PS-00387-2014

1/22 Procedimiento Nº PS/00387/2014 RESOLUCIÓN: R/02556/2014 En el procedimiento sancionador PS/00387/2014, instruido por la Agencia Española de Protección de Datos a las entidades PILEA LASER SL y SOCIEDAD DE MEDICINA ESTETICA NOROESTE SL, vista la denuncia presentada por Dª. D.D.D. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12 de julio de 2013 tiene entrada en esta Agencia un escrito de Dª. D.D.D. en el que declara que:  Contrató un tratamiento con la clínica SMALIA, que el año pasado cerró.  Hace un mes recibió una llamada de otra clínica de estética (franquicia de LASER 2000 situada en Majadahonda, c/ Rosalía de Castro, 1) citándola para seguir con el tratamiento. Indica que sus intenciones no eran esas, si no venderle tratamientos de esa clínica.  Tienen su historial médico (conseguido por SMALIA, aunque son clínicas que no tienen que ver) y sus datos personales, cedidos sin su consentimiento.  Está incluida en la lista Robinson desde hace más de un año.  Requirió su historial pero le dijeron que no se lo podían dar porque un historial médico no puede salir nunca de la clínica. Indica que denuncia ante esta ilegalidad (supuesta compra de base de datos de clientes a otra empresa con entrega de historiales médicos sin conocimiento de los pacientes). Aporta fotografía de la pantalla del móvil que refleja los detalles de la llamada recibida (procedente del G.G.G. el jueves 23 de mayo de 2013 a las 18:09 horas, y de duración 2 min.37 s). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha constatado mediante requerimientos de información realizados a las operadoras de telefonía que dan servicio a las líneas G.G.G. (número llamante) y H.H.H. (número llamado) que el día 23 de mayo de 2013 a las 18:09 horas se produjo una llamada de duración 157 segundos procedente del número G.G.G. con destino al número H.H.H.. Se confirma así mismo que la titularidad de la línea llamante corresponde a PILEA LASER SL (CIF ********), en adelante PILEA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 Se ha realizado una visita de inspección a la entidad PILEA con los siguientes resultados: 1 Los inspectores comunican al representante de PILEA que su visita tiene relación con una denuncia presentada ante la Agencia Española de Protección de Datos motivada por una llamada telefónica realizada a Dª D.D.D., cliente de SMALIA CLINIC (SOCIEDAD DE MEDICINA ESTETICA NOROESTE, SL, en adelante SMALIA), para ofrecerle continuar su tratamiento con PILEA. 2 Los representantes del PILEA realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores:  PILEA adquirió la base de datos de clientes de SMALIA mediante contrato al cesar su actividad esta segunda entidad. El acuerdo al que se llegó entre ambas entidades incluía el asumir, por parte de PILEA, la finalización de los tratamientos que se encontraban inacabados. Por ello, aquellos clientes que no habían finalizado sus tratamientos con SMALIA, fueron llamados por PILEA para ofrecerles la posibilidad de continuar con los mismos. […]  La base de datos de clientes adquirida a SMALIA contiene tanto los datos básicos y de contacto de los clientes, como los datos clínicos y de los tratamientos realizados a los clientes.  Además, los clientes de SMALIA suscribían un documento donde eran informados de los derechos que les asisten con relación al tratamiento de sus datos personales por parte de esta entidad, documento incluido en el expediente en papel que ha sido facilitado a PILEA por SMALIA. 3 Los inspectores de la Agencia solicitan al representante del PILEA que les facilite el acceso al fichero de clientes de PILEA, realizando las siguientes comprobaciones: Se realiza la búsqueda de datos asociados a la denunciante, encontrando únicamente información relativa a su nombre y apellidos y sus números de teléfono. Como fecha de alta consta 23/05/2013. Los representantes de la entidad manifiestan que al no haber recibido tratamientos por parte de la entidad no constan más datos, y que la fecha de alta se corresponde con la fecha en que fue llamada para ofrecerle continuar con los tratamientos iniciados en SMALIA. Se obtiene impresión de pantalla con las comprobaciones realizadas. 4 Los inspectores de la Agencia solicitan al representante del PILEA que les facilite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 el acceso al fichero de clientes de SMALIA, realizando las siguientes comprobaciones: Se verifica que se trata de una hoja de cálculo de Microsoft Excel. Se realiza una búsqueda de datos asociados al teléfono H.H.H., verificando que se encuentran datos de la denunciante, encontrando que tiene el código ****. Se obtiene impresión de pantalla con las comprobaciones realizadas. 5 Los inspectores de la Agencia solicitan al representante del PILEA que les facilite el acceso al expediente de la denunciante, realizando las siguientes comprobaciones:  Se verifica que los expedientes procedentes de SMALIA se encuentran archivados en carpetas de color naranja, existiendo unas cincuenta. En las carpetas se encuentran almacenados los expedientes en papel de los clientes de SMALIA ordenados mediante un número secuencial.  Las carpetas se encuentran archivadas en un almacén cerrado con llave.  El número asociado al expediente de la denunciante es ****. Recuperado este expediente, se verifica que contiene datos de contacto y datos relativos a un cuestionario médico previo denominado “información de Diagnóstico”. Este cuestionario incluye información sobre el art. 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Se verifica también la existencia de un consentimiento informado del paciente. Se recaba copia de la ficha “información de diagnóstico”, eliminando los datos de salud que se encuentran cumplimentados, copia del consentimiento informado y del documento de presupuesto donde figura el código numérico ****. 6 Se obtiene confirmación de la realización desde su centralita de una llamada en fecha 23 de mayo de 2013 al número H.H.H., recabándose copia del registro telefónico correspondiente. 7 Los inspectores de la agencia solicitaron a los representantes de la entidad que en un plazo de siete días les faciliten copia de la siguiente documentación:  Copia de la carta remitida en su caso a la denunciante, comunicando la cesión de sus datos personales de SMALIA a PILEA. Información sobre si se remitieron este tipo de cartas a los clientes de SMALIA y entidad que las remitió en su caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22  Copia de toda la documentación contractual (contratos, facturas, correos electrónicos) relacionada con la cesión de datos de SMALIA a PILEA. Los representantes de PILEA han facilitado únicamente copia del contrato suscrito entre SMALIA y PILEA, manifestando no disponer de la carta remitida a la denunciante por haber sido estas cartas y correos remitidos por SMALIA. En el contrato de cesión consta lo siguiente: “[…] I. Las sociedades Medicina Estética Noroeste S.L. y Medicina Estética Campo de las Naciones S.L. son propietarias de las clínicas de estética que giran con el nombre comercial SMALIA que se encuentran en las localidades de Madrid y Majadahonda. II. Las clínicas SMALIA han cesado en su actividad comercial procediendo al cierre de sus instalaciones, no obstante las clínicas durante el tiempo en el que han permanecido ejerciendo su actividad han creado y mantenido una cartera de clientes con los cuales mantienen en la actualidad unos compromisos para la realización o finalización de tratamientos de estética. III. Las sociedades disponen en sus instalaciones de una máquina IPL (Harmony) para realizar los tratamientos de depilación. IV. La sociedad PILEA LASER S.L. tiene como actividad principal y como objeto social la relación de todo tipo de tratamientos de estética con la capacidad técnica, financiera y humana necesaria para llevar a cabo los tratamientos a los que se ha comprometido la clínica SMALIA. Ambas partes están interesadas en que la entidad PILEA LASER S.L. asuma los tratamientos de los clientes de las clínicas Smalia, en cuanto a completar aquellos tratamientos pendientes de los clientes de las clínicas de Majadahonda y Madrid, lo cual llevan a efecto en función de las siguientes CLÁUSULAS PRIMERA. La entidad PILEA LASER S.L. se compromete a realizar los tratamientos estéticos a todos los clientes de las entidades que actúan bajo el nombre comercial SMALIA y con los que dichas entidades tiene un compromiso suscrito mediante el correspondiente contrato. Con esta finalidad los clientes que tuviera la clínica SMALIA firmarán un contrato con PILEA LASER S.L. que únicamente les vinculará por el tratamiento que quede por realizar. En este sentido PILEA LASER S.L. no tendrá nunca ningún tipo de responsabilidad por los tratamientos o parte de ellos que hayan sido realizados por la clínica SMALIA o por cualquier otra clínica, responsabilizándose única y exclusivamente respecto a los clientes de la clínica SMALIA de los tratamientos que se vayan a realizar o a terminar en el futuro en los centros de la entidad PILEA LASER S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 SEGUNDA. Las entidades de las clínicas Smalia, en contraprestación, se comprometen a ceder a la entidad PILEA LASER S.L. su base de datos para que sea incorporada a dicha entidad, observando los requisitos establecidos en la actual legislación sobre protección de datos, con las correspondientes comunicaciones a clientes y organismos. Asimismo las entidades de las clínicas Smalia deberán facilitar a la entidad PILEA LASER S.L. los contratos, historia clínica y consentimiento informado de todos los clientes de la base de datos objeto del presente contrato. En relación a este compromiso Dª. F.F.F. se compromete a informar a todos y cada uno de los clientes de las clínicas SMALIA de que sus datos van a ser trasladados a la base de la entidad PILEA LASER S.L., realizando cuantas gestiones fueran necesarias para ello, incluyendo la autorización de los clientes para la cesión de los datos. Del mismo modo Dª. F.F.F. informará a todos los clientes de que sus historias clínicas y demás documentación pasarán a poder de PILEA LASER S.L. Una vez E.E.E. haya contactado con todos los clientes, lo pondrá en conocimiento de la entidad PILEA LASER S.L., en concreto de C.C.C., y desde ese momento la entidad PILEA LASER S.L. podrá contactar con los clientes para que sean citados en los centros de esta entidad. En el supuesto caso de que un cliente no aceptara la cesión aquí expresada la entidad PILEA LASER, S.L. no tendrá responsabilidad alguna ni la entidad de las clínicas Smalia no tendrá derecho a compensación de ninguna clase. […]” (Siendo F.F.F. la representante de SMALIA que consta como interviniente al inicio del contrato). Una vez analizado este contrato y debido al compromiso estipulado en él, por parte de SMALIA, de informar a los clientes y recabar su autorización para la cesión de datos, así como de poner en conocimiento de PILEA el hecho de haber contactado con todos los clientes para que esta última pueda a su vez contactar con ellos, se solicita a los representantes de PILEA información sobre la existencia de documentación acreditativa de los contactos realizados por SMALIA con los clientes, así como de la comunicación de SMALIA poniendo en conocimiento de PILEA el hecho de haber contactado con ellos. Los representantes de PILEA no han facilitado ninguna documentación al respecto. TERCERO: Con fecha 26 de junio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las entidades SOCIEDAD DE MEDICINA ESTETICA NOROESTE SL y PILEA LASER SL,, por las presuntas infracciones de los artículos 7.3 a la primera y 11.1 a la segunda de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como muy graves en el artículo 44.4.

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 300.001 a 600.000 € de acuerdo con el artículo 45.3 de la citada Ley Orgánica. CUARTO: En fechas 3 y 4 de julio de 2014, se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador a la entidad SOCIEDAD DE MEDICINA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 ESTETICA NOROESTE SL, por medio del servicio de correos, con el resultado de “Desconocido”. Con fecha 1 de agosto de 2014, se envió para su notificación el citado acuerdo de inicio de procedimiento sancionador a la entidad SOCIEDAD DE MEDICINA ESTETICA NOROESTE SL, mediante su exposición en el Tablón de edictos del Ayuntamiento de Majadahonda, Madrid. El edicto estuvo expuesto en el Tablón de edictos del Ayuntamiento de Majadahonda, Madrid, desde el 6 al 23 de agosto de 2014. El 5 de agosto de 2014 se publicó en el Boletín Oficial del Estado, otorgándose al imputado plazo para efectuar alegaciones a dicho acuerdo. QUINTO: Notificado el acuerdo de inicio, la entidad PILEA LASER SL formuló alegaciones, significando, que: “La denunciante Doña B.B.B. tenía contratado un tratamiento médico con la clínica SMALIA (SOCIEDAD DE MEDICINA ESTÉTICA NOROESTE SL). En virtud de citado contrato la empresa realiza con la usuaria todas las gestiones formales tendentes a recabar información y datos de la misma informándole, conforme a escrito de información de diagnóstico de los deberes y obligaciones de la empresa, así como de los derechos de la usuaria, con respecto al tratamiento de sus datos personales. Ese escrito de información fue suscrito en fecha 24 de abril de 2007, y por el mismo se autoriza a la empresa a tratar sus datos de carácter personal, cumpliendo de esta forma con todos preceptos recogidos en la Ley Orgánica de Protección de Datos. Igualmente, es firmado en muestra de pleno consentimiento por la usuaria. Acompañamos como documento n°1 contrato suscrito entre Doña B.B.B. y la SMALIA. (…) …no era preceptiva ni necesario recabar nuevo consentimiento del interesado habida cuenta de que se estaba protegiendo un interés vital del propio interesado en los términos del apartado 6 del artículo siete de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) (…) …la continuación de la prestación contractual entre SOCIEDAD DE MEDICINA ESTÉTICA NOROESTE SL y sus clientes, se acuerda con la empresa PILEA LASER SL la prestación de dicho servicio mediante contrato formalizado entre ambas empresas, y que es puesto en conocimiento de los clientes por un comunicado que emite la empresa cedente, donde se comunica el cese de la empresa, el acuerdo con PILEA SL para proseguir los tratamientos, así como la indicación de la profesional sanitaria responsable del tratamiento. (…) …el objeto de todas las actuaciones ha sido garantizar la continuidad del servicio contratado por el usuario y no iniciar una nueva relación contractual tal y como se pretende hacer ver de forma equivocada. Lo que se ha pretendido en este caso, y así se ha hecho, ha sido prestar un servicio por parte PILEA a la encargada del tratamiento, SMALIA, con el fin de cumplir con las obligaciones contractuales de la misma para con sus clientes. (…) … el tratamiento de estos datos ha tenido el fin último de proteger el interés vital del interesado, en este caso, el interés médico sanitario del usuario. De no haberse realizado estas gestiones, el usuario se habría quedado sin recibir los tratamientos médicos en su día contratados con SMALIA CLINIC. No es descabellado decir que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 ha evitado dejar en la estacada al cliente y se ha garantizado que no sufriese perjuicio alguno. Por ello, el comportamiento de la empresa ha sido más que correcto, modélico y ejemplar.” Concluyen las alegaciones solicitando que se proceda al archivo del procedimiento sancionador, eximiendo a PILEA LASER SL de cualquier tipo de responsabilidad, sanción o multa. Se aporta la siguiente documentación: - Ficha de la denunciante - Contrato de cesión de clientes entre las dos entidades - Carta de Clínica Smalia, en la que se informa a sus pacientes del cese de actividad del centro de Majadahonda y del acuerdo a que se ha llegado con los centros médicos LASER 2000 para la continuación de los tratamientos. Se informa de la cesión de sus datos para continuar con el tratamiento y se proporciona un correo electrónico para el caso de que la paciente no desee que se produzca el contacto. - Declaraciones juradas de cuatro clientes que manifiestan que Smalia contactó con ellas para informarles de que la continuación del tratamiento que estaban recibiendo se realizaría por la empresa Pilea Láser SL. SEXTO: Con fecha 29 de agosto de 2014 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. D.D.D. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad PILEA LASER SL, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06306/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00387/2014 presentadas por la entidad PILEA LASER SL, y la documentación que a ellas acompaña. 3. Se solicita a la entidad Pilea Láser, SL que aporte constancia del envío y recepción por los clientes del documento denominado 3 en sus alegaciones al acuerdo de inicio, en el que se les comunica la cesión de sus datos personales. SÉPTIMO: Con fecha 18 de septiembre de 2014 tiene entrada en el Registro de esta Agencia escrito en respuesta a lo solicitado en el periodo de pruebas “Según estaba estipulado en el contrato de cesión de clientes suscrito entre las empresas SMALIA (cedente) y PILEA SL (cesionaria), quien tenía la obligación y compromiso de realizar las comunicaciones de las que ahora se solicita información en el presente escrito era SMALIA (SOCIEDAD DE MEDICINA ESTÉTICA NOROESTE SL;) (…) PILEA SL no ha tenido nunca acceso a la documentación solicitada (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 SMALIA se comprometía a informar a PILEA de que ya había hecho tal gestión (…) Sin embargo, habida cuenta del tiempo transcurrido desde estos hechos (tres años), Pilea no dispone ya de la comunicación recibida por Smalia. (…) Pese a todo, hay que decir que la autorización de los clientes en este apartado y en ese preciso momento no era ni obligatoria ni preceptiva, todo ello conforme a las alegaciones ya manifestadas en nuestro anterior escrito.” Se aportan 4 copias de declaraciones juradas firmadas por clientes que manifiestan que Smalia contactó con ellas para informarles de que la continuación del tratamiento que estaban recibiendo se realizaría por la empresa Pilea Láser SL. Se aporta también la “declaración bajo juramento” de la administradora de la entidad SOCIEDAD DE MEDICINA ESTÉTICA NOROESTE SL donde expone que comunicó a Pilea Láser SL que los clientes ya habían sido debidamente informados del cese de actividad de SMALIA y de la continuidad de los tratamientos por PILEA. No se aporta constancia del envío y recepción por los clientes del documento en que se les comunica la cesión de sus datos personales. OCTAVO: Con fecha 29 de octubre de 2014 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € a cada una de las entidades PILEA LASER SL y SOCIEDAD DE MEDICINA ESTETICA NOROESTE SL, por la comisión de una infracción del artículo 7.3 la primera y 11.1 la segunda entidad, ambos de la LOPD, tipificadas como muy graves en el artículo 44.4.
2. b)de dicha Ley. De acuerdo con lo establecido en el artículo 19.1 del Real Decreto 1398/1993 de 4 de agosto, Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en dicha propuesta de resolución se concedió un plazo de QUINCE DÍAS hábiles para que las partes interesadas en el procedimiento pudieran alegar cuanto considerasen para su defensa y presentasen los documentos e informaciones que estimasen pertinentes, así como se detallaba, en un anexo adjunto a esa propuesta de resolución, la relación de documentos obrantes en el procedimiento, a fin de que las partes interesadas en el procedimiento pudieran obtener copia de los que estimasen convenientes. NOVENO: Notificada la propuesta de resolución, la entidad PILEA LASER SL presentó escrito de alegaciones frente a la misma en el que se insiste en que no se ha producido cesión de datos personales porque la entidad encargada de recabar el consentimiento de los clientes para la cesión de sus datos a otra entidad era SMALIA y lo obtuvo, aunque no tiene constancia escrita de esa comunicación, y que esa autorización no es necesaria cuando el acceso por un tercero es necesaria para la prestación de un servicio al responsable del tratamiento. Que quien debe obtener el consentimiento es el responsable del tratamiento, SMALIA, y no PILEA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 Que no hay prueba para la imputación de la vulneración del artículo 11 de la LOPD. Que el artículo 19 del Reglamento de la LOPD dispone que no se producirá cesión de datos en casos de reestructuración societaria. Concluyen las alegaciones solicitando el archivo del procedimiento sancionador iniciado contra PILEA LASER SL o bien que se consideren los hechos como infracción leve, imponiendo la sanción mínima. HECHOS PROBADOS PRIMERO: Consta acreditado en este procedimiento que la denunciante contrató, el 25 de abril de 2007, un tratamiento con la clínica SMALIA. Consta acreditado que el 23 de mayo de 2013, recibió una llamada de otra clínica de estética, el centro médico especializado Láser 2000, situada en Majadahonda, citándola para seguir con el tratamiento. Manifiesta la denunciante que este centro dispone de su historial médico y de sus datos personales, cedidos por SMALIA sin su consentimiento. (folio 1 a 21) SEGUNDO: Con fecha 4 de junio de 2014 se cursó inspección por esta Agencia Española de Protección de Datos en la sede de la entidad Pilea Láser SL, titular de los centros médicos Láser 2000. Los inspectores actuantes comprobaron que en la sede de esta entidad se encuentran archivados los expedientes procedentes de SMALIA, existiendo unos cincuenta. Las carpetas están archivadas en un almacén cerrado con llave. Los inspectores verificaron que en el archivo de Pilea Laser SL se encuentra el expediente de la denunciante, que contiene datos de contacto y datos relativos a un cuestionario médico previo denominado “información de Diagnóstico”. Este cuestionario incluye información sobre el art. 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Se verifica también la existencia de un consentimiento informado del paciente. PILEA manifestó durante la inspección que adquirió la base de datos de clientes de SMALIA mediante contrato al cesar su actividad esta segunda entidad. El acuerdo al que se llegó entre ambas entidades incluía PILEA asumía la finalización de los tratamientos que se encontraban inacabados. Por ello, PILEA contactó con los clientes que no habían finalizado sus tratamientos con SMALIA para ofrecerles la posibilidad de continuar con los mismos. (folio 22 a 34) TERCERO: Con fecha 17 de Septiembre de 2012, las entidades SOCIEDAD DE MEDICINA ESTETICA NOROESTE, SL, de nombre comercial SMALIA CLINIC, y PILEA LASER SL, de nombre comercial LASER 2000, suscribieron un contrato en el que entre otras cosas, se recogía lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 “PRIMERA. La entidad PILEA LASER S.L. se compromete a realizar los tratamientos estéticos a todos los clientes de las entidades que actúan bajo el nombre comercial SMALIA y con los que dichas entidades tiene un compromiso suscrito mediante el correspondiente contrato. SEGUNDA. Las entidades de las clínicas Smalia, en contraprestación, se comprometen a ceder a la entidad PILEA LASER S.L. su base de datos para que sea incorporada a dicha entidad, observando los requisitos establecidos en la actual legislación sobre protección de datos, con las correspondientes comunicaciones a clientes y organismos. Asimismo las entidades de las clínicas Smalia deberán facilitar a la entidad PILEA LASER S.L. los contratos, historia clínica y consentimiento informado de todos los clientes de la base de datos objeto del presente contrato. En relación a este compromiso D. F.F.F. se compromete a informar a todos y cada uno de los clientes de las clínicas SMALIA de que sus datos van a ser trasladados a la base de la entidad PILEA LASER S.L., realizando cuantas gestiones fueran necesarias para ello, incluyendo la autorización de los clientes para la cesión de los datos. Del mismo modo D. F.F.F. informará a todos los clientes de que sus historias clínicas y demás documentación pasarán a poder de PILEA LASER S.L. Una vez D. F.F.F. haya contactado con todos los clientes, lo pondrá en conocimiento de la entidad PILEA LASER S.L., en concreto de D. C.C.C., y desde ese momento la entidad PILEA LASER S.L. podrá contactar con los clientes para que sean citados en los centros de esta entidad.” (folio 36 a 39) CUARTO: La entidad SOCIEDAD DE MEDICINA ESTETICA NOROESTE, SL tiene inscrito en el Registro General de Protección de Datos, un fichero denominado “PACIENTES” con fecha de inscripción 10 de enero de 2007 y con estado “ACTIVO”. Su finalidad es la de “gestión de pacientes y de historiales clínicos” y las medidas de seguridad son de nivel alto. (folio 120) QUINTO: La entidad PILEA LASER SL tiene inscrito en el Registro General de Protección de Datos, un fichero denominado “HISTORIAL CLINICO” con fecha de inscripción 11 de noviembre de 2008 y con estado “ACTIVO”. Su finalidad es la de “gestión y control sanitario, historial clínico” y las medidas de seguridad son de nivel alto. (folio 44) SEXTO: Las entidades SOCIEDAD DE MEDICINA ESTETICA NOROESTE, SL y PILEA LASER SL no han aportado documentación que acredite que disponen del consentimiento de la denunciante para la cesión y el tratamiento de sus datos personales, respectivamente, ni de que este habría sido informado tal y como se requería en el contrato recogido en el hecho tercero. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos y responsable del fichero o del tratamiento que se acuñan en los apartados a), b), c), d),
4. h)e
5. i)del artículo 3 de la LOPD. De este modo, tenemos que: “
6. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
7. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
8. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
9. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
10. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
11. i)Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado”. Por su parte, la Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
12. b)a la cesión, dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.” III Se imputa a la SOCIEDAD DE MEDICINA ESTÉTICA NOROESTE SL una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 infracción del artículo 11 de la LOPD, que dispone en sus apartados 1 y 2 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
13. a)Cuando la cesión está autorizada en una Ley.
14. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
15. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
16. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
17. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
18. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. Añade el punto 3 del citado artículo 11 de la LOPD que “será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” En sintonía con esta doctrina constitucional, la sentencia de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 Nacional de 2 de febrero de 2005, entre otras, dice lo siguiente: “El derecho fundamental a la protección de datos persigue, en suma, garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino; o dicho de otro modo, del derecho a la intimidad permite excluir ciertos datos personales del conocimiento ajeno; mientras que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Por lo tanto, el objeto de la protección de datos- de aquí su singularidad- es más amplio que el objeto de la intimidad , pues entre otras cosas, y en lo que ahora nos interesa tiene como contenidos esencial del mismo, el conferir a la persona afectada el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera intimad de la persona y la prohibición de usar de los datos a ella referente: El mismo atribuye a su titular un conjunto de poderes o facultades que se traducen en auténticos deberes para aquellos que utilizan los datos, y que son , esencialmente: el derecho a que se requiera el consentimiento para la recogida y uso de datos personales; el derecho a saber y ser informado sobre el destino y uso de los mismos; y el derecho acceder, rectificar y cancelar dichos datos. Pues solo así se puede garantizar el poder de disposición sobre los datos personales”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso se ha acreditado que la entidad SOCIEDAD DE MEDICINA ESTETICA NOROESTE SL comunicó, a la entidad PILEA LASER SL, los datos personales de la denunciante, incluyendo datos relativos a su salud, sin que se haya acreditado que se disponía de su consentimiento para dicha cesión. La Organización Mundial de la Salud en su Carta Magna