1/11 gabardi Procedimiento Nº: PS/00269/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 18/02/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO DE SALUD DE CASTILLA-LA MANCHA con NIF Q4500146H (en adelante, SSCM). Los motivos en que basa la reclamación son, en síntesis: - Que el 25/01/2019 presenta solicitud para optar a una plaza de Coordinador Médico para el Centro de Salud La Solana, convocada por la Gerencia de Atención Integrada del Área Sanitaria de Talavera de la Reina (Toledo), dependiente del Servicio de Salud de Castilla La Mancha. - Que mediante correo electrónico la Subdirectora Médica de dicha Gerencia le adjunta el informe realizado por los Servicios Jurídicos en el que se indica que no reúne las condiciones fijadas en la convocatoria en base a que tengo una adscripción temporal en dicho centro de salud por motivos de salud laboral. - Que posteriormente se remite un correo idéntico a los correos corporativos de los centros de salud La Solana y Río Tajo, para que siguiendo el protocolo establecido se reenvíe a todos los integrantes de los equipos, de manera que todos los trabajadores del Centro de Salud (45 personas, entre las cuales me encuentro), reciben un correo electrónico procedente de la Gerencia de Atención Integrada de Talavera de la Reina (Subdirección Médica), en el que se traslada dicha información y se informa a todos ellos de su situación laboral y que la misma está condicionada por motivos de salud. Consta aportado por el reclamante: - Copia de su DNI Copia del Correo electrónico remitido por la Gerencia de Atención Integrada del Área Sanitaria de Talavera de la Reina (Toledo), dependiente del Servicio de Salud de Castilla La Mancha. Copia del correo electrónico remitido por centro de salud Río Tajo a las direcciones de sus trabajadores. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 18/02/2019, reiterada el 12/04/2019, fue trasladada al SSCM la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 23/05/2019 SSCM remitió escrito en el que manifestaba entre otras cuestiones que en el correo electrónico de 29/01/2019, se informaba y motivaba a los profesionales del Equipo de Atención Primaria de Talavera 3 Rio Tajo de la situación administrativa actual y de la causa de exclusión o no admisión que concurría en el candidato, el reclamante, en el proceso reglado para la provisión y selección del puesto de Coordinador Médico del citado Equipo, a los efectos de determinar su causa de exclusión. TERCERO: El 18/06/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 22/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
- f)del RGPD, sancionada conforme a lo dispuesto en el artículo 77.2 de la LOPDGDD. QUINTO: Notificado el citado acuerdo de inicio, en escrito de 10/12/2019 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que SSCM no había vulnerado el deber de confidencialidad de los datos y que todos los destinatarios del correo electrónico eran empleados públicos del SESCAM; que la información contenida en el correo electrónico ha sido utilizada dentro del limitado ámbito de vinculación estatutaria de dichos profesionales por lo que no puede considerarse excesiva información facilitada; que la gestión y acceso a la cuenta de correo se realiza por el personal administrativo del centro de salud y se accede siempre con un perfil específico y, de la misma forma, el resto de profesionales reciben dicha información sujeta a un sistema codificado donde únicamente pueden acceder mediante contraseña; que el correo que reclama el reclamante se informa dentro del ámbito del Equipo de Atención Primaria de Talavera 3 Rio Tajo a los profesionales adscritos a dicho equipo de la causa de exclusión y no admisión del candidato en cuestión dentro del procedimiento reglado convocado el 14/01/2019; que los profesionales del dicho equipo son los únicos destinatarios del correo electrónico; que analizada la documentación disponible en la tramitación de esta reclamación, el tratamiento de la misma se adecua al soporte normativo en el ejercicio de las funciones de participación de los profesionales y empleados públicos del citado equipo de atención primaria; que no ha habido vulneración de la normativa de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 datos personales, puesto que no se ha facilitado información sobre aspectos clínicos del estado de salud del reclamante, el dato de que esa persona estaba destinada de manera provisional por motivos de salud era adecuado y relevante dentro del citado procedimiento de provisión por cuanto su adscripción en el Centro de Salud Talavera Río Tajo quedaba supeditado a las revisiones programadas de salud laboral y los destinatarios de la información fueron los profesionales implicados en la participación y propuesta de resolución del procedimiento de provisión. SEXTO: Con fecha 11/02/2020 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/02128/2019. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. Solicitar a la reclamante copia de toda la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. SEPTIMO: En fecha 04/06/2020 fue dictada Propuesta de Resolución en el sentido de que se sancionara con apercibimiento al reclamado por vulneración del artículo 5.1.
- f)del RGPD, tipificada en el artículo 85.5.
- a)del citado RGPD, de conformidad con el artículo 77.2 de la LOPDGDD. Transcurrido el plazo establecido para ello el reclamado no presentó escrito de alegaciones al tiempo de dictar la presente resolución. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 12/02/2019 tiene entrada en la AEPD escrito del reclamante manifestando que el 25/01/2019 presento solicitud para optar a una plaza de Coordinador Médico en el Centro de Salud de La Solana y Rio Tajo, convocada por la Gerencia de Atención Integrada del Área Sanitaria de Talavera de la Reina (Toledo), dependiente del Servicio de Salud de Castilla La Mancha; mediante correo electrónico la Subdirectora Médica de dicha Gerencia adjuntó informe realizado por los Servicios Jurídicos en el que se indicaba que no reunía las condiciones fijadas en la convocatoria motivado por su situación de adscripción temporal en dicho centro de salud por motivos de salud laboral; posteriormente se le ha remitido correo idéntico al resto de los profesionales integrantes del centro de salud, en el que se traslada dicha información y se informa a todos ellos de su situación laboral y que la misma está condicionada por motivos de salud. SEGUNDO. El reclamante aporta copia de su DNI en ***NIF.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 TERCERO. Consta aportada copia del correo electrónico remitido el 29/01/2019 al reclamante por la Subdirectora Médica de la Gerencia de Atención Integrada del Área Sanitaria de Talavera de la Reina (Toledo), y de contenido idéntico al que ha recibido el resto de los profesionales del Centro de Salud: De: “B.B.B.” <***EMAIL.1> Para: “A.A.A.” ***EMAIL.2 CC: “C.C.C.” ***EMAIL.3 Enviado: martes, 29 de enero de 2019 11:45 Adjuntar: Resolución ADECUACION A.A.A..pdf; A.A.A. - REVISION ***FECHA.1NOTA INTEROR. PDF Asunto: RV: PROCEDIMIENTO COORDINACION RIO TAJO “Respecto a la solicitud presentada el día 25 de enero por el reclamante, para participar en el procedimiento para elección de coordinador médico, paso a informar: El citado profesional se encuentra adscrito al centro de salud de Talavera Rio Tajo por motivos de salud laboral (acompaño copia de resolución) con fecha de efectos de 26 de enero de 2018. La adscripción de el reclamante es temporal, siendo su plaza de origen la correspondiente al CIAS XXXXXXXXXXX, plaza del Equipo de Talavera-La Algodonera, en la que mantiene su derecho a reserva. La adscripción por motivos de salud laboral es de carácter temporal, en tanto se mantengan las recomendaciones de adaptación establecidas por el servicio de Prevención de Riesgos Laborales en virtud de las revisiones procedentes (o en aso de incorporación de personal fijo a la plaza). La última revisión se realizó el día 25 de septiembre de 2018, estableciendo la siguiente revisión a los seis meses, sin que conste que se haya efectuado la revisión. En las bases de selección se indica lo siguiente: (…) FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos denunciados se concretan en el envío por el reclamado de correos electrónicos desde la cuenta ***EMAIL.4 a las direcciones de correo de los profesionales del citado Centro de Salud conteniendo las causas de exclusión y no admisión del reclamante dentro del procedimiento convocado el 14/01/2019 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 selección y provisión de Coordinador/a Medico de su Equipo, vulnerando el deber de confidencialidad. Dicho tratamiento podría ser constitutivo de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III La documentación obrante en el expediente ofrece evidencias de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar los motivos de la adscripción laboral así como las causas de exclusión y no admisión del reclamante en el procedimiento para elección de coordinador médico, considerándose excesivos. Este deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. De conformidad con lo expresado con anterioridad, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como garantía de seguridad adecuada para la integridad y confidencialidad de los datos mediante medidas adecuadas. La reclamación que examinamos viene causada por el contenido del correo electrónico que informaba a los profesionales del Equipo de Atención Primaria de Talavera 3 Rio Tajo de la situación administrativa y causa de exclusión o no admisión que concurría en el reclamante, en el proceso reglado para la provisión y selección del puesto de Coordinador Médico del citado Equipo, de fecha 29/01/2019 que reproduce C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 algunos fragmentos en el hecho probado tercero. El citado correo fue enviado por la Subdirectora Médica quien en un principio le adjunta el informe realizado por los Servicios Jurídicos indicando que no reúne las condiciones fijadas en la convocatoria motivado por una adscripción temporal en dicho centro de salud por motivos de salud laboral. Posteriormente se remite correo idéntico al resto de correos corporativos de manera que todos los trabajadores del Centro de Salud (45 personas, entre las cuales me encuentro), reciben un correo electrónico procedente de la Gerencia de Atención Integrada de Talavera de la Reina (Subdirección Médica), en el que se traslada dicha información y se informa a todos ellos de su situación laboral y que la misma está condicionada por motivos de salud. A tenor del artículo 5.1.
- f)el tratamiento de datos personales ha de garantizar una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. En definitiva, el tratamiento de datos personales del reclamante que se realiza por la Subdirección Medica mediante el envío del email que fue reenviado a todos los profesionales del centro el 29/01/2019, será lícito si existe base legal que lo legitime. En primer término, que el tratamiento sea necesario para satisfacer un interés legítimo perseguido por el responsable del tratamiento; lo que trasladado al supuesto que nos ocupa implica que el tratamiento de los datos personales efectuado a través del email del 29/01/2019 persiguiera satisfacer el interés legítimo del responsable del tratamiento, si bien tal tratamiento exigiría que “los intereses perseguidos no prevalezcan sobre los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales”. Determinar si el tratamiento que hizo el reclamado de los datos del reclamante a través del correo electrónico que envió a los profesionales del centro de salud es o no ajustado a Derecho exige ponderar los intereses en juego para concluir si debe prevalecer o no sobre el derecho a la libertad sindical el derecho del reclamante a su privacidad. A propósito del interés legítimo como base jurídica del tratamiento de datos personales de terceros, el Considerando 47 del RGPD dice: <<El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.>> Trasladado a los hechos que nos ocupan debe concluirse que, la Subdirectora Médica, a través del email que envió a cuarenta y cinco profesionales del Centro de Salud, facilitó información que no era pertinente a los fines perseguidos sino que, por el contrario, los datos proporcionados deben calificarse de excesivos en relación con dicha finalidad como era la de informar del resultado de la convocatoria. El tratamiento de algunos datos concernientes al reclamante no resulta lícito pues no encontraba amparo en el artículo 6.1.f del RGPD. Este tratamiento constituye una vulneración del principio de confidencialidad que preside el tratamiento de datos personales de terceros (artículo 5.1.f, del RGPD) El debate en el que acontecen los hechos examinados justifica que se participe e intercambie información entre los profesionales, y así se establece en las bases de la convocatoria. Y si bien es cierto que en la convocatoria se establecía que el conjunto de profesionales del equipo a quien iba dirigida, Equipo de Atención Primaria, tienen derecho a participar y a ser oídos en el procedimiento de selección y provisión de Coordinador Médico de su equipo, otorgándoseles un determinado peso o valoración a la propuesta que pueda hacerse por los profesionales adscritos al Equipo, siendo oídos antes de proceder al nombramiento del Coordinador, no es menos cierto, que esto no implica que se deban revelar los motivos por los cuales se excluye un candidato, máxime si dichos motivos están relacionados con la salud. Además, en el desarrollo del proceso selectivo se señala que la Comisión elevara a la Gerencia la propuesta de la persona que estime más adecuada una vez realizado el procedimiento y que la Dirección de la Gerencia dictara resolución que se publicara en la intranet de la Gerencia en la que figuraran las puntuaciones obtenidas por los candidatos y en su caso, los excluidos. Ahora bien, lo que si se considera relevante es que se revele información que puede considerarse excesiva a la luz de las citadas bases como que el participante/aspirante se encuentra adscrito al centro por motivos de salud laboral, que su adscripción sea temporal en tanto se mantengan las recomendaciones de adaptación establecidas por el servicio de Prevención de Riesgos Laborales en virtud de las revisiones procedentes, etc. En consideración a lo expuesto, habida cuenta de que en el email se trató ilícitamente determinados datos personales del reclamante que eran ajenos a los intereses en juego y los reveló a cuarenta y cinco personas, destinatarias del correo electrónico enviado el 29/01/2019, se concluye que el reclamado es responsable de una infracción del artículo 5.1.f), en relación con el artículo 6.1, del RGPD. La vulneración del artículo 5.1.
- f)del RGPD está tipificada en el artículo 83.5.
- a)del RGPD. La LOPDGDD, a efectos de prescripción, en su artículo 72.1.
- a)califica esta infracción de muy grave. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD. Por otro lado, la LOPDGDD en su artículo 71, Infracciones, establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. La LOPDGDD en su artículo 72 indica, a efectos de prescripción: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” No obstante, la LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. La conducta del reclamado constituye infracción a lo dispuesto en el artículo 5.1.
- f)del RGPD. No obstante, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en el artículo transcrito la posibilidad de acudir a la sanción de apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al SERVICIO DE SALUD DE CASTILLA LA MANCHA. GERENCIA ATENCION INTEGRADA DE TALAVERA DE REINA, con NIF Q4500146H, por una infracción del aartículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR al SERVICIO DE SALUD DE CASTILLA LA MANCHA. GERENCIA ATENCION INTEGRADA DE TALAVERA DE REINA, con NIF Q4500146H, para que en el plazo de un mes desde la notificación de esta resolución, acredite: la adopción de las medidas técnicas y organizativas apropiadas para garantizar el tratamiento de los datos a la normativa en materia de protección de datos de carácter personal a fin de evitar que en el futuro vuelvan a producirse incidencias como las que han dado lugar a la formulación de la reclamación objeto del procedimiento y su adecuación a las exigencias contempladas en el artículo 5.1.
- f)del RGPD. TERCERO: NOTIFICAR la presente resolución al SERVICIO DE SALUD DE CASTILLA LA MANCHA. GERENCIA ATENCION INTEGRADA DE TALAVERA DE REINA, con NIF Q4500146H. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es