PS-00281-2020

1/9  Procedimiento Nº: PS/00281/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00281/2020, instruido por la Agencia Española de Protección de Datos a la entidad, INSTITUTO DEL DAÑO CEREBRAL Y PSÍQUICO, S.L. con CIF.: B59794461, titular de la página web, ***URL.1, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 02/01/20 y 01/03/20, tienen entrada en esta Agencia, escritos presentados por D. A.A.A., (en adelante, “el reclamante”), en los que indicaba, entre otras, lo siguiente: “Mediante solicitud verbal se solicitó acceso a la historia clínica ante el Instituto del daño cerebral y psíquico, SL, solicitud que reitero por escrito en fecha 12 de noviembre de 2019, no habiéndose recibido ningún tipo de respuesta por parte de dicho centro sanitario, todo ello en los términos expuestos en el escrito que se adjunta titulado Escrito de reclamación ante AEPD A.A.A..pdf. Se formula denuncia contra el Instituto por diversas infracciones al no disponer de un protocolo de gestión de historias clínicas y vulnerar en su página web ***URL.1 al no disponer de política de privacidad, realizar un tratamiento de datos sin base legal mediante la existencia de un formulario que no recaba el consentimiento del interesado, y vulnerar los requisitos para el uso de cookies”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 08/06/20, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 06/08/20, la entidad reclamada presentó escrito ante esta Agencia, en el cual se indicaba: “Analizada la situación, no pudimos entregar el historial clínico al reclamante, ya que en dicha solicitud de ejercicio de derecho había un error de forma que imposibilita dicha entrega. Efectivamente, según se establece en la Ley Orgánica de Protección de Datos 3/2018 y el Reglamento General de Protección de Datos 2016/679 todo usuario/persona tiene derecho a ejercer su derecho al acceso de información, pero siempre y cuando se cumplan con una serie de garantías y requisitos establecidas bien por las citadas normativas o incluso por parte de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Una vez analizada la solicitud en cuestión, observamos que falta uno de los requisitos establecidos por la Agencia Española de Protección de Datos, https://www.aepd.es/sites/default/files/201909 /formulario-derecho-de-acceso.pdf),para el ejercicio de acceso a la información, en donde se establece en sus INSTRUCCIONES que “Será necesario aportar fotocopia del D.N.I. o documento equivalente que acredite la identidad y sea considerado válido en derecho, en aquellos supuestos en que el responsable tenga dudas sobre su identidad. En caso de que se actúe a través de representación legal deberá aportarse, además, DNI y documento acreditativo de la representación del representante”. Tras darnos traslado dicha Agencia de la solicitud ejercida por el reclamante, comprobamos que no se adjuntó fotocopia del DNI. Evidentemente, al considerarse los datos de salud que solicita el reclamante, datos de categoría especial (Artículo 9 RGPD 2016/679), y con el fin de asegurar la confidencialidad e integridad (Artículo 5,1-F) de los datos de todos nuestros pacientes, y en virtud del principio de responsabilidad proactiva, como responsable del tratamiento, siempre solicitamos fotocopia del DNI en el ejercicio de derecho, como así se adjunta en el formulario que entregamos a nuestros pacientes/usuarios que quieran ejercitar algunos de sus derechos en materia de protección de datos en nuestra sede (ADJUNTA DOCUMENTO). Por lo que, trasladamos al reclamante que ejerza de nuevo su derecho al acceso de información adjuntado fotocopia del DNI en el que se certifique que es la persona que ejercita el derecho en cuestión”. CUARTO: Con fecha 08/09/20, por parte de esta Agencia, se consulta la página web, ***URL.1, comprobándose los siguientes aspectos: - Respecto de la Política de Privacidad: En la pestaña de <<contacto>>, se pueden recogen datos personales, como el nombre, los apellidos, el email y el teléfono de los clientes. En la página de inicio de la web denunciada existe un link en la parte inferior de la misma, <<Política de Privacidad>> que redirige a la página, ***URL.2, en la que se proporciona información sobre, Identidad del responsable del tratamiento; Finalidades y legitimación del tratamiento; Plazos de conservación de los datos; Comunicación de los datos personales a terceros; Deber de confidencialidad y Ejercicio de derechos que asisten al usuario en materia de protección de datos. - Respecto de la Política de Cookies: Al acceder a la página, ***URL.1, (primera capa), se comprueba que, en la parte inferior de la misma, existe un banner con la siguiente información: “Este Web utiliza cookies para ofrecer una mejor experiencia de Usuario. Si continúa navegando consideramos que Vd. acepta su uso. Más información en nuestra Política de Cookies y Política de Privacidad” - <<ACEPTAR>>”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Si se accede a la página de la “Política de Cookies”, a través del enlace correspondiente, la web redirige a una nueva página donde se informa, entre otras, de qué son las Cookie; qué tipos de cookies existen e identifica las cookies que usa el sitio web, su nombre; dominio; finalidad y caducidad. Sobre cómo desactivar o eliminar cookies, la página remite al usuario a configurar el navegador instalado en su equipo terminal. QUINTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, la Directora de la Agencia Española de Protección de Datos, con fecha 02/10/20, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en los artículos 15) del RGPD, en aplicación del artículo 12.4 del citado Reglamento, al no informar en tiempo y forma de las circunstancias por las que no fue atendida la solicitud de acceso a la información, con una sanción inicial de “apercibimiento”, y por infracción del artículo 22.2), respecto de la “Política de Cookies” de la página web de su titularidad, con una sanción inicial de 3.000 euros. SEXTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 19/10/20, formuló, en síntesis, las siguientes alegaciones: “En relación al ejercicio de derecho de acceso contestado extemporáneamente, Instituto del Daño Cerebral y Psíquico SL, como responsable del tratamiento, ha tomado más medidas técnicas y organizativas con el fin de que no se vuelva producir un hecho similar, para que si cualquier usuario ejercita sus derechos reconocidos en el Reglamento General de Protección de Datos 2016/679 y la Ley Orgánica de Protección de Datos y garantía de los Derechos Digitales, se le dé respuesta en el plazo de 1 mes desde que éste lo ejercita. Desde el departamento de administración del Instituto del Daño Cerebral y Psíquico SL, conforme a las medidas técnicas y organizativas establecidas en nuestros Registro de Actividades del Tratamiento, y en virtud del principio de responsabilidad activa, hemos procedido a enviar una comunicación a todos nuestros trabajadores para que, una vez que reciban cualquier tipo de solicitud de ejercicio de derecho, por cualquier vía, procedan a enviarla al personal oportuno para darle respuesta en el plazo máximo de 30 días naturales, como así se establece en el RGPD 2016/679 y la LO 3/2018. No queremos dejar pasar nuestra discrepancia en lo establecido en el acuerdo de inicio de procedimiento sancionador se afirma que el Instituto del Daño Cerebral y Psíquico no dispone de un protocolo de la gestión de las historias. El Instituto del Daño Cerebral y Psíquico está sujeto al cumplimiento de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación y, por estar ubicada en Cataluña, sujeta a la LLEI 21/2000, de 29 de desembre, sobre els drets d'informació concernent la salut i l'autonomia del pacient, i la documentació clínica, cumpliendo rigurosamente con lo preceptuado en las citadas leyes, sin haber tenido jamás ni una sola sanción por vulneración alguna. En referencia a la presunta infracción que nos incoan referente a lo dispuesto en el artículo 22.2-C de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, no queremos dejar pasar por alto, que efectivamente no estaba conforme a los establecido en la Guía sobre el uso de las cookies publica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 por la Agencia Española de Protección de Datos, declaración que queremos que sirva a esa Agencia como atenuante. Además, queremos dejar de manifiesto, que en virtud del principio de responsabilidad activa, ya hemos tomado todas y cada una de las nuevas indicaciones dictadas por el Comité Europeo de Protección de Datos, y reflejada por la Agencia Española de Protección de Datos en su Guía sobre uso de Cookies (28/07/2020-https://www.aepd.es/es/prensa-ycomunicacion/notas-de-prensa/aepd-actualiza-guiacookies) , en referencia al consentimiento expreso del usuario en cuanto a la aceptación, rechazo o configuración de las cookies utilizadas por los responsables del tratamiento en su página web. Hemos procedido a realizar dicho cambio antes de la fecha indicada por la AEPD (30/10/2020), en nuestra web, con el fin de solicitar el consentimiento expreso del usuario conforme al artículo 22.2 de la Ley.... y que éste pueda aceptar o rechazar todas, así como configurarlas según su preferencia. Adjuntamos imagen de la web”. SÉPTIMO: Con fecha 20/10/20, por parte de esta Agencia, se consulta la página web, ***URL.1, comprobándose los siguientes aspectos: - Respecto de la Política de Privacidad: En la pestaña de <<contacto>>, se pueden recogen datos personales, como el nombre, los apellidos, el email y el teléfono de los clientes. En la página de inicio de la web denunciada existe un link en la parte inferior de la misma, <<Política de Privacidad>> que redirige a la página ***URL.2, en la que se proporciona información sobre, Identidad del responsable del tratamiento; Finalidades y legitimación del tratamiento; Plazos de conservación de los datos personales; Comunicación de los datos personales a terceros; Deber de confidencialidad y sobre el ejercicio de derechos que asisten al usuario. - Respecto de la Política de Cookies: Al acceder a la página principal de la web, ***URL.1, (primera capa), se comprueba que, en la parte inferior de la misma, existe un banner con la siguiente información: “Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación. Puedes aceptar y rechazar todas las cookies pulsando "Aceptar" y "Rechazar". Además, puede configurar las cookies. Más información en nuestra Política de Cookies y Política de Privacidad”. <<ACEPTAR>> <<RECHAZAR>> <<CONFIGURAR COOKIES>> Si se accede al “Panel de configuración”, a través del enlace <<configuración de las cada uno de los apartados se proporciona información sobre las cookies utilizadas y se da la opción de aceptar, de forma granular, el grupo moviendo el curso, premarcado en la opción de “no aceptar las cookies”, a la opción de “aceptar las cookies”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 En la parte inferior de la página principal, existe un enlace a la <<política de desactivar o eliminar las cookies, así como la identificación y el tiempo de activación de las cookies que utiliza la página web. OCTAVO: Con fecha 16/02/21, se notifica la Propuesta de Resolución a la entidad reclamada en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se apercibiera a la entidad, por infracción de artículo 15, del RGPD, en aplicación del artículo 12.4 del citado Reglamento, en lo que respecta al incumplimiento que se hizo en su día, de no informar en tiempo y forma al usuario y se archivara a la entidad, titular de la página web ***URL.1, el presente procedimiento por la presunta infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web, al haberla adaptado convenientemente a la legislación vigente. Notificada la propuesta de resolución, a fecha de hoy, no consta que respuesta alguna se haya dado a la propuesta de resolución del expediente dentro del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1.- En la reclamación presentada ante esta Agencia, se indicaba que, se había solicitado el acceso a la historia clínica y no se había recibido ningún tipo de respuesta por parte del centro sanitario. Además, se indicaba que, la página web del centro, ***URL.1, no disponía de ni de política de privacidad ni de política de cookies acorde con la legislación vigente. 2.- Respecto de la falta de diligencia en la contestación a la solicitud de acceso a la historia clínica, la entidad argumentó en su día que no había accedido a la solicitud de acceso a la historia clínica al faltar un documento esencial en la solicitud, como era la copia del DNI del solicitante, y con relación a la falta de contestación informando al interesado de los motivos de la no admitido de su solicitud, ya se había tomado las medidas técnicas necesarias para que no volviera a producirse un hecho similar. 3.- Respecto a la “Política de Privacidad” y la “Política de Cookies” de la página web de la clínica, esta Agencia, comprobó en su día que la web indicada, tenía las siguientes características: - Respecto de la Política de Privacidad: Se constató que, en la página web en cuestión, se podían recogen datos personales de los usuarios y en su “Política de Privacidad”, ***URL.2, se proporcionaba información sobre, la identidad del responsable del tratamiento; la finalidad y legitimación del tratamiento; los plazos de conservación de los datos personales; la posible comunicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 ción de los datos personales a terceros; el deber de confidencialidad y la posibilidad de ejercer los derechos que asisten al usuario en materia de protección de datos. - Respecto de la Política de Cookies: Al acceder a la página principal de la web, ***URL.1, (primera capa, el banner existente proporcionaba la siguiente información: “Este Web utiliza cookies para ofrecer una mejor experiencia de Usuario. Si continúa navegando consideramos que Vd. acepta su uso. Más información en nuestra Política de Cookies y Política de Privacidad”. <<ACEPTAR>> Si se accedía a la “Política de Cookies”, la página informaba, entre otras, sobre, qué son las cookies; qué tipos de cookies existen y qué cookies usaba el sitio web. No obstante, sobre cómo desactivar o eliminar cookies, la página remitía al usuario a la configuración del navegador instalado en su equipo terminal. 4.- En base a lo expuesto en los puntos anteriores, esta Agencia, inició procedimiento sancionador a la entidad reclamada, por incumplir lo estipulado en el artículo 15) del RGPD, en relación con el artículo 12.4 y por incumplimiento de lo estipulado en el artículo 22.2) de la LSSI, respecto de su política de cookies. 5.- Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 19/10/20, indicó a esta Agencia los siguiente: - En relación con el ejercicio de derecho de acceso contestado extemporáneamente, Instituto del Daño Cerebral y Psíquico SL, como responsable del tratamiento, ha tomado más medidas técnicas y organizativas con el fin de que no se vuelva producir un hecho similar. - En referencia a la presunta infracción que nos incoan referente a lo dispuesto en el artículo 22.2 de la LSSI ya hemos tomado todas y cada una de las nuevas indicaciones dictadas por el Comité Europeo de Protección de Datos, y reflejada por la Agencia Española de Protección de Datos en su Guía sobre uso de Cookies. 6.- Consultada la página web, ***URL.1, después de haber recibido las alegaciones de la entidad reclamada, se pudo comprobar lo siguiente: Al acceder a la página principal de la web, el banner de la primera capa presentaba la siguiente información: “Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación. Puedes aceptar y rechazar todas las cookies pulsando "Aceptar" y "Rechazar". Además, puede configurar las cookies. Más información en nuestra Política de Cookies y Política de Privacidad”. <<ACEPTAR>> <<RECHAZAR>> <<CONFIGURAR COOKIES>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Si se accede al “Panel de configuración de las Cookies”, a través del enlace <<configuración de las cookies>>, la web redirige al usuario a una nueva página donde se identifican las cookies de forma granular: necesarias, de marketing, analíticas, y de preferencia. En cada uno de los apartados se proporciona información sobre las moviendo el curso, premarcado en la opción de “no aceptar las cookies”, a la opción de “aceptar las cookies”. En la parte inferior de la página principal, existe un enlace a la <<política de desactivar o eliminar las cookies, así como la identificación y el tiempo de activación de las cookies. FUNDAMENTOS DE DERECHO I Competencia: Es competente para resolver este procedimiento, respecto de los derechos reconocidos en el RGPD sobre el tratamiento de datos personales, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. Es competente para resolver este procedimiento, respecto de la política de cookies, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II En relación con el ejercicio de derecho de acceso contestado “extemporáneamente”, la entidad reclamada manifiesta que ha tomado más medidas técnicas y organizativas necesarias con el fin de que no se vuelva producir un hecho similar, para que, si cualquier usuario ejercita sus derechos reconocidos en el RGPD y en la LOPDGDD, se le dé respuesta en el plazo de 1 mes desde que éste lo ejercita. Los hechos expuestos suponen la comisión de una infracción al artículo 15 del RGPD, en relación con el artículo 12.4 del citado Reglamento, al no informar en tiempo y forma de las circunstancias por las que no es atendida la solicitud de acceso a la información sobre los datos personales. Por su parte, el artículo 72.1.k) de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “apercibimiento”, por la infracción del artículo 15 del RGPD, en relación con el artículo 12 del citado Reglamento. III Sobre la política de cookies en la página web denunciada, se ha comprobado que la entidad ha modificado su política, introduciendo nueva información en el banner en la página inicial y posibilitando en esta primera capa que usuario pueda, “aceptar”, “rechazar todas las cookies” o redirigirse a la página de “configuración de las cookies”. En la segunda capa (panel de control de configuración de las cookies), existe una división granular por: cookies necesarias, de marketing, analíticas y de preferencia. En cada uno de los apartados se proporciona información sobre las cookies utilizadas y se da la opción de aceptar el grupo de cookies moviendo el cursor, “premarcado” en la opción de “no aceptar las cookies”, a la opción de “aceptar las cookies”. En la segunda capa (Política de Cookies), accesible a través del enlace existente en la parte inferior de la página principal, se proporciona información sobre, qué son las como, su identificación y el tiempo que estarán activas. El artículo 22.2 de la LSSI, establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Por lo tanto, con arreglo a las evidencias que se disponen en este momento, se considera que la Política de Cookies, de la página web reclamada no se contradice con lo estipulado en el artículo 22.2 del RGPD. Por tanto, a la vista de los hechos expuesto, la Directoria de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la entidad, INSTITUTO DEL DAÑO CEREBRAL Y PSÍQUICO, S.L. por infracción de artículo 15, del RGPD, en aplicación del artículo 12.4 del citado Reglamento, en lo que respecta al incumplimiento que se hizo en su día, de no informar en tiempo y forma a las peticiones del usuario. ARCHIVAR: a la entidad INSTITUTO DEL DAÑO CEREBRAL Y PSÍQUICO, S.L. titular de la página web ***URL.1, el presente procedimiento por la presunta infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web, al haber modificado convenientemente la política sobre las cookies, existiendo un mecanismo, que permite rechazar todas las cookies en la página inicial y un mecanismo que permite su gestión de forma granular, en la segunda capa (panel de control). NOTIFICAR: la presente resolución a la entidad, INSTITUTO DEL DAÑO CEREBRAL Y PSÍQUICO, S.L De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es