PS-00404-2018

1/21 Procedimiento Nº: PS/00404/2018 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de agosto de 2018 se registra de entrada en Agencia Española de Protección de Datos reclamación formulada por Don A.A.A., (en adelante, el reclamante o Don A.A.A.), poniendo de manifiesto la publicación y difusión, sin su autorización, por parte del CENTRO HOSPITALARIO PADRE MENNI, (en adelante, el reclamado), de una carta de agradecimiento remitida por correo ordinario a la Gerencia de dicho Centro, con fecha 18 de abril de 2016, que contenía información referida al tratamiento psicológico recibido en el mismo. Según el reclamante, tuvo conocimiento de dicha difusión de datos a través de un familiar que, con fecha 31 de julio de 2018, le indicó que había “accedido a través de Google introduciendo nombre y apellidos del suscribiente, al contenido íntegro de tal carta, figurando en el encabezamiento de la página, A.A.A. ( nombre y ambos apellidos del reclamante), en calidad de paciente del Hospital Padre Menni”, circunstancia que el reclamante constató con posterioridad, pudiendo comprobar también que “el contenido íntegro de podía ver en otros buscadores, como Yahoo.com Bing, etc.” El reclamante afirma que dicha información ha estado publicada en Internet “de forma ininterrumpida, desde junio de 2016”, añadiendo que a fecha 3 de agosto de 2018 ya “no se puede tener acceso a través de Google, pero si a través de otros buscadores al encabezamiento donde figura nombre y apellidos informando que es paciente del Centro.” Junto a la denuncia, el reclamante aporta, entre otra la siguiente documentación: -Impresión de captura de pantalla de fecha 3 de agosto de 2018 que muestra la publicación de la carta de agradecimiento en cuestión, obtenida en la dirección web ***URL.1. Se constata que el texto que aparece publicado en el apartado “Historias del centro” está precedido del nombre y apellidos del reclamante vinculado a su condición de paciente del centro. La transcripción del contenido de la carta figura en el Hecho Probado 2). - Impresión de los resultados de búsqueda obtenidos al introducir su nombre y apellidos en Facebook, yahoo.com, dogpile.com, duckduckgo.com, es.ask.com, entre los que aparece la publicación de la susodicha carta de agradecimiento. -Copia del escrito remitido, con fecha 3 de agosto de 2018, por el reclamante al Director Gerente del reseñado Centro solicitando explicaciones del motivo por el cual la mencionada carta de agradecimiento había sido publicada y divulgada en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 redes informáticas sin su consentimiento previo y la retirada de dicha publicación de las redes informáticas, así como el borrado de su rastro de Internet. En dicho escrito, el reclamante señala que “en ningún momento, ni le han solicitado desde dicho centro, ni el mismo ha dado su consentimiento, para que dicha carta de agradecimiento sea publicada y divulgada en la página de referencia, y por lo tanto tenga acceso a ello, como es el caso en la red informática cualquier personal”. -Copia del escrito de contestación a la solicitud anterior efectuada por el Director Gerente del reseñado Centro en el que señala al reclamante que la publicación de la carta se realizó mediando consentimiento del reclamante, al que se le solicitó autorización “de forma oral”, habiéndose procedido a la eliminación de dicho documento de la web. Asimismo, se informa al reclamante que el borrado del rastro en Internet de una determinada información (“derecho al olvido”) debe ejercitarse por el propio interesado ante el navegador que, en sus resultados de búsqueda, presente dicha información. SEGUNDO: Como consecuencia de las actuaciones realizadas en el marco del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018), se recibió en la AEPD escrito del reclamado, registrado de entrada con fecha 2 de noviembre de 2018, en el que exponía lo siguiente en contestación a la solicitud de información que le fue efectuada en relación con los hechos que habían originado la reclamación: El reclamado afirma que: “la causa que ha ocasionado la reclamación en aprecio ha sido la publicación en la página web del centro de una carta de agradecimiento que el interesado había enviado al propio centro. En este sentido, el centro había procedido con la publicación de la carta mencionada ya que disponía del consentimiento explícito del interesado para estos fines. Se trata de un consentimiento verbal, y por ello se adjuntan declaraciones juradas por parte de las personas que han participado en este proceso”. En concreto aporta: Declaración jurada suscrita el 31/10/2018 por tres declarantes, cuya identificación y DNI figuran en la misma, si bien no se aporta copia de dicho documento identificativo ni su vinculación con el reclamado, que indican participaron en la reunión mantenida el día 8 de agosto de 2018 con el reclamante en el Centro Hospitalario, y donde, entre otras manifestaciones, declaran:  “Que una vez explicadas las razones del suceso (…), el reclamante, cuando se le explicó específicamente que la carta de agradecimiento objeto de controversia en este expediente había sido publicada en la web de la entidad porque él mismo había ofrecido su consentimiento verbal, no negó dicha afirmación, ni la puso en duda en ningún momento.  Que de hecho, en relación con el punto anterior, el interesado manifiesta expresamente que a pesar de que hubiera ofrecido el consentimiento verbal, él consideraba que la legislación obligaba a obtener un consentimiento escrito, y en este sentido, nadie la había transmitido ninguna autorización para firmar.” Declaración jurada suscrita el 31/10/2018 por quien se identifica como Asesora de Calidad Externa, figurando sus datos identificativos y DNI, si bien no se aporta copia de dicho documento ni acreditación de dicha relación contractual, consta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21  “Que en el análisis de la situación que se realizó en el momento de la solicitud enviada por parte del interesado al centro, durante el pasado mes de agosto, se reunió con la trabajadora que recibió la carta de agradecimiento objeto de esta controversia.  Que en la mencionada reunión, la trabajadora que recibió dicha carta de agradecimiento le transmitió que en el proceso de recogida de dicha carta, el interesado mostró su intención de que se diese a conocer públicamente, ya que, según palabras del interesado, “le gustaría que se conociese la buena labor realizada por el Centro Hospitalario Padre Menni”, dando, por tanto, su autorización a proceder con la publicación que se está discutiendo en este expediente.” En esta declaración no se identifica a la trabajadora que recibió la carta en cuestión y “en el proceso de recogida de dicha carta”, que según el reclamante se remitió por correo ordinario, le fue mostrado por el reclamante su intención de que se diese a conocer públicamente su agradecimiento. En cuanto a las medidas adoptadas para solucionar la situación, el reclamado señala: En el momento en que el reclamante manifestó su disconformidad con la publicación, se suprimió la información publicada de la página web del centro; Para gestionar la incidencia se llevó a cabo un análisis inmediato de la posible brecha de seguridad, concluyéndose de la valoración de riesgo efectuada que no era necesaria su comunicación a la misma. Se adjunta copia del “Informe del Delegado de Protección de Datos sobre Valoración para la Gestión de una incidencia RGPD”, en el que valorado el cálculo de riesgo se concluye que se está ante un incidente y NO ante una brecha de seguridad. También se ha comunicado al reclamante todas las actuaciones realizadas, facilitándole la información necesaria para ejercitar, en su caso, el “derecho al olvido”. En cuanto a las medidas adoptadas para evitar que se vuelva a repetir dicha situación, el reclamado indica, si bien sólo acredita documentalmente la primera de las indicadas: Que se registró la situación en el “Registro de Incidentes”; Se revisó el procedimiento actual, clarificándose que, para asegurar que el consentimiento se ha obtenido inequívocamente, se procederá a recoger por escrito en todo caso y dejando detalladas las finalidades concretas para las que se recaba; Se han previsto formaciones con todo el personal que trata datos de carácter personal, con el objetivo de proporcionar los concomimientos necesarios para que todos puedan mantener las cautelas necesarias. TERCERO: Con fecha 8 de noviembre de 2018 se registra de entrada en esta Agencia escrito del reclamante, el que en relación con el contenido del escrito que le fue remitido por el reclamado con fecha 02/11/2018 dándole cuenta de las actuaciones realizadas para el tratamiento de la situación, reitera que no dio su consentimiento expreso, ni de forma escrita ni verbal a la publicación en abierto de la citada carta de agradecimiento. CUARTO: Consultada el 3 de abril de 2019 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, se verifica que al reclamado no le constan registros previos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 QUINTO: Con fecha 9 de abril de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de apercibimiento al reclamado, de conformidad con lo previsto en el artículo 58.2.

1. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), por la presunta infracción del artículo 5 del RGPD, tipificada en el artículo 83.5.a de la misma norma. Asimismo, a los efectos previstos en el artículo 58.2.
2. d)del RGPD en dicho acuerdo de inicio se notificaban las medidas correctivas que, de confirmarse la existencia de infracción, podrían imponerse en la resolución que se adoptase. Dicho acuerdo de inicio fue notificado a través del Servicio de Correos con fecha 15 de abril de 2019. SEXTO: Notificado el citado acuerdo de inicio, con fecha 24 de abril de 2019 el reclamado presentó escrito de alegaciones en el que, en síntesis, además de reiterar los argumentos y pruebas presentadas, se reseñaba los siguientes extremos al objeto de justificar la solicitud de archivo de las actuaciones: - Que aporta fotocopias de los DNIs de los firmantes de las declaraciones juradas aportadas como respuesta a una de las puntualizaciones realizadas en el acuerdo de inicio. En este sentido aclara que Don B.B.B. declara como ***PUESTO.1, Dña. C.C.C. declara como ***PUESTO.2, Don D.D.D. declara como ***PUESTO.3, amén de como Miembros de XXX todos ellos, mientras que Dña. E.E.E. declara como ***PUESTO.4. - En cuanto a la lesión al principio de confidencialidad imputado y la necesidad de disponer de medidas de seguridad para evitar el tratamiento no autorizado, se expone:
3. a)Que el reclamado es una entidad muy comprometida con la privacidad de las personas, con arreglo a lo cual y como evidencian las declaraciones juradas aportadas, la publicación de la información se produjo como consecuencia, única y exclusivamente, de la autorización verbal del reclamante. Añade que evidencia dicho compromiso el hecho de que, tras la reclamación del interesado y sin intervención de la Agencia, el Centro procedió a suprimir la información, lo que acredita su buena fe y la inexistencia de cualquier interés contrario al interesado, siendo práctica habitual requerir el consentimiento de los interesados para proceder a la publicación de cualquier información sobre su persona.
4. b)Que el Centro dispone de una serie de procedimientos y normativas de seguridad para la protección de los datos personales basadas en el riesgo de cada actividad de tratamiento. Detalla y adjunta: . La normativa general “SAN.DOCM7505 Funciones y obligaciones personal con acceso a datos”, en cuyo apartado cuarto el Centro exige a los usuarios de sus sistemas de información “guardar el necesario secreto respecto a cualquier tipo de información de carácter personal, conocida en función del trabajo desarrollado, incluso una vez concluida la relación del trabajo desarrollado, incluso una vez concluida la relación laboral con el Centro”; . Clausulado que se facilita a las personas usuarias del centro, donde se puede comprobar, según señala el reclamado, la recogida del consentimiento específico en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 caso de tener intención de publicar una cierta información, tanto si se trata de recoger imágenes o grabaciones como informaciones personales. . Instrucción “SAN.INST.7501 Deber de información y consentimiento en la recogida de datos de carácter personal”, recogiendo los fundamentos teóricos para llevar a cabo el deber de información de acuerdo a las obligaciones legales vigentes. La documentación remitida sólo se refiere al deber de informar. -Se aporta documentación adicional acreditativa de las medidas destinadas a evitar que se repita el incidente. En concreto, respecto de las acciones que se habían propuesto para la mitigación y recuperación de la incidencia. Esta documentación permite: 1) comprobar la modificación del procedimiento señalado con la creación de una nueva plantilla de recogida de consentimientos escritos en los casos de publicación de información en la web y otros medios de difusión; 2) acreditar la realización de una formación en materia de protección de datos realizada el 11/12/2018, que incluía en el programa un apartado relativo a la “licitud del tratamiento” adjuntándose a modo de muestra cinco certificados. Se anexan cinco certificados. Además, se anexa el acta de la Comisión de Protección de Datos de fecha 20/09/2018, acreditativa de la realización del análisis de los incidentes ocurridos en los tres meses anteriores y la decisión de cierre de los mismos por considerar las medidas propuestas como eficaces. Con fecha 24 de octubre de 2019 se recibe en esta Agencia escrito del reclamado solicitando información sobre el estado del procedimiento sancionador de apercibimiento con posterioridad a la formulación de las alegaciones al acuerdo de inicio del mismo. SÉPTIMO: Con fecha 29 de octubre de 2019 se introduce el nombre y apellidos del reclamante en el buscador Google comprobándose que en la primera página de resultados no aparece la información objeto de reclamación. OCTAVO: Con fecha 31 de octubre de 2019 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se impusiera al reclamado una sanción de apercibimiento, de conformidad con lo previsto en el artículo 58.2.
5. b)del RGPD, por la presunta infracción del artículo 9.1 de la misma norma, tipificada en el artículo 83.5.
6. a)del RGPD. Asimismo, se proponía que, de no haberse acreditado la subsanación de la situación irregular descrita con anterioridad a la emisión de la resolución que procediese, la Directora de la Agencia Española de Protección de Datos ordenase al reclamado, de conformidad con lo previsto en el artículo 58.2.
7. d)del RGPD, la adopción de las medidas de seguridad, técnicas y organizativas necesarias para garantizar que la publicación de datos de salud en la página web del centro y otros medios de Internet o soportes respondiese a lo dispuesto en el artículo 9.2.
8. a)del RGPD para esa categoría especial de datos personales. Asimismo, se proponía la adecuación de las plantillas de obtención del consentimiento presentadas al tipo de categoría de datos recogidos. Se comunicaba que tales medidas se habrían de adoptar, en su caso, en el plazo de un mes computado desde el día siguiente al de la fecha de notificación de la resolución sancionadora que, en su caso, pudiese recaer, debiendo aportarse los medios de prueba acreditativos de su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 La citada propuesta de resolución fue notificada al reclamado con fecha 8 de noviembre de 2019. NOVENO: Transcurrido el plazo de diez días hábiles concedido para formular alegaciones y presentar documentos, con fecha 3 de diciembre de 2019 se registra de entrada escrito de alegaciones a la propuesta de resolución, en el que, en síntesis, el reclamado acepta el apercibimiento y comunica que han eliminado la posibilidad de publicar cualquier información relativa a agradecimientos, felicitaciones, testimonios y opiniones de pacientes en su página web o RRSS, para evitar cualquier incumplimiento en materia de privacidad o protección de datos, motivo por el cual en la página web del Centro ya no aparece ninguna información en ese sentido. Asimismo, señala la adopción de una serie de medidas para corregir las irregularidades correspondientes a los modelos presentados bajo la denominación “Consentimiento para la Difusión de Información” y “Consentimiento parta la Cesión de Imágenes”, y detalla las mejoras relativas a la captación y publicación de imagen y voz de los interesados a efectos de promoción de servicios, en situaciones generales y sin que, según alegan, en ningún caso afecte a datos de carácter sensible. En concreto: - En respuesta a la irregularidad “No incluyen información que permita vincular el consentimiento solicitado en dichos documentos a tratamientos que alcancen categorías especiales de datos personales, entre los que se encuentran los datos de salud”: Se aduce que a pesar de que su intención no es publicar datos sensibles o especialmente protegidos pueden existir situaciones en las que “la simple publicación de dicha información” permite “la vinculación del interesado con el centro, (teniendo en cuenta nuestro sector), así como la información que el propio interesado nos transmita en dichos documentos, genera que la información publicada alcance información de salud, para lo que deberíamos disponer de un consentimiento explicito”. Indican que han adoptado las siguientes medidas: 1) han eliminado la posibilidad de publicar cualquier información relativa a agradecimientos, felicitaciones, testimonios y opiniones de pacientes en su página web o RRSS, para evitar cualquier incumplimiento en materia de privacidad o protección de datos, motivo por el cual en la página web del Centro ya no aparece ninguna información en ese sentido; 2) han modificado la cláusula informativa relativa al “Consentimiento para la cesión de imágenes”, aclarando que las imágenes que se recogen sólo se utilizan para la finalidad de promocionar nuestros servicios y dar visibilidad a las actuaciones; 3) han dejado sin efecto en su sistema de información la cláusula “Consentimiento para la difusión de información”. - En respuesta a la irregularidad: “En el apartado relativo a la finalidad del tratamiento de los datos personales cuyo consentimiento se solicita en el documento “Consentimiento para la cesión de imágenes”, debería solicitarse diferenciadamente el consentimiento para el tratamiento de la finalidad de promocionar los servicios y dar visibilidad a las actuaciones, el consentimiento para el tratamiento con finalidades terapéuticas y el consentimiento para finalidades de docencia”: Se señala que sólo será utilizada para la recogida de imagen y voz para efectos de difusión de sus actividades, dejando de usarse dicha información a efectos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 terapéuticos o de docencia, siendo recogidas aparte estas finalidades si se produjera tal uso en el futuro. Se adjunta impresión del documento actualizado. En respuesta a la irregularidad referida como: “En el apartado relativo a los destinatarios: deberían identificarse los centros vinculados al reclamado a los que podrán comunicarse los datos personales”: Se indica que han modificado los modelos incluyendo la siguiente información a fin de definir a los destinatarios de una forma inequívoca: “Hermanas Hospitalarias Provincia de España y los centros dependientes de la misma (centros de la Congregación “Hermanas Hospitalarias” en España y que pueden encontrarse en la siguiente relación: ***URL.2). -Autorizo. -No Autorizo. “ Igualmente, en el modelo “Consentimiento para la cesión de imágenes”, consta de forma separada, otra cesión adicional que se puede prever desde una categoría de destinatarios y no desde una definición específica: “. Medios de comunicación, para su posterior difusión en sus diversos canales. - Autorizo. - No autorizo. “ A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran como HECHOS PROBADOS Primero: Con fecha 11 de agosto de 2018 se registra de entrada en esta Agencia reclamación formulada por el reclamante (Don A.A.A.) contra el reclamado por publicar y difundir desde abril de 2016 hasta el 3 de agosto de 2018, inclusive, sin contar con su autorización para ello, una carta de agradecimiento remitida por correo ordinario, con fecha 18 de abril de 2016, a la Gerencia del reclamado con información referida al tratamiento psicológico recibido en ese Centro Hospitalario. Segundo: El reclamante ha aportado impresión de captura de pantalla de fecha 3 de agosto de 2018 que muestra la publicación de la carta de agradecimiento del reclamante en la página web ***URL.1, visualizándose en el apartado “Historias del centro” de la citada página web que bajo la leyenda: “A.A.A.. Paciente del Centro” aparece la transcripción íntegra del texto de la carta de agradecimiento recibida por el reclamado, que es el siguiente: “Por la presente, en calidad de paciente de ”Hermanas Hospitalarias. Centro Hospitalario Padre Menni”, quiere agradecer y poner en su conocimiento el trato profesional y humano que desde un primer momento me ha dispensado la Dra. Dña. F.F.F., quien no solamente ha sabido diagnosticar mi problema, sino que también a través de sus terapias me ha ayudado a reconducir y gestionar, todo lo que en su momento me parecía imposible administrar. Han sido numerosas las terapias, numerosas las conversaciones, pero todo ello no hubiera servido de nada si el trato tan cercano y tan interesado en la ayuda, como el que se me proporcionó. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 De la misma forma quiere agradecer el trato recibido por los facultativos Dr. G.G.G., así como el Dr. D. D.D.D.. Aprovecho la ocasión para enviarle/a un cordial saludo, y no dude que la imagen y valoración que recordaré para siempre de la institución a la que usted representa será la más sobresaliente, por el trato recibido de sus profesionales. En Santander, a 18 de abril de 2016.” Tercero: Con fecha 3 de agosto de 2018 el reclamante remitió comunicación al reclamado solicitando aclaración acerca de la publicación y divulgación en Internet, sin su consentimiento previo, de la mencionada carta, así como la retirada de las redes informáticas de dicha publicación en la que figuraban datos clínicos de especial protección. En dicha comunicación, entre otros extremos, se indicaba: “-Que es informado por un familiar que reside en Madrid, así como por dos compañeros de trabajo, que a través del buscador de internet Google”, han tenido acceso introduciendo el nombre y apellidos del que suscribe, a dicha carta de agradecimiento, una de ellas en la página “HERMANAS HOSPITALARIAS CENTRO HOSPITALARIO PADRE MENNI”, concretamente en su apartado “Historias del Centro”, en la cual figuran numerosos testimonios de varias personas con sus iniciales. (…) -Que al que suscribe en ningún momento, ni le han solicitado desde dicho centro, ni el mismo ha dado su consentimiento, para que dicha carta de agradecimiento sea publicada y divulgada en la página de referencia, y por lo tanto tenga acceso a ello, como es el caso en la red informática cualquier persona.(…)” Cuarto: Con motivo de la reunión mantenida el día 8 de agosto de 2018 entre el reclamante y el reclamado, este último elaboró un documento en el que constaba que: “la exigencia de contar con el consentimiento del interesado no implica que este consentimiento o autorización deba de ser escrito, pudiendo ser perfectamente válido el consentimiento ofrecido de forma verbal. Y es precisamente en este punto donde encontramos la razón o motivo para proceder con la publicación en nuestra web de la cata de agradecimiento que usted remitió tan amablemente a nuestro Centro. Ha tenido que existir un malentendido, ya que nuestro personal nos ha comunicado precisamente que está autorización fue solicitada de forma oral, y que la misma fue utilizada como base de licitud para proceder con la publicación de la carta en aprecio.”. También figuraba que se había eliminado la citada publicación de su página web y se indicaba la forma de proceder para borrar el rastro de internet en caso de que siguiese encontrando información relativa a su persona en los resultados de búsqueda de los navegadores de internet. Este documento no fue suscrito por el reclamante. Quinto: Con fecha 7 de noviembre de 2018 el reclamante dirige escrito ante esta Agencia negando la existencia del consentimiento verbal a la publicación de la carta que se manifiesta en el documento de fecha 8 de agosto de 2018 citado en el hecho probado anterior. El reclamante señala que el documento omite los daños morales, al honor y a la intimidad personal y familiar producida al mismo, habiendo provocado, además, el agravamiento de su cuadro clínico y afectado a todo el ámbito familiar que desconocía dicha patología. Sexto: Con fechas 25 de abril de 2019 el reclamado acredita la adopción de una batería de medidas tendentes a evitar una situación semejante, entre las que se encuentran la elaboración de documentos para recoger el consentimiento específico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 de los interesados para la difusión de información de carácter personal, voz e imagen en la página web del reclamado y otros medios con las finalidades concretas que se indican en dichos modelos. En dichos documentos no se indica que el consentimiento otorgado se refiera a datos de salud. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2, 57.1 y 58.2 del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), reconocen a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los hechos analizados fueron calificados en el Acuerdo de Inicio de este expediente sancionador como constitutivos de una infracción del artículo 5.1.
9. f)del RGPD, tipificada en el artículo 83.5.
10. a)de la misma norma. No obstante, en esta fase del procedimiento se considera conveniente modificar la calificación jurídica efectuada e imputar al reclamado una infracción del artículo 9.1 del RGPD, tipificada en el artículo 83.5.
11. a)del RGPD. Respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la reclamación efectuada en el Acuerdo de Inicio, y a la incidencia que tal cambio puede tener en el derecho de defensa del reclamado, conviene señalar que nada impide hacer esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la imputación formulada. El artículo 53.2 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, relativo a los “Derechos del interesado en el procedimiento administrativo”, establece lo siguiente: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos:
12. a)A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del Instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia.
13. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). (El subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). III Los hechos objeto de la reclamación quedan sometidos a las disposiciones del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos, que resulta de aplicación desde el 25 de mayo de 2018. El reclamante presentó una reclamación ante la AEPD en fecha 11 de agosto de 2018 referida a un tratamiento de datos de salud llevado a cabo por el reclamado desde abril de 2016, momento en que estaba aún vigente la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, (en adelante, LOPD), y que se mantuvo en el tiempo hasta el 3 de agosto de 2018, como se acredita en el fecha en la que ya resultaba de aplicación el Reglamento (UE) 2016/679. La infracción de la que se responsabiliza al reclamado participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial y se extiende durante todo el periodo de tiempo en el que los datos son objeto de tratamiento infringiendo la normativa de protección de datos personales. En el presente caso, pese a que al tiempo de iniciarse la conducta infractora la norma aplicable era la LOPD, la normativa que resulta de aplicación es la que está vigente cuando la infracción se consuma, porque es en ese instante cuando se entiende cometida. El Tribunal Supremo se ha pronunciado sobre la norma aplicable cuando las infracciones se prolongan en el tiempo y ha habido un cambio normativo mientras se cometía la infracción. La STS de 17/04/2002 (Rec. 466/2000) aplicó una norma que no estaba vigente en el momento inicial de comisión de la infracción, pero sí en los posteriores en los que continuaba la conducta infractora. La Sentencia examinó un supuesto que versaba sobre la sanción impuesta a una Jueza por incumplimiento de su deber de abstención en unas Diligencias Previas. La sancionada alegaba la no vigencia del artículo 417.8 de la LOPJ cuando ocurrieron los hechos. La STS consideró que la infracción se había venido cometiendo desde la fecha de la incoación de las Diligencias Previas hasta el momento en que la Jueza fue suspendida en el ejercicio de sus funciones por lo que esa norma sí era de aplicación. En idéntico sentido se pronuncia la SAN de 16/09/2008 (Rec.488/2006) IV Los artículos 1 y 2.1 del RGPD disponen lo siguiente: “Artículo 1. Objeto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Artículo 2. Ámbito de aplicación material 1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “15) <<datos relativos a la salud>>: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; De conformidad con las definiciones recogidas en los reseñados apartados 1 y 2 del artículo 4 del RGPD el reclamado ha llevado a cabo un tratamiento de datos de salud del reclamante, toda vez que aquel ha publicado en su página web el contenido íntegro de una carta de agradecimiento recibida del reclamante con datos de salud del mismo y que aparecía asociada a su nombre y apellidos así como a su condición de paciente del centro hospitalario. V En el presente procedimiento, se dilucida la comisión por parte del reclamado de una infracción del apartado 1 del artículo 9 del RGPD por tratamiento de datos de salud del reclamante sin que se produzca ninguna de las circunstancias previstas en el apartado 2 del mismo precepto. Los apartados 1 y 2 del artículo 9 del RGPD establecen lo siguiente: “Artículo 9. Tratamiento de categorías especiales de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
14. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
15. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
16. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
17. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
18. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
19. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
20. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
21. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
22. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
23. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.” Dicho precepto debe ponerse en relación con lo señalado en los Considerandos 53 y 54 del RGPD, cuyo tenor literal es el que sigue: