PS-00429-2021

1/7  Expediente Nº: PS/00429/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: El COLEGIO OFICIAL DE ENFERMERÍA DE BURGOS y el CONSEJO GENERAL DE ENFERMERIA (en adelante, la parte reclamante) con fecha 23/02/ 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJO DE COLEGIOS PROFESIONALES DE DIPLOMADOS EN ENFERMERÍA DE CASTILLA Y LEÓN con NIF Q9755008A (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: que el ***CARGO.1 ha remitido en los últimos meses escritos a los 52 Colegios provinciales de Enfermería, en los que anuncia la publicación sucesiva de envíos de datos e informaciones sobre miembros del Consejo General de Enfermería, considerando que esas actuaciones son contrarias a lo establecido en la normativa de protección de datos. Aportan documentos en los que se incluyen datos personales (domicilio, DNI remuneraciones económicas) de miembros de la Comisión Ejecutiva del Consejo General de Enfermería, (…). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 22/03/2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito. TERCERO: Con fecha 23/06/2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 10/01/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.c), tipificada en el artículo 83.5.

1. a)del RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
2. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 HECHOS PROBADOS PRIMERO: El 23/02/2021 el reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, manifestando que el reclamado ha remitido en los últimos meses escritos a los 52 Colegios provinciales de Enfermería, en los que anuncia la publicación sucesiva de envíos de datos e informaciones sobre miembros del Consejo General de Enfermería, considerando que esas actuaciones son contrarias a lo establecido en la normativa de protección de datos. SEGUNDO: Consta aportada carta de 23/12/2020 remitida por el Consejo de Colegios de Enfermería de Casilla y León a distintos Colegios de Enfermería en el que se informa sobre la recepción de documentación relativa al reclamado y que debido a la gravedad de los presuntos delitos que se denuncian ha sido puesto en conocimiento de la Fiscalía y anunciando la próxima puesta en conocimiento de nuevas informaciones y documentos que se irán poniendo en conocimiento de los colegiados a la vez que denuncia los continuos ataques e intromisiones del (…). TERCERO: Consta aportada nueva carta de 12/02/2021 remitida por el Consejo de Colegios de Enfermería de Castilla y León en el que se anuncia nuevas informaciones, documentos, entre ellos la remuneración económica que percibe (…). CUARTO: Consta aportado (…), Organización Colegial de Enfermería, Consejo General, cuyo perceptor es (…), figurando sus datos personales (nombre y apellidos, domicilio y DNI) y remuneración económica en concepto de asignación como asesor (…), según acuerdo de la reunión ordinaria de la Comisión Ejecutiva de fecha XX/XX/2019. El documento no contiene las firmas del Presidente ni la del Tesorero. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 2. El acuerdo de iniciación deberá contener al menos:
3. a)Identificación de la persona o personas presuntamente responsables.
4. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
5. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
6. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
7. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
8. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. En aplicación del anterior precepto y teniendo en cuenta que no se han formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. III El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: (…)
9. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…) IV La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en su apartado 1.
10. c)al publicar y divulgar entre los Colegios de Enfermería datos no adecuados ni pertinentes, excesivos como el domicilio, DNI y datos económicos, etc. de colegiados. El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
11. c)se hace referencia al principio de minimización de datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero no con ningún otro objetivo. También el Considerando 39 señala que: