PS-00422-2021

1/21  Expediente Nº: PS/00422/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 20 de mayo de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: PS/00422/2021 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha 27 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante AEPD). La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada le ha remitido un informe de su hija, menor de edad, desde el correo electrónico de una papelería-librería, lo que a su criterio vulnera el deber de confidencialidad. Posteriormente, desde su dirección personal, envía de nuevo el informe y facturas solicitadas, remitiendo algunas con datos personales de terceros (nombre y apellidos, DNI, dirección postal y periodo de tratamiento). Junto a la notificación se aportan: -Facturas (...) a su hija. -Facturas a nombre de C.C.C., con su NIF. -Facturas a nombre de D.D.D., con su NIF. -Facturas a nombre de E.E.E., con su NIF. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 -Copia de un correo electrónico enviado a la parte reclamante desde la dirección de correo ***EMAIL.1 con dos archivos adjuntos. -Copia de un correo electrónico enviado a la parte reclamante desde la dirección de correo ***EMAIL.2, con los mismos archivos adjuntos que el anterior. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 01/05/2021, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 10/05/2021. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 22/07/2021, tras haber solicitado previamente ampliación del plazo, se recibe en esta Agencia escrito de respuesta indicando: -Que previamente a emitir informe, ha recabado el consentimiento necesario de la madre de la menor, hija de la parte reclamante, para emitir un informe y enviar las facturas solicitadas a la parte reclamante. -Que, debido a una incidencia informática, la documentación requerida tuvo que ser enviada desde un proveedor de servicio puntual, se tomaron las medidas de seguridad oportunas durante el tratamiento y se resolvieron las incidencias producidas, con los propios interesados afectados, sin que, en ningún caso, hubiera habido el mínimo riesgo para la seguridad de la información, por la calidad de los datos. -Que por la noche, desde su propio ordenador una vez solucionada la incidencia, había creado una carpeta con la documentación de las facturas solicitadas, (…), y se cogió, por error la carpeta original, con las facturas correspondientes al trimestre en vigor. TERCERO: Con fecha 27 de junio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 12 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

1. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD. Con fecha 13/04/2022 a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, se notificó el acuerdo de inicio. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta que: 1- La parte reclamante, persona en progresivo conflicto grave con la menor y su tutora legal, había solicitado el día 26-03-2021, que se le reenviara , (porque ya había sido enviado, por expresa solicitud de su exmujer), el informe de su hija y las facturas de la totalidad de los servicios profesionales de la parte reclamada de los años pasados. A tal fin, facilitó su correo electrónico. Se procedió a enviarle de nuevo, por la insistencia y alegación de urgencia, también el informe, efectuándose a través de la papelería Ven y Lee, y por la noche desde el ordenador de la oficina de la parte reclamada, las facturas. El mismo reclamante comunicó al recurrente vía WhatsApp, el día 27-032021 (al día siguiente), a las 10:00, de la mañana (sábado), para decir que le había mandado con todo el pliego de facturas, 3 facturas de más y que lo iba a poner en comunicación de quien fuera. Siendo día festivo, sin poder comprobar causas y afectados, por ser fin de semana, ya que la parte reclamada no estaba en la consulta, donde se guarda la documentación por parte de la administrativa encargada. - “Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 10/05/2021. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos.” No habiendo ningún documento por medios analógicos o digitales, sobre tal comunicación, teniendo dos correos electrónicos, para los mismos como son ***EMAIL.3 y ***EMAIL.2 , en ninguno de estos dos figura ninguna comunicación, ni rechazada, como es preceptivo, cuando no se recoge la misma. A mayor abundamiento, existe consolidada jurisprudencia de nuestro Tribunal Constitucional y supremo que ponen en tela de juicio la validez exclusiva de las comunicaciones electrónicas no recibidas. Y como indica claramente, la Ley Orgánica 3/2018, de 5 de diciembre, en sus artículos “Artículo 64. Forma de iniciación del procedimiento y duración. …… 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica” Si la comunicación previa, antes mencionada, les hubiera llegado, como es preceptiva, no se hubiera admitido a trámite o podrían haber tenido la opción de defenderse, la cual no tuvieron. - Carecen manifiestamente de fundamento, la parte reclamante solicitó que se le enviara información de unas facturas, ya enviadas en los diferentes periodos y un informe de su hija, del tratamiento realizado, para lo cual la parte reclamada está autorizada. - Son abusivas, porque en ningún momento se ha incumplido la protección de datos, con lo que no tenía que admitirse a trámite el procedimiento. - no aporten indicios racionales de la existencia de una infracción, porque hace mención, de que se mandaron desde la papelería Ven y Lee (solo se mandó el informe), que, de acuerdo con lo dispuesto en el RGPD, y como ENCARGADO DE TRATAMIENTO SAD (Sin Acceso a Datos), se compromete y obliga a guardar secreto de todos los datos de carácter personal que conozca y a los que tenga acceso en virtud de la presente relación. Igualmente, custodiará e impedirá el acceso a los datos de carácter personal a cualquier usuario no autorizado o persona ajena al RESPONSABLE DEL TRATAMIENTO Las anteriores obligaciones se extienden en cualquier fase del tratamiento que de esos datos pudiera realizarse y subsistirán aún después de terminados los mismos, de lo que ha sido informado y cumple según su compromiso, por escrito en su: Política de Privacidad (papelería VEN Y LEE). 1. Identificación Titular: F.F.F. NIF: ***NIF.1 Domicilio social: ***DIRECCION.1 Correo electrónico: ***EMAIL.1 …… 10. Medidas de seguridad El titular tratará los datos del usuario en todo momento de forma absolutamente confidencial y guardando el secreto de estos, de conformidad con lo previsto en la normativa de aplicación, adoptando al efecto las medidas de índole técnico-organizativa necesarias que garanticen la seguridad de sus datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos. “Artículo 65. Admisión a trámite de las reclamaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
2. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.” Que no se ha causado ningún perjuicio, al interesado ni su familia, porque no ha sido comunicado a nadie ajeno a su entorno, ningún dato personal, del afectado, ni de la paciente. “Artículo 65. Admisión a trámite de las reclamaciones, punto 3. “
3. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” Ya que la información, del informe está separada en una carpeta, archivada aparte, fuera del circuito de gestión empresarial y de las fichas de pacientes, esta ANONIMIZACION, no pueden asociarse con un individuo en particular. Una vez que los datos son realmente de aplicación del RGPD. Además, hay un compromiso por escrito de las medidas de seguridad adaptadas a su trabajo cumpliendo con la protección de datos. Artículo 65. Admisión a trámite de las reclamaciones 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. Cosa que tampoco han hecho, cuando el nombramiento de DPO ha sido comunicado y figuraba, desde 05/03/2019. 2- Por lo que se refiere al aspecto formal, que se haya mandado una factura de una persona, que ha realizado una visita a una psicoterapeuta, no significa que sean datos sensibles y que esa persona tenga ningún problema, más que el deseo de saber más. “El principio sine qua non en una psicoterapia, es la concepción de la persona desde una perspectiva integral. La manera de abordar el problema o demanda no sólo depende de la naturaleza del mismo, sino también de la propia persona y sus contextos. Cada persona es única, al igual que lo son sus características personales y circunstancias vitales. Aunque parte del abordaje terapéutico consiste en descubrir la naturaleza del problema, el origen y las causas, sus particularidades y las variables relacionadas con éste; se trata fundamentalmente de dotar a la persona de un mayor conocimiento sobre sí misma. La búsqueda de solución de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 conflictos y la técnica a aplicar, vendrán determinados por las características de éstos y las del propio sujeto. La psicoterapia, en el sentido de habitarse y apropiarse de lo que uno puede llegar a ser, desde sus verdaderas potencialidades de autorrealización o desarrollo personal, aspira a coronar esa máxima del nosce te ipsum (conócete a ti mismo) que reza el proverbio clásico.” No hay comunicación de ningún dato de salud, ya que la visita a un profesional psicoterapeuta, no indica ningún problema, puede ser simplemente formación, o conocimiento de uno mismo, en ningún caso se comunica, ningún dato que informe de lo contrario o identifique un problema. Reglamento (UE) 2016/679 Artículo 9, Tratamiento de categorías especiales de datos personales …… 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; Indica la parte reclamada que tiene el consentimiento de la tutora legal, ya que la paciente es una menor, el reclamante lo solicito y consintió, de nuevo por escrito, incluso dio su correo electrónico para ello. Reglamento (UE) 2016/679 Artículo 9, Tratamiento de categorías especiales de datos personales b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; La comunicación de facturas y los datos, que