← España

PS-00487-2024

1/40  Expediente Nº: EXP202306404 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CRUZ ROJA ESPAÑOLA (en adelante, CRUZ ROJA). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 4 de diciembre de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202306404 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 19 de abril de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a CRUZ ROJA ESPAÑOLA con NIF ***NIF.1 (en adelante, CRUZ ROJA). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: Quien reclama expone que ha sido paciente de la unidad de reproducción asistida de CRUZ ROJA, para un tratamiento a través del cual quedaron embriones vitrificados. Afirma que 5 años después ha recibido un correo electrónico donde se le comunicaba el cambio de gestión de ese banco de embriones, pero donde figuraban los datos personales (nombre, apellidos y DNI) de otros pacientes, incumpliendo así la normativa de protección de datos. Junto a la reclamación se aporta: -Carta enviada con membrete de CRUZ ROJA (***HOSPITAL.1) dirigida a dos personas distintas de quien reclama, detallando nombre, apellidos y números de Documentos nacionales de identidad (DNI). En la misma manifiestan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/40 “Mediante la presente notificación se informa que los gametos que Usted criopreserva en el ***HOSPITAL.1 , con CIF ***NIF.1 y domicilio en ***DIRECCIÓN.1, acontecerá un CAMBIO DE GESTIÓN DEL BANCO DE GAMETOS CRIOPRESERVADOS. El centro gestor será ***EMPRESA.1, con CIF ***NIF.2 y domicilio fiscal en ***DIRECCIÓN.2, incluyendo, pero sin limitarse, la gestión de datos, de sus gametos almacenados y de la información necesaria para asegurar la trazabilidad de los mismos. En el supuesto de no recibir respuesta por su parte a esta notificación en un plazo de 30 días (1 mes) desde la recepción de la misma, se comprenderá que no se opone a su contenido, aceptando la totalidad de las condiciones descritas en la misma. En cualquier caso, puede obtener más información detallada sobre sus derechos, gestiones a realizar, así como sobre el proceso de traslado de sus datos, utilizando cualquier contacto que le detallamos a continuación: ***EMAIL.1 Teléfono y WhatApps: ***TELÉFONO.1” La carta está firmada por los Gerentes del centro de CRUZ ROJA (***HOSPITAL.1) y de ***EMPRESA.1 y va dirigida a dos personas que no guardan relación con la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CRUZ ROJA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 6/06/2023 CRUZ ROJA dio respuesta al traslado de la reclamación manifestando, entre otras cosas, lo siguiente: “En primer lugar, acompaño al presente escrito, como ANEXO N.º 1, copia de la decisión adoptada en relación con la reclamación interpuesta y comunicada a la denunciante, a través de email de fecha 19 de Mayo de 2023, al que ésta acusó recibo el día 26 del mismo mes y año.” [….] Señalar, en primer lugar, que el tratamiento respecto del cual ha tenido lugar la reclamación interpuesta ha sido el envío por parte del ***HOSPITAL.1 a los pacientes del Banco de Gametos Crio conservados, de un comunicado informando del cambio en el centro gestor de dicho banco. En el marco del envío de las citadas comunicaciones, que se realizaron vía email, se produjo un error técnico y humano que provocó que la última parte de tales envíos se realizaran a destinatarios incorrectos, conteniendo la comunicación enviada a éstos el nombre y apellidos y DNI de otros usuarios del mismo banco. Concretamente, el error consistió en que, para realizar el envío de dicha notificación a cada uno de los destinatarios, se confeccionó un documento combinado de Word: por un lado, la notificación del cambio de gestión y, por otro, un documento Excel con una relación de pacientes que incluyen nombres, DNI y direcciones de correo electrónico. Mediante una macro de Word, se realiza un proceso en el que genera un documento PDF que se envía por correo electrónico a cada paciente. Una vez realizadas diversas pruebas, siendo las mismas completamente satisfactorias, el 13/04/2023, a las 9:36 horas de la mañana, se lanza el proceso, el cual genera y envía correctamente los primeros 299 documentos, siendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/40 a partir del documento número 300 cuando comienza, sin previo aviso, a generar documentos y enviarlos a los destinatarios incorrectos. Dicho incidente fue debidamente comunicado por Cruz Roja Española a la Agencia Española de Protección de Datos en fecha 17 de Abril de 2023, tal y como consta en el justificante que se acompaña como ANEXO N.º 2, al que se adjuntó el informe del Delegado de Protección de Datos que figura unido al referido anexo. Este Iltre. Organismo acusó recibo de la citada notificación, mediante Resolución de fecha 24 de Abril de 20203 que también se une en el ANEXO 2. […] hasta el pasado año 31 de marzo de 2023, la titularidad del Banco de Gametos Crio conservados del ***HOSPITAL.1 recaía en Cruz Roja Española, de forma que los informes técnicos que se realizaban sobre dicha actividad (reproducción asistida) se encuadraban en las auditorías RGPD realizadas cada 2 años al hospital por parte del equipo de Protección de Datos de CRE. Acompañamos como ANEXO N.º 3 los informes de auditoría realizados el 18/12/2020 y El 01/02/2023 al ***HOSPITAL.1 . El 23 de Marzo de 2023 se ha procedