1/11 Procedimiento Nº PS/00415/2014 RESOLUCIÓN: R/02768/2014 En el procedimiento sancionador PS/00415/2014, instruido por la Agencia Española de Protección de Datos a la entidad CORPORACION DERMOESTETICA S.A., vista la denuncia presentada por DIRECCIÓN GENERAL DE LA POLICIA. GRUPO DELINCUENCIA URBANA CENTRO y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30/7/13, tiene entrada en esta Agencia un escrito de La Dirección General de la Policía, Grupo Delincuencia Urbana Centro, Granada, con el que se adjunta un Acta Denuncia por infracción Administrativa, en el que se hace constar que, con fecha 18/7/13, se localizaron por parte de funcionarios del Cuerpo de la Policía Nacional, varias bolsas de plástico conteniendo documentación relativa a pacientes de la Clínica Corporación Dermoestetica, ubicada en (C/............1) de Granada, en la citada documentación constaban tanto datos personales así como fotografías e información sobre los tratamientos realizados. Asimismo, se hace constar que puestos en contacto con la responsable de la Clínica, le fueron trasladados dichos hechos. Con fecha 29/4/14, se remite a esta Agencia una muestra de la documentación encontrada, constatando la existencia de datos personales y de salud en la documentación encontrada. SEGUNDO: A la vista de los hechos denunciados, se ordenó la apertura de periodo de Actuaciones Previas de Investigación E/05837/2013 que concluyeron con informe de 30/6/14 TERCERO Por parte del Director de la Agencia Española de Protección de Datos se Acordó, con fecha 17/7/14, iniciar procedimiento sancionador por la presunta infracción del artículo 9 de la LOPD CUARTO: Por parte de la entidad denunciada se presentó escrito de alegaciones, acompañado de documentación, que se han valorado en la resolución de este expediente QUINTO: Con fecha 29/9/14 por el instructor del expediente se abrió periodo de prácticas de pruebas incorporando al expediente la denuncia interpuesta, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05837/2013. Asimismo, se solicitó a la entidad denunciada, a raíz de los hechos, “las instrucciones impartidas a su personal para la destrucción de la documentación a desechar y/o medidas adoptadas para evitar el acceso a la información que vaya a desecharse”. SEXTO: Se ha contestado a las pruebas solicitadas, por escrito de 18/10/14 remitiendo la documentación solicitada y que se ha incorporado al expediente y manifestándose lo siguiente: * Existen obligaciones legales correspondientes al archivo, custodia, acceso y destrucción de historias clínicas, habiéndose aportado la documentación correspondiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 normativa interna. * El principio general es no desechar ningún tipo de documentación que contenga datos de carácter personal. A excepción de documentación puntual de clientes que finalmente no contraten, cuyo tratamiento se especifica. * Todos los empleados firman a su incorporación el compromiso de buena conducta que también se ha aportado. * Que a raíz de los hechos se han revisado y modificado los procedimientos e instrucciones, habiéndose puesto en marcha un nuevo y más intenso sistema de información, relativo a la protección de datos, para el personal de nuevo ingreso, y un procedimiento de verificación periódica de adecuación a los procedimientos, con el fin de tener constancia del grado de cumplimiento de los mismos. SEPTIMO: Con fecha 30/10/14 por el instructor del procedimiento se dictó propuesta de resolución, en el sentido que, por el Director de la Agencia Española de Protección de Datos, se sancione a Corporación Dermoestética por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma. OCTAVO: Se han presentado alegaciones a la Propuesta de Resolución, con fecha 24/11/14, interesando la aplicación de los dispuesto en el art. 45.6 de la LOPD o la fijación de la sanción en la cuantía mínima para las sanciones leves. HECHOS PROBADOS 1º Consta Acta Denuncia presentada por la Dirección General de la Policía, Grupo Delincuencia Urbana Centro, Granada, relativa a la localización, el día 18/7/13, por parte de funcionarios del Cuerpo de la Policía Nacional, de varias bolsas de plástico conteniendo documentación relativa a pacientes de la Clínica Corporación Dermoestetica, ubicada en (C/............1) de Granada, 2ª Que con fecha 24/4/14 se remitió a esta Agencia una muestra de la documentación encontrada, en concreto expedientes de distintos pacientes en los que constan datos personales y de salud de los mismos, así como diversas fotografías u radiografías. 3º Constan las siguientes manifestaciones realizadas por la entidad denunciada en el procedimiento de actuaciones previas de investigación: * El hecho de que fueran localizadas las bolsas con historias clínicas de pacientes de la clínica ubicada en Granada, se debió a una concatenación de hechos fortuitos, no habiendo podido determinar las causas exactas, y que, en todo caso se producen en expresa contravención de los procedimientos en vigor en el momento de los hechos. * La documentación localizada formaba parte de un fichero manual, que contenía datos de carácter personal, pertenecientes a la citada clínica. * La custodia de las historias clínicas corresponde directamente a la Coordinadora del Centro, para la cual existen unas Normas que se reflejan en documentación de Seguridad de la entidad, cuya copia parcial se adjunta a este escrito. * Las historias clínicas nunca son trasladadas a la Central en Valencia, ya que todas las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 historias permanecen archivadas en las clínicas correspondientes, con el cumplimiento de las medidas de seguridad establecidas. * Se adjuntan tres instrucciones relativas a Gestión de Historias clínicas, Archivo de las mismas y Gestión y Archivo de Formularios de consulta, que han de seguir todos los Centros. 4º Se manifiesta por la entidad denunciada que todos los empleados firman a su incorporación el compromiso de buena conducta que también se ha aportado. 5º Constan así mismo manifestaciones en el sentido que a raíz de los hechos se han revisado y modificado los procedimientos e instrucciones, habiéndose puesto en marcha un nuevo y más intenso sistema de información, relativo a la protección de datos, para el personal de nuevo ingreso, y un procedimiento de verificación periódica de adecuación a los procedimientos, con el fin de tener constancia del grado de cumplimiento de los mismos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/05837/2013, de acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), se procedió a la apertura del presente procedimiento sancionador al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, Dichos indicios derivan de la recuperación por el denunciante de documentación con datos de carácter personal; que además tiene el carácter de especialmente protegidos por contener datos de salud, procedentes de la entidad denunciada, y que ha estado accesible a terceros, al haber sido localizada en la vía pública; Lo que supone, salvo prueba en contrario, una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, Por parte del representante de la entidad denunciada se realizaron las siguientes alegaciones, en síntesis, ante el Acuerdo de Inicio: 1º Que se trata de un hecho aislado, que no había acontecido con anterioridad ni se ha vuelto a repetir, pudiendo ser considerado una anomalía en el normal desempeño del tratamiento de datos de carácter personal. 2º Que la entidad cuenta con un sistema de tratamiento de datos que consta en el Documento de Seguridad, y con un apartado específico relativo a las Historias Clínicas y los datos de pacientes y clientes, con normas adecuadas respecto al acceso por parte del personal autorizado a las mismas y a los datos que contienen (que se detallan en el escrito). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 III El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento …...
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento …… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, CORPORACION DERMOESTETICA es responsable de los ficheros y tratamientos, derivados de su actividad laboral, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. A este respecto debe manifestarse que la entidad denunciada tiene registrado en esta Agencia un Fichero denominado “Historias Clínicas” cuyo objeto es la recopilación de datos identificativos de salud y procesos asistenciales de clientes de la entidad. Aportándose descripción del mismo que se detalla en la documento de seguridad. V El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. El art.5 del RLOPD define, en el apartado g como datos de carácter personal relacionados con la salud “las informaciones concernientes a la salud pasada, presente y futura, física o mental de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad a la información genética”, Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 La documentación encontrada entra en la consideración de documentación en soporte papel, que contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros y que han sido contempladas en el documento de seguridad de la denunciada. En el Título VIII se definen las medidas de seguridad en el tratamiento de datos de carácter personal. En el art. 81.3 del mismo se establece que además de las medidas de seguridad de nivel básico y medio, se aplicaran las medidas de seguridad de nivel alto a aquellos ficheros, entre otros, que contengan datos referidos a la salud. La recuperación por parte de la Policía Nacional, en la vía pública, de bolsas de basuras que contenían historias clínicas de pacientes de la entidad denunciada, se debe – según CORPORACION DERMOESTETICA – a una concatenación de hechos fortuitos, no habiendo podido determinar las causas exactas, y que, en todo caso – se añadesupusieron una expresa contravención de los procedimientos en vigor en el momento de los hechos. Se manifiesta así mismo que la documentación localizada formaba parte de un fichero manual, que contenía datos de carácter personal, pertenecientes a la citada clínica. En este punto debe recordarse que el régimen de protección de datos, aplicable a las historias clínicas, ha de complementarse necesariamente con las previsiones específicas recogidas en relación con las mismas por la normativa que las regula; En particular por el Capítulo V de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. El artículo 14.2 de la precitada Ley dispone que “cada centro archivará las historias clínicas de sus pacientes, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, de manera que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información”. Añade el artículo 17.1 de la Ley, que “los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial”. En este sentido la entidad denunciada manifiesta que las historias clínicas nunca son trasladadas a la Central en Valencia, y que permanecen archivadas en las clínicas correspondientes, correspondiendo la custodia de las historias clínicas directamente a la Coordinadora del Centro, existiendo para ello unas normas que se han reflejado en el documento de Seguridad de la entidad, Debe también recordarse que la Ley obliga a conservar los datos de la historia clínica incluso con posterioridad al alta del paciente o al último episodio asistencial, durante el tiempo adecuado para la debida asistencia sanitaria del mismo y, como mínimo, durante cinco años desde cada fecha de alta. En consecuencia se deduce que Corporación Dermoestética en su calidad de responsable del tratamiento, debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 que dicha documentación fuese recuperada por un tercero, al estar dentro de unas bolsas de basura – junto a numeroso material clínico, tal como se refleja en el atestado de la Policía. Esta necesidad de especial diligencia en la custodia de la documentación ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor. Se ha acredita que la entidad denunciada tiene implementadas unas medidas técnicas y organizativas tendentes a garantizar la custodia de la información contenida en las historias clínicas y que permiten deducir que los hechos acaecidos son resultado de un error puntual. Dichas circunstancias, sin perjuicio que deban tenerse en cuenta a la hora de graduar la sanción, no exoneran la responsabilidad de la entidad denunciada, en base a la interpretación dada por la Audiencia Nacional, en la recurso 559/2007, que desestimaba el recurso de una entidad basado en la existencia de responsabilidad de unos de sus empleados: “Es cierto que dicha entidad bancaria acredita el cumplimiento de las medidas de seguridad, tanto en sus sucursales, como respecto de su personal, en los términos exigidos por la LOPD, y también es cierto que fue un empleado de dicha entidad el que provocó los hechos ahora sancionados. Más esta Sala ha declarado con reiteración, en las sentencias reseñadas en el fundamento jurídico anterior e igualmente en la SAN de 14-22007 ( Rec. 229/2005 , entre otras) que no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales si luego no se exige a los empleados del banco la observancia de aquellas instrucciones. Por lo que necesariamente te ha de concluir que… debió adoptar las medidas necesarias para impedir cualquier recuperación por terceros no autorizados de la información reservada a la que tuvo acceso la empresa de limpieza, y al no efectuarlo así, no observó la diligencia necesaria, pues de otro modo no se explica que un importante volumen de documentos de uso interno de la entidad ( a la denuncia se acompañaba una gran caja), en muchos de los cuales figuraban datos personales, fueran a parar a manos de tal concesionaria de la recogida de basura” VI El Reglamento de desarrollo de la LOPD impone a los ficheros no automatizados (manuales) tanto unas obligaciones comunes con los ficheros automatizados (por ejemplo los niveles de seguridad) como una serie de obligaciones específicas que se establecen en los artículos 108 (custodia de soportes) y 112 (copia y reproducción de documentos). Por consiguiente, los criterios de archivo deben garantizar la correcta conservación de los documentos, la localización y consulta de la información, y que mientras la documentación con datos de carácter personal no se encuentra archivada, porque se encuentre en un proceso de tramitación, la persona que se encuentre a cargo de la misma deberá custodiarla e impedir que pueda ser accedida por persona no autorizada. Los ficheros que contienen datos de salud, tal como aparece reflejado en el art. 81 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 RLOPD además de las medidas de nivel básico y medio le son aplicables las medidas de nivel alto. Considerándose los datos de salud como especialmente protegidos, según el art. 7 de la LOPD, significándose que la pérdida de documentación con esas características o su difusión no autorizada pueden implicar para el titular de ese dato especialmente protegido que sus derechos hubieran sido conculcados por dicho tratamiento. En conclusión, el hecho constatado en el presente procedimiento, relativo a la aparición de documentación procedente de la entidad denunciada en la vía pública supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable del tratamiento. El artículo 44.3
- h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de la entidad denunciada se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales pudieran ser vistos por un tercero, infracción que procede calificarla en el grado señalado. La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado... Existe una obligación de resultado, que no se ha cumplido al haberse encontrado documentación procedente de CORPORACION DERMOESTETICA en la vía pública accesibles a terceros, de la que se desprende una falta de negligencia del responsable del tratamiento, obligado a implementar las medidas de seguridad. VII Los hechos acreditados, por el contra, no suponen una vulneración del art. 10 de la LOPD que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Ahora bien la obligación impuesta por el artículo 10 debe entenderse como una obligación de resultado, donde lo relevante, tal como lo ha entendido la Audiencia Nacional, entre otras en la sentencia de 18/06/09, es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto), que exista o no una omisión de las medidas de seguridad. En el caso que nos ocupa, aun cuando a entidad denunciada es responsable de la custodia de la documentación relativa a sus pacientes, la documentación recuperada se encontraba dentro de bolsas de basura depositadas en la vía pública junto con otros restos. Fue recuperada y retirada por la Policía Nacional pero no se puede considerar que fuera revelada a terceras personas vulnerando así el deber de secreto. Entendiéndose así que no se ha producido vulneración del artículo 10 por parte de la denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 VIII El artículo 45 apartados 2,4 y 5 de la LOPD estipula: “3. Las infracciones graves serán sancionadas con multa de 60.101,21€ a 300.506,05 €. 4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” 5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. En primer lugar hay que tener en cuenta lo establecido en el art. 45.5, que trata de hacer efectivo hasta sus últimas consecuencias el principio de proporcionalidad, mediante la aplicación de la sanción correspondiente relativa a la escala inferior y ello cuando se aprecie disminución de la culpabilidad del imputado o de la antijuridicidad del hecho. Estos dos criterios no son sino criterios jurídicos indeterminados que deben concretarse en cada supuesto en el que se pretenda su aplicación. Debe tenerse en cuenta la interpretación establecida la Audiencia Nacional, en sus Sentencias, entre otras, de 24/05/2002 y 16/02/2005, “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos.” Valorando las circunstancias del presente caso donde se ha establecido, en los hechos probados, que se trató de un hecho puntual; que se dispone de documento de seguridad y de medios técnicos y organizativos para salvaguardar la seguridad de los datos, debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad; aplicadas ya por esta Agencia, en otros procedimientos similares relativos a la localización en la vía pública de documentación con datos de carácter personal. Dentro de dichas circunstancias se ha tenido también en cuenta que, a raíz de los hechos, por parte de CORPORACION DERMOESTETICA se manifiesta que se han revisado y modificado los procedimientos e instrucciones, habiéndose puesto en marcha un nuevo y más intenso sistema de información, relativo a la protección de datos, para el personal de nuevo ingreso, y un procedimiento de verificación periódica de adecuación a los procedimientos, con el fin de tener constancia del grado de cumplimiento de los mismos. En segundo lugar, el art. 45.4 de la LOPD recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorándolas en aplicación de dichos criterios, permiten, que en este caso, se considere procedente imponer una multa en 4.000 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CORPORACION DERMOESTETICA S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma, una multa de 4000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 44.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a CORPORACION DERMOESTETICA S.A. y a DIRECCIÓN GENERAL DE LA POLICIA. GRUPO DELINCUENCIA URBANA CENTRO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es