PS-00473-2021

1/12  Expediente Nº: PS/00473/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 19/08/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERÍA DE SANIDAD de la C.C.A.A. de MADRID, con CIF S7800001E (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que un tercero ha utilizado su identidad para cambiar su adscripción a otro Centro de Salud y que interpuestas denuncias policiales se ha dado nueva cita a la persona que usurpó su identidad. Y aporta: - Documento de “Relación de citas pendientes” fechado a 05/08/2020 donde consta el nombre y apellidos del reclamante, en “fecha de nacimiento” consta “26/11/1988” y constan dos citas en el mes de agosto de 2020. - Documento de “Relación de problemas de salud” fechado a 05/08/2020 donde consta el nombre y apellidos del reclamante, en “fecha de nacimiento” consta “26/11/1988”. - Documento de “Relación de citas pendientes” fechado a 18/08/2020 donde consta una cita para el 10/08/2020 en el Centro de Salud ***CENTRO.1. - Denuncia policial. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación, en el ámbito del E/10590/2020, a la parte reclamada el 08/10/2020, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La entidad no ha dado respuesta al traslado de la reclamación. TERCERO: Con fecha 21/12/2020 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Con fecha 26/05/2021 se envía requerimiento de información al reclamado. La notificación se realiza electrónicamente a través de notific@. La notificación consta entregada con fecha 27/05/2021. No se recibe contestación. QUINTO: Con fecha 6 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 32 del RGPD y Artículo 5.1.

1. d)del RGPD, tipificada en el Artículo 83.4 del RGPD. SEXTO: Con fecha 06/10/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los artículos 5.1.
2. d)y 32.1 del RGPD, tipificadas en los artículos 83.5.
3. a)y 83.4.
4. a)del citado RGPD. SEPTIMO: Notificado el acuerdo de inicio, el reclamado mediante escrito de 14/10/2021 solicito la subsanación del acuerdo de inicio; subsanación que le fue notificada mediante acuerdo de 26/10/2021. El 15/11/2021 el reclamado presentó escrito de alegaciones manifestando en síntesis: que se había producido problemas en el registro de la oficina de internet, razón por la cual en su momento no se pudo tener conocimiento del requerimiento informativo de la AEPD; que recibido el acuerdo de inicio se solicitó su subsanación y que posteriormente ese procedió a dar respuesta inmediata a las petición de información quedando constatado que no se había producido una suplantación de personalidad en la persona del reclamante sino un error humano en la identificación de dos ciudadanos con el mismo nombre y apellidos. OCTAVO: Con fecha 18/11/2021 se inició un período de práctica de pruebas, acordándose las siguientes; Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/10590/2020. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00473/2021 presentadas por el reclamado y la documentación que a ellas acompaña. NOVENO: El 14/02/2022 fue notificada al reclamado Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción de los artículos 5.1.
5. d)y 32.1 del RGPD, tipificadas en los artículos 83.5.
6. a)y 83.4.
7. a)del RGPD, con apercibimiento. Transcurrido el plazo establecido el reclamado, al tiempo de la presente Resolución, no había presentado escrito de alegación alguno. DECIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 06/11/2020 tiene entrada en la Agencia Española de Protección de Datos escrito del afectado manifestando que a comienzos de 2020 solicitó por primera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 vez su tarjeta sanitaria al centro de salud ***CENTRO.2, ; que con fecha 05/08/2020 al solicitar cita online con su médico, solo podía solicitar cita para el centro de salud ***CENTRO.1, C/ ***DIRECCIÓN.1, Madrid; que llamando al centro de salud ***CENTRO.2 comprueba que su DNI está correcto pero también le indican que su domicilio está en la C/ ***DIRECCIÓN.2 (Vallecas) y el número de teléfono no es el suyo; que alguien ha cambiado sus datos, si bien para llevarlo a cabo debe cumplir con un protocolo: identificarse y aportar el certificado de empadronamiento actualizado, gestión que el centro de salud ***CENTRO.1 parece haber omitido y ha dado lugar a que otra persona suplante su identidad; que si bien nunca ha usado la sanidad pública, constan citas reservadas y un historial médico que no le corresponde; que ha interpuesto denuncias policiales, si bien no han tomado ninguna medida ni se han comunicado con él. SEGUNDO. El reclamante ha aportado documento Relación de citas pendientes del Servicio de Atención Primara de Salud Madrid de fecha 05/08/2020, documento Relación de problemas de salud de fecha 05/08/2020 y documento Relación de citas pendientes de fecha 18/08/2020 (donde consta una cita para el 10/08/2020 en el Centro de Salud ***CENTRO.1), relativos al tercero cuyo nombre, apellidos, coincide con el reclamante. TERCERO. Consta aportada Denuncia ante la Policía Nacional, dependencias de Madrid-Retiro el 06/08/2020. CUARTO. El reclamado en escrito de 10/08/2021 ha señalado que “la incidencia producida tiene su origen en que existe otro ciudadano que coincide en nombre y apellidos con el denunciante, es decir, no se ha producido una suplantación de identidad como tal del ciudadano, sino que, por causa de un error humano en la identificación, al no seguirse los protocolos establecidos, dio lugar a la confusión producida. De esta forma, una vez realizadas las averiguaciones pertinentes, se ha podido concluir que, sobre la ficha administrativa del reclamante se realizó un cambio en el domicilio del mismo al haberse atendido al ciudadano con el mismo nombre y apellidos, sin haber comprobado el DNI o pasaporte del solicitante”. QUINTO. El reclamado ha aportado informe emitido el 15/09/2021 por la Gerencia Asistencial de Atención Primaria en el que se describen los hechos ocurridos y señalan las medidas de seguridad existentes y las adoptadas para evitar que se produzcan incidentes similares. SEXTO. Consta aportada comunicación dirigida al ciudadano de 05/10/2021, donde le informan que, una vez efectuadas las investigaciones pertinentes, en el mes de septiembre del año 2020 procedieron a rectificar de oficio aquellos datos de su historia clínica e información poblacional que se registraron por error. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Los hechos denunciados vienen motivados por la suplantación de la identidad del reclamante por un tercero con ocasión del cambio de su adscripción a otro Centro de Salud sin que se haya dado respuesta a su reclamación. En primer lugar, El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de exactitud, señalando: “1. Los datos personales serán: (…)
8. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…)” Lo que antecede hay que ponerlo en relación con el artículo 5, Exactitud de los datos, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), que señala en su apartado 1: “1. Conforme al artículo 5.1.
9. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados (…)” Y el Considerando 71 del RGPD dispone que, "(...) a fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto". III La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
10. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”. IV De la documentación obrante en el expediente se evidencia que el reclamado ha vulnerado el artículo 5.1.d), principio de exactitud, en relación con el artículo 5 de la LOPGDD, Exactitud de los datos, al confundir en su identificación los datos de carácter personal del reclamante con los de un tercero con el mismo nombre y apellidos sin haber comprobado el DNI o pasaporte como marca el protocolo. En relación con el citado artículo y su actualización (que sería la manifestación del principio de exactitud que podría entenderse incumplido), exige que se adopten “las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan”. Es decir, el artículo 5.1.
12. d)no impone adoptar medidas desproporcionadas para actualizar los datos, sino las razonables, atendiendo a los medios disponibles y el fin para el que se usan los datos. Así lo expresa también el considerando 39 del RGPD. Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que “(…) para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. Considera el reclamante que una tercera persona ha utilizado su identidad para cambiar su adscripción a otro Centro de Salud y que interpuesta denuncia policial se ha dado nueva cita a la persona que usurpó su identidad, vulnerándose el principio de exactitud que debe regir en los datos de carácter personal, contemplado en el artículo 5.1.
13. d)del RGPD, así como del artículo 5.1 de la LO 3/2018, de 5 de diciembre, de Protección de datos personales y garantía de los derechos digitales. Principio de exactitud, que constituye una de las manifestaciones esenciales del derecho fundamental de protección de datos personales ( artículo 18.4 CE), y que en el presente supuesto, ha sido vulnerado como manifiesta el propio reclamado cuando señala que “Se averiguó que existe otro paciente que coincide en nombre y apellidos con el reclamante…De esta forma, una vez realizadas las averiguaciones pertinentes, se ha podido concluir que, sobre la ficha administrativa del reclamante se realizó un cambio en el domicilio del mismo al haberse atendido al ciudadano con el mismo nombre y apellidos, sin haber comprobado el DNI o pasaporte del solicitante”. No obstante, en su escrito de 08/10/2021 señala que “A su vez, debemos referenciar que en cumplimiento del principio de exactitud recogido en el artículo 5 del RGPD, según el cual, los datos tratados deben ser exactos y, si fuera necesario, actualizados; por parte del responsable del tratamiento, se han adoptado todas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos, y de forma proactiva, se ha procedido de oficio a cancelar de la historia clínica del reclamante los registros que no correspondían a su persona”. Y que por tanto “queda constatado que, no se ha producido una suplantación de identidad del interesado, si no que el incidente ocurrido se debe a un error humano en la identificación de dos ciudadanos que tienen el mismo nombre y apellidos, habiéndose detectado el mismo, de manera proactiva, se han solventado las distintas consecuencias que pudieran haberse materializado”. V En segundo lugar, hay que señalar que la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD. El artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
14. a)la seudonimización y el cifrado de datos personales;
15. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
16. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
17. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
18. a)del citado RGPD en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
19. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
20. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…)” VI El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad como consecuencia del quebrantamiento de las medidas establecidas para evitar errores en la identificación de los usuarios. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “