PS-00288-2024

1/49  Expediente N.º: EXP202402851 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), en fecha 19 de enero de 2024, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IDCQ HOSPITALES Y SANIDAD, S.L.U. con NIF B87324844 (en adelante, IDCQ). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que, en fecha 18 de noviembre de 2021, acudió al Hospital a realizarse una resonancia, aportando para su comparación, un CD que contenía las imágenes originales de la resonancia magnética realizada en el año 2018, así como las de los dos años anteriores. Manifiesta que, en fecha 29 de marzo de 2022, habiéndose personado en el Hospital a recoger las imágenes por él aportadas, le informaron que no las encontraban. En fecha 04 de abril de 2022, recibió un email de IDCQ, en el que le informaban de nuevo que las pruebas aportadas ya no estaban disponibles. Junto a la reclamación aporta copia del correo electrónico, remitido en fecha 4 de abril de 2022, desde la dirección: ***EMAIL.1. y dirigido a la parte reclamante, en que consta lo siguiente: “Buenos tardes A.A.A., Tal y como acordé personalmente con usted, informarle que la documentación que incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas previas que usted aportó, las cuales se incluyeron en dicho ensobrado, tras realizar una nueva revisión de nuestro archivo, lamento confirmarle que ya no están disponibles. La capacidad de nuestro archivo es limitada, es por ello que en la realización de las pruebas informamos a los pacientes que quieren el soporte en papel el plazo para recoger los informes ya que pasado un plazo se procede a la limpieza de dicho archivo para poder disponer de espacio para seguir archivando lo recientemente realizado. Si necesita soporte en papel del estudio de noviembre de 2021, no dude en comentármelo para realizarle una copia del mismo. Atentamente B.B.B.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/49 Asimismo, aporta copia del informe médico, de fecha 18 de noviembre de 2021, en el que consta que la parte reclamante había aportado un CD que contenía una resonancia previa. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a IDCQ, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 22 de febrero de 2024, como consta en el certificado que obra en el expediente. En fecha 20 de marzo de 2024, se recibe en esta Agencia escrito de respuesta de IDCQ indicando que, con fecha con fecha 18 de noviembre de 2021, el interesado acudió al Hospital a realizarse una resonancia; junto con esta prueba, aportó al Hospital CD originales que contenían imágenes realizadas en 2018 y las de los años posteriores 2019 y 2020, como pruebas previas para la prestación de su tratamiento asistencial en el Hospital. Ese mismo día, el interesado firmó una hoja de recogida de pruebas en la que se indicaba expresamente que el plazo para recoger las pruebas, era de un mes. Se adjunta Hoja de Recogida de Pruebas que se entrega a los pacientes informando sobre el plazo de recogida como documento número nº 01. Con fecha 29 de marzo de 2022, es decir cuatro meses después, el interesado acudió al hospital para solicitar las imágenes aportadas. Realizadas las investigaciones oportunas, el Hospital con fecha 04 de abril de 2022, envió la respuesta al interesado indicando lo siguiente: “Tal y como acordé personalmente con usted, informarle que la documentación que incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas previas que usted aportó, las cuales se incluyeron en dicho ensobrado, tras realizar una nueva revisión de nuestro archivo, lamento confirmarle que ya no están disponibles. La capacidad de nuestro archivo es limitada, es por ello que en la realización de las pruebas informamos a los pacientes que quieren el soporte en papel el plazo para recoger los informes ya que pasado un plazo se procede a la limpieza de dicho archivo para poder disponer de espacio para seguir archivando lo recientemente realizado. Si necesita soporte en papel del estudio de noviembre de 2021, no dude en comentármelo para realizarle una copia del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/49 Con fecha 18 de enero de 2024, el interesado interpone una reclamación ante el Hospital reclamando las imágenes. Con fecha 23 de enero de 2024, el Hospital responde indicando que: “Desde el servicio de diagnóstico por la imagen, lamentan la situación. Nos trasladan que actualmente las pruebas externas tras dos años después de la revisión de la misma se encuentran sin registro. Tras la realización de la resonancia el día 18 de noviembre de 2021, se muestra en la hoja de recogida que existe un mes de plazo para la recogida de las pruebas.” Se adjunta respuesta enviada al interesado como documento nº 02. En ese sentido, expone que el Hospital cuenta con un procedimiento en el servicio de Diagnóstico por Imagen cuyo objeto es definir la operativa y el modelo de atención al paciente dentro del área de diagnóstico por la imagen, en el que se detalla el plazo de recogida de las pruebas. Se adjunta Procedimiento de Diagnóstico por Imagen como documento nº 03. En el Procedimiento de Diagnóstico por Imagen aportado por la parte reclamada, se establece, en cuanto a la “Realización de pruebas diagnósticas en el Servicio de Radiodiagnóstico”, que: “4.2. Entrega de resultados 4.2.1. Pruebas sin informe Finalizada la prueba, si esta no necesita ser informada, se envían al Pacs y los médicos lo ven en la consulta. Si el paciente requiriera la prueba física, se le entregará. 4.2.2. Pruebas informadas El resultado de la prueba realizada es materializado en un informe, este es dictado por el radiólogo, y trascrito directamente en el sistema informático. Principalmente se redirige a los pacientes a consultar su informe médico por el dpd o bien en la consulta sucesiva del especialista. Llegado el caso de que el paciente requiera los informes físicos, se le informa de un plazo para dicha recogida. En el caso de pruebas informadas, se comunicará al paciente el momento a partir del cual puede recoger el resultado. Para ello, se entrega el CORP06.5/F003 Recogida o Envío de Resultados/Informes donde la recepcionista cumplimentará el apartado fecha de recogida. Además, se informará al paciente de las diferentes formas de recogida de pruebas, que son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/49 1. Si el paciente es quién recoge personalmente la prueba, deberá venir provisto de su DNI. 2. Si es un tercero quién acude a recoger la prueba deberá venir provisto de su DNI, con la autorización cumplimentada y firmada por el paciente junto a una fotocopia del DNI. En el caso de que la prueba corresponda a un menor de edad, la persona que acude a recoger la prueba deberá venir provista de su DNI, junto a una fotocopia del Libro de Familia que acredite su parentesco con el menor, o la autorización CORP06.5/F003 Recogida o Envío de Resultados/Informes firmada por uno de sus progenitores o tutores. 3. Si el paciente solicita que se le envíen los resultados por mensajería a él mismo o a un tercero, como su médico, deberá firmar la correspondiente autorización para ello. y abonar los gastos que ocasione el envío. 4. A cada médico se la asignarán de 4 a 7 informes anuales para hacer la revisión por pares. 5. Un técnico senior realizará el control de calidad trimestralmente, revisando 100 radiografías anualmente. Las pruebas quedarán archivadas para su recogida durante el plazo de un mes, desde la fecha de realización. Transcurrido dicho plazo sin que se hubiera recogido, serán enviadas al archivo general para su custodia durante el tiempo que establezca la ley, o hasta que el paciente lo solicite, mediante documento CORP06.5/F003 Recogida o Envío de Resultados/Informes o con la Solicitud de historia clínica. Los informes deben contener como mínimo los siguientes datos: nombre y apellidos del paciente, prueba realizada, fecha de realización, hallazgos radiológicos, conclusiones y médico que realiza el informe. En el caso de pacientes hospitalizados, los resultados de las pruebas quedarán integrados en la historia clínica del paciente.” Asimismo, añade que el Hospital cuenta con la Instrucción técnica para la atención de los derechos en materia de protección de datos aprobada por el Delegado de Protección de Datos y publicada en una herramienta corporativa, para conocimiento y aplicación de todos los centros sanitarios del Grupo Hospitalario Quirónsalud, que es puesta en práctica de forma diaria porque regula las condiciones generales para dar cumplimiento a la obligación legal de atender debidamente las solicitudes de ejercicio de los derechos de protección de datos por parte de los afectados cuyos datos personales son responsabilidad del Grupo Hospitalario Quirónsalud. Se adjunta la instrucción técnica para la atención de los derechos de protección de datos, como documento nº 04. Por lo tanto, según lo expuesto detalladamente en párrafos anteriores, a la fecha de la contestación del presente Procedimiento, considera que el Hospital ha cumplido con los procedimientos establecidos, informando debidamente al interesado del plazo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/49 tenía para recoger las pruebas aportadas y dando respuesta a todas sus comunicaciones, por lo que no se ha producido ninguna incidencia. Por lo expuesto considera que no ha existido incidencia alguna, que no hubo ninguna afectación al interesado y que el Hospital ha cumplido en todo momento con el procedimiento corporativo establecido. A pesar de que no existe incidencia alguna, el Hospital ha establecido las siguientes medidas:     Revisión del procedimiento de Diagnóstico por Imagen. Tras esta revisión se verifica que el procedimiento es adecuado. Revisión del procedimiento de actuación para la atención de los derechos de los pacientes. Tras esta revisión se verifica que el procedimiento es adecuado. Se procede a recordar a todos los usuarios afectados de la existencia de estos procedimientos y se traslada la importancia de la correcta gestión siguiendo todos los pasos que en los procedimientos se establecen. En las sesiones de concienciación que se llevan a cabo anualmente se volverá a insistir sobre la necesidad de conocer y aplicar los procedimientos internos. Por todo lo expuesto, solicita que se acuerde el archivo del presente procedimiento, al haber atendido la solicitud del interesado, en virtud de lo dispuesto en el Reglamento General de Protección de Datos 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. TERCERO: En fecha 18 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad IDCQ HOSPITALES Y SANIDAD, S.L.U. es una gran empresa, constituida en el año 2015 y con un volumen de negocios de 2.834.684.000 euros, en el año 2023. QUINTO: En fecha 22 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de LPACAP, por la presunta infracción del artículo 9 del RGPD, por la presunta infracción del artículo 6 del RGPD, ambas tipificadas en el artículo 83.5 del RGPD, y por la presunta infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 22 de noviembre de 2024, como consta en el certificado que obra en el expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/49 SEXTO: Notificado el citado acuerdo, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, muestra su disconformidad y presenta alegaciones sobre la conceptualización de la historia clínica, sobre la responsabilidad de cada centro sanitario con respecto a la historia clínica de los pacientes, sobre la posible contravención de los principios básicos en el tratamiento de los datos personales llevado a cabo por el responsable del tratamiento, sobre la infracción de los artículos 9, 6 y 25 del RGPD, sobre la inexistencia de responsabilidad en la infracción y la falta de proporcionalidad de la sanción y sobre la prescripción de la infracción administrativa grave por haber transcurrido más de dos años desde los hechos sancionados. SÉPTIMO: En fecha 16 de julio de 2025, se formuló propuesta de resolución, proponiendo: << Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a IDCQ HOSPITALES Y SANIDAD, S.L.U., con NIF B87324844, - por la infracción del artículo 9 del RGPD, en relación con el caso concreto, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1

1. e)de la LOPDGDD, con una multa administrativa de cuantía: 100.000,00 euros. - por la infracción del artículo 6 del RGPD, en relación con el caso concreto, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1.
2. b)de la LOPDGDD, con multa administrativa de cuantía: 100.000,00 euros. -por la infracción del artículo 25 del RGPD, en relación con el procedimiento, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo 73
3. d)de la LOPDGDD, con una multa administrativa de cuantía: 1.000.000,00 euros.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 16 de julio de 2025, como consta en el certificado que obra en el expediente. OCTAVO: En fecha 31 de julio de 2025, la parte reclamada presentó escrito de alegaciones a la Propuesta de Resolución, reiterando básicamente las alegaciones ya presentadas al Acuerdo de Inicio y en el que, en síntesis, manifiesta que: PRIMERA. - ACERCA DE LAS MANIFESTACIONES CONTENIDAS EN LA PROPUESTA DE RESOLUCIÓN EN RELACIÓN CON EL TRATAMIENTO DE LOS DATOS DE SALUD DE LOS PACIENTES POR LOS CENTROS SANITARIOS Y LAS OBLIGACIONES DE CONSERVACIÓN DE LA DOCUMENTACIÓN CLÍNICA. 1. Consideraciones previas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/49 La Propuesta parte de una serie de consideraciones, que a su juicio no cuentan con el necesario fundamento jurídico y que suponen una interpretación inadecuada por parte de la AEPD acerca del contenido real de las obligaciones establecidas en la normativa de protección de datos personales en relación con los datos de naturaleza asistencial, lo que necesariamente debería abocar al archivo del presente procedimiento sancionador. 2. Sobre el régimen jurídico de las historias clínicas y la determinación de su contenido conforme a la normativa de protección de datos personales. Frente a lo indicado en la Propuesta de Resolución alega: • Los datos clínicamente relevantes derivados de la revisión de dichas imágenes fueron efectivamente incorporados a la historia clínica del paciente, en forma de un informe específico, elaborado por el facultativo responsable. Este informe está a disposición del paciente y cumple plenamente con los requisitos legales de trazabilidad y acceso. • La decisión médica (que no técnico-jurídica, porque así lo dice la LAP) de no incorporar las imágenes como objeto a la historia clínica, ni en soporte físico ni en formato digital, responde a un criterio clínico que no puede ni debe ser revisado por quienes carecen de competencia técnica o sanitaria para ello. La normativa vigente no impone la obligación de incorporar a la HC todo material visual aportado por el paciente y que haya sido revisado, sino únicamente aquello que el profesional sanitario considere relevante para la continuidad asistencial. • Y por este motivo, aun cuando se pretenda indicar lo contrario, las imágenes ni fueron ni debían ser incorporadas, bajo criterio médico (el único admisible) a la historia clínica, por lo que no constituyen documentación clínica generada por el Hospital ni les resulta de aplicación el régimen de conservación previsto en la Ley 41/2002 ni en el RGPD. Afirma que un órgano administrativo que ni siquiera ostenta competencia alguna en materia sanitaria puede proceder, de un modo que únicamente puede valorarse como una injerencia en una materia completamente ajena a su competencia y ámbito de actuación, a efectuar una valoración del criterio médico seguido por el facultativo al que acudió el paciente y que incluso, si se aplica un criterio jurídico al razonamiento efectuado por la AEPD, no puede concluirse sino que el mismo resulta claramente contrario a derecho, por cuanto violenta radicalmente el principio de especialidad y supone una completa extralimitación de la AEPD en el ejercicio de sus competencias. Entiende que si la AEPD ha venido reconociendo que carece de competencia alguna para valorar cuál debe ser el contenido de una HC, esa misma carencia debería apreciarse en el presente caso, en que, sin embargo, se decide, sin base en criterio médico o asistencial alguno, que una determinada información debe formar parte del contenido de la HC. Concluye indicando que: • Es el facultativo, y sólo el facultativo (y evidentemente en ningún caso la AEPD), quien puede determinar el contenido de la HC del paciente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/49 • La decisión acerca de esta cuestión no puede ser objeto de revisión por quien ni ostenta criterio médico ni carece de competencia alguna en materia sanitaria y asistencial. • En el presente caso, la HC del paciente contiene la información que, a juicio del facultativo, resultaba trascendental para conocer de forma veraz y actualizada el estado de salud del paciente, incluyendo únicamente, respecto de las imágenes aportadas por el paciente las que resultaban trascendentales para verificar la evolución de su estado de salud respecto a las pruebas previamente realizadas. • Sólo esta información podía considerarse objeto de tratamiento lícito por el Hospital, al amparo de lo establecido en los artículos 6.1
4. c)y 9.2 del RGPD, no debiendo procederse al tratamiento de ningún dato adicional. 3. Sobre la conservación de los datos no incorporados a la historia clínica del Paciente. 3.1 Las obligaciones de conservación de la documentación clínica se refieren a la que se ha generado por el propio centro sanitario Entiende que la documentación clínica generada por el centro es la que queda sujeta a la LAP y sujeta por ello a los deberes de custodia y conservación establecidos por la misma, sin que sea objeto de la LAP la documentación clínica procedente de otro centro ni la que el paciente pudiera aportar mediante imágenes captadas con su móvil, ya sean fotos, videos o cualquier imagen en otro soporte, si el facultativo no decide integrarla en la HC. Firma por tanto que sólo si el médico considera dicha información relevante solicitaría la misma para incorporarla a la HC, pero en tanto en cuanto esto no suceda, estos datos serían de la exclusiva responsabilidad del paciente. Asimismo, alega que la documentación clínica generada por otro centro, salvo que pase a formar parte de la HC del paciente en el centro, sólo si así lo decide el profesional asistencial por considerarla valiosa, útil, necesaria o trascendental, podrá considerarse sujeta a las obligaciones de conservación y custodia establecidas en la LAP. Es decir, entiende que en tanto no exista la decisión médica de incorporar los datos a la HC, el único tratamiento lícito de los datos contenidos en el CD es el de su visualización y el que afecta a la decisión de incorporar los mismos o no a la HC. Una vez concluido este tratamiento, que en modo alguno implica un deber de conservación de documentación que es ajena a mi representada, no es posible, en su opinión, persistir en el tratamiento de estos datos sin que ello suponga una vulneración de la normativa de protección de datos personales, puesto que no existiría base jurídica para conservar datos de otro centro sanitario y no generados por el Hospital salvo que el criterio médico consista en su incorporación a la HC. 3.2 Sobre la licitud de los protocolos de conservación y custodia de la información seguidos por IDCQ Alega que lo que se llevó a cabo podría denominarse “bloqueo organizativo”, consistente en guardar el CD en un lugar seguro (archivo cerrado, caja fuerte, etc.) donde está restringido el acceso solo a personas autorizadas. Tras el bloqueo procede la destrucción, si es que no hay obligación legal de conservación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/49 Y en relación con este punto, considera necesario poner nuevamente de manifiesto que el CD no se encuentra sujeto a las normas de conservación establecidas en el artículo 17.1 de la LAP, toda vez que dicho precepto indica que “[l]os centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. Manifiesta que el CD al que se refiere ni forma parte de la HC ni puede considerarse documentación clínica a los efectos del precepto citado, por lo que no serían de aplicación las normas sobre conservación que se acaban de reproducir. Alega que IDCQ indicó expresamente al reclamante, y así lo hizo constar en la hoja de recogida de pruebas, que el plazo para la recogida del CD facilitado era de un mes. Ello implica que, dado que el mencionado CD no se incorporó a la HC del paciente (salvo en la información contenida en el informe médico relacionado con las pruebas practicadas) en caso de que el interesado no procediese a la recogida del CD se procedería a su destrucción, al no ser lícito (por innecesario y en evitación del incumplimiento del principio de minimización) el tratamiento de datos personales contenidos en dicho CD una vez elaborado el mencionado informe. Es decir, reitera que el reclamante tenía pleno conocimiento del plazo de un mes del que disponía para la recogida del soporte mencionado, de forma que, habiendo transcurrido cuatro meses desde la fecha en que se llevó a cabo la recogida del CD por el Hospital, procedía llevar a cabo la destrucción del soporte que, en su opinión, ni puede ser considerado documentación clínica a efectos de la LAP ni forma parte de la HC del reclamante, tomando en consideración el criterio médico del facultativo, único admisible conforme a la citada Ley. 3. Acerca de los protocolos implantados por IDCQ para la custodia de las HC, la documentación clínica, los derechos establecidos en el RGPD y la custodia de los soportes que no forman parte de la HC ni deben ser considerados documentación clínica a efectos de la LPA. Reitera que es incorrecto afirmar que no existía, o no existe, un procedimiento aplicable a situaciones como la que ha motivado la presente reclamación. En este sentido, alega que el Hospital dispone de un procedimiento de gestión de soportes, conocido por el personal, que establece directrices claras y básicas, consistentes en (
5. i)no admitir soportes externos; (
6. ii)en caso de resultar imprescindible, tratarlos o visualizarlos en la propia consulta; (iii) una vez alcanzada la finalidad para la que fueron entregados, ponerlos a disposición del paciente; y (
7. iv)si no son recogidos en el plazo de un mes, proceder a su destrucción. Y a este respecto, entiende que aun cuando es cierto que el procedimiento específico del servicio de diagnóstico por imagen no contempla de forma expresa la devolución de soportes físicos que contengan datos personales aportados por los pacientes, ello no implica la inexistencia de una práctica o un procedimiento inexistente, puesto que, los soportes, una vez valorada la información médica que contienen e incorporada a la historia clínica la considerada transcendental para el facultativo, son devueltos al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/49 paciente siguiendo las instrucciones del “Procedimiento CORP06.5/F003 R Recogida o Envío de Resultados/Informes” que ya obra en el procedimiento, en los términos de la normativa de protección de datos. Además, añade que en el continuo desarrollo de las normas internas relacionadas con el cumplimiento de la normativa de protección de datos se ha adoptado el procedimiento: CORP06.5-IT009 v1 Instrucción Técnica para la gestión de soportes con datos de salud aportados por pacientes, que también fue aportado junto a las alegaciones al Acuerdo de Inicio. Finalmente, afirma que la propuesta de sanción se fundamenta en una interpretación errónea e inadecuada de los procedimientos internos del centro hospitalario, así como de los principios y obligaciones que rigen el tratamiento de datos personales en el ámbito sanitario. Reitera que el Hospital dispone, y ha dispuesto en todo momento, de un marco procedimental completo y coherente que, aun a riesgo de ser reiterativos, incluye procedimientos (todos aportados a la AEPD) tales como: • El procedimiento de conservación y custodia de la HC, complementado con CORP06.5- A023 v2 Plazos de conservación de HC-legislación autonómica. • El procedimiento para la Eliminación de HC. • El procedimiento de tratamiento seguro de datos en el uso de sistemas de información. • El procedimiento específico del servicio de radiodiagnóstico. •El procedimiento para la gestión de soportes con datos de salud aportados por pacientes. SEGUNDA. - ACERCA DE LA INEXISTENCIA INFRACCIONES IMPUTADAS A IDCQ. DE LAS SUPUESTAS 1. Sobre la licitud del tratamiento llevado a cabo por IDCQ. Alega que: • Las imágenes contenidas en el CD no forma en ningún caso parte de la HC del Reclamante en virtud de la decisión del facultativo que le asistió y en base a su criterio médico, único que debe ser tenido en cuenta conforme a la LAP. En este sentido, el facultativo únicamente incorporó la información que consideró relevante en relación con los antecedentes derivados de las pruebas realizadas, excluyendo la restante información incorporada a ese soporte. El CD contiene información referida a la primera copia (nunca el original) de las pruebas realizadas en otros centros sanitarios, no pudiendo en ningún caso considerarse documentación generada por el Hospital, a los efectos establecidos en la LAP. • El único tratamiento de datos personales que contaba con la adecuada base jurídica para su realización por parte del Hospital consistía en la visualización de la información para la elaboración del informe médico que obra en la HC y para la toma por el facultativo de la decisión, basada exclusivamente en su criterio médico, de incorporar o no a la HC el contenido del CD. • Una vez llevado a cabo este tratamiento de los datos personales contenidos en el CD mi mandante carece de base jurídica de ningún tipo para proseguir en ese tratamiento, por lo que, en aplicación del principio de conservación establecido en el artículo 5.1
8. e)del RGPD debe cesar en todo tratamiento de dichos datos, no existiendo base jurídica de ningún tipo para la realización de un tratamiento que únicamente hubiera sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/49 válido en caso de que el facultativo, bajo su criterio médico (no técnico-jurídico) hubiera decidido su incorporación a la HC del Paciente. No hay por tanto incumplimiento alguno de la normativa sobre protección de datos sino, antes, al contrario, un estricto cumplimiento de un principio capital en esta normativa, esto es, el principio de minimización. • El Paciente firmó una hoja de recogida en que se le informaba claramente de esta circunstancia, de forma que disponía de un mes para la recogida del CD, no procediendo a la misma ni en ese plazo ni en los tres meses siguientes. • Transcurrido ese plazo, y habiéndose adoptado hasta ese momento las medidas encaminadas a garantizar la disponibilidad, integridad y confidencialidad de la información (obviamente distintas del bloqueo, dado que no es posible en un soporte como el aportado), mi mandante procedió a la destrucción del soporte, dado que tal era su obligación legal conforme a la normativa de protección de datos. • En ningún caso dicha destrucción implica perjuicio alguno al interesado ni pérdida de control sobre sus datos personales, por cuanto el CD facilitado, aun cuando parezca insinuarse lo contrario en la Propuesta, no es el “original” de la prueba, constando dichas pruebas en las HC de los centros donde las mismas fueron realizadas y pudiendo acceder el interesado a las mismas conforme a la normativa aplicable a dichos centros sanitarios. 2. Sobre el cumplimiento del principio de privacidad desde el diseño y por defecto. Considera que ha cumplido plenamente las obligaciones establecidas en el artículo 25 del RGPD, adoptando las medidas técnicas y organizativas necesarias para afrontar los riesgos que el tratamiento de los datos personales pudiera generar en los pacientes que acuden a los centros sanitario que gestiona. A tal efecto, alega que ha aportado a lo largo del procedimiento los distintos protocolos adoptados en relación con las cuestiones que el mismo plantea y considera que: • El CD contenía imágenes clínicas externas, aportadas por el paciente, y no generadas por el centro. • Estas imágenes fueron utilizadas exclusivamente con una finalidad asistencial puntual: permitir al Facultativo especialista en radiología realizar una comparativa con las pruebas realizadas en el centro. • Una vez cumplida dicha finalidad, el médico emitió su informe e incorporó a la historia clínica únicamente los datos que consideró clínicamente relevantes, conforme al principio de integridad de la historia clínica contenido en el artículo 15 de la LAP. • Las imágenes en sí no fueron incorporadas a la historia clínica, al no considerarse trascendentes para el conocimiento veraz y actual del estado de salud del Paciente, conforme al criterio médico del facultativo. • En consecuencia, cesó la base de legitimación del tratamiento conforme al artículo 9.2.h del RGPD, y cualquier conservación posterior habría sido ilícita. • Por tanto, la destrucción del CD fue una medida técnica y organizativa necesaria y proporcionada para cumplir con los principios de limitación de la finalidad, minimización de datos y limitación del plazo de conservación. Por tanto, entiende que la actuación consistente en la destrucción del CD que contenía imágenes clínicas externas, una vez finalizada la finalidad asistencial y sin que dichas imágenes fueran incorporadas a la historia clínica, se alinea plenamente con las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/49 exigencias de seguridad y minimización de riesgos que derivan tanto del RGPD como de los marcos normativos de seguridad de la información aplicables en el ámbito sanitario. En definitiva, considera que la destrucción de los datos responde a la necesidad de mitigar los riesgos inherentes a la persistencia de información personal en soportes físicos o digitales una vez cumplida la finalidad que justifica su tratamiento. La mera conservación de dichos soportes, en ausencia de base jurídica, no solo constituye en su opinión, un tratamiento ilícito conforme al RGPD, sino que expone a la organización a vulnerabilidades innecesarias en materia de seguridad de la información. TERCERA. - ACERCA DE LA VULNERACIÓN POR EL ACUERDO DE INICIO DEL PRINCIPIO DE CULPABILIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE PROPORCIONALIDAD. 1. Vulneración de los principios de culpabilidad, seguridad jurídica y confianza legítima. Alega que ha actuado en todo momento respetando los principios y obligaciones contenidas en la normativa de protección de datos y en la que resulta las historias clínicas. En consecuencia, entiende que la AEPD con su actitud ha vulnerado los principios de confianza legítima y seguridad jurídica, adoptando un cambio radical de criterio que no puede sino calificarse de sorpresivo e inesperado, siendo así que resulta contrario a los principios del derecho administrativo sancionador, tanto en España como en la Unión Europea, la apreciación de dolo o negligencia alguna en el presente caso. Y, por tanto, a la luz de cuanto antecede, considera que no concurre en el presente expediente el presupuesto de culpabilidad exigido por el Derecho sancionador. Afirma que la conducta desplegada por IDCQ ha sido razonable, proporcionada y conforme a Derecho, por lo que la imposición de una sanción administrativa en ausencia de dolo o culpa resultaría radicalmente contraria a los principios que rigen la potestad sancionadora de la Administración, en particular, al principio de culpabilidad, con carácter de garantía constitucional mínima en este ámbito. 2. Subsidiariamente, vulneración del principio de proporcionalidad. Para el negado supuesto en que se considere por esa AEPD que no procede el mencionado archivo, considera que la Propuesta de Resolución adolece de la necesaria motivación respecto del modo en que se calcula la sanción, limitándose a señalar las circunstancias agravantes aplicadas y a realizar un escueto razonamiento respecto de las mismas, que, considera, permitiría fijar la sanción en cualquier cantidad. IDCQ niega de plano la concurrencia de ninguna de las mencionadas agravantes.
9. a)Aplicación de la agravante relacionada con la naturaleza, gravedad y duración de la infracción. Alega que simplemente se destruyó un CD, pero no la documentación que consta en la HC del paciente; ni se ha causado, por este motivo daño alguno a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/49 Entiende que la supuesta agravante no es sino una integrante del propio tipo sancionador, no siendo posible el recurso a la misma como agravante de la sanción, por cuanto su concurrencia es necesaria para considerar que existe una infracción del RGPD. En este sentido, afirma que resulta plenamente aplicable la doctrina sustentada por la reciente Sentencia de la Audiencia Nacional de 8 de mayo de 2025 (recurso 1448/2021), que indica de forma palmaria que “la gravedad de la infracción es consustancial al hecho típico que se sanciona”, lo que impide su utilización como agravante.
10. b)Aplicación de la agravante referida a la intencionalidad o negligencia de IDCQ. Entiende que la mera referencia a la concurrencia de culpabilidad en la conducta jamás puede implicar una circunstancia agravante, por cuanto no es sino un requisito sine qua non para apreciar la concurrencia del elemento culpabilístico necesario para que pueda considerarse cometida la infracción y a tal efecto considera irrelevante el sector de actividad en que opera la reclamada ni su volumen de facturación.
11. c)Aplicación de la agravante referida a la naturaleza de los datos. En este sentido, afirma que la AEPD una vez más, aplica como circunstancias agravantes lo que no son sino elementos del tipo sancionador.
12. d)Aplicación de la agravante relacionada con la vinculación de la actividad de IDCQ con la realización de tratamientos. Con dicha agravante alega que se intenta agravar la conducta de aquellos infractores que han convertido el tratamiento de datos personales en el objeto y elemento esencial de su modelo de negocio exigiéndoles que actúen, por ello, con una diligencia más exacerbada en razón del riesgo inherente a su actividad económica y de la exigible mayor especialización en el tratamiento de datos de quien hace de éste su objeto social. Y por ello considera que no es este, el objeto de negocio de la reclamada, aun cuando el desarrollo de la actividad sanitaria pueda implicar el tratamiento de datos personales de los pacientes que acuden a los centros sanitarios que gestiona.
13. e)Conclusión A la vista de todo lo indicado, entiende que ninguna de las mencionadas agravantes puede ser aplicable en el presente caso, y que la consecuencia de todo ello es que en caso de apreciarse la existencia de una infracción de la normativa de protección de datos personales, la cuantía de la sanción planteada en el Acuerdo de Inicio debería ser objeto de una sustancial reducción, siendo en todo punto inadmisible la valoración efectuada en la Propuesta, que sanciona la conducta de la parte reclamada nada menos que con un montante total de un millón doscientos mil euros. Por último, solicita a la AEPD que dicte resolución por la que se acuerde el archivo del presente procedimiento o, en su defecto, imponga a IDCQ la sanción de apercibimiento consagrada en el artículo 58.2
14. b)del RGPD o una reducción significativa de la cuantía establecida en la Propuesta de Resolución, en atención a las numerosas circunstancias concurrentes en el supuesto de hecho enjuiciado, que supondrían una muy cualificada reducción de la antijuridicidad y culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/49 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que en fecha 18 de noviembre de 2021, la parte reclamante acudió al Hospital Universitario Quirónsalud Madrid a realizarse una resonancia; aportando para su comparación, un CD que contenía las imágenes originales de las resonancias magnéticas realizadas en el año 2018 y las de los dos años posteriores 2019 y 2020, como pruebas previas para la prestación de su tratamiento asistencial en el Hospital. Ese mismo día, el interesado firmó una hoja de recogida de pruebas en la que se indicaba expresamente que el plazo para recoger los resultados/informes era de un mes. SEGUNDO: Consta aportado al expediente “Recogida o envío de resultados/informes” que se entrega a los pacientes informando sobre el plazo de recogida. En dicha Hoja consta expresamente: “Los resultados/informes se mantendrán pendientes de recogida durante un mes. Transcurrido este tiempo, se remitirán al Archivo Central. El paciente podrá solicitarlos por escrito a través del modelo “R1GHQPC07 Solicitud de HC” (tiempo de entrega: 7 días naturales).” TERCERO: Consta aportado al expediente el Procedimiento de Diagnóstico por Imagen, en su versión 2, aprobada en febrero de 2024. En el aparatado 4. DESARROLLO ÁREA TÉCNICO ASISTENCIAL, se establece: 4.2. Entrega de resultados 4.2.2. Pruebas informadas: (…) “Las pruebas quedarán archivadas para su recogida durante el plazo de un mes, desde la fecha de realización. Transcurrido dicho plazo sin que se hubiera recogido, serán enviadas al archivo general para su custodia durante el tempo que establezca la ley, o hasta que el paciente lo solicite, mediante documento CORP06.5/F003 Recogida o Envío de Resultados/Informes o con las Solicitud de historia clínica.” CUARTO: En fecha 29 de marzo de 2022, es decir cuatro meses después, el interesado acudió al Hospital, al servicio de diagnóstico por imagen, para recoger el CD que contenía las imágenes originales de las resonancias magnéticas realizadas en el año 2018 y las de los dos años posteriores 2019 y 2020 que aportó para su comparación con la prueba radiológica que se hizo en el Hospital. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/49 No obstante, según repuesta dada por el Hospital, en fecha 04 de abril de 2022, desde la dirección: ***EMAIL.1, con el objeto “Diagnóstico por imagen”: “Buenas tardes A.A.A., Tal y como acordé personalmente con usted, informarle que la documentación que incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas previas que usted aportó, las cuales se incluyeron en dicho ensobrado, tras realizar una nueva revisión de nuestro archivo, lamento confirmarle que ya no están disponibles. La capacidad de nuestro archivo es limitada, es por ello que en la realización de las pruebas informamos a los pacientes que quieren el soporte en papel el plazo para recoger los informes ya que pasado un plazo se procede a la limpieza de dicho archivo para poder disponer de espacio para seguir archivando lo recientemente realizado. Si necesita soporte en papel del estudio de noviembre de 2021, no dude en comentármelo para realizarle una copia del mismo. Atentamente B.B.B.”. QUINTO: En fecha 18 de enero de 2024, el interesado interpuso una reclamación ante el Hospital reclamando las imágenes. En fecha 23 de enero de 2024, el Hospital respondió indicando que: “Desde el servicio de diagnóstico por la imagen, lamentan la situación. Nos trasladan que actualmente las pruebas externas tras dos años después de la revisión de la misma se encuentran sin registro. Tras la realización de la resonancia el día 18 de noviembre de 2021, se muestra en la hoja de recogida que existe un mes de plazo para la recogida de las pruebas.” SEXTO: Consta Informe médico de la Resonancia Magnética Craneal, de 18 de noviembre de 2021, realizada en el Hospital Quirónsalud Madrid, de la comparativa de la RM de 18 de noviembre de 2021, con las otras imágenes de las pruebas previas, aportadas por el paciente. Así, en dicho informe emitido en fecha 18 de noviembre de 2011, se indica expresamente (el subrayado es nuestro): “(…)” SÉPTIMO: Consta relatado en escrito de alegaciones presentado por la reclamada lo siguiente: “i.-Si el paciente entrega un soporte que contiene información de salud, con el objeto de prestar una asistencia sanitaria adecuada y eficaz, el facultativo debe revisar la información e incluir en la Historia Clínica del paciente SOLO la información que sea trascendente como se ha explicado en el punto primero. ii.-Una vez esto se ha realizado, el mantenimiento de los datos en dichos soportes resulta contrario a la mayoría de los principios de protección de datos como se ha podido apreciar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/49 iii.-En base a lo anterior, el Centro, cuando no concurre excepción que permita el tratamiento de datos de salud, ni base legitimadora, ni finalidad, ni tiene la obligación de conservar esos datos, lo único que puede hacer es limitar el plazo de conservación procediendo cómo procedió: En un primer momento mantiene el soporte a disposición del paciente durante un plazo que informa, y en este caso consta informado, únicamente a los efectos de que éste, si así lo considera, se persone a recoger el soporte. No podemos asumir que el soporte se entrega con el objeto de que el Centro lo custodie o almacene hasta que el paciente tenga a bien personarse para su recogida, si es que en algún momento llega a hacerlo, y que en su caso y hasta entonces, el Centro esté obligado a almacenar la información sin limitar el tiempo en el que se produce dicho tratamiento. Tampoco podemos partir de la base de que todos los pacientes se van a personar a la recogida de la información, ya que, de hecho, la experiencia demuestra que normalmente los pacientes no entregan la única copia de la que disponen, sobre todo si hablamos de soportes electrónicos, sino que lo que incluyen es una copia de información que tienen almacenada en otro dispositivo y, en raras ocasiones vuelven al centro sanitario a recogerlo. iv.-Transcurrido dicho plazo de cortesía sin que se acuda a su retirada es cuando el centro sanitario en aplicación principalmente de los principios de licitud, limitación de la finalidad, minimización de datos y limitación del plazo de conservación, y habiendo otorgado un plazo prudencial para deshacerse de la información por otros medios (devolución del soporte), procede a finalizar el tratamiento de datos con la única alternativa restante, esto es, mediante la destrucción de la información. ” (el subrayado es nuestro). OCTAVO: Consta aportado al expediente Instrucción Técnica para la gestión de soportes con datos de salud aportados por los pacientes, versión 1, aprobada en diciembre de 2024, que: “pretende evitar incurrir en responsabilidades que no competen al centro sanitario, y minimizar riesgos de brechas de seguridad innecesarias derivadas de una custodia inadecuada de estos informes/pruebas externas, así como garantizar el cumplimiento de la normativa de protección de datos, por lo que recomienda no conservar físicamente la documentación proporcionada por los pacientes en cualquier soporte, ya sea en papel o electrónico, sino incorporar en la historia electrónica del paciente la información trascendente contenida en los soportes para la asistencia sanitaria a prestar, y devolver en la misma consulta el soporte al paciente”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/49 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas En primer lugar, resulta preciso resaltar la especial cualidad de los datos personales que son objeto de tratamiento, pues ofrecen información acerca de la salud de las personas. El artículo 4.15 del RGPD define los datos relativos a la salud como aquellos “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. Sobre el dato de salud señala el considerando 35 del RGPD: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Por su parte, el artículo 4 del RGPD define: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/49 Los Hospitales, en cumplimiento de lo que constituye su objeto social, pues prestan asistencia sanitaria a los pacientes que lo requieren, tratan datos de carácter personal, incluidos los relativos a la salud, respecto de los cuales son responsables del tratamiento. En el presente caso, ICCQ es responsable de los datos personales de la parte reclamante que acudió al Hospital Universitario Quirónsalud Madrid a realizarse una resonancia; aportando para ello CD original que contenía la resonancia magnética realizada en el año 2018, así como las de los dos años anteriores, como pruebas previas para la prestación de su tratamiento asistencial en el Hospital, a los efectos de que se tuvieran en consideración por el equipo médico. Por tanto, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IDCQ realiza, entre otros tratamientos, la recogida y conservación de los datos personales de sus pacientes. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Categorías especiales de datos En el caso presente, nos encontramos ante una categoría especial de datos personales (artículo 9.1 RGPD) a la que es aplicable el principio de prohibición de tratamiento, salvo que concurra alguna de las circunstancias previstas en su apartado 2. Por tanto, en atención a su naturaleza especialmente sensible determinan un riesgo en los derechos y libertades de los interesados derivados del tratamiento mayor, y deben someterse a un estándar de protección más elevado. El considerando 51 dispone, sobre las categorías especiales de datos personales, que “Especial protección merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales. […] Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento, habida cuenta de que los Estados miembros pueden establecer disposiciones específicas sobre protección de datos con objeto de adaptar la aplicación de las normas del presente Reglamento al cumplimiento de una obligación legal o al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Además de los requisitos específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/49 determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales”. El Reglamento establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” a que se refiere el artículo 9 del texto normativo, a cuyo tenor: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
15. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
16. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
17. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
18. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
19. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
20. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
21. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/49 establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
22. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
23. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
24. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud. Por su parte, el artículo 9.2 de la LOPDGDD establece lo siguiente: “2. Los tratamientos de datos contemplados en las letras g),
25. h)e
26. i)del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.” La Disposición Adicional 17ª LOPDGDD en su apartado 1 indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/49 “1. Se encuentran amparados en las letras g), h),
27. i)y
28. j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo: (…)
29. c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. (…) Dicho lo anterior, procede acudir a la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (o LAP en lo sucesivo), en cuyo artículo 3 establece definiciones legales a los efectos de la Ley y diferencia entre distintos conceptos. Así indica que: “Certificado médico: la declaración escrita de un médico que da fe del estado de salud de una persona en un determinado momento. … Documentación clínica: el soporte de cualquier tipo o clase que contiene un conjunto de datos e informaciones de carácter asistencial. Historia clínica: el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. Información clínica: todo dato, cualquiera que sea su forma, clase o tipo, que permite adquirir o ampliar conocimientos sobre el estado físico y la salud de una persona, o la forma de preservarla, cuidarla, mejorarla o recuperarla”. De esta forma la Ley 41/2002 diferencia entre los conceptos de documentación e historia clínicas, entendiéndose a tales efectos que el primero es un concepto más amplio que el de historia clínica; y ello porque forman parte de la historia clínica solo la documentación clínica que sea incorporada a criterio médico en la misma a los efectos de la diagnosis y tratamiento del paciente. Se debe destacar que el art. 17.1 de la Ley 41/2002 se encarga de la conservación de la documentación clínica. Indica que. “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. … 2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/49 funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas … 6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. (el subrayado es de la AEPD) Este precepto establece la obligación de conservar la documentación clínica, en los términos y con la amplitud dispuesta en al artículo 3 de la Ley 41/2002, para cumplir con diversas finalidades referenciadas en el mismo y proteger al interesado de la pérdida de disposición de sus datos personales, cualquiera que sea el formato en que estos se encuentren y hayan o no sido incluidos en la historia clínica y sin diferenciar cuál sea la vía por la que el centro disponga de tal documentación clínica (generada por el centro, aportada por el paciente, aportada por otro centro sanitario). Y donde la Ley no distingue, no puede distinguirse. No obstante, lo antedicho, se ha de poner de manifiesto que en todo caso ha de estarse siempre al caso concreto de que se trate, de tal manera que, la eventual falta de algún tipo de documentación clínica no determine, en todo caso, la comisión de una infracción administrativa susceptible de ser sancionada. Ni la infracción ni la imposición de medidas correctivas, incluida la sanción, son automáticas en ningún caso. En el supuesto ahora examinado la infracción deviene de una incorrecta gestión de la documentación clínica que aportan los pacientes al centro de salud, como se verá a lo largo de la resolución. IV Alegaciones al Acuerdo de inicio En relación con las alegaciones aducidas al Acuerdo de inicio, debe señalarse que ya fueron analizadas pormenorizadamente y desestimadas en el Fundamento de Derecho IV de la Propuesta de Resolución, a la que, en aras de economía procesal, procede remitirse. V Alegaciones a la Propuesta de Resolución En relación con las alegaciones aducidas a la Propuesta de Resolución, reiterándose básicamente en las alegaciones ya presentadas ante el Acuerdo de Inicio, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho IV de la Propuesta de Resolución, a la que, en aras de economía procesal, procede remitirse. En cuanto al resto de alegaciones, se procede a dar respuesta a las mismas, según el orden expuesto: 1. Consideraciones previas. En este apartado la parte reclamada alega que la Propuesta parte de una serie de consideraciones, que a su juicio no cuentan con el necesario fundamento jurídico y que suponen una interpretación inadecuada por parte de la AEPD acerca del contenido real de las obligaciones establecidas en la normativa de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/49 personales en relación con los datos de naturaleza asistencial, lo que necesariamente debería abocar al archivo del presente procedimiento sancionador. A este respecto, hay que señalar que la AEPD, en relación con una serie de hechos concretos que considera probados, incardina los mismos en el tipo infractor que considera adecuado, conforme a la aplicación e interpretación de la normativa, motivando de manera prolija y suficiente tal actuación. Y es que la AEPD se encuentra vinculada por el principio de legalidad que implica la aplicación e interpretación de las normas atendiendo al supuesto de hecho específico que concurra en cada caso. En el supuesto examinado, a raíz de la reclamación presentada y de la contestación al traslado de la parte reclamada se detectaron evidencias de la existencia de una infracción de carácter estructural, asociada a la falta del procedimiento apropiado de la parte reclamada en relación con la conservación, custodia y entrega de las pruebas e informes médicos externos aportados por pacientes al centro hospitalario para su consideración en el diagnóstico médico, que afectaría además a todos los pacientes que se encontrasen en esta situación. Por dicha razón, los hechos probados han puesto de manifiesto una vulneración de la normativa de protección de datos. 2. Sobre el régimen jurídico de las historias clínicas y la determinación de su contenido conforme a la normativa de protección de datos personales. En el caso concreto que se examina consta que, en fecha 18 de noviembre de 2021, la parte reclamante acudió al Hospital a realizarse una resonancia; aportando al Hospital, un CD original que contenía resonancias anteriores, imágenes de los órganos del paciente, realizadas en el año 2018 y las de los años posteriores 2019 y 2020, como pruebas previas para la prestación de su tratamiento asistencial en el Hospital. A la vista de los hechos probados, en el Informe médico de la Resonancia Magnética Craneal de 18 de noviembre de 2021 realizada en el Hospital Quirónsalud Madrid, consta la comparativa de la RM de 18 de noviembre de 2021, con las otras imágenes de las pruebas previas, aportadas por el paciente. Así, en dicho informe emitido en fecha 18 de noviembre de 2011, se indica expresamente (el subrayado es nuestro): “RM CRANEAL Motivo de petición: Control tumor epidermoide intervenido hace dos años. No consiente CIV. Aporta CD con RM previa COMENTARIO: Se realizó estudio en incidencias sagital, axial y coronal, según técnicas habituales, sin CIV. Se compara con RM previas de 2019 y 2020 (postquirúrgicas según información clínica) realizadas en otro centro aportados por el paciente. CONCLUSION. Cambios postquirúrgicos de resección de quiste epidermoide en ángulo pontocerebeloso izquierdo, según información clínica suministrada, con imagen compatible con resto milimétrico sin cambios. “ En este sentido se significa que la resonancia, continente de un conjunto de datos e informaciones de carácter asistencial, no puede ser destruida por el centro libremente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/49 El paciente ha depositado documentación clínica, en el centro de salud, en un soporte que debe ser conservado por el responsable del tratamiento a quien se ha confiado este. Recordemos que el artículo 17 de la LPA obliga a los centros sanitarios a conservar la “documentación clínica” sin distinguir el formato en que se encuentre y si está o no incorporada a la historia clínica o si ha sido aportada por el paciente o generada por el centro. Por otra parte, se significa que la AEPD tiene atribuidas una serie de competencias, poderes y funciones previstas en los artículos 55 y siguientes del RGPD que como dispone el artículo 8 de la LRJSP, son irrenunciables y se ejercerán por los órganos administrativos que las tengan atribuidas como propias. En este sentido, la Agencia Española de Protección de Datos ejerce la potestad sancionadora de oficio. Por tanto, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador. En el supuesto examinado, esta Agencia considera no sólo la responsabilidad directa de IDCQ en los hechos y en los que la AEPD es competente para sancionar, sino que, además, la entidad tiene prerrogativas suficientes como para decidir sobre los tratamientos de datos de sus pacientes, realizados dentro del ámbito competencial de la Agencia Española Protección de Datos. 3. Sobre la conservación de los datos no incorporados a la historia clínica del Paciente. 3.1 Las obligaciones de conservación de la documentación clínica se refieren a la que se ha generado por el propio centro sanitario Entiende que la documentación clínica generada por el centro es la que queda sujeta a la LAP y sujeta por ello a los deberes de custodia y conservación establecidos por la misma, sin que sea objeto de la LAP la documentación clínica procedente de otro centro ni la que el paciente pudiera aportar mediante imágenes captadas con su móvil, ya sean fotos, videos o cualquier imagen en otro soporte, si el facultativo no decide integrarla en la HC. Afirma por tanto que sólo si el médico considera dicha información relevante solicitaría la misma para incorporarla a la HC, pero en tanto en cuanto esto no suceda, estos datos serían de la exclusiva responsabilidad del paciente. Tal y como se ha expuesto anteriormente, el artículo 17.1 de la Ley, establece que "Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad”. A la vista de lo establecido en los precitados artículos, cabe concluir que la custodia de la documentación clínica en general, por mor del art. 17.1 de la Ley, estará bajo la responsabilidad de la dirección del centro sanitario, esto es, la obligación de conservación es de toda la documentación clínica de que dispongan, ya sea proporcionada por el paciente o generada por ellos mismos, como ya se ha indicado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/49 Ello supone que el Centro Médico habrá de dar cumplimiento en este caso a la totalidad de las obligaciones contenidas en la Ley 41/2002, y debe cumplir con la custodia de la documentación clínica. 3.2 Sobre la licitud de los protocolos de conservación y custodia de la información seguidos por IDCQ Alega que lo que se llevó a cabo podría denominarse “bloqueo organizativo”, consistente en guardar el CD en un lugar seguro (archivo cerrado, caja fuerte, etc.) donde está restringido el acceso solo a personas autorizadas. Tras el bloqueo procede la destrucción, si es que no hay obligación legal de conservación. Y en relación con este punto, considera necesario poner nuevamente de manifiesto que el CD no se encuentra sujeto a las normas de conservación establecidas en el artículo 17.1 de la LAP, toda vez que dicho precepto indica que “[l]os centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. Manifiesta que el CD al que se refiere ni forma parte de la HC ni puede considerarse documentación clínica a los efectos del precepto citado, por lo que no serían de aplicación las normas sobre conservación que se acaban de reproducir. Esta Agencia tampoco puede compartir dicha alegación toda vez que desde el momento en que el centro de salud recibe documentación clínica, continente de datos de salud, las resonancias son el dato mismo, son depositarios de este. Por tanto, IDCQ está obligado a conservar la documentación clínica de los pacientes, en los términos establecidos en la Ley 41/2002 antes expuestos. La voluntad del legislador en este caso no es la de que se proceda a la destrucción inmediata de los datos de salud, de la documentación clínica, sino, al contrario, que dichos datos sean conservados en cuanto pudieran resultar necesarios para la salvaguardia de la vida e integridad física del paciente. En este sentido, con independencia de que los pacientes se personen o no para la recogida de los informes y pruebas realizadas o informes y pruebas aportadas por los pacientes, el centro sanitario se encuentra sometido a las exigencias legales de conservación de la documentación clínica correspondiéndole su custodia y conservación. 3.3 Acerca de los protocolos implantados por IDCQ para la custodia de las HC, la documentación clínica, los derechos establecidos en el RGPD y la custodia de los soportes que no forman parte de la HC ni deben ser considerados documentación clínica a efectos de la LPA. Esta Agencia valora positivamente la adopción de nuevas medidas que redunden en una mayor seguridad en lo que al tratamiento de datos personales se refiere y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/49 ayuden a prevenir, en un futuro, incidentes como el que se sustancia en el presente procedimiento. Su insuficiencia previa es lo que determina la comisión de la infracción y la imposición de la sanción. SEGUNDA. - ACERCA DE LA INEXISTENCIA INFRACCIONES IMPUTADAS A IDCQ. DE LAS SUPUESTAS 1. Sobre la licitud del tratamiento llevado a cabo por IDCQ. En el caso que nos ocupa, IDCQ ha llevado a cabo un tratamiento de datos personales consistente en la eliminación definitiva de datos de salud de los que era depositario para prestar su servicio de salud, sin que conste acreditada causa alguna que lo legitime, teniendo en cuenta que el deber de custodia de la documentación clínica, resultando que en el caso concreto la documentación clínica aportada por el paciente fue eliminada en el plazo de un mes al no ser recogida por el paciente. En este caso, el riesgo se ha materializado con la destrucción de la resonancia, de forma irreversible, causando un daño y comprometiendo incluso estudios médicos posteriores. Asimismo, la falta de un procedimiento apropiado de la parte reclamada en relación con la conservación, custodia y entrega de documentación clínica aportada por los pacientes al centro hospitalario para su consideración en el diagnóstico médico, y que afecta a todos los pacientes que se encontrasen en esta situación, constituye un riesgo en sí mismo. Dicha circunstancia refleja una omisión palmaria del responsable en el deber de cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica la gravedad de la infracción. 2. Sobre el cumplimiento del principio de privacidad desde el diseño y por defecto. En contra de lo que afirma, IDCQ como responsable del tratamiento, no ha aplicado las medidas técnicas y organizativas apropiadas con miras a garantizar el plazo de conservación al proceder a su destrucción sin tener en cuenta el deber de custodia ya mencionado. Esta pérdida de control sobre los propios datos personales, se traduce en una vulneración del derecho fundamental a la protección de datos reconocido en el artículo 18 de la Constitución Española pues tal y como ha indicado el Tribunal Constitucional (Sentencia 292/2000, de 30 de noviembre de 2000) “el derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado (…) El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos.” TERCERA. - ACERCA DE LA VULNERACIÓN POR EL ACUERDO DE INICIO DEL PRINCIPIO DE CULPABILIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE PROPORCIONALIDAD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/49 1. Vulneración de los principios de culpabilidad, seguridad jurídica y confianza legítima. En función de los argumentos expuestos, en ningún caso puede entenderse vulnerado el principio de confianza legítima. A este respecto, esta Agencia en ningún momento ha adoptado un cambio de criterio, sino como ha quedado expuesto a lo largo del procedimiento sancionador, en la conducta concurre el elemento de culpabilidad, que es indispensable para poder exigir responsabilidad sancionadora, que en este caso se concreta, además, en una muy grave falta de diligencia, toda vez que se han visto afectadas categorías especiales de datos personales. Cabe insistir sobre lo ya expresado anteriormente sobre la prevalencia del principio de legalidad, que impide invocar la confianza legítima para salvar situaciones contrarias a la norma, máxime cuando hablamos de las potestades regladas de la AEPD reguladas en el artículo 58 del RGPD, como es la potestad sancionadora. Como ha reiterado la jurisprudencia - SSTS de 28 de diciembre 2012 (Rec. 273/2009), 3 de julio 2013 (Rec. 2511/2011), entre otras muchas- "no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico", siendo la reclamada responsable de las infracciones apreciadas, a tenor del artículo 28.1 de la LRJSP. 2. Subsidiariamente, vulneración del principio de proporcionalidad. En este punto, IDCQ considera que la Propuesta de Resolución adolece de la necesaria motivación respecto del modo en que se calcula la sanción, limitándose a señalar las circunstancias agravantes aplicadas y a realizar un escueto razonamiento respecto de estas, que, considera, permitiría fijar la sanción en cualquier cantidad. A este respecto, se significa que la exigencia de motivación de los actos administrativos, como señala entre otras la STS de 19 de nov 2001 (Rec. 6690/2000) tiene su engarce constitucional en el principio de legalidad que establece el artículo 103 CE, así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 CE, siendo en el plano legal, el artículo 35.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, el precepto que concreta los actos que han de ser motivados. Dicha exigencia responde, según reiterada doctrina jurisprudencial, de la que es exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la finalidad de que el interesado pueda conocer el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/49 Motivación de los actos administrativos, que como señala la STS de 29 de marzo de 2012 (Rec. 2940/2010, por todas), no exige ningún razonamiento exhaustivo y pormenorizado, debiendo expresar las razones que permitan conocer los criterios esenciales fundamentadores de la decisión “facilitando a los interesados el conocimiento necesario para valorar la corrección o incorrección jurídica del acto a los efectos de ejercitar las acciones de impugnación que el ordenamiento jurídico establece y articular adecuadamente sus medios de defensa”. Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación. Cuestión distinta es que la reclamada discrepe legítimamente de dicha argumentación, pero ello no implica la inexistencia de motivación suficiente, por lo que no cabe apreciar ni indefensión ni arbitrariedad en la fijación del importe de la sanción. Por otro lado, cabe recordar que las medidas correctivas de las que se dota a las Autoridades de Control se configuran en el RGPD como “poderes” esto es, como potestades de actuación que, lógicamente, se aplicarán en atención a las circunstancias presentes en cada caso concreto. Esta Agencia desea señalar lo que el Considerando 148 del RGPD indica sobre la posibilidad de imponer un apercibimiento: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En atención a los términos en los que se pronuncia, el RGPD insta con carácter general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique una carga desproporcionada cuando la infracción haya sido cometida por una persona física. En este sentido, esta Agencia ha evaluado y motivado todas las circunstancias a que hace referencia el citado considerando 148 del RPGD (que no son otras que las del artículo 83.2 del RGPD) y toda vez que las infracciones en cuestión no son leves a efectos del RGPD, se considera conforme a Derecho imponer una multa en vez de dirigir un apercibimiento. Razón por la que se desestima la presente alegación. En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad, por los hechos probados y ponderadas las circunstancias concurrentes, que se detallan más adelante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/49 Esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños y/o perjuicios de la parte reclamante para constatar la existencia de infracción. La naturaleza, gravedad y duración de la infracción, la intencionalidad o negligencia en la infracción, las categorías de los datos de carácter personal afectados por la infracción son todas cuestiones que se han tenido en cuenta y han sido debidamente motivadas a la hora de graduar la sanción a imponer a IDCQ. Ahora bien, frente a lo alegado, procede señalar varias cosas: En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a tener en cuenta. Así, el cálculo del importe de las multas queda a decisión de la autoridad de control, con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente en cuenta una lista de circunstancias que se refieren a las características de la infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el importe de la multa no excederá de los importes máximos previstos en el artículo 83, apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación específica realizada en cada caso, dentro de los parámetros previstos por el RGPD. Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio matemático, siendo las circunstancias del caso específico los factores determinantes que conducen a la cantidad final, que puede ser, en todos los casos y para cada infracción, una cantidad distinta hasta el máximo legal. Como consideración general y final, procede señalar que ninguna de las sanciones aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que el artículo 83.4 donde se encuentra tipificada la infracción del artículo 25 del RGPD y el artículo 83.5 del RGPD, donde se encuentran tipificadas las infracciones de los artículos 6 y 9 del RGPD, establecen unos límites en las cuantías de las multas que se pueden imponer muy alejados de las que finalmente se han establecido. Por tanto, no puede decirse que las sanciones finalmente impuestas vulneren el principio de proporcionalidad, teniendo en cuenta que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias” (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/49 Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el asunto C-683-21. 78 La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23, dispone que la imposición de una multa exige en el examen de cada caso particular de una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de negocios es un elemento más (ni el único ni el determinante), para imponer una multa que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección de las personas físicas. 25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada autoridad de control tiene que garantizar que las multas administrativas con arreglo al referido artículo 83 por las infracciones del RGPD indicadas en sus apartados 4 a 6 sean, en cada caso individual, efectivas, proporcionadas y disuasorias. 26 Más allá del cumplimiento de estos tres requisitos, el apartado 2 de dicho artículo 83 exige, para decidir la imposición de una multa administrativa y su importe, que la autoridad de control competente tenga debidamente en cuenta, en cada caso individual, una serie de elementos. 27 De conformidad con esta última disposición, entre esos elementos figuran, en particular, la naturaleza, gravedad y duración de la infracción, el número de interesados afectados y el nivel de los daños y perjuicios sufridos, la intencionalidad o negligencia en la infracción, las medidas adoptadas por el responsable o el encargado del tratamiento para paliar los daños y perjuicios sufridos, el grado de responsabilidad del responsable o del encargado del tratamiento y las categorías de datos personales afectados por la infracción. 28 Los citados elementos se refieren, bien al comportamiento de ese responsable o encargado, acusado de infringir determinadas disposiciones del RGPD, bien a las propias infracciones. Así pues, sirven para garantizar que cada una de dichas infracciones se aprecie sobre la base de todas las circunstancias individuales pertinentes y que se alcancen los objetivos perseguidos por el régimen sancionador contemplado en el RGPD. 29 Aunque estos elementos no hacen referencia al concepto de empresa, en el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha declarado que solamente una multa que tenga en cuenta no solo todos los elementos que caractericen las infracciones del RGPD constatadas, sino también, en su caso, la capacidad económica real o material de su destinatario, reúne los tres requisitos establecidos en el artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva, proporcionada y disuasoria. Pues bien, para apreciar estos requisitos, debe tenerse en cuenta si ese destinatario forma parte de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/49 empresa en el sentido de los artículos 101 TFUE y 102 TFUE (véase, en este sentido, la sentencia de 5 de diciembre de 2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, apartado 58). En cuanto a las circunstancias invocadas, procede señalar que estas circunstancias se tienen en cuenta para establecer el nivel de gravedad de las infracciones que se consideran cometidas, pero no operan como circunstancias agravantes de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, según la cual la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios en aquellos casos en los que el infractor sea una empresa, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
30. b)y g)). Asimismo, se significa que la agravante prevista en el art. 76.2.
31. b)de la LOPDGDD opera cuando se vincule la actividad el infractor con la realización de tratamientos de datos personales y, es obvio que, en relación con el presente responsable del tratamiento, su actividad, está claramente vinculada, de manera directa, con múltiples tratamientos de datos personales que afectan a miles de clientes. En este sentido, la Audiencia Nacional ha considerado que es correcto apreciar la agravante prevista en el art. 76.2.
32. b)de la LOPDGDD siempre que exista la vinculación antedicha y así lo ha considerado en numerosas sentencias, entre otras la fecha 04/07/2024, (rec. 382/2022) señala con relación a la citada circunstancia que: “Como también, cabe apreciar la agravante del carácter continuado de la infracción, recogida en el art. 76.2.
33. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, remitiéndonos para ello cuando analizamos la aplicación del RGPD a la infracción que nos ocupa. Como igualmente, la apreciación de la vinculación de la actividad del infractor con la realización de tratamientos de datos personales ( art. 72.2.
34. b)la Ley Orgánica 3/2018, de 5 de diciembre), debido a que la actividad de la parte recurrente está vinculada con el tratamiento de datos tanto de clientes como de terceros; es conocida la citada vinculación ya que la entidad por su actividad está en permanente contacto con clientes y terceros tratando un gran volumen de datos, lo que le impone un mayor deber de diligencia” (el subrayado es nuestro). Por todo ello, no cabe acceder a la solicitud de la reclamada con respecto al archivo del presente expediente sancionador, así como tampoco a la minoración de la sanción impuesta. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. VI Obligación incumplida Artículo 9 RGPD Para que se pueda realizar un tratamiento de categorías especiales de datos personales debe concurrir conjuntamente una excepción del art. 9.2 del RGPD que levante la prohibición del tratamiento de categorías especiales de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/49 prevista en el apartado primero del artículo precitado, así como una base jurídica de las previstas en el art. 6 del RGPD. La supresión de datos personales es una operación de tratamiento que cuando comprende categorías especiales de datos personales debe de contar, en primer término, con una excepción del artículo 9.2 del RGPD que permita dicho tratamiento. Pues, bien, en el supuesto concreto que se examina consta que, en fecha 18 de noviembre de 2021, la parte reclamante acudió al Hospital a realizarse una resonancia; aportando al Hospital, un CD original que contenía resonancias anteriores, imágenes de los órganos del paciente, realizadas en el año 2018 y las de los años posteriores 2019 y 2020, como pruebas previas para la prestación de su tratamiento asistencial en el Hospital. El interesado firmó una hoja de recogida de pruebas que indicaba expresamente que el plazo para recoger las mismas era de un mes. Entre la documentación relativa a la recogida de pruebas, el Hospital incluyó en dicho ensobrado las pruebas previas que aportó el reclamante. Consta aportado al expediente Recogida o envío de resultados/informes” que se entrega a los pacientes informando sobre el plazo de recogida. En dicha Hoja consta expresamente: “Los resultados/informes se mantendrán pendientes de recogida durante un mes. Transcurrido este tiempo, se remitirán al Archivo Central. El paciente podrá solicitarlos por escrito a través del modelo “R1GHQPC07 Solicitud de HC” (tiempo de entrega: 7 días naturales).” Sin embargo, el responsable del tratamiento, tal y como señala en su contestación de 04 de abril de 2022, comunicó a la parte reclamante que no estaba disponible la documentación que incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas previas que aportó. En este sentido no habría transcurrido ni siquiera los dos años que la reclamada manifiesta tener registro de las pruebas, toda vez que el reclamante aportó el CD el 18 de noviembre de 2021 y fue a recogerlo el 29 de marzo de 2022, siendo además que los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad (artículo 17 de la Ley de Autonomía del Paciente). Así, en la respuesta enviada por el Hospital al interesado, en fecha 04 de abril de 2022, se informa: “La capacidad de nuestro archivo es limitada, es por ello que en la realización de las pruebas informamos a los pacientes que quieren el soporte en papel el plazo para recoger los informes ya que pasado un plazo se procede a la limpieza de dicho archivo para poder disponer de espacio para seguir archivando lo recientemente realizado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/49 Consta que en fecha 18 de enero de 2024, el interesado interpuso una reclamación ante el Hospital reclamando las imágenes. Con fecha 23 de enero de 2024, el Hospital responde indicando que: “Desde el servicio de diagnóstico por la imagen, lamentan la situación. Nos trasladan que actualmente las pruebas externas tras dos años después de la revisión de la misma se encuentran sin registro. Tras la realización de la resonancia el día 18 de noviembre de 2021, se muestra en la hoja de recogida que existe un mes de plazo para la recogida de las pruebas.” A la vista de los hechos, procede señalar, de nuevo, que la documentación clínica debe conservarse por el centro sanitario en los términos del artículo 17 de la LAP: En consecuencia, IDCQ es responsable de la conservación de dicha documentación clínica, estando sometido a lo dispuesto en el RGPD, LOPDGDD y LAP, debiendo proceder a la implantación de las necesarias medidas técnicas y organizativas apropiadas para cumplir con las previsiones legales y en los tiempos prescritos. Por tanto, teniendo en cuenta que el deber de custodia de la documentación clínica debería subsistir al menos durante el período de tiempo establecido por la normativa estatal o autonómica reguladora de la materia, y toda vez que no concurren ninguna de las excepciones previstas en el artículo 9.2 del RGPD, que permitan la supresión de dichos datos personales, se considera que los hechos acreditados son constitutivos de una infracción, imputable entidad reclamada, por vulneración del artículo 9 del RGPD. VII Tipificación y calificación de la infracción La citada infracción del artículo 9 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
35. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/49 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
36. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica. VIII Sanción por el incumplimiento del artículo 9 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
37. a)a
38. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
39. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
40. b)la intencionalidad o negligencia en la infracción;
41. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
42. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
43. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
44. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
45. g)las categorías de los datos de carácter personal afectados por la infracción;
46. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
47. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
48. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
49. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/49 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
50. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
51. a)El carácter continuado de la infracción.
52. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
53. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
54. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
55. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
56. f)La afectación a los derechos de los menores.
57. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
58. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
59. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de IDCQ HOSPITALES Y SANIDAD, S.L.U. de 2.834.684.000 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20. 000. 000 euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de IDCQ HOSPITALES Y SANIDAD, S.L.U. es 113.387.360 €. Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y 113.387.360 €. Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción se estima que concurren las circunstancias siguientes: Artículo 83.2
60. a)RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”; En el caso que se examina se ha materializado el riesgo con la destrucción de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/49 de salud, en este caso de las resonancias, de forma irreversible y, por tanto, ha causado un daño, comprometiendo incluso estudios médicos posteriores. Artículo 83.2
61. b)RGPD: “La intencionalidad o negligencia en la infracción” El grado de responsabilidad del responsable es muy relevante, al ser además titular de un establecimiento sanitario, en relación con la implantación imperativa de la gestión y custodia de datos de salud. Dicha circunstancia refleja una negligencia grave del responsable en el deber de cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica la gravedad de la infracción. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad reclamada es de constante y abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. Artículo 83.2
62. g)RGPD: las categorías de los datos de carácter personal afectados por la infracción; toda vez que se han visto afectadas categorías especiales de datos personales. En este sentido, el RGPD otorga siempre al tratamiento de estos datos, una especial protección y consideración. Así el Considerando 75 del RGPD, considera el tratamiento de datos relativos a la salud, como tratamiento de riesgo. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • Artículo 76.2
63. b)LOPDGDD:” La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La reclamada es una entidad del sector sanitario en el que se tratan datos de salud (83.2.g RGPD) actividad con la que aparece vinculada su actividad. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 9 del RGPD, permite fijar una sanción de multa administrativa de 100.000 euros. IX Obligación incumplida Artículo 6 RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/49 El RGPD exige que el tratamiento de datos de carácter personal sea lícito (artículo 5.1.a), principio que desarrolla el artículo 6, cuyo apartado 1, señala que el tratamiento solo será lícito si concurre alguna de las circunstancias que se relacionan. Así pues, el artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1, los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
64. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
65. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
66. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
67. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
68. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
69. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
70. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Como se ha indicado anteriormente, no sólo para poder llevar a cabo un tratamiento es precisa, cuando de categorías especiales de datos personales se trate, de una excepción del artículo 9.2 del RGPD, sino que es preceptiva la concurrencia de una base jurídica del artículo 6 del RGPD que legitime el tratamiento. La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada vulneró el artículo 6 del RGPD, puesto que no consta base legitimadora para el tratamiento de los datos personales de la parte reclamante que permita la supresión de dichos datos personales. En el caso que nos ocupa, el interesado firmó una hoja de recogida de pruebas que indicaba expresamente que el plazo para recoger las mismas era de un mes. Entre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/49 documentación relativa a la recogida de pruebas, el Hospital incluyó en dicho ensobrado las pruebas previas que aportó el reclamante. Transcurrido dicho plazo de un mes, sin que las pruebas hubieran sido recogidas, IDCQ “procedió a la limpieza de dicho archivo”, exponiendo además que “las pruebas externas tras dos años después de la revisión se encuentran sin registro”. El responsable del tratamiento, tal y como señala en su contestación de 04 de abril de 2022, comunicó a la parte reclamante que no estaba disponible la documentación que incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas previas que aportó, ya que “la capacidad de nuestro archivo es limitada, es por ello que en la realización de las pruebas informamos a los pacientes que quieren el soporte en papel el plazo para recoger los informes ya que pasado un plazo se procede a la limpieza de dicho archivo para poder disponer de espacio para seguir archivando lo recientemente realizado.” Asimismo, tampoco habría transcurrido ni siquiera los dos años que la reclamada manifiesta tener registro de las pruebas, toda vez que el reclamante aportó el CD el 18 de noviembre de 2021 y fue a recogerlo el 29 de marzo de 2022, siendo además que los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial (artículo 17 de la Ley de Autonomía del Paciente). Ello supone que IDCQ ha llevado a cabo un tratamiento de datos personales, en el caso concreto del reclamante, consistente en la supresión de datos personales, sin que conste acreditada causa alguna que lo legitime, teniendo en cuenta que el deber de custodia de la documentación clínica debería subsistir al menos durante el período de tiempo establecido por la normativa estatal o autonómica reguladora de la materia. La falta de diligencia desplegada por la parte reclamada en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento de datos personales requiere que el tratamiento se base en una causa de las previstas en el art. 6 del RGPD. Por tanto, dado que la parte reclamada no ha acreditado que el tratamiento realizado de los datos de la parte reclamante pueda basarse en la causa de licitud contemplada en el artículo 6.1 del RGPD, se considera que los hechos acreditados son constitutivos de una infracción, imputable a la parte reclamada por vulneración del artículo 6.1 del RGPD. X Tipificación y calificación de la infracción La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/49 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
71. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
72. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. XI Sanción por el incumplimiento del artículo 6 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD y 76.2 de la LOPDGDD anteriormente citados. Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
73. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de IDCQ HOSPITALES Y SANIDAD, S.L.U. de 2.834.684.000 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20. 000. 000 euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de IDCQ HOSPITALES Y SANIDAD, S.L.U. es 113.387.360 €. Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y 113.387.360 €. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/49 Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción se estima que concurren las circunstancias siguientes: Artículo 83.2
74. a)RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”; En el caso que se examina se ha materializado el riesgo con la destrucción de los datos personales de salud de la parte reclamada, de las resonancias previas aportadas, de forma irreversible y, por tanto, ha causado un daño. Artículo 83.2
75. b)RGPD: “La intencionalidad o negligencia en la infracción” El grado de responsabilidad del responsable es muy relevante, al ser además titular de un establecimiento sanitario, en relación con la implantación imperativa de la gestión y custodia de datos de salud. Dicha circunstancia refleja una negligencia grave del responsable en el deber de cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica la gravedad de la infracción. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad reclamada es de constante y abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. Artículo 83.2
76. g)RGPD: las categorías de los datos de carácter personal afectados por la infracción; toda vez que se han visto afectadas categorías especiales de datos personales. En este sentido, el RGPD otorga siempre al tratamiento de estos datos, una especial protección y consideración. Así el Considerando 75 del RGPD, considera el tratamiento de datos relativos a la salud, como tratamiento de riesgo. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • Artículo 76.2
77. b)LOPDGDD:” La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La reclamada es una entidad del sector sanitario en el que se tratan datos de salud (83.2.g RGPD) actividad con la que aparece vinculada su actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/49 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar una sanción de multa administrativa de 100.000 euros. XII Obligación incumplida Artículo 25 RGPD En un mundo cada vez más digital, el cumplimiento de la protección de datos por diseño y por defecto, obligaciones impuestas por el RGPD, desempeña un papel crucial en la promoción de la privacidad y la protección de datos en la sociedad. El artículo 25 del RGPD, en relación con la Protección de datos desde el diseño y por defecto, establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de dato