la Luz de Madrid, le entregaron para su firma el documento de consentimiento informado junto con su diagnóstico y tratamiento para que lo firmara antes de iniciar el tratamiento. Al leer la documentación que le habían entregado comprobó que en los documentos que le habían entregado, de los que aporta copia, figuraba el nombre y apellidos de otra paciente. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 26 de diciembre de 2014, CLINICA LA LUZ S.L., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. El documento entregado a la denunciante se realiza en una plantilla de WORD, y es común para todos los pacientes, se individualiza para cada uno de ellos incluyendo en la plantilla el nombre y apellidos, la fecha, el número de historia, el diagnóstico y el tratamiento que va a recibir. 2. En el caso de la denunciante, por un error administrativo, al escribir en la plantilla el nombre de la paciente, se cambió por el de otra persona, no obstante el resto de los datos son correctos y corresponden a la denunciante (número de historia, diagnóstico y tratamiento) 3. Aportan copia del listado de pacientes citados a la consulta del Dr. B.B.B., con fecha 29 de abril de 2014, en el que se observa que consta citada la denunciante y no consta citada la persona cuyo nombre y apellidos figura en los documentos aportados con la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 TERCERO: Con fecha 11 de mayo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad CLINICA LA LUZ S.L., por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. CUARTO: Notificado el acuerdo de inicio, la entidad CLINICA LA LUZ S.L. formuló alegaciones, significando, que: “1. Se entrega a la paciente D. A.A.A., información exacta y cierta sobre sí misma, en la que se incluye la fecha, su número de historia oncológica, su diagnóstico y el tratamiento que va a recibir. 2. El error administrativo que se produce es que en el encabezado viene otro nombre distinto al suyo. (…) No se puede haber producido ningún daño a la denunciante ya que se le dieron todos sus datos e informaciones correctamente. (…) Cabe destacar que mi representada es una entidad que ha dedicado tiempo y recursos al cumplimiento de la normativa sobre protección de datos y ha establecido diversos procedimientos mediante los que, por todas las personas que acceden a datos de carácter personal, se vigila el cumplimiento de todos los principios recogidos en la LOPD y en la Ley 41/2002 de autonomía del paciente y se facilita y atiende con diligencia el ejercicio por los interesados de todos los derechos que contempla la ley. En primer lugar se han inscrito los correspondientes ficheros en el Registro de la Agencia Española de Protección de Datos. En segundo lugar se han establecido medidas y generado documentos (entre ellos el correspondiente documento de seguridad que obliga el Real Decreto 1720/2007), para asegurar el cumplimiento por todos los empleados de la normativa vigente sobre protección de datos. (…) Esta presentación de los hechos es la realmente ocurrida y de ella se deduce, con facilidad, que se trató de un error administrativo que no tuvo ninguna consecuencia ni causó ningún perjuicio ni a la denunciante ni a un tercero. Queda, por tanto, totalmente claro y se puede afirmar con rotundidad que no existió ningún hecho o actuación que pueda ser considerado como infracción a la LOPD y, consecuentemente, no puede haber lugar a sanción de ningún tipo. (…) Solicitamos la aplicación del citado apartado 5, del artículo 45, de la LOPD, con base a la naturaleza del derecho personal presumiblemente afectado, ya que no se ha visto alterada ni afectada de ninguna forma la intimidad de la denunciante y no ha habido intencionalidad y, evidentemente, no se ha causado ningún perjuicio a la denunciante ni a terceros, ni mi representada ha obtenido beneficio alguno. (…) En nuestro caso ha quedado demostrado:
- a)Que la supuesta infracción habría sido realizada una sola vez y producto de un error administrativo
- b)Que no ha existido ningún beneficio para esta parte como consecuencia de la comisión de la supuesta infracción.
- c)Que no ha habido intencionalidad alguna.
- d)Que no se ha causado ningún perjuicio a ninguna persona.
- e)Que con anterioridad a los hechos constitutivos de la supuesta infracción mi C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 representada tenía implantados los procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la posible infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. Vemos que se cumplen varios o todos los requisitos que la redacción del artículo 45.4 de la LOPD contempla para que por el Ilustrísimo sr. Director de la Agencia Española de Protección de Datos se pueda establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate. Todo ello nos lleva a pedir que se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios, o todos, los criterios enunciados.” Concluyen las alegaciones solicitando que se formule Propuesta de Resolución declarando que no existe responsabilidad por haber actuado en forma correcta con relación a los hechos que se le imputan o, en caso de apreciarse, establecer la sanción aplicando la cuantía mínima de la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada. QUINTO: Con fecha 10 de junio de 2015 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante CLINICA LA LUZ S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05026/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00220/2015 presentadas por CLINICA LA LUZ S.L., y la documentación que a ellas acompaña. SEXTO: Con fecha 21 de agosto de 2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 3.000 € a la entidad CLINICA LA LUZ S.L., por la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha Ley. SÉPTIMO: Notificada la propuesta de resolución, la entidad CLINICA LA LUZ S.L. presentó alegaciones frente a la misma en las que comunica: “A la paciente, por tanto, se le dieron todos los documentos e información que le pertenecían y le correspondían, con la salvedad de que se incluyó un dato erróneo; en definitiva se tecleó un nombre distinto que no era el suyo, pero nada más que eso, en definitiva, se tecleó un dato incorrecto, pero que no revelaba información alguna de ninguna persona física, puesto que ese dato no podía relacionarse con ninguna persona identificable. (…) En definitiva, entendemos por ello, con el debido respeto a esta Agencia y en estrictos términos de defensa, que se trata de un “dato” erróneamente tecleado, pero que no se correlaciona con una persona en particular ni ofrece información sobre una persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 identificable, por lo que no teniendo la consideración de dato personal no sería objeto de protección por la normativa de protección de datos personales, (…) En ningún momento se ha revelado dato personal alguno a nadie (solo se ha tecleado mal una identidad, en definitiva, se ha incluido un dato incorrecto no concerniente a ninguna persona física y por lo tanto sin que tenga la consideración de “personal” y por ende, no sujeto a la ley de protección de datos. (…) No hay datos de tercera persona que hayan de ser objeto de guarda. No hay dato que haya sido indebidamente revelado a un tercero o dato que deba protegerse, ni cesión de información a terceros, ni deber incumplido guarda, pues ese dato no debía ser objeto de custodia por el hospital dado que era un dato erróneo, y por tanto no un dato preexistente que debería custodiarse y en consecuencia que debiera preservarse su revelación a terceros. En definitiva se trata simplemente de un dato erróneamente recogido en un escrito sin que ello haya afectado a ninguna persona física o jurídica. (…) Consideramos que en el procedimiento sancionador incoado no existe prueba o indicio de que ese nombre (erróneamente tecleado en el documento) se corresponda con persona identificada o identificable, por lo que entendemos, todo ello con los debidos respetos a esta Agencia, que procedería acordar el archivo del procedimiento, por no existir infracción alguna de la normativa de protección de datos. (…) En consecuencia, entendemos que en el peor de los casos (es decir en supuesto de que la Agencia no acordara el archivo del procedimiento sancionador), correspondería a lo sumo el apercibimiento sin adoptar medida adicional, en aplicación del apartado 6 de artículo 45 de la LOPD.” Concluyen las alegaciones solicitando que se declare la inexistencia de conducta infractora y se le exonere de toda responsabilidad, decretando el sobreseimiento y archivo. HECHOS PROBADOS PRIMERO: Se ha denunciado en esta Agencia que en la Clínica la Luz de Madrid entregaron a la denunciante para su firma el documento de consentimiento informado junto con su diagnóstico y tratamiento para que lo firmara antes de iniciar el tratamiento. Al leer la documentación que le habían entregado comprobó que en los documentos que le habían entregado, de los que aporta copia, figuraba el nombre y apellidos de otra paciente. SEGUNDO: La Clínica la Luz de Madrid ha informado a esta Agencia en relación con los hechos denunciados que el documento entregado a la denunciante se realiza en una plantilla que es común para todos los pacientes y se les entrega con su nombre y apellidos, la fecha, el número de historia, el diagnóstico y el tratamiento que va a recibir. Manifiesta que en el caso de la denunciante, por un error administrativo, al escribir en la plantilla el nombre de la paciente, se cambió por el de otra persona, no obstante el resto de los datos son correctos y corresponden a la denunciante (número de historia, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 diagnóstico y tratamiento) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este procedimiento ha quedado acreditado que la Clínica La Luz entregó a la denunciante un documento de consentimiento informado para someterse a un tratamiento médico, en el que figuraban, entre sus datos, los datos identificativos, nombre y apellidos de otra paciente. En este caso, ese deber de secreto comporta que la Clínica La Luz, responsable de los datos personales de sus pacientes, no puede revelarlos a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la ley. III Alega la entidad denunciada que no existió ninguna actuación que pueda ser considerada como infracción a la LOPD porque se trató de un error administrativo que no tuvo consecuencias ni acusó perjuicios a la denunciante ni a terceros. A este respecto los tribunales entienden que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Esta alegación no puede ser tenida en cuenta, dado que, si bien el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). Conforme a esta doctrina jurisprudencial, es evidente la existencia, en este caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 de, al menos, una falta de diligencia plenamente imputable a la clínica denunciada por haber tratado comunicado los datos identificativos de una de sus pacientes a otra, hecho que pudo haberse detectado si hubiera empleado la diligencia debida que le resulta exigible. Argumenta la entidad denunciada en las alegaciones a la propuesta de resolución que “No hay dato que haya sido indebidamente revelado a un tercero o dato que deba protegerse, ni cesión de información a terceros, ni deber incumplido guarda, pues ese dato no debía ser objeto de custodia por el hospital dado que era un dato erróneo, y por tanto no un dato preexistente que debería custodiarse y en consecuencia que debiera preservarse su revelación a terceros. (…) En definitiva se trata simplemente de un dato erróneamente recogido en un escrito sin que ello haya afectado a ninguna persona física o jurídica.” La LOPD define los datos de carácter personal, en su art. 3.a), como “cualquier información concerniente a personas físicas identificadas o identificables.” Por su parte, el Reglamento de la LOPD los define, en su art. 5.1.f), como “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” De acuerdo con estas definiciones, no cabe duda de que el nombre y apellidos constituye un dato de carácter personal que concierne a una persona física identificada o identificable. En este punto no podemos olvidar que al dato personal de nombre y apellidos de la persona que figura en el documento entregado a la denunciante, se une el hecho de que se trata de una paciente de la entidad denunciada dado que la entidad ha informado de que el documento en que figuran esos datos personales es una plantilla Word común para todos los pacientes y que se individualiza para cada uno de ellos introduciendo manualmente el nombre del paciente, la fecha, el número de historia oncológica, el diagnóstico y tratamiento que va a recibir. El hecho de que el nombre y apellidos de una persona figuren en un documento reservado a pacientes de la clínica imputada, individualiza e identifica de una forma más concreta a la persona que figura en el documento objeto de denuncia, porque se trata de una persona identificada con nombre y apellidos y que es paciente de la clínica. Por ello que no es posible aceptar la alegación realizada al tratarse de datos de carácter personal de una paciente de la clínica denunciada, responsable de los datos personales de sus pacientes que no puede dar a conocer a terceros no autorizados. IV La conducta de la entidad denunciada se incardina en el artículo 44.3.
- d)de dicha norma que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este procedimiento se ha acreditado que la entidad imputada ha divulgado los datos identificativos de una de sus pacientes al entregarle a la denunciante en este procedimiento un documento con el nombre y apellidos de otra paciente. Dado que ha existido una vulneración en el deber de secreto por parte de la Clínica La Luz en relación con datos personales de sus pacientes, se considera que ha incurrido en la infracción descrita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 El hecho constatado de la difusión de datos personales fuera del ámbito del afectado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V Por otra parte se alega a la propuesta de resolución que “entendemos que en el peor de los casos (es decir en supuesto de que la Agencia no acordara el archivo del procedimiento sancionador), correspondería a lo sumo el apercibimiento sin adoptar medida adicional, en aplicación del apartado 6 de artículo 45 de la LOPD”. El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Se solicita en el escrito de alegaciones la posibilidad de la aplicación de lo establecido en el nuevo régimen sancionador de la LOPD dado que, a su parecer, se cumplen los presupuestos del artículo 45.6 de la ley para apercibir en lugar de acordar la apertura de un procedimiento sancionador. Del análisis de la concurrencia de los criterios establecidos en dicho precepto, se concluye que, atendida la naturaleza de los hechos constatados, debe valorarse que en un caso como el presente de una entidad con una actividad relacionada con el tratamiento de datos personales y teniendo en cuenta el tipo de datos que se tratan, datos especialmente protegidos que hacen referencia a la salud, esta Agencia entiende que no procede la aplicación de la previsión contenida en el apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. Por lo que cabe desestimar lo alegado. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De acuerdo con los fundamentos anteriores, se deduce que por parte de la Clínica La Luz se ha producido una vulneración del deber de secreto de los datos, que ha tenido como consecuencia que los datos personales de una de sus pacientes fueran vistos por un tercero no autorizado, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada…sino que es necesario que se aprecie en el sujeto infractor el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Expone la entidad denunciada en sus alegaciones “
- a)Que la supuesta infracción habría sido realizada una sola vez y producto de un error administrativo
- b)Que no ha existido ningún beneficio para esta parte como consecuencia de la comisión de la supuesta infracción.
- c)Que no ha habido intencionalidad alguna.
- d)Que no se ha causado ningún perjuicio a ninguna persona.
- e)Que con anterioridad a los hechos constitutivos de la supuesta infracción mi representada tenía implantados los procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la posible infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. (…) Todo ello nos lleva a pedir que se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios, o todos, los criterios enunciados.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso la entidad denunciada ha manifestado que se han establecido las medidas de seguridad adecuadas para asegurar el cumplimiento por los empleados de la normativa vigente sobre protección de datos, lo que acredita mediante la correspondiente documentación. Puede también estimarse la concurrencia de los puntos a, e, f, i del artículo 45.4 de la LOPD por cuanto se trató de una única acción, no se consiguieron beneficios por la comisión de la infracción, no ha habido intencionalidad y con anterioridad a los hechos la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal siendo la infracción consecuencia de una anomalía de dichos procedimientos. Debe entenderse por tanto que operan dichas circunstancias atenuantes de la responsabilidad. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en este caso, valoradas en aplicación de dichos criterios, permiten, que en este caso, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 considere procedente que se fije la cuantía de la sanción en 1.500 euros, al haberse constatado una disminución cualificada de la culpabilidad y teniendo en consideración la ausencia de intencionalidad y de reiteración en la comisión de la infracción. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CLINICA LA LUZ S.L., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 1.500 € (mil quinientos euros) de conformidad con lo establecido en el artículo 45 .1, .2, . 4 y .5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad CLINICA LA LUZ S.L. y a Dª. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es