PS-00288-2019

1/5  Procedimiento Nº: PS/00288/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00288/2019, instruido por la Agencia Española de Protección de Datos, a la entidad MEDICINA PSICO-ORGÁNICA, S.L., con CIF: B48409759, (en adelante “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 23/05/19, D. A.A.A., (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “En septiembre de 2018 acudí al Centro de Psiquiatría en ***LOCALIDAD.1 denominado "Medicina Psico-Orgánica, S.L.P. situado en la ***DIRECCIÓN.1. Fui atendido y, siguiendo sus instrucciones, realicé diversas pruebas, como análisis de sangre y la realización de un test muy personal. En ningún momento, ni firmé ni me leyeron los derechos que poseo en relación a la Ley de Protección de Datos”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fechas 04/07/19 y 15/07/19, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 19/07/19, la entidad reclamada, remite a esta Agencia la documentación siguiente: a).- Hoja de recogida de datos personales de contacto y el consentimiento para el tratamiento de datos. En dicha hoja se especifica que: “la finalidad es la elaboración del historial clínico, el diagnóstico y seguimiento de la evolución de su estado de salud, y el consentimiento expreso para los datos de salud con la finalidad de "ofrecerle la mejor atención y seguimiento de su caso". Se recoge una cláusula de confidencialidad, y se informa de la cesión de datos a terceros colaboradores o profesional sanitario con las mismas finalidades, con los cuales tienen firmadas cláusulas de prestación de servicios, pero no se identifica a estos terceros. CUARTO: Consultada la página web, ***URL.1, con fecha ***FECHA.1, en su “Política de Privacidad”, se puede leer: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 a.- USO Y TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL. MEDICINA PSICO-ORGÁNICA S.L. le informa que los datos de carácter personal que pudieran proporcionarse, a través del website, así como los que pudiera facilitar en el futuro en el marco de su relación jurídica con esta entidad, serán incorporados en los ficheros titularidad de MEDICINA PSICO-ORGÁNICA S.L., cuyos datos constan en el encabezamiento. Estos ficheros tienen la finalidad de gestionar, administrar, prestarle los servicios o facilitarle los productos que solicite, y en su caso, para el cumplimiento y ejecución de los contratos que pudiera celebrar, conocer mejor sus gustos, adecuar los servicios a sus preferencias, así como poder ofrecerle nuevos servicios o productos y enviarle información relacionada con las actividades de MEDICINA PSICO-ORGÁNICA S.L., a través de cualquier medio, incluso el electrónico. Los destinatarios de la información recogida serán, principalmente, los empleados de MEDICINA PSICO-ORGÁNICA S.L.. Salvo en los campos en que expresamente se determine lo contrario por medio de un asterisco (*), las respuestas a las preguntas sobre datos personales son voluntarias, sin que la falta de contestación a dichas preguntas implique una merma en la calidad de los servicios que Usted solicita. La falta de cumplimentación de los campos determinados como obligatorios o el suministro de datos incorrectos imposibilitará que MEDICINA PSICO-ORGÁNICA S.L. pueda prestarle los servicios o le facilite los productos que solicite. El consentimiento otorgado para el tratamiento de sus datos personales, puede ser revocado en cualquier momento, dirigiéndose a la dirección de MEDICINA PSICO-ORGÁNICA S.L. o a través del correo electrónico ***EMAIL.1. Los usuarios garantizan y responden, en cualquier caso, de la exactitud, vigencia y autenticidad de los datos personales facilitados y se comprometen a mantenerlos debidamente actualizados. b).- EJERCICIO DE DERECHOS: ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN Aquellas personas físicas que hayan facilitado sus datos a MEDICINA PSICOORGÁNICA S.L. podrán ejercitar gratuitamente los derechos de acceso, rectificación, cancelación y oposición respecto de los datos incorporados en los ficheros de MEDICINA PSICO-ORGÁNICA S.L. Dado el carácter confidencial de la información, Vd. no podrá ejercitar sus derechos telefónicamente, lo debe solicitar por cualquier medio que deje constancia de su envío y de su recepción y remitir copia de su DNI o documento equivalente. El interesado podrá ejercitar sus derechos mediante comunicación por escrito dirigida a MEDICINA PSICO-ORGÁNICA S.L. en la dirección indicada al inicio o a la dirección de correo electrónico ***EMAIL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 c).- MEDIDAS DE SEGURIDAD. MEDICINA PSICO-ORGÁNICA S.L. le informa que tiene implantadas las medidas de seguridad de índole técnica y organizativas necesarias para garantizar la seguridad de sus datos de carácter personal y evitar su alteración, pérdida y tratamiento y/o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. El usuario debe ser consciente de que las medidas de seguridad en Internet no son inexpugnables y enteramente fiables y que MEDICINA PSICO-ORGÁNICA S.L. no puede garantizar la inexistencia de virus u otros elementos que pudieran producir alteraciones en los sistemas informáticos (software y hardware) del usuario. d).- MENORES DE EDAD. En el supuesto que alguno de los servicios y productos vayan dirigidos a menores de 14 años. MEDICINA PSICO-ORGÁNICA S.L. solicitará el consentimiento de los padres o tutores para la recogida de los datos personales del menor. MEDICINA PSICO-ORGÁNICA S.L. no responde de aquellos datos de menores que sin poder conocer MEDICINA PSICO-ORGÁNICA S.L. este hecho se haya facilitado sin el consentimiento de los padres o tutores. e).- MODIFICACIÓN DE LA POLÍTICA DE PRIVACIDAD. MEDICINA PSICO-ORGÁNICA S.L. se reserva el derecho a modificar su Política de Privacidad, de acuerdo a su propio criterio, o motivado por un cambio doctrinal de la Autoridad competente en Protección de Datos, legislativo o jurisprudencial. Cualquier modificación de la Política de Privacidad será publicada, antes de su efectiva aplicación. El uso del Web después de dichos cambios, implicará la aceptación de éstos. f).- LEGISLACIÓN APLICABLE Cualquier controversia que se derive del uso de este sitio, será regida, interpretada y sometida de acuerdo con las leyes de España. CUARTO: Con fecha 20/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por presunta infracción del artículo 13 del RGPD y considerada muy grave en el 72.1.

1. h)de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas adecuadas para adecuar su política de privacidad a la normativa vigente. Exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios y/o pacientes, en el momento en que recabe los datos personales de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 mismos, a través de los formularios, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento”. QUINTO: Con fecha 02/12/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- En el texto de la hoja enviada por la entidad reclamada, así como la información suministrada, en relación con la política de privacidad, a través de su página web, se constata que no está adaptada al nuevo RGPD, (se habla, por ejemplo, de fichero, de derechos ARCO, etc.), pero no se especifica nada sobre: - la identidad y datos de contacto del responsable y, en su caso, de su representante; - el contacto del Delegado de Protección de Datos de la entidad; - la base jurídica del tratamiento; los destinatarios de los datos recogidos; - la información sobre el plazo durante el cual se conservarán los datos personales o los criterios utilizados para determinar ese plazo; - los derecho a solicitar del responsable el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos y el derecho a presentar una reclamación ante la autoridad de control o información sobre la existencia de decisiones automatizadas (incluida la elaboración de perfiles). FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. En el supuesto presente, se ha constatado que, en el texto de la hoja enviada por la entidad reclamada a esta agencia, así como la información suministrada, en relación con la política de privacidad, a través de su página web, se constata que no está adaptada al nuevo RGPD. III Todo lo expuesto podría suponer una infracción por vulneración del artículo 13) del RGPD, considerada en el artículo 72.1.h), de la LOPDGDD como “muy grave” a efectos de prescripción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
2. a)del RGPD. La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE APERCIBIR: a la entidad MEDICINA PSICO-ORGÁNICA, SL con CIF: B48409759, por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad MEDICINA PSICO-ORGÁNICA, SL, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su política de privacidad a la normativa vigente, (exigencias contempladas en el artículo 13 del RGPD), debiendo facilitar a los usuarios y/o pacientes, en el momento en que recabe los datos personales de los mismos, a través de los formularios, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. NOTIFICAR la presente resolución a la entidad MEDICINA PSICO-ORGÁNICA, SL De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es