en ella figuran son, cumpliendo con la obligación impositiva y legales, que ello conlleva, lo que redunda en el interés legítimo de esa información. Reglamento (UE) 2016/679 Artículo 9, Tratamiento de categorías especiales de datos personales h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta tambien a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. Por último, según el punto 3, la parte reclamada es una profesional sujeta a la obligación de secreto profesional, lo cual, le permitiría manejar datos de categorías especiales, sin haber cometido ninguna infracción, ya que no han sido comunicados, más que datos de nombre, dirección, ni si quiera correos o números de teléfono. “Ley Orgánica 3/2018, de 5 de diciembre Artículo 92. Protección de datos de los menores en Internet. Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información. Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica. Artículo 7. Consentimiento de los menores de edad. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela” Según indica la parte reclamada, la menor que figura en las facturas es, la hija de la parte reclamante, de la que tiene autorización de la tutora legal, y autorización de la parte reclamante por escrito. Además, el concepto de hija, que figura, en otra factura, no indica que tenga la consideración de menor, ya que solo es el concepto a facturar por la prestación, realizada y porque se paga, no indica en ningún caso edad. A mayor abundamiento, el Artículo 201 de nuestro Código Penal, que ha de servir como base teleológica a cómo ha de entenderse un procedimiento sancionatorio penal, impone que la denuncia ha de ser interpuesta imprescindiblemente por quien es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 afectado; y ni la clienta, ni el padre denunciador ni la madre lo son. Lo serían si un caso las tres personas correspondientes a las facturas que se enviaron al denunciante por equivocación. Pues bien, los que pueden considerarse afectados ni están en el procedimiento, ni quieren denunciar, ni se han ofendido; ofreciendo testimonio de los mismos, en caso de estimarlo la instrucción. Y además, el perdón del afectado aborta la pena y el delito. 3- El RGPD define, de un modo amplio, las “brechas de datos personales” como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. No tendrán consideración de brecha de datos personales sujetas a los artículos 33 y 34 del RGPD aquellos incidentes que: • ………. • No afecten a tratamientos de datos personales llevados a cabo por un responsable o un encargado. • Ocurran en tratamientos llevados a cabo por una persona física en el ámbito doméstico. Por lo tanto, no todos los incidentes de seguridad son necesariamente brechas de datos personales. A su vez, no toda acción que suponga una vulneración de la normativa de protección de datos puede ser considerada una brecha de datos personales. Por ejemplo, el mero hecho de recibir correos electrónicos no puede ser considerado en sí mismo como una brecha de datos personales cuando no puedan producir consecuencias sobre los derechos y libertades de las personas. No obstante, deben ser gestionadas como incidentes de seguridad, incluyendo la necesidad de determinar si han llegado a afectar a datos personales. En base al principio de responsabilidad proactiva, ante cualquier suceso que pueda tener consecuencias para los derechos y libertades de los interesados el responsable de tratamiento ha de reaccionar y mitigar dichas consecuencias En las Directrices 01/2021 sobre ejemplos relativos a la notificación de brechas de datos personales adoptadas por el Comité Europeo de Protección de Datos el 14 de enero de 2021 se pueden encontrar algunos ejemplos de brechas de datos personales. “Un incidente de seguridad que no ha afectado a datos personales o tratamientos de datos personales no es una brecha de datos personales, dado que no podría producir daños sobre los derechos y libertades de las personas físicas cuyos datos son objeto del tratamiento, independientemente de otros perjuicios que pueda producir al responsable o encargado del tratamiento.” Aun así, expone la parte reclamada que ha comunicado a los afectados la incidencia, el mismo domingo día 28 hasta el día 31 de marzo de 2021, por teléfono y por escrito (whatsapp), solo por el indicio de cometer una comunicación errónea, siguiendo los protocolos de seguridad, implantados en su consulta, con respeto a la protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 los datos, no habiendo recibido en ese momento y hasta 45 días después ninguna notificación oficial. 4- Continúa la investigación de los hechos objetos del presente procedimiento, a la par que ha pedido un dictamen sobre si las facturas, como tales, deben estar incluidas O NO dentro del REGLAMENTO (UE) 2018/1807 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 14 de noviembre de 2018 relativo a un marco para la libre circulación de datos no personales en la Unión Europea, el Documento COM