PS-00402-2018

1/5 Procedimiento Nº: PS/00402/2018 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes, HECHOS PRIMERO: HOSPITAL UNIVERSITARIO PUERTA DE HIERRO MAJADAHONDA (en adelante, el reclamante) con fecha 5 de julio de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos, motivada por el tratamiento de datos realizado a través de dispositivo móvil personal cuyo titular es identificada como Doña A.A.A. con NIF ***NIF.1 (en adelante el reclamado, siendo posteriormente subidas según manifiesta la denunciante a la plataforma Youtube, sin “recabar el consentimiento y habiendo manifestado expresamente la oposición”. Los motivos en que basa la reclamación son “obtención de imágenes de personal del Centro hospitalario” sin contar con el consentimiento de los mismos. Junto a la reclamación aporta un video con audio de 39 segundos, en dónde se ve a los profesionales sanitarios, a los vigilantes de seguridad y a un paciente en camilla en la que los sanitarios le dicen “que en la planta ya la atenderán correctamente”. (Anexo I). SEGUNDO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera que el tratamiento de los datos personales que se realiza por el denunciado a través de las cámaras a las que se refiere la denuncia, no cumple las condiciones que impone la normativa sobre protección de datos, por lo que procede la apertura del presente procedimiento sancionador. TERCERO: Con fecha 25 de septiembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Consultado el sistema informático de este organismo consta como “notificado” el acuerdo de Inicio del PS/00402/2018, por medio del anuncio correspondiente en el B.O.E. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. En fecha 05/07/18 se recibe en esta Agencia reclamación por medio de la cual se traslada como hecho el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 “obtención de imágenes de personal del Centro hospitalario” sin contar con el consentimiento de los mismos. Segundo: Consta identificada como principal responsable del video la identificada como A.A.A. Tercero. Consta acreditado que la denunciada procedió a grabar con su teléfono portátil un video, procediendo a subir las imágenes de diversos profesionales del centro hospitalario --Puerta del Hierro-- (Majadahonda), sin contar con el consentimiento de los mismos, con la finalidad de ejercer una crítica al “tratamiento” efectuado en uno de sus familiares. Se aporta copia del enlace en la plataforma Youtube ***URL.1 Consultado el enlace en fecha (18/10/19) no se observa video alguno en la plataforma mencionada. Cuarto. Por la parte denunciada no se ha realizado alegación alguna al respecto, de tal manera que no ha explicado la causa/motivo para subir el video a la plataforma conocida como Youtube. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 05/07/18 por medio de la cual se trasladan los siguientes hechos a esta Agencia: “obtención de imágenes de personal del Centro hospitalario” sin contar con el consentimiento de los mismos, para ser difundidas en la plataforma Youtube a pesar de la oposición del personal al respecto. (folio nº 1). El RGPD define el consentimiento como una afirmación libre del interesado mediante la cual acepta que sus datos sean archivados y tratados, pero solo para una finalidad determinada y bajo unas condiciones concretas respecto a las que debe estar informado con anterioridad. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 La difusión de imágenes de personal público y/o terceros en plataformas sociales, no está amparada a priori en la libertad de información, existiendo cauces apropiados para poder presentar una queja, ante un hipotética mal funcionamiento de un servicio público o de una presunta desatención en la prestación del servicio. A modo orientativo en la Comunidad de Madrid, existe la figura del Defensor del Paciente (vgr. Ley 12/2001, 21 de diciembre) como órgano encargado de gestionar las reclamaciones y quejas relacionados con los derechos y deberes de los pacientes. Esta Agencia se ha manifestado en el sentido de no considerar las imágenes obtenidas como ámbito “personal y doméstico”, debiendo ponderarse en atención a las circunstancias del caso concreto la posible colisión entre el derecho fundamental a la libertad de información y el derecho a la imagen de terceros. “Sólo el hecho de que las grabaciones sean realizadas en el ámbito laboral, en el lugar donde los empleados públicos prestan sus servicios, y sin relación alguna con ellos que exceda de la puramente profesional, parece llevarnos a la conclusión que en el supuesto planteado no es de aplicación la excepción doméstica”. III De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el reclamado (

1. a)ha procedido a la obtención de imágenes de personal del Centro hospitalario para difundirla en sus redes sociales. El art. 58.2 RGPD dispone lo siguiente. “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…). Los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del art. 6.1 RGPD, anteriormente transcrito. Teniendo en cuenta lo anterior, la infracción del artículo 6.1 del RGPD, podrá sancionarse con la imposición de una falta administrativa tal y como se establece en el artículo 83.5 del propio Reglamento que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
2. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, y 7 9…” IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
3. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” (*el subrayado pertenece a esta AEPD). En el presente caso, se tienen en cuenta el contexto y/o circunstancias en las que se obtienen las imágenes, así como que no constan sanciones previas asociadas a la denunciada, ni que conste que las imágenes sigan en redes sociales, para proponer una sanción de apercibimiento, debiendo proceder a restaurar la situación descrita a la legalidad vigente en caso de continuar las imágenes “colgadas” en la plataforma “Youtube”. Se pone en conocimiento de la denunciada que la recepción de una nueva denuncia por los mismos “hechos” puede dar lugar a la apertura de un procedimiento sancionador de naturaleza pecuniaria, siendo recomendable que en lo sucesivo utilice los cauces legales para en su caso presentar una “queja” en caso de disconformidad con el servicio prestado, pudiendo presentar las grabaciones como medios de pruebas en las instancias oportunas. la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Doña A.A.A., con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO, en los términos del artículo 58.2 RGPD. SEGUNDO: NOTIFICAR la presente resolución a la parte denunciada A.A.A. e INFORMAR del resultado de las actuaciones a la parte denunciante HOSPITAL UNIVERSITARIO PUERTA DE HIERRO MAJADAHONDA. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es