1/26 Expediente Nº: EXP202403445 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, A.A.A.). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 8 de enero de 2026 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202403445 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protecciónde Datos y en base a los siguientes: ANTECEDENTES PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha 6 de febrero de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, A.A.A. o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que, con fecha 14/12/2023, solicitó verbalmente el acceso a su historia clínica, recibiendo un correo electrónico sin ninguna protección que contenía dos fotografías de su historial. La parte reclamante considera que el acceso ha sido incompleto, la historia clínica manipulada y que faltan radiografías y TAC. La parte reclamante declara que, con fecha 21/12/2023, solicitó el acceso a la historia clínica íntegra, no habiendo recibido respuesta. Junto a la reclamación se aporta, entre otros documentos: - Hoja de reclamaciones ante el Instituto Gallego de Consumo y de la Competencia, de fecha 22/12/2023 Solicitud de ejercicio de derecho de acceso firmada por la parte reclamante y dirigida a A.A.A. de fecha 21/12/2023, sellada por A.A.A.. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/26 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de Protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7/03/2024 como consta en el acuse de recibo que obra en el expediente. En respuesta a las actuaciones de traslado y de información realizadas, se ha recibido en esta Agencia escrito de la parte reclamada en fecha 4/04/2024 en el que, por lo que aquí interesa, manifiesta lo siguiente: "(...) la interesada solicitó mediante correo electrónico el día 26 de febrero de 2024 su ejercicio de derecho de supresión, que fue respondido por la Responsable del Tratamiento el día 1 de marzo de 2024 (...)". "(...), el día 14 de diciembre de 2023, la denunciante solicita presencialmente y de manera verbal cierta información sobre su tratamiento porque no está conforme con los honorarios cobrados, (...), se le remite ese mismo día al correo electrónico que ella misma nos indica la "ficha de paciente" para que pueda comprobar las intervenciones realizadas". "Posteriormente, (...), solicita, ya no las intervenciones de su Ficha Paciente (...), sino lo que queda por realizar y sus precios. (...), en ningún momento ejercita derecho de acceso a datos personales, lo que solicita es información económica de su tratamiento a fin de cotejar los baremos con (…) o pedir otro presupuesto". "Dicha información, (...), es entregada el día 21 de diciembre de 2023 (...) a la interesada, sellada y firmada". "(...) Respecto a las pruebas anexas a la HC (tomografías...) y toda la información adicional, de carácter económico: facturas, pagos con tarjeta y demás, se le indica que no puede prepararse de un día para otro (...) y se le informa que se le entregará en cuanto esté todo recopilado. (...)". "(...), toda la Historia Clínica e información adicional se le entrega (...) el día 24 de febrero tal y como ella misma reconoce en el documento adjunto documento nº4)". "(...), la reclamante manifiesta (...) haber hecho entrega de un documento de ejercicio de derecho de acceso (y lo aporta en su escrito): se niega este correlativo, no consta la recepción de dicho documento, no está firmado por mí, la fecha está puesta a mano y el modelo no corresponde con los modelos a disposición en este centro". "(...) se adjunta correo electrónico de atención a la solicitud de supresión de datos realizada el 24 de febrero de 2024 y atendida el 26 febrero 2024. (...) Respecto al supuesto ejercicio de acceso que la reclamante dice haber interpuesto, no consta a C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/26 quien suscribe (...). La HC ha quedado finalmente atendida con la recepción y reconocimiento por la paciente el día 21 de febrero de 2024. Documento nº 4". "Se han reforzado los mecanismos de recepción de solicitudes, (...) Cualquier solicitud, ya sea de Historia Clínica o de ejercicio de derechos se recibirá preferentemente vía correo electrónico, o en su defecto por correo postal para asegurar la trazabilidad y fecha de envío / recepción del documento. El resto del procedimiento se mantiene como hasta ahora, (...): con la solicitud se deberá aportar copia del DNI del solicitante, o en caso de autorizado, autorización firmada y DNI de ambos". "Aunque el correo al que se remita la Historia coincida con el facilitado por el paciente, se enviará la Historia siempre en PDF con contraseña, y la contraseña al móvil del paciente". "Si el paciente se niega o no dispone de medios electrónicos para presentar su solicitud (ya sea ejercicio de derechos o solicitud de HC) y se niega al uso de correo postal, se aceptará la entrega presencial, si bien: Se sacarán dos fotocopias al original y se sellarán y firmarán los tres ejemplares, el original y una copia se entregarán al paciente y la otra copia se quedará en la empresa. La documentación deberá ser sellada con el cuño de entrada, el cuño de A.A.A. y su rúbrica. Si A.A.A. no está en las instalaciones o no puede atender el registro, no se recogerá la solicitud, ofreciendo al paciente la posibilidad de regresar en otro momento, o bien remitirlo vía postal o electrónica conforme a lo anteriormente expuesto. Se registrará la entrada (adjunto escaneado), motivo y fecha en el programa de gestión interno". TERCERO: Con fecha 24/04/2024 de conformidad con lo establecido en el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos ACUERDA inadmitir a trámite la reclamación. CUARTO: Con fecha 25/04/2024 la parte reclamante presenta Recurso de Reposición en el que se alega que la parte reclamada no ha atendido adecuadamente el derecho de acceso a su historia clínica, en contra de lo expuesto en la respuesta a la actuación de traslado de su reclamación, puesto que le han facilitado datos de terceros, dado que las radiografías entregadas corresponden a la fecha 09/12/2007 cuando ella ha sido paciente desde 25/10/2023. Se aportan capturas de las imágenes que acreditan dicho extremo. Además, incide en que se le ha negado la entrega del formulario para el ejercicio de sus derechos, lo que considera una obstrucción a sus derechos. Asimismo, expone la existencia de diferencias por el precio cobrado por los tratamientos realizados en la documentación. Junto al Recurso de Reposición presenta, entre otros, los siguientes documentos: -Correo electrónico remitido, en fecha 14/12/2023, desde la dirección ***EMAIL.1 a la dirección ***EMAIL.2, en el que se indicaba que se enviaba el historial según lo solicitado, y se ven dos fotos adjuntadas del historial de salud enviadas sin cifrado ni otras medidas de seguridad aparentes, ya que se aprecia el contenido de la historia sin necesidad de abrir los datos adjuntos. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/26 -Correo electrónico remitido, en fecha 1/03/2024, desde la dirección ***EMAIL.1, en el que consta que el correo habría sido reenviado desde la dirección de correo electrónico de la parte reclamada ***EMAIL.3, en el que se indica lo siguiente: “Se acuerda practicar la supresión inmediata de todos los datos tanto personales, como los que afectan a su historial clínico, que están en poder de la clínica, como consecuencia de los tratamientos llevados a cabo.” QUINTO: En referencia a lo expuesto, se procedió a la práctica de la notificación del trámite de audiencia a la parte reclamada, para que alegara cuanto considerara conveniente, manifestando, en fecha 12/07/2024, lo siguiente: “Nos ratificamos íntegramente en el escrito de CONTESTACIÓN AL REQUERIMIENTO DE SOLICITUD DE INFORMACIÓN N/Ref.: EXP202403445 presentado el 4 de abril de 2024. Respecto a la Historia Clínica entregada a la denunciante: la Historia Clínica completa fue entregada en plazo a la interesada, y consta recepcionada el día 21 de febrero de 2024 conforme adjunto 4 a la contestación, ya aportado al expediente, (…) Respecto a la conservación de las Historias Clínicas: la denunciante llega al punto de cuestionar que el historial entregado no es el suyo y está falseado, y que se le han aplicado tratamientos que no necesita, ejecutados además de forma defectuosa. Este tipo de manifestaciones, muy graves, de ser ciertas, deberían encauzarse en un procedimiento de responsabilidad civil profesional o incluso penal. Entendemos respetuosamente que no es competencia de esta Agencia el dirimir este tipo de cuestiones, como tampoco todo lo relativo a la disconformidad de la paciente con las tarifas de este Centro, cuestión que podrá ser resuelta en un eventual expediente ante Consumidores y Usuarios o ante el Colegio profesional competente, pero que nada tiene que ver con Protección de datos de carácter personal. (…) Por todo lo expuesto nos ratificamos íntegramente en las explicaciones, aclaraciones y adjuntos ya aportados en nuestro escrito anterior (…)” SEXTO: Con fecha 22/07/2024 se procede a ESTIMAR el recurso de reposición interpuesto por B.B.B. contra la resolución de esta Agencia dictada en fecha 24 de abril de 2024, y, admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SÉPTIMO: Con fecha 18 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 32 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), artículo 6.1 del RGPD y artículo 9 del RGPD, tipificadas respectivamente en el artículo 83.4 y 83.5 del RGPD. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/26 OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, el 7 de marzo de 2025 la parte reclamada presentó escrito de alegaciones en el que, entre otras cosas, manifestaba lo siguiente: “PREVIA.- Inexistencia de hechos nuevos que puedan derivar en el inicio de un expediente sancionador (…) PRIMERA. - Atención al ejercicio de derecho de supresión y bloqueo de los datos. (…) SEGUNDA. - Implantación de medidas técnicas y organizativas con nivel de seguridad adecuado. (…) TERCERA. - Posible requerimiento a A.A.A. (…)”. NOVENO: Con fecha 26 de noviembre de 2025, el instructor del procedimiento acordó abrir un período de practica de pruebas, declarando reproducida la reclamación interpuesta y su documentación, así como la documentación que integra la fase de admisión a trámite y de recurso de reposición, y por presentadas las alegaciones formuladas por A.A.A. al acuerdo de inicio del procedimiento. Por otra parte, se requirió a A.A.A. para que facilitara la documentación que permitiera acreditar de manera fehaciente la existencia de los datos personales de la parte reclamante en sus sistemas, así como su efectivo bloqueo por cualquier medio válido en derecho. Del mismo modo, se le requirió para que acreditase la aplicación efectiva de las medidas técnicas y organizativas adecuadas con el fin de evitar cualquier tratamiento ilícito y difusión indebida de los datos personales. DÉCIMO: Con fecha 11 de diciembre de 2025, A.A.A., dentro del plazo concedido en el período de pruebas, ha presentado escrito de respuesta al requerimiento de información de esta Agencia, mediante el cual solicita el archivo del expediente y expone, en síntesis, lo siguiente: “(…) • En relación a la acreditación fehaciente de la existencia de los datos personales de B.B.B. en los sistemas, así como su efectivo bloqueo: (…) la entidad que suscribe no ha llevado a cabo una supresión de los datos personales de la reclamante, si no que ha tramitado el bloqueo de los mismos en fecha 1 de marzo de 2024. Para acreditar dicho extremo se aporta la siguiente documentación: Como documento número 1, se adjunta declaración responsable suscrita por la A.A.A., a través de la cual se declara que los datos de B.B.B. no han sido suprimidos, sino debidamente bloqueados, (…). Asimismo, (…), A.A.A. cuenta con un software de gestión específico, denominado (...) en el que se incluyen todas las actuaciones sobre los pacientes. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/26 Se adjunta, como documento número 2, certificado emitido por la entidad ***EMPRESA.1 y que acredita que el programa de la responsable de tratamiento se encuentra debidamente actualizado, contando con una licencia adecuada para su actividad. En el referido certificado (…) declara que no comparte datos con terceros y que respeta estrictamente la normativa vigente en materia de Protección de datos, por lo que la utilización de dicho programa para la gestión de los pacientes es segura y adecuada. En esta línea, se aporta, como documento número 3, las capturas de pantalla del citado programa de gestión. Con ellas se acredita: Captura nº1: La existencia de los datos personales de B.B.B. en los sistemas de A.A.A., así como que los mismos se encuentran en estado de “baja” y bloqueados desde la fecha 1 de marzo de 2024. Captura nº2 y 3: Se describe la seguridad que se ha asignado a la ficha de la clienta B.B.B.. Puede observarse como la denominación del citado nivel es “Nivel 1”. Ello significa que, únicamente A.A.A. tiene acceso a la referida ficha, al no encontrarse dicho nivel desbloqueado para ningún trabajador de la entidad, tal y como puede comprobarse en las citadas capturas. Debe señalarse (…) la creación de una carpeta en el propio equipo que A.A.A. utiliza para el desempeño sus funciones y al cual debe accederse con usuario y contraseña. Dicha carpeta, denominada “Historias bloqueadas”, se encuentra debidamente protegida y es utilizada para incorporar en ella, de manera bloqueada, toda la información clínica de los pacientes que soliciten el referido derecho de supresión. A la carpeta únicamente tiene acceso A.A.A., (…). Se adjunta, como documento número 4, capturas de pantalla relativas a la estructura de los directorios, de tal manera que puede acreditarse: Captura número 1: La creación de la carpeta historias bloqueadas, encontrándose dentro de ella una subcarpeta denominada “Historias clínicas bloqueadas”. Captura número 2 y 3: Dentro de “Historias clínicas bloqueadas” se encuentra una carpeta comprimida, con los datos de B.B.B. (siendo la última fecha de modificación la del bloqueo, el 1 de marzo de 2024). Para acceder a ella, es necesario introducir una contraseña. Captura número 4: Se acredita que, dentro de la referida carpeta comprimida, se encuentra toda la información de la reclamante relativa a: la historia clínica, TAC y RX exportados del programa (…) y que, (…), es el software utilizado por el centro sanitario para el tratamiento de los archivos digitales. • En relación con la acreditación de la aplicación efectiva de las medidas técnicas y organizativas adecuadas con el fin de evitar cualquier tratamiento ilícito y difusión indebida de los datos personales: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/26 (…), la entidad ha suscrito un contrato de prestación de servicios, en fecha 21 de marzo de 2024, con la empresa ***EMPRESA.2, cuyo objeto principal es la prestación de servicios de consultoría en materia de Protección de datos. El referido contrato se encuentra actualmente en vigor, tal y como se acredita a través del certificado (…) que se acompaña al presente escrito como documento número 5. (…) otra de las medidas (…) ha sido la asunción, por parte de A.A.A., del cargo de responsable de privacidad. Así se acredita con la firma del citado nombramiento, el cual se adjunta como documento número 6 (…). (…) se han reforzado los mecanismos de recepción de solicitudes relativas al ejercicio de derechos aprobándose un protocolo de actuación ante las referidas solicitudes, creándose al efecto una dirección electrónica específica para la recepción de las mismas y que es: ***EMAIL.4. Se adjunta, como documento número 7, el citado protocolo cuya fecha de implantación ha sido el 22 de marzo de 2024. (…) se adjunta, como documento número 8, el acuerdo de confidencialidad y seguridad en materia de Protección de datos que ha sido firmado por las personas trabajadoras de la entidad y que, en caso de nuevas incorporaciones, es facilitado para su firma. En dicho documento, se acompañan, además, las normas para el acceso a los datos de carácter personal que deben ser cumplidas por toda la plantilla. Debe señalarse, asimismo, que la entidad pone a disposición de sus pacientes, la correspondiente información acerca del tratamiento de datos que es realizado por A.A.A.. Se adjunta, como documento número 9, el modelo de autorización que se facilita a los interesados.” Junto al escrito se aporta la documentación referida: Documento número 1, correspondiente al archivo pdf “1. declaración responsable”. Copia de declaración responsable suscrita, con fecha 9 de diciembre de 2025, por la parte reclamada, a través de la cual se declara que los datos de quien reclama no han sido suprimidos, sino que se encuentra debidamente bloqueados desde el 1 de marzo de 2024. En el apartado primero de la declaración se hace constar que “El citado bloqueo implica que únicamente tendrá acceso a los datos, la persona que suscribe la presente declaración (al ser ésta la que tiene el puesto de máxima responsabilidad en la entidad), y exclusivamente accederá a ellos ante posibles requerimientos administrativos o judiciales, quedando de este modo totalmente restringido el acceso a los mismos para otras finalidades.” En el apartado segundo de la declaración, con relación al plazo de conservación de los datos, se precisa: ” Los datos bloqueados se conservarán durante un plazo mínimo de 5 años desde la fecha en la que fue efectivo el citado bloqueo, de acuerdo con lo establecido en la Ley 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/26 Adicionalmente y con objeto de poder garantizar el derecho a la tutela judicial efectiva de la entidad, los datos serán conservados un plazo de 10 años desde la fecha de bloqueo, de conformidad con los principios de necesidad, proporcionalidad y limitación de la finalidad. Una vez alcanzado el periodo máximo de conservación, se procederá con la efectiva supresión de los datos con carácter definitivo.” Documento número 2, correspondiente al archivo pdf “2. Certificado (…)”. Copia del certificado emitido por la empresa ***EMPRESA.1, con fecha 10 de diciembre de 2025, que acredita que A.A.A., en esa fecha, es cliente habitual de la referida empresa y dispone de una licencia vigente para el uso de un software de gestión proporcionado por la misma. Documento 3, correspondiente al archivo pdf “3. Capturas (…)”. Copia de varias capturas de pantalla de un programa de gestión realizadas con fecha 10 de diciembre de 2025. o En la primera captura de pantalla, la imagen parece reflejar la interfaz de la ficha de una cliente, la paciente que reclama. La ficha incorpora diversos comandos o acciones disponibles vinculados al tratamiento de la información. En particular, se visualizan determinados datos personales de la paciente que reclama, a saber, nombre y apellidos, nº de NIF, nº de teléfono, dirección postal, fecha de nacimiento y edad. Asimismo, se visualiza la fecha de alta (25/10/2023) y el comando “Baja y bloqueados” se encuentra marcado, desplegándose una fecha concreta, el 01/03/2024. También se encuentra marcado el campo “Estado” (Baja) y el tipo de paciente clasificado como “General”. o Las otras capturas de pantalla muestran la interfaz de la aplicación (…) con un menú lateral con diversas opciones de gestión (agenda, correo…). En la zona central de la pantalla se encuentra desplegada la sección relativa al nivel de seguridad, en la que se indica expresamente un Nivel 1 asociado al registro ficha cliente de la parte reclamante. Documento 4, correspondiente al archivo pdf “4. Estructura de los Directorios_251211_095306 inicio repag avpag”. Copia de varias capturas de pantalla de un equipo informático en las que se visualiza la interfaz del sistema y una carpeta identificada con la denominación “Historias clínicas bloqueadas”. En el interior de dicha carpeta se encuentra un archivo comprimido en formato WinRAR, denominado “B.B.B.”, siendo la fecha de la última modificación el 01/03/2024. El acceso al archivo está protegido mediante contraseña. Por último, se observa el contenido del archivo una vez abierto: o Historia clínica de B.B.B..pdf o Schick historia de rx.pdf o Carpeta RX Exportadas o Carpeta tac Documento 5, correspondiente al archivo pdf “5. Certificado ***EMPRESA.2”. Copia del certificado emitido con fecha 5 de diciembre de 2025 por la empresa ***EMPRESA.2, mediante el cual se acredita que la parte reclamada ha suscrito, en fecha 21 de marzo de 2024, un contrato de prestación de servicios de consultoría en materia de Protección de datos que se encuentra en vigor. El certificado se encuentra firmado por el administrador de la empresa y ostenta el sello de la misma. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/26 Documento 6, correspondiente al archivo pdf “6. nombramiento A.A.A. responsable privacidad”. Copia del nombramiento de A.A.A. como responsable de privacidad de acuerdo con la normativa vigente en materia de Protección de datos. El nombramiento está firmado por A.A.A. con fecha 22 de marzo de 2024. Documento 7, correspondiente al archivo pdf “7. Protocolo ejercicio de derechos”. Copia del Protocolo para el ejercicio de derechos en materia de Protección de datos, Versión 1.0, de 22 de marzo de 2024. El procedimiento para el ejercicio de tales derechos, regulado en al apartado 3 del Protocolo, prevé, entre otros extremos, el envío seguro de la documentación mediante cifrado o medidas de autenticación en dos canales, así como la trazabilidad de las solicitudes, habilitándose a tal efecto una dirección de correo electrónico (***EMAIL.4) como canal de envío preferente o, en su defecto, el correo postal. Documento 8, correspondiente al archivo pdf “8. Acuerdo de confidencialidad”. Copia del Acuerdo interno de confidencialidad y seguridad en materia de Protección de datos, mediante el cual se informa al empleado/usuario sobre las obligaciones y normas aplicables al tratamiento de datos personales en el marco de su relación laboral con A.A.A.. Documento 9, correspondiente al archivo pdf “9. Autorización tratamiento de datos”. Copia del documento titulado “Autorización al tratamiento de datos”, mediante el cual el titular de los datos, o su representante o tutor legal, otorgará consentimiento informado para el tratamiento de sus datos personales por parte de A.A.A. como responsable del mismo. UNDÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante es paciente de A.A.A., odontóloga del Ilustre Colegio de Odontólogos de ***LOCALIDAD.1, desde el (…). SEGUNDO: Con fecha 14/12/2023 la parte reclamante ejerció su derecho de acceso a la historia clínica ante A.A.A.. En atención al ejercicio del citado derecho, la parte reclamante recibió, en esa misma fecha, en su cuenta de correo electrónico (***EMAIL.2) un email remitido por la Clínica Dental ***LOCALIDAD.2 (***EMAIL.1), en el que se indicaba: “Te mando tu historial como me solicitaste”. En el email se observan como adjuntos dos documentos correspondientes a una historia clínica. Dichos documentos son visibles directamente en la interfaz del mensaje, sin necesidad de ser abiertos. TERCERO: En relación con el nivel de seguridad de las comunicaciones por correo electrónico, la documentación relativa a la historia clínica de la parte reclamante le fue remitida desde la cuenta de correo de la clínica odontológica, asociada a Gmail, la cual emplea cifrado mediante el protocolo TLS (Seguridad en la capa de transporte). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/26 CUARTO: La historia clínica completa fue entregada a la parte reclamante con fecha 21/02/2024, así lo acredita el acuse de recibo por ella firmado en esa fecha y en el que se indica “declaro y certifico que he recibido todas las imágenes (…) que completan la recepción de mi historia clínica realizada en la Clínica dental de A.A.A.”. QUINTO: La parte reclamante ejerció su derecho de supresión vía email con fecha 26/02/2024. En atención al ejercicio del citado derecho, la parte reclamante recibió, en fecha 01/03/24, en su cuenta de correo electrónico (***EMAIL.2) un email reenviado desde la dirección ***EMAIL.1. En el correo reenviado, fechado el 01/03/24 y procedente de la dirección de correo electrónico de A.A.A. (***EMAIL.3), se recoge un escrito firmado por A.A.A. en el que se hace constar que con fecha 29 de febrero de 2024 y con relación a la solicitud que ejerce la parte reclamante de supresión de datos de los ficheros de la Clínica Dental “…se acuerda practicar la supresión inmediata de todos los datos tanto personales, como los que afectan a su historial clínico, que están en poder de la clínica, como consecuencia de los tratamientos llevados a cabo”. SEXTO: En respuesta a la práctica de prueba realizada por esta Agencia de fecha 26/11/2025, A.A.A. acredita documentalmente que conserva bloqueados los datos personales que forman parte de la historia clínica de la reclamante en el archivo WinRAR, denominado “B.B.B.”, cuyo acceso está protegido mediante contraseña, y que se encuentra almacenado en la carpeta “Historias clínicas bloqueadas”. A.A.A. declara, bajo su responsabilidad, que dicho bloqueo garantiza que el acceso a los datos queda limitado exclusivamente a su persona, en calidad de responsable del tratamiento, y únicamente en caso de requerimientos judiciales o administrativos, quedando totalmente restringido para cualquier otra finalidad. Asimismo, declara que el plazo de conservación de los datos será de mínimo cinco años, ampliándose hasta diez años, de conformidad con los principios de necesidad, proporcionalidad y limitación. SÉPTIMO: En atención a la prueba practicada, A.A.A. implanta, con fecha 22 de marzo de 2024, un Protocolo interno para la tramitación y atención del ejercicio de derechos reconocidos a los interesados, el cual prevé, entre otros extremos, la trazabilidad de las solicitudes y el envío seguro de documentación. Asimismo, aporta un Acuerdo de confidencialidad y seguridad que debe ser suscrito por el personal empleado por A.A.A., mediante el cual se le informa de las obligaciones, restricciones y requisitos aplicables al tratamiento de datos personales en el marco de su relación laboral profesional; y un Formulario de consentimiento informado para el tratamiento de datos personales de los pacientes, destinado a ser facilitado y suscrito por estos con carácter previo al inicio de la prestación del servicio. OCTAVO: Con fecha 22 de marzo de 2024 A.A.A., en su condición de odontóloga, asume las funciones de responsable de privacidad, de acuerdo con la normativa vigente en materia de Protección de datos personales, respecto de los datos personales tratados en el ejercicio de su actividad profesional. NOVENO: Con fecha 5 de diciembre de 2025 la empresa ***EMPRESA.2, certifica que la parte reclamada ha suscrito con ella, en fecha 21 de marzo de 2024, un contrato de prestación de servicios de consultoría en materia de Protección de datos que se encuentra en vigor. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/26 DÉCIMO: Con fecha 10 de diciembre de 2025 la empresa ***EMPRESA.1 certifica que A.A.A. es, en esa fecha, cliente habitual de la misma y dispone de una licencia vigente para el uso de un software de gestión proporcionado por ella. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida, registro y organización de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, documento nacional de identidad, dirección, datos relativos a la salud, etc. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, y así lo ha manifestado la parte reclamada en su respuesta al trámite de traslado de la reclamación de fecha 4/04/2024 en la que indica lo siguiente: “La Responsable del Tratamiento es A.A.A., con NIF ***NIF.1 (…) y con correo electrónico a efecto de notificaciones ***EMAIL.3.” “A este respecto se quiere hacer contar: 1. Que ***EMPRESA.3 es una sociedad limitada, titularidad, entre otros socios, de A.A.A.. Dicha mercantil se encuentra sin actividad económica desde el año 2016 y así continúa (se adjunta documentación acreditativa documento nº1). 2. En aras de facilitar la continuación del presente expediente sin dilaciones indebidas se procede a dar respuesta al requerimiento erróneamente dirigido a ***EMPRESA.3 y se ruega que se modifique este error, y se tenga por notificada a doña A.A.A., RESPONSABLE DEL TRATAMIENTO.” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/26 III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1. Inexistencia de hechos nuevos que puedan derivar en el inicio de un expediente sancionador. La parte reclamada alega que, si bien el acuerdo de inicio viene precedido de recurso de reposición ante la inadmisión de la reclamación objeto de este procedimiento, no existen hechos nuevos que justifiquen la apertura del procedimiento por lo que se estaría vulnerando el principio non bis in ídem. Sin embargo, esta Agencia no comparte dicha interpretación, toda vez que en sede de reposición se aportaron elementos nuevos que no habían sido considerados anteriormente, los cuales amparaban jurídicamente la incoación del presente procedimiento sancionador. En particular, se aportaron capturas de pantalla de dos correos electrónicos de fechas 14/12/2023 y 1/03/2024, cuya novedad radica en que permiten visualizar el contenido de los mensajes, más allá de su mera existencia o envío. Tal contenido, como se indica en los Fundamentos de Derecho del acuerdo de inicio, resulta relevante a efectos de determinar la existencia de una posible infracción de la normativa de Protección de datos personales atribuible a la parte reclamada. Por otra parte, el hecho de que no se hayan acordado actuaciones previas de investigación no resulta jurídicamente relevante, dado que su práctica es potestativa conforme a lo indicado en el artículo 67.1 de la LOPDGDD, y no constituyen un requisito obligatorio para la incoación del procedimiento sancionador. En cualquier caso, existían elementos de juicio suficientes para acordar directamente el inicio del procedimiento conforme a Derecho. 2. Atención al ejercicio de derecho de supresión y bloqueo de los datos. La parte reclamada manifiesta que la propuesta de sanción por la presunta infracción del artículo 6.1, por un lado, y del artículo 9.1 del RGPD, por otro lado, recogidas en el acuerdo de inicio, adolecen de un error al considerar que el reclamante no ejerció el derecho de supresión cuando sí lo hizo. A la vista de lo alegado, y una vez revisados los hechos objeto del presente procedimiento, se constata que la parte reclamante ejerció de forma efectiva tanto el derecho de acceso como el derecho de supresión. Esta circunstancia enerva la imputación relativa al artículo 6.1 del RGPD, al no apreciarse vulneración del mismo por contar A.A.A. con el consentimiento de la reclamante manifestado expresamente en el marco de su solicitud de ejercicio del derecho de supresión, efectuada por correo electrónico con fecha 26/02/2024. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/26 No obstante, y sin perjuicio de lo anterior, ello podría no resultar suficiente para descartar su imputación por una posible infracción en relación con lo dispuesto en el artículo 9 del RGPD. Como se indicaba en el Fundamento de Derecho III del acuerdo de inicio de este procedimiento, el citado artículo establece una Protección reforzada para ciertas categorías especiales de datos personales, como los datos de salud que forman parte de la historia clínica, asegurando que dichos datos solo sean tratados bajo circunstancias excepcionales y con garantías adecuadas. Entre tales circunstancias, se encuentra la prevista en el artículo 9.2.
- a)del RGPD invocada por A.A.A. como base jurídica de legitimación que ampararía el tratamiento consistente en la supresión de los datos personales que integran la historia clínica de la parte reclamante, al contar con el consentimiento explícito de esta manifestado en su solicitud. El referido artículo 9.2.
- a)del RGPD dispone que la prohibición del tratamiento de categorías especiales de datos personales podrá excepcionarse cuando el interesado haya dado consentimiento explícito para dicho tratamiento, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado. En el presente caso, como ya se indicó en el Fundamento de Derecho III del acuerdo de inicio, existe una previsión legal específica que impone la obligación de conservar los datos de salud durante un periodo mínimo de cinco años por lo que su supresión anticipada constituiría un tratamiento ilícito. A este respecto, A.A.A. alega haber procedido al bloqueo de los datos personales y a su conservación conforme a la ley y que esta cuestión está probada en el expediente. A esto añade que “Para poder probar que los citados datos se siguen conservando de manera bloqueada, se pone a disposición de la AEPD toda la información relativa a la paciente B.B.B., si bien se solicita a esta Administración requerimiento previo expreso para poder facilitársela”. Durante el período probatorio, se efectúa el citado requerimiento, en cumplimiento del cual A.A.A. aporta la documentación pertinente. Del examen de la documentación aportada se desprende que los datos personales que forman parte de la historia clínica de la parte reclamante se encuentran debidamente bloqueados, en los términos previstos en el artículo 32 de la LOPDGDD, a efectos de su conservación durante el plazo establecido por la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y la Ley 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes. En particular, consta acreditado que dichos datos han sido objeto de identificación y reserva mediante su inclusión en un archivo cuyo acceso se haya protegido mediante contraseña limitándose el acceso exclusivamente a la persona expresamente autorizada, a saber, A.A.A. como máxima responsable de la entidad. Consta igualmente acreditado que los datos bloqueados quedan excluidos de cualquier acceso o tratamiento ordinario para finalidades distintas de la exigencia de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/26 posibles responsabilidades derivadas del tratamiento, así lo manifiesta A.A.A. bajo declaración responsable. En cuanto al plazo de conservación, los datos personales, una vez cumplida la finalidad del tratamiento, se mantienen exclusivamente en situación de bloqueo durante el plazo mínimo de cinco años, conforme a lo previsto en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y la Ley 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes, ampliándose hasta un máximo de diez años para garantizar el ejercicio del derecho fundamental a la tutela judicial efectiva y la eventual exigencia de responsabilidades legales, considerándose dicha conservación limitada ajustada a derecho. Por lo expuesto, procede admitir las alegaciones formuladas por A.A.A. en lo relativo al efectivo bloqueo de los datos personales de la reclamante, que ha quedado debidamente acreditado mediante la documentación aportada y el cumplimiento de los requisitos legales aplicables. En consecuencia, no concurren hechos que permitan determinar la infracción de los artículos 6 y 9 del RGPD, por lo que se propone el archivo de ambas infracciones. 3. Implantación de medidas técnicas y organizativas con nivel de seguridad adecuado. A.A.A. alega que la documentación relativa a la historia clínica de la parte reclamante le fue remitida desde la cuenta de correo de la clínica odontológica, asociada a Gmail, la cual emplea cifrado mediante el protocolo TLS (Seguridad en la capa de transporte). A continuación, afirma que TLS es aquel protocolo criptográfico que proporciona cifrado, autenticación e integridad de extremo a extremo para los datos transmitidos a través de una red, estableciendo una conexión segura entre ambas partes. Con relación a la seguridad del correo electrónico, el “Informe de buenas prácticas” de mayo de 2021, CNN-CERT BP02, del Centro Criptológico Nacional, servicio adscrito al Centro Nacional de Inteligencia, cuya misión es contribuir a la mejora de la ciberseguridad española, recoge una serie de vulnerabilidades del correo electrónico y de las diversas formas en que éstos pueden ser atacados, así como recomendaciones de seguridad. En el apartado 4.2 de dicho Informe se describe la “Seguridad de las comunicaciones vía email”, con las siguientes aseveraciones en sus páginas 37 a 39: “El protocolo involucrado en este proceso de envío es SMTP. Este protocolo ha sido utilizado desde 1982 y cuando fue implementando no se tuvieron en cuenta medidas de seguridad tales como el cifrado o la autenticación de las comunicaciones. Esto quiere decir que todo el proceso de envío descrito anteriormente se realizaría en texto plano, es decir, que en cualquier punto de la trasmisión un atacante podría ver y manipular el contenido de los correos. Debido a estas carencias en SMTP se han ido desarrollando diversas tecnologías y extensiones que permiten incorporar medidas de seguridad para garantizar la autenticación, integridad y cifrado a las comunicaciones vía correo electrónico. Algunas de las tecnologías más conocidas son STARTTLS, SPF, DKIM y DMARC…Aunque los proveedores de correo más conocidos como Google, Yahoo y Outlook cifran y autentican los emails utilizando este tipo de tecnologías, muchas organizaciones siguen haciendo un uso descuidado del correo electrónico. Téngase en cuenta, además, que estas tecnologías deben ser C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 15/26 implementadas tanto en el origen como en el destino para que puedan utilizarse. Asimismo, algunas de estas medidas son susceptibles de ser atacadas. Por ejemplo, STARTTLS es susceptible a ataques downgrade, en donde un atacante en una situación man-in-the-middle puede forzar a que no que lleve a cabo la negociación TLS (bastaría con reemplazar la cadena STARTTLS). Incluso en el caso de que se establezca la comunicación TLS de forma satisfactoria, los servidores de correo por los que pasa el email hasta alcanzar el destino tendrían acceso a su contenido. Debido a estos hechos, se deduce que no es suficiente con delegar la seguridad del correo electrónico a las tecnologías subyacentes encargadas de hacer llegar el mismo a su destinatario.” En este sentido, Google también señala: “el protocolo TLS no encripta los datos en reposo; es decir, no encripta el correo electrónico mientras se encuentra almacenado en un servidor. Estos datos se pueden encriptar, entre otras maneras, con el programa PGP”. Por tanto, basarse únicamente en el Protocolo TLS para justificar la seguridad de las comunicaciones que realiza A.A.A. desde la cuenta de correo de la clínica odontológica, asociada a Gmail, no resulta suficiente para garantizar la confidencialidad de los datos en los términos exigidos por el artículo 32 del RGPD, especialmente cuando se trata de categorías especiales de datos personales. Dicha circunstancia parece implícitamente reconocida por la propia reclamada en el documento “7. Protocolo ejercicio de derechos”, de fecha posterior a los hechos que motivan el presente procedimiento, en cuyo apartado 3.2, bajo la rúbrica “Envío seguro de la documentación solicitada”, se destaca expresamente lo siguiente: “(…) toda documentación relativa al ejercicio de derechos, especialmente la historia clínica, será remitida exclusivamente en formato PDF debidamente protegido. El acceso al documento se realizará mediante contraseña, que se enviará únicamente al número de teléfono facilitado por el interesado, garantizando así la separación de canales y una mayor Protección frente a posibles accesos indebidos. En ningún caso se remitirá la documentación sin cifrar o sin aplicar medidas de autenticación en dos canales”. Con respecto a la falta de trazabilidad, A.A.A. alega que lleva un control eficaz y documentado de las comunicaciones y solicitudes de los pacientes, cuestión probada en tanto en cuanto, ha contestado en plazo a cada una de las incidencias provocadas deliberadamente por la reclamante. Además, sostiene que cuenta con un programa específico de gestión (…) que permite verificar la trazabilidad adecuada de las actuaciones sobre los pacientes y de las solicitudes presentadas por los interesados. En relación con esta cuestión, conviene precisar que la trazabilidad es una consecuencia de lógica del deber de garantizar la seguridad del tratamiento, conforme a lo establecido en el artículo 32 del RGPD. Este precepto exige al responsable del C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 16/26 tratamiento la implementación de medidas técnicas y organizativas apropiadas para asegurar un nivel de seguridad adecuado al riesgo, lo que incluye la capacidad de registrar, controlar y supervisar las operaciones realizadas sobre los datos personales. Por otro lado, el cumplimiento normativo no se limita a responder a los requerimientos de esta Agencia, sino que exige acreditar, mediante pruebas documentales o medios equivalentes, las gestión efectiva y diligente de las solicitudes conforme al marco legal aplicable. Esta exigencia responde al principio de responsabilidad proactiva recogido en el artículo 5.2 del RGPD. Si bien el documento titulado “7. Protocolo ejercicio de derechos” acredita que, con fecha 24 de marzo de 2022, la interesada cuenta con un protocolo interno que garantiza el ejercicio de los derechos reconocidos en el RGPD y su adecuada trazabilidad, en el momento de los hechos dicha medida no parecía estar implantada, por lo que no se cumplían plenamente las obligaciones legales aplicables. En este sentido, cabe reconocer la diligencia posterior de A.A.A. para regularizar la situación, pero ello no la exime de la responsabilidad derivada de la carencia de medidas adecuadas en el momento de los hechos. Por último, con relación a las medidas correctivas indicadas en el acuerdo de inicio, A.A.A. manifiesta que “que ya se está cumpliendo con las citadas medidas, cuestión que se podrá acreditar en cuanto sea requerida”. En el marco del período probatorio, y en el mismo requerimiento anteriormente indicado, se solicita a A.A.A. a que acredite el cumplimiento del presente extremo, en relación con lo cual aporta la siguiente documentación: certificado acreditativo de haber suscrito un contrato de servicios de consultaría en materia de Protección de datos, emitido por la empresa consultora; documento de su nombramiento como responsable de privacidad; Protocolo interno para el ejercicio de los derechos reconocidos a los interesados en el RGPD; Acuerdo de confidencialidad y seguridad, a firmar por el personal con acceso a datos personales y Formulario de consentimiento informado entregado a los pacientes. Si bien la documentación aportada se valora positivamente, al evidenciar la formalización de responsabilidades, la existencia de controles internos y el respeto de los derechos de los interesados –con especial mención a la previsión de medidas de trazabilidad de las solicitudes de ejercicio de derechos y de mecanismos de envío seguro de la documentación, debe señalarse que tales medidas no se encontraban implantadas en la fecha en que tuvieron lugar los hechos. Por tanto, la adopción posterior de medidas correctoras no enerva la infracción del artículo 32 del RGPD apreciada en el Acuerdo de inicio, ni excluye la responsabilidad de A.A.A.. IV Obligación incumplida. Seguridad del tratamiento El artículo 32 “Seguridad del tratamiento” del RGPD establece: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/26 “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El citado artículo 32 del RGPD tiene como objetivo garantizar un nivel de seguridad adecuado al riesgo, en relación con un tratamiento de datos personales, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Así, el responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas adecuadas de seguridad para garantizar dicho nivel de seguridad adecuado al riesgo. Como puede observarse, el artículo 32 del RGPD exige que las medidas de seguridad sean proporcionales al nivel de riesgo asociado al tratamiento. En este caso, tratándose de datos de salud, que constituyen categorías especiales de datos según lo previsto en el artículo 9 del RGPD, resultar necesario aplicar medidas de seguridad más rigurosas. En este sentido, por lo que se refiere al caso que nos ocupa, en el recurso de reposición se aportaron, entre otros, los siguientes documentos: “-Correo electrónico de fecha 14/12/2023 de ***EMAIL.1, en el que se indicaba que se enviaba el historial según lo solicitado, y se ven dos fotos adjuntadas del historial de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/26 salud enviados sin cifrado ni seguridad, se apreciaría el contenido de la historia sin necesidad de abrir los datos adjuntos. De las actuaciones realizadas se constata que la historia clínica de la reclamante fue enviada por correo electrónico utilizando un nivel de cifrado insuficiente para garantizar la seguridad de la información, concretamente el protocolo TLS. El citado protocolo no encripta los datos en reposo por lo que no puede considerarse un método seguro, ya que expone la información a riesgos significativos de acceso no autorizado. Esta práctica compromete directamente la confidencialidad de los datos personales tratados, especialmente tratándose de datos de salud, cuya Protección requiere medidas de seguridad reforzadas. Si un correo que contiene una historia clínica no cuenta con cifrado de contenido (por ejemplo, del archivo adjunto) o mecanismos de autenticación o acceso restringido, puede ser interceptado o accedido indebidamente. En consecuencia, el cifrado del correo electrónico constituye una medida técnica esencial para garantizar que la información transmitida sea únicamente accesible por su destinatario legítimo. Esta exigencia reviste especial relevancia cuando en la comunicación se incluyen categorías especiales de datos personales como los datos de salud. De igual forma, la parte reclamada realizó una serie de manifestaciones que evidenciarían una ausencia de trazabilidad: "Se han reforzado los mecanismos de recepción de solicitudes, (...) Cualquier solicitud, ya sea de Historia Clínica o de ejercicio de derechos, se recibirá preferentemente vía correo electrónico, o en su defecto por correo postal para asegurar la trazabilidad y fecha de envío/recepción del documento. El resto del procedimiento se mantiene como hasta ahora, (...): con la solicitud se deberá aportar copia del DNI del solicitante, o en caso de autorizado, autorización firmada y DNI de ambos." La trazabilidad en el tratamiento de datos personales, especialmente en los datos de salud, es esencial para garantizar la seguridad, transparencia y control, permitiendo registrar y rastrear todas las operaciones realizadas sobre los datos, como accesos, modificaciones o transmisiones. En el caso de los datos sanitarios, su relevancia aumenta debido a su especial sensibilidad y las graves consecuencias de un uso indebido. Según dicha manifestación no consta que existiera, en el momento de los hechos reclamados, un registro claro y sistemático que documentase las solicitudes realizadas por los interesados, su recepción o el procedimiento seguido para su gestión en el momento de los hechos. Dicha carencia comprometería la capacidad del responsable del tratamiento para garantizar la confidencialidad, integridad y disponibilidad de los datos personales, al no poder verificar adecuadamente si dichas solicitudes fueron atendidas conforme a lo previsto en el RGPD. Además, dificulta la detección de posibles errores o accesos no autorizados, incrementando el riesgo asociado al tratamiento de datos sensibles, como los relativos a la salud. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/26 Como se apuntaba anteriormente, si bien el Protocolo para el ejercicio de derechos en materia de Protección de datos, de fecha 22 de marzo de 2024, ya prevé y subsana las carencias de trazabilidad y cifrado mencionadas, ello no exonera a A.A.A. de la insuficiencia de medidas de seguridad idóneas en la fecha de los hechos, ni de la responsabilidad derivada de la misma. En efecto, el hecho de que las medidas hayan sido reforzadas con posterioridad al incidente no exime de responsabilidad, puesto que el cumplimiento del art. 32 del RGPD debe valorarse ex ante, es decir, atendiendo a la suficiencia de las medidas vigentes en el momento en que se produjo la vulneración del citado precepto. Por lo expuesto, en el presente caso, no consta que la parte reclamada contase, en el momento de los hechos, con las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, puesto que se habría constatado el envío de la documentación relativa a datos sanitarios de la parte reclamante por correo electrónico sin ningún tipo de seguridad o cifrado, así como la ausencia de trazabilidad en la gestión de las solicitudes Por tanto, de conformidad con los hechos probados de los que se dispone, se concluye que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 32 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción La infracción del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 20/26 “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 21/26 Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de Protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en el afectado, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite proponer una sanción de 1.000 € (mil euros). A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a A.A.A., con NIF ***NIF.1, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, con una multa de 1.000 euros. SEGUNDO: Que por la Presidencia de la Agencia Española de Protección de Datos se declare el archivo de las actuaciones por la presunta infracción de los artículos 6.1 y 9.1 del RGPD, tipificadas en el artículo 83.5 del RGPD. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/26 Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-250625 C.C.C. INSPECTOR/INSTRUCTOR C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/26 ANEXO Índice del expediente EXP202403445 06/02/2024 Reclamación de B.B.B. 07/03/2024 Traslado reclamación a ***EMPRESA.3 04/04/2024 Escrito de ***EMPRESA.3 24/04/2024 Escrito a ***EMPRESA.3 24/04/2024 Resolución a B.B.B. 25/04/2024 Recurso de reposición de B.B.B. 02/05/2024 Alegaciones de B.B.B. 28/06/2024 Audiencia a ***EMPRESA.3 12/07/2024 Alegaciones de ***EMPRESA.3 29/07/2024 Resolución a B.B.B. 21/02/2025 Acuerdo de inicio a A.A.A. 21/02/2025 Escrito a B.B.B. 07/03/2025 Alegaciones de A.A.A. 26/11/2025 Diligencia a A.A.A. 11/12/2025 Alegaciones de A.A.A. >> SEGUNDO: En fecha 22 de enero de 2026, A.A.A. ha procedido al pago de la sanción en la cuantía de 800,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/26 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, A.A.A., en fecha 22 de enero de 2026, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/26 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 1.000,00 euros. Tras haber procedido A.A.A. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 800,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202403445, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/26 Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 968-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es