← España

PS-00279-2024

1/14  Expediente N.º: EXP202408793 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La JEFATURA SUPERIOR DE POLICÍA DE LAS ILLES BALEARS (en adelante, la parte denunciante) con fecha 31/05/204 interpuso denuncia ante la Agencia Española de Protección de Datos. La denuncia se dirigía contra MEDIOS DE PREVENCIÓN EXTERNOS, S.L. con NIF B41776360 (en adelante, MEDIOS DE PREVENCIÓN EXTERNOS). Los motivos en que basa la denuncia son los siguientes: La Jefatura Superior de la Policía Nacional en Illes Balears remitió Informe a esta Agencia, de fecha 31 de mayo de 2024, en el que se pone de manifiesto que, en fecha 4 de octubre de 2023, tras una llamada realizada por un ciudadano al Departamento de Incidencias de la entidad (...), se había encontrado abandonada, en vía pública, en la Calle ***DIRECCIÓN.1, de Palma, una caja con, entre otros enseres, documentación con reconocimientos médicos realizados a agentes de la Guardia Civil y la Policía Nacional. Realizadas las correspondientes pesquisas se averiguó que dichos reconocimientos fueron realizados por la entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L. y que el lugar de localización de los mismos es próximo al domicilio de una empleada de la parte reclamada que participó en la realización de los reconocimientos, a partir de su condición de (...). En el Informe remitido relataban que se pusieron en contacto telefónico con la empleada citada, Dña. A.A.A., titular del DNI ***NIF.1 que manifestó que la forma de actuar era la siguiente: “se realizaban los reconocimientos médicos y el resultado de los mismos, se volcaba al ordenador de manera inmediata. Una vez finaliza la jornada laboral, cada día se recogían todos los formularios / reconocimientos médicos y se llevaban a la central de MPE en Palma. En dicha central, estos documentos eran recepcionados por una administrativa cuyo nombre no sabe y ella los guardaba en dos armarios (uno para la Policía Nacional y otro para la Guardia Civil), ambos cerrados bajo llave.” Finalmente dice que quien se ocupaba mayormente de llevar los reconocimientos médicos desde la Comandancia de la Guardia Civil y desde la Jefatura Superior de Policía hasta la central de MPE sita en ese momento en ***DIRECCIÓN.2, de Palma, era ella misma y en alguna ocasión el Doctor D. B.B.B. quien además era el que llevaba las muestras de orina y sangre.” Así mismo, explican que, tras acabar con todas las declaraciones y pesquisas, se percataron de que a A.A.A., le consta como domicilio la ***DIRECCIÓN.3. Este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 domicilio coincide con la misma calle y número en donde el pasado 4 de octubre, se habría abandonado una caja de cartón, conteniendo 4 contenedores con jeringuillas en su interior, una mochila roja con documentación, tal y como manifestó C.C.C. en su declaración. Por todo ello, intentaron citar a A.A.A. sin conseguir contactar con ella. Con el fin de notificarle por escrito dicha citación, realizaron gestiones para localizarla sin resultado por lo que contactaron con el que figuraba como compañero de piso en octubre del 2023, el cual manifestó lo siguiente: “Que conoció a A.A.A. por Internet y tras 4 meses, él le propuso vivir en su domicilio sito en la ***DIRECCIÓN.3, con intención de alquilarle una habitación a lo que ella aceptó y se quedó del 4 al 14 de octubre del año pasado. Que el primer día vino con muchas bolsas, calas de cartón, etc. Que una vecina le preguntó si tenía alguna idea de quién había dejado en el portal de su domicilio ***DIRECCIÓN.3, una caja de cartón con documentación, así como unos contenedores amarillos para meter dentro jeringuillas, respondiendo en un principio que no lo sabía, pero pasadas unas horas recordó que esos objetos los vio en su propia casa ya que los trajo A.A.A., con lo que dedujo que ella fue la que los dejó en el mentado portal.” Junto a la denuncia se aporta la siguiente documentación: -Acta de declaración de C.C.C. trabajador de (...), de fecha 02/02/2024 en la que manifiesta que: “… el 4 de octubre de 2023, el departamento de incidencias de (...) recibió llamada telefónica de un ciudadano manifestando que: “en la ***DIRECCIÓN.1, había abandonada una caja de cartón, conteniendo 4 contenedores con jeringuillas en su interior una mochila roja con documentación sin poder especificar de qué tipo se trataba” Que se personó en la dirección indicada, recogió todo, lo precintó y se lo llevó en almacén (...) Son Pacs, donde quedó en calidad de depósito, desconociendo qué sucedió después con todo lo guardado. Aporta fotos de lo reseñado adjuntándolas a su Acta de declaración” -Acta de declaración de D.D.D., técnico de Prevención de Riesgos Laborales (…), de fecha 2/02/2024 en la que, entre otras cosas, manifiesta: “Que se desplazó a (...) en Son Pacs a buscar los 18 reconocimientos médicos efectuados a otros tantos agentes de la Policía Nacional, ya que se puso en contacto con él, (…) debido a que había recibido una llamada telefónica (…) de (...), el Sr. E.E.E., comunicando que tiene en su poder unos reconocimientos médicos efectuados el pasado 05/08/2023 a agentes de la Guardia Civil y de la Policía Nacional.” “Que la Dirección General de la Policía, tiene externalizado este servicio de la vigilancia de la salud con la mercantil MPE (…), desde hace unos 3 años. Que, ante la gravedad de los hechos, se puso en contacto con la interlocutora habitual de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 empresa MPE, F.F.F., para pedirle algún tipo de explicación, respondiendo que no le podía dar ninguna respuesta y que no se explicaba cómo podía haber pasado.” -Carta de respuesta a la solicitud de información efectuada por la parte denunciante en referencia a los protocolos relativos a reconocimientos médicos, proceso seguido en la custodia de estos documentos, identificación de la custodia de los citados reconocimientos médicos, papel desempeñado en el proceso, ubicaciones físicas de depósito y si les consta alguna incidencia al respecto, en la que, la parte denunciada, indica el personal médico encargado de realizar los reconocimientos médicos en las fechas indicadas para la policía nacional y la guardia civil, y manifiesta lo siguiente: “… Que dichos reconocimientos médicos eran realizados en las propias instalaciones de la Policía Nacional de Palma de Mallorca y de la Guardia Civil en Palma, por lo que la documentación de las pruebas médicas que se efectuaban allí eran custodiadas por los mencionados cuerpos oficiales y sus medidas de seguridad implantadas. Que, una vez finalizados los reconocimientos médicos efectuados, el traslado de toda la documentación recopilada a nuestras instalaciones clínicas fue realizada por D. G.G.G., con D.N.l. n°***NIF.2 y D. H.H.H., con D.N.I n° ***NIF.3, sin que ningún de ellos nos haya expresado algún extravío o robo de los mismos.” -Correo electrónico de la parte denunciante de fecha 11/04/2024 en el que facilitan los números de teléfono del personal implicado (médicos y enfermeras que realizaron los reconocimientos), previamente solicitados por la parte denunciante. -Acta de declaración de G.G.G. trabajador de la empresa (...), que fue comprada por la parte denunciada, de fecha 8/5/2024 en la que manifiesta: “Que en el mes de mayo del año pasado su gerente I.I.I., le comunicó que tenía que recoger y trasladar material médico desde la esta Jefatura Superior de Policía hasta las instalaciones de la mercantil (...) (que fue comprada (…). Que la llamada J.J.J. era la responsable de indicarles a él y a su compañero el llamado H.H.H., todo lo que debían de transportar desde la Enfermería de esta Jefatura, sin recordar si estaba en la 6 ó 7 planta. Que no vio ninguna lista de cadena de custodia de lo que se tenían que llevar y que el trayecto se hizo directamente de punto a punto sin ninguna parada por el camino. Entre otras cosas. cargaron cajas abiertas y otras cerradas, conteniendo papeles, tubos de orina, etc. Llevaron todos los bultos en dos coches, uno conducido por el declarante y el otro coche conducido por H.H.H. desde esta Jefatura Superior hasta la central de (...), sita en la calle (…) de Palma, depositando concretamente toda la carga en el sótano. Destacar que no vio ninguna lista de cadena de custodia de lo que se tenían que llevar y que el trayecto se hizo directamente de punto a punto sin ninguna parada por el camino.” -Acta de declaración de J.J.J., (…) de la parte denunciante, manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 “Que el actual Gerente (…), I.I.I., en mayo del año pasado, le comunicó que se ocupara de ir con dos personas a la Jefatura Superior de Policía de Illes Balears, para recoger todo el material médico (electro, camilla plegable, protocolos, formularios, etc) que ellos habían traído para hacer los reconocimientos médicos. Por lo que se persona en la citada Jefatura con los llamados G.G.G. y H.H.H., para decirles que tenían que llevarse desde la enfermería de esas Dependencias Policiales hasta la sede del (…). Fueron ellos tres directamente en dos coches de punto a punto sin ninguna parada. Que no existía ninguna hoja de control sobre el material trasladado de un lado al otro. Únicamente se ocuparon de recoger los enseres en la Policía Nacional desconociendo quién se encargó de hacer lo propio en la Comandancia de la Guardia Civil de Palma Por lo que sabe la dicente manifiesta que la recogida de documentos de la Comandancia de la Guardia Civil se gestionaba directamente desde la Central de (…). Que no existía una cadena de custodia de documentos ni del material médico. Quiere recalcar que le llama poderosamente la atención que a ella le resulta imposible que hubieran encontrado documentación de la Policía Nacional y de la Guardia Civil en la misma caja o mochila, ya que se separaban perfectamente por cuerpos policiales Que tiene que haber sido alguien que lo ha hecho a conciencia y hubiera trabajado en los dos sitios (Jefatura de Policía Nacional y Comandancia de la Guardia Civil).” -Acta de declaración a K.K.K., de fecha 15/05/2024 para ampliar información, en donde manifiesta: “Que desconoce cuál era la cadena de custodia de los documentos relativos a los reconocimientos médicos, así como los contenedores con jeringuillas. Los funcionarios citados llegaban a su hora. La enfermera de la parte denunciada les proporcionaba el correspondiente protocolo, lo rellenaban y al entrar para realizarse el reconocimiento, se lo entregaban nuevamente a la enfermera. Que la Jefatura solamente proporcionó el espacio físico que era ocupado por la empresa durante el tiempo que se realizaron los reconocimientos médicos. Que no recibió solicitud alguna de custodia de los objetos Citados en la pregunta anterior por parte de la empresa MPE (…). Que en ningún momento le comunicaron cuál era su forma de actuar ni su protocolo de actuación. El personal de esta empresa entraba y salía sin dar ninguna explicación.” En este mismo acto hace entrega del Pliego de prescripciones técnicas dentro del programa de vigilancia de la salud del servicio de prevención de riesgos laborales para la contratación de la ejecución de reconocimientos médicos con el servicio prevención ajeno de riesgos laborales para las empleadas y empleados públicos de la Dirección General de la Policía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 Del mismo, se transcribe lo siguiente en referencia al punto número 8. CLÁUSULA DE RESERVA Y SIGILO: “La entidad adjudicataria garantizará la confidencialidad de la información que reciba para el desarrollo de su actividad. La finalidad de la comunicación de datos de carácter personal no es otra que lo de poder realizarlos reconocimientos médicos de la empleadas y empleados públicos de la Dirección General de la Policía, que prestan servicio en las dependencias indicadas para este pliego y que estos puedan conocer de manera específica e individual, su estado de salud.” “La información, datos o especificaciones facilitadas por la Dirección General de la Policía a la empresa adjudicataria y al personal a su servicio que haya intervenido en la ejecución del contrato, deberán ser considerados por éstos como confidenciales, no pudiendo ser objeto, total o parcialmente, de publicación, cesión o préstamos a terceros.” “La adjudicataria y el personal de su servicio adquieren la obligación de custodiar fiel y cuidadosamente los datos a los que pudieran tener acceso como consecuencia de la realización del servicio, así como compromiso de que dichos datos serán utilizados únicamente para el cumplimiento del objeto del contrato.” La adjudicataria y el personal de su servicio adquieren la obligación de custodiar fiel y cuidadosamente los datos a los que pudieran tener acceso como consecuencia de la realización del servicio, así como compromiso de que dichos datos serán utilizados únicamente para el cumplimiento del objeto del contrato.” “A los fines anteriores, la empresa adjudicataria aplicará las medidas de seguridad conforme al Reglamento General de Protección de Datos (Reglamento UE 2 16/679 del Parlamento Europeo y el Consejo, de 217 de abril de 2016, aplicable a ficheros y tratamientos automatizados que que contengan datos de carácter personal), y la Ley Orgánica 3/20 18, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales.” “El concurrente habrá de incluir en su oferta, memoria descriptiva de las medidas de seguridad que adoptarán para asegurar la disponibilidad, confidencialidad e integridad de los datos manejados y de la documentación facilitada. Asimismo, deberán incluir en su oferta la designación de una persona o personas que, sin perjuicio de la responsabilidad propia de la empresa, resulten autorizadas para las relaciones con la Dirección General de la Policía a los efectos del uso correcto del material y de su información a manejar.” -Pliego de prescripciones técnicas dentro del programa de vigilancia de la salud del servicio de prevención de riesgos laborales para la contratación de la ejecución de reconocimientos médicos con un servicio de prevención ajeno de riesgos laborales para las empleadas y empleados públicos de la dirección general de la policía. SEGUNDO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L. es una matriz de grupo constituida en el año 1.996, y con un volumen de negocios de 7.095.892 euros en el año 2.021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 TERCERO: Con fecha 14 de febrero de 2025, la Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.

  1. f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La Policía Nacional ha recibido llamada telefónica realizada por (…) Inspección Medioambiental de (...) (empresa pública municipal del Ayuntamiento de Palma), comunicando que obraban en su poder una serie de documentos, al parecer reconocimientos médicos realizados a agentes de la Policía Nacional y Guardia Civil en Palma, los cuales fueron encontrados abandonados en vía pública por parte de uno de los trabajadores de (...) tras ser alertado de su existencia por un ciudadano. SEGUNDO: Los documentos localizados en situación de abandono son reconocimientos médicos realizados a agentes de la Guardia Civil y la Policía Nacional por la entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L (MPE). TERCERO: Conforme a las declaraciones del personal encargado de la realización de dichos reconocimientos médicos, el procedimiento seguido consistía en su realización en las instalaciones de la Guardia Civil y la Policía Nacional y el posterior traslado de todos los formularios y/o reconocimientos médicos a la central de MPE en Palma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD define como «dato personal» a “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El mismo artículo establece la definición de “tratamiento” como cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MEDIOS DE PREVENCIÓN EXTERNOS realiza, entre otros tratamientos, la recogida, registro, organización y conservación de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, documento nacional de identidad, dirección, datos relativos a la salud etc. Asimismo, MEDIOS DE PREVENCIÓN EXTERNOS realiza esta actividad de tratamiento en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: que lo define como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 III Obligación incumplida: “Principio de integridad y confidencialidad” El artículo 5.1.
  4. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, constaría una brecha de datos personales, al haberse expuesto a terceros los datos de reconocimiento médicos de agentes de la policía y de la guardia civil, al encontrarse en la vía pública una caja con la documentación relativa a categorías especiales de datos relativos a la salud. Se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  6. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  7. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
  9. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  10. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  11. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  12. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 A los solos efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  14. a)a
  15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  17. b)la intencionalidad o negligencia en la infracción;
  18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  22. g)las categorías de los datos de carácter personal afectados por la infracción;
  23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  36. a)del RGPD. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de MEDIOS DE PREVENCIÓN EXTERNOS, S.L. (7.095.892 euros en el año 2.021). A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por haber afectado a 18 miembros de las fuerzas y cuerpos de seguridad y no haber sido detectada la pérdida de confidencialidad hasta tiempo después. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la parte denunciada es de constante y abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. No solamente se constataría la falta de diligencia debida en la persona que recogió los reconocimientos médicos, sino también de los receptores de la documentación misma. Dicha circunstancia refleja una omisión palmaria del responsable en el deber de cuidado hacia la protección de los datos de sus clientes, lo que refuerza y amplifica la gravedad de la infracción. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): el hecho de que la pérdida de confidencialidad se haya producido en relación con reconocimientos médicos hace que sea una vulneración especialmente relevante puesto que, no solo se han desvelado datos personales generales sino también datos de salud de los 18 afectados. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): MEDIOS DE PREVENCIÓN es un Grupo que nació en 1996 como Servicio de Prevención de Riesgos Laborales, cuyo objetivo es velar por la seguridad y salud de los trabajadores y contribuir en la disminución de la siniestralidad laboral, con más de sesenta sedes en el territorio nacional y habituado a realizar tratamientos de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  37. f)del RGPD, permite fijar una sanción de multa administrativa de 100.000,00 euros. VI Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a MEDIOS DE PREVENCIÓN EXTERNOS, S.L. para que, en el plazo de 1 mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
  38. f)del RGPD, en particular para asegurar la confidencialidad y trazabilidad de la documentación relativa a reconocimientos médicos efectuados fuera de sus instalaciones, relativas a la custodia, transporte, entrega y conservación de la documentación citada. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF B41776360, por una infracción del artículo 5.1.
  39. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 100.000,00 € (CIEN MIL EUROS). SEGUNDO: ORDENAR a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF B41776360, que en virtud del artículo 58.2.
  40. d)del RGPD, en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la medida establecida en la presente resolución consistente en acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
  41. f)del RGPD, asegurando, en particular, la confidencialidad y trazabilidad de la documentación relativa a reconocimientos médicos efectuados fuera de sus instalaciones, relativas a la custodia, transporte, entrega y conservación de la documentación citada. TERCERO: NOTIFICAR la presente resolución a MEDIOS DE PREVENCIÓN EXTERNOS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  42. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.