← España

PS-00253-2023

1/17  Expediente N.º: EXP202302620 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 01/02/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra APOLLONIA TOPCO, S.L. con NIF B88526116 (en adelante, la parte reclamada o Clínica Dental Sagrada Familia de Barcelona o la Clínica). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que la parte reclamada le solicita copia de su DNI como requisito para reembolsarle una cantidad pagada de más por un tratamiento recibido, rechazando las tres posibles alternativas propuestas, que contemplan la posibilidad de realizar el reintegro mediante transferencia a la cuenta bancaria que ya fue comunicada a la parte reclamada, talón bancario garantizado a nombre de la parte reclamante o metálico, con firma del correspondiente recibo. Señala que la AEPD ha emitido un informe en respuesta a una consulta realizada por la parte reclamante respecto de esta cuestión. La parte reclamante considera que, según el informe citado, en este caso no se dan los principios de limitación de la finalidad ni el de minimización, vulnerando los artículos 5.1.

  1. b)y 5.1c) del RGPD. No se justifica la necesidad de disponer del DNI fotocopiado para conseguir el fin perseguido, el reintegro. El 24/12/2022, la parte reclamante envió un correo electrónico a la Clínica, dirigido a su delegado de protección de datos, sin que haya recibido respuesta, por lo que denuncia la inactividad o inoperancia del DPD del centro médico. Junto a la notificación se aporta copia del correo electrónico remitido al DPD de la parte reclamada y de la respuesta facilitada por la AEPD a la consulta formulada por la parte reclamante en relación con los hechos que motivan la reclamación SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Públicas (en adelante, LPACAP), fue recogido en fecha 02/03/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 31/03/2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que manifiesta lo siguiente: Confirma la recepción de la consulta formulada por la parte reclamante al DPD de la parte reclamada, puntualizando que la misma se cursó a través del correo electrónico de la Clínica, que es gestionada por personal de recepción y no es el canal habitual habilitado al efecto. Justifica la falta de respuesta en una omisión por descuido, sin intencionalidad, de la persona que recibió la comunicación y debió trasladarla al DPD, según se recoge en los protocolos de la clínica. Señala al respecto que la consulta ha sido atendida con ocasión del trámite de traslado de la reclamación, habiendo justificado al interesado la necesidad de realizar una copia del DNI. Con su respuesta la parte reclamada aporta un informe sobre el tratamiento y las decisiones adoptadas a propósito de la reclamación con el contenido siguiente: “Información sobre el tratamiento Las gestiones administrativas, incluida la tramitación de reembolsos del saldo a favor en los monederos de los pacientes y/o clientes, se gestionan desde el departamento de administración que se encuentra en las oficinas centrales. Cada clínica se encarga de recoger las solicitudes y trasladarlas a dicho departamento. En este sentido, para evitar posibles fraudes y suplantaciones de identidad, es importante destacar que la práctica de recopilar una copia del DNI se realiza exclusivamente cuando se solicita la extracción del saldo disponible, para cumplir con la finalidad específica de verificar la identidad del paciente o cliente y tramitar su reembolso con la diligencia debida. Este protocolo es resultado de analizar los riesgos asociados, contemplando no solo perjuicios económicos, sino aquellos derivados de una posible pérdida de acceso a un servicio sanitario ya abonado. De esta manera, el Delegado de Protección de Datos ha valorado que esta práctica cumple con el principio de minimización y limitación, ya que solo se recopilan los datos personales necesarios para cumplir con la finalidad específica de la gestión del reembolso, resultando necesaria, adecuada y pertinente la recopilación del DNI para acreditar la identificación inequívoca, garantizar la seguridad del proceso y asegurar que el reembolso se realiza a la persona correcta. Del mismo modo, no se han encontrado medidas alternativas igual de efectivas y seguras. Como es lógico, esta copia del documento es conservada durante el tiempo mínimo necesario para llevar a cabo la finalidad, manteniéndola debidamente bloqueada para acreditar el cumplimiento de la debida diligencia frente a posibles reclamaciones de responsabilidad durante los plazos legalmente establecidos. Decisión adoptada a propósito de la reclamación En primer lugar, se ha dado respuesta a la persona reclamante por la consulta planteada a la fecha de presentación de este escrito. Por otra parte, tras realizar las investigaciones oportunas, no se ha podido determinar la causa de la omisión de la comunicación. No obstante, se ha realizado una convocatoria con todo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 personal de la organización para recalcar la obligación e importancia de dar traslado de todas las comunicaciones dirigidas al Delegado de Protección de Datos a la cuenta de correo habilitada a tal efecto, independientemente del canal escogido por la persona interesada. Asimismo, el Delegado de Protección de Datos realizará simulaciones recurrentes y aleatorias en todas las clínicas para comprobar que se da cumplimiento al protocolo establecido” . Aporta, asimismo, copia de la respuesta facilitada a la parte reclamante sobre su reclamación, con idéntico contenido al informe anterior sobre el tratamiento. TERCERO: Con fecha 27/04/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 19/07/2023, por la Subdirección General de Inspección de Datos se accede a la información relativa a la parte reclamada disponible en los sitios web “omfocif.economia3.com” y en “einforma.com”. (…). QUINTO: Con fecha 21/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones siguientes: . Infracción del artículo 5.1.
  2. c)del RGPD, tipificada en el artículo 83.5.
  3. a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  4. a)de la LOPDGDD. . Infracción del artículo 38 del RGPD, tipificada en el artículo 83.4.
  5. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
  6. w)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 30.000 euros (treinta mil euros): 20.000 euros (veinte mil euros) por la presunta infracción del artículo 5.1.
  7. c)del RGPD, de 10.000 euros (diez mil euros) por la presunta infracción del artículo 38 del RGPD. Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas de acuerdo con lo establecido en el citado artículo 58.2
  8. d)del RGPD. Por otra parte, se indicó a la parte reclamada que, si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  9. f)de la LPACAP. SEXTO: La notificación del acuerdo de apertura reseñado en el antecedente anterior, en la que se concedía plazo para formular alegaciones y proponer prueba, fue entregada a la parte reclamada a través del servicio de Dirección Electrónica Habilitada Única (DEHU) en fecha 21/07/2023. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 El artículo 64.2.
  10. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, las infracciones del RGPD atribuidas a la reclamada y las sanciones que podrían imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  11. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante es cliente de la parte reclamada, que presta servicios médicos y explota varias clínicas odontológicas. Dicha relación contractual generó una obligación de reintegro de cantidad por la parte reclamada a favor de la parte reclamante. Para hacer efectivo el pago de estos reintegros de cantidad, la parte reclamada ha dispuesto que sus clientes le aporten copia de su documento de identidad y así lo exigió a la parte reclamante. SEGUNDO: Con fecha 24/12/2022, la parte reclamante envió un correo electrónico a la parte reclamada, dirigido a su delegado de protección de datos, en relación con la exigencia de copia de su documento de identidad para recibir el reintegro de la cantidad que le adeuda la parte reclamada. Este correo electrónico no fue remitido por la parte reclamada a su DPD, por lo que las cuestiones planteadas por la parte reclamante no fueron respondidas por éste. TERCERO: La parte reclamada elaboró un informe sobre los hechos reseñados en los Hechos Probados Primero y Segundo, que fue aportado por la misma a las actuaciones mediante escrito de fecha 31/03/2023, presentado ante esta Agencia con ocasión del trámite de traslado de la reclamación formulada por la parte reclamante. En este informe se señala lo siguiente: “Información sobre el tratamiento Las gestiones administrativas, incluida la tramitación de reembolsos del saldo a favor en los monederos de los pacientes y/o clientes, se gestionan desde el departamento de administración… En este sentido, para evitar posibles fraudes y suplantaciones de identidad, es importante destacar que la práctica de recopilar una copia del DNI se realiza exclusivamente cuando se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 solicita la extracción del saldo disponible, para cumplir con la finalidad específica de verificar la identidad del paciente o cliente y tramitar su reembolso con la diligencia debida… Decisión adoptada a propósito de la reclamación… Por otra parte, tras realizar las investigaciones oportunas, no se ha podido determinar la causa de la omisión de la comunicación. No obstante, se ha realizado una convocatoria con todo el personal de la organización para recalcar la obligación e importancia de dar traslado de todas las comunicaciones dirigidas al Delegado de Protección de Datos a la cuenta de correo habilitada a tal efecto, independientemente del canal escogido por la persona interesada...” . FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Obligación incumplida. Tratamiento de datos excesivos El artículo 5 del RGPD se refiere al principio de minimización de datos en la letra
  12. c)de su apartado 1 en los siguientes términos: “Artículo 5 Principios relativos al tratamiento 1.Los datos personales serán:
  13. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. La parte reclamada es una empresa que presta servicios médicos y explota varias clínicas odontológicas, entre ellas la Clínica Dental Sagrada Familia de Barcelona, de la que es cliente la parte reclamante. Por razones que se desconocen, los servicios recibidos por la parte reclamante dieron lugar a un saldo a su favor, que conlleva una obligación de reintegro de cantidades por la parte reclamada. Según ha manifestado la parte reclamante, la clínica debe reembolsarle una cantidad pagada de más por un tratamiento recibido. Para la realización de estos reintegros, la parte reclamada ha dispuesto recabar de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 sus clientes, con carácter previo al reembolso, una fotocopia del documento de identidad. El reintegro de la cantidad de que se trate se condiciona por la Clínica a la entrega de fotocopia de este documento, según ha manifestado la misma, para verificar la identidad del cliente y asegurar que el reembolso se realiza a la persona correcta. Así ha ocurrido en el presente caso, en el que la Clínica ha rechazado, según la parte reclamante, todas las alternativas propuestas para hacer efectivo el reintegro, entre las que menciona el reintegro mediante transferencia a la cuenta bancaria que ya fue comunicada a la parte reclamada, talón bancario nominativo o metálico, con firma del correspondiente recibo. Entiende esta Agencia que la relación contractual que supone la prestación de servicios odontológicos a un cliente (la parte reclamante) justifica el acceso por la parte reclamada a los datos personales de las personas que los reciben, siempre que resulten necesarios para el cumplimiento de las obligaciones que conlleva dicha prestación de servicios; pero no justifica el acceso a toda la información que contiene el documento de identidad del cliente y, menos aún, la recogida y conservación de una fotocopia de este documento sin que exista una base jurídica que así lo justifique. Dado que el propósito es devolver una cantidad a una persona por cancelación de un tratamiento, u otra causa, quiere decir que se trata de un cliente de la Clínica ya identificado que ha realizado pagos anteriores, de modo que aquel reintegro puede realizarse sirviéndose de la información ya disponible y sin que sea necesario recabar la información adicional a la que se refiere la reclamación. Si como señala la parte reclamante, la parte reclamada ya disponía previamente de su cuenta bancaria y aquella admitía la devolución de cantidad mediante transferencia a dicha cuenta, no existen motivos para requerir copia del documento de identidad del cliente. Y lo mismo puede decirse respecto de los otros medios propuestos por la parte reclamante para que le fuera satisfecha la cantidad en cuestión, como son el pago mediante talón nominativo o el pago en metálico simplemente acreditando su identidad y suscribiendo el correspondiente recibo por la entrega de efectivo. Siendo así, la recogida de la fotocopia del documento de identidad del cliente, dispuesta con carácter general por la parte reclamada, con toda la información contenida en ese documento, se entiende como un tratamiento de datos personales inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento, contrario a los principios de protección de datos, concretamente, al principio de “minimización de datos”, regulado en el artículo 5.1.
  14. c)del RGPD. En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración por la parte reclamada de lo dispuesto en el artículo 5.1.
  15. c)del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de Datos. III Obligación incumplida. Reclamación ante el Delegado de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 La LOPDGDD, en su Exposición de Motivos, destaca un aspecto importante en relación con la figura del delegado de protección de datos al señalar que “permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento”. Este aspecto está relacionado con el derecho que el artículo 38.4 del RGPD reconoce a los interesados de “ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento”, recogido también en el artículo 37.1 de la LOPDGDD, que establece lo siguiente: “Artículo 37. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos. 1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación”. En el presente caso, consta acreditado que la parte reclamante, con fecha 24/12/2022, remitió un correo electrónico a la Clínica Dental Sagrada Familia, de Barcelona, dirigido <<a la at. Sr. “Delegat de Protecció de Dades”>>, poniendo de manifiesto los hechos determinantes de la infracción reseñada en el Fundamento de Derecho anterior, respecto de la exigencia de una fotocopia del DNI de la parte reclamante para hacer efectivo el reintegro de una cantidad a su favor. Mediante este correo, la parte reclamante adjuntó el informe elaborado por esta Agencia en respuesta a una consulta suya sobre los mismos hechos y solicita la intervención del delegado de protección de datos en el sentido expresado en dicho informe. Consta, asimismo, acreditado, que la reclamación planteada por la parte reclamante ante el delegado de protección de datos no fue trasladada a éste por la organización de la parte reclamada, impidiendo con ello que se pudiera dar solución a las cuestiones suscitadas, que quedaron sin respuesta. Solo cuando la parte reclamante formuló la reclamación ante esta Agencia fue cuando el delegado de protección de datos respondió aquella otra de 24/12/2024, con ocasión del trámite de traslado de la reclamación reseñado en el Antecedente Segundo. El propio DPD de la parte reclamada, en su respuesta a dicho trámite de traslado de la reclamación, confirmó las circunstancias de hecho señaladas. Esta conducta de la parte reclamada constituye un incumplimiento del artículo 38 del RGPD, que establece lo siguiente: “Artículo 38. Posición del delegado de protección de datos 1. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales. 2. El responsable y el encargado del tratamiento respaldarán al delegado de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados. 3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado. 4. Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento. 5. El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con el Derecho de la Unión o de los Estados miembros. 6. El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o encargado del tratamiento garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses”. La parte reclamada ha señalado que la reclamación dirigida por la parte reclamante al DPD de la entidad no fue trasladada a éste por un descuido, sin intencionalidad, de la persona que recibió la comunicación, sin que haya podido determinarse la causa de esta omisión. Sin embargo, entiende esta Agencia que no trasladar la reclamación al DPD equivale a no darle curso, a no tramitarla por un mal funcionamiento de los canales internos dispuestos por la misma, lo que no puede admitirse como un error involuntario. La incidencia se produce en el ámbito de responsabilidad de la parte reclamada y esta entidad debe responder por ello. En modo alguno puede considerarse que el error que alega haber cometido excluya su responsabilidad, puesto que, según reiterada jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia. En este caso, el supuesto error es incompatible con la diligencia que la parte reclamada viene obligada a observar, la cual debe manifestarse en el caso concreto que se analiza, respecto del que se alega el error. En el caso concreto de la parte reclamante, no puede admitirse que la actuación de la parte reclamada, no dando curso a la reclamación dirigida al DPD, haya sido diligente. Admitir que no procede exigir responsabilidad por este hecho, en base a un supuesto error involuntario consistente en no dar trámite a la reclamación, sería tanto como admitir que pueda ignorarse la aplicación del RGPD y la LOPDGDD, desvirtuando todo el sistema que establece en relación con la figura del delegado de protección de datos, en el que se contempla expresamente la obligación de responder aquellas reclamaciones en todo caso, en el plazo de dos meses. A este respecto, debe recordarse que cuando el error es muestra de una falta de diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de septiembre de 2004 (RCA 937/2003), se pronuncia en los siguientes términos: “Además, en cuanto a la aplicación del principio de culpabilidad resulta (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
  16. d)puede ser tanto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En esta línea cabe citar la SAN de 21 de enero de 2010, en la que la Audiencia expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada o voluntaria, y a este respecto el artículo 28 de la Ley 40/2015 de Régimen Jurídico del Sector Público, bajo la rúbrica “Responsabilidad”, dispone lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Los hechos expuestos ponen de manifiesto que la parte reclamada no obró con la diligencia a la que venía obligada, que actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 A mayor abundamiento, la Audiencia Nacional, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29/06/2001). En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración por la parte reclamada de lo dispuesto en el artículo 38 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de Datos. IV Tipificación y calificación de las infracciones De conformidad con lo expuesto, se considera que la parte reclamada trata datos personales de sus clientes que son excesivos, al no ser necesarios para la finalidad para la que se recaban. Asimismo, existen evidencias sobre un posible impedimento de la efectiva actuación del delegado de protección de datos. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1.
  17. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de la infracción tipificada en el artículo 83.5, apartado a), del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. Por otra parte, la vulneración de lo dispuesto en el artículo 38 del RGPD se encuentra tipificada en el artículo 83.4.
  20. a)del citado RGPD en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)”. Y el artículo 73 de la LOPDGDD, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  22. w)No posibilitar la efectiva participación del delegado de protección de datos en todas las cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el desempeño de sus funciones. (…)”. V Poderes correctivos Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  23. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
  24. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  25. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  26. d)anterior es compatible con la sanción consistente en multa administrativa. VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  27. a)a
  28. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  29. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  30. b)la intencionalidad o negligencia en la infracción;
  31. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  32. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  33. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  34. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  35. g)las categorías de los datos de carácter personal afectados por la infracción;
  36. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  37. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  38. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  39. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Respecto al apartado
  40. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  41. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  42. a)El carácter continuado de la infracción.
  43. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  44. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  45. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  46. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  47. f)La afectación a los derechos de los menores.
  48. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  49. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de las presuntas infracciones constatadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 que tienen causa en la recogida indebida de copia de los documentos de identidad de los clientes de la parte reclamada y en el hecho de no dar curso a una reclamación dirigida por la parte reclamante al DPD de la parte reclamada, procede la imposición de multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de mediana empresa de la parte reclamada (…). De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones a imponer en el presente caso, se considera que procede graduar las sanciones de acuerdo con los siguientes criterios que establecen los preceptos transcritos: 1. Infracción del artículo 5.1.
  50. c)del RGPD, tipificada en el artículo 83.5.
  51. a)del citado Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  52. a)de la LOPDGDD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  53. a)del RGPD: “
  54. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La Agencia considera que la naturaleza de la infracción es muy grave, puesto que afecta a documentación de identidad de la persona; afecta a todos los clientes de la parte reclamada que se encuentren en la misma situación que la parte reclamante; y provoca perjuicios a los interesados que tengan derecho al reintegro de cantidades, que no se ven satisfechos con inmediatez por la exigencia impuesta por la parte reclamada. . Artículo 83.2.
  55. b)del RGPD: “
  56. b)la intencionalidad o negligencia en la infracción". Intencionalidad o negligencia en la infracción: si bien la Agencia considera que no hubo intencionalidad de la parte reclamada, se concluye que su actuación es negligente, al establecer unos requisitos para el reintegro de cantidades excesivos. . Artículo 83.2.
  57. g)del RGPD: “
  58. g)las categorías de los datos de carácter personal afectados por la infracción”. Categorías de datos personales afectados por la infracción: si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, los datos personales a los que se refieren las actuaciones (imagen de la documentación de identidad de los clientes) tiene una naturaleza especialmente sensible y aumenta los riesgos sobre su privacidad. . Artículo 76.2.
  59. b)de la LOPDGDD: “
  60. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales, considerando la actividad que desarrolla. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la entidad reclamada en relación con el tratamiento de los datos. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción del artículo 5.1.
  61. c)del RGPD es de 20.000 euros (veinte mil euros). 2. Infracción del artículo 38 del RGPD, tipificada en el 83.4.
  62. a)del citado RGPD, y calificada como grave a efectos de prescripción en el artículo 73.
  63. w)del RGPD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  64. b)del RGPD: “
  65. b)la intencionalidad o negligencia en la infracción". Intencionalidad o negligencia en la infracción: se concluye que la actuación de la parte reclamada es negligente, al no haber dado curso a una reclamación dirigida expresamente por la parte reclamante al DPD de la entidad responsable. . Artículo 76.2.
  66. b)de la LOPDGDD: “
  67. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales, ya justificada en relación con la infracción anterior. Se considera, asimismo, que concurren como atenuante la circunstancia siguiente: . Artículo 83.2.
  68. a)del RGPD: “
  69. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La infracción afecta únicamente a la parte reclamante. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 38 del RGPD, es de 10.000 euros (diez mil euros). VII Adopción de medidas Confirmada las infracciones, procede imponer a la parte denunciada la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  70. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 En el texto de la presente resolución se establecen cuáles han sido las infracciones cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la parte reclamada para que, en el plazo que se determina en la parte dispositiva, cese en el tratamiento en cuestión, absteniéndose de seguir solicitando copia del documento de identidad de sus clientes como requisito para la realización de reintegros de cantidad. Por otra parte, en relación con la obligación de atender las reclamaciones que los interesados dirijan al delegado de protección de datos, consta en las actuaciones que la parte reclamada ha cursado instrucciones a todo su personal sobre la necesidad de dar traslado de todas las comunicaciones dirigidas al DPD, independientemente del canal escogido por la persona interesada, y que el propio DPD realizará simulaciones recurrentes y aleatorias en todas las clínicas para comprobar que se da cumplimiento al protocolo establecido. Por tanto, respecto de esta infracción no procede la imposición de medidas adicionales a las ya adoptadas. Finalmente, se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a APOLLONIA TOPCO, S.L., con NIF B88526116, las multas siguientes: . Por una infracción del artículo 5.1.
  71. c)del RGPD, tipificada en el artículo 83.5.
  72. a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  73. a)de la LOPDGDD, una multa de 20.000 euros (veinte mil euros). . Por una infracción del artículo 38 del RGPD, tipificada en el artículo 83.4.
  74. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
  75. w)de la LOPDGDD, una multa de 10.000 euros (diez mil euros). SEGUNDO: NOTIFICAR la presente resolución a APOLLONIA TOPCO, S.L. TERCERO: ORDENAR a APOLLONIA TOPCO, S.L., que en virtud del artículo 58.2.
  76. d)del RGPD, en el plazo que un mes a contar desde la notificación del presente acto, adecúe su actuación a la normativa de protección de datos personales, con el alcance C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 expresado en el Fundamento de Derecho VII. En el mismo plazo indicado, APOLLONIA TOPCO, S.L. deberá justificar ante esta Agencia Española de Protección de Datos la atención de este requerimiento. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  77. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  78. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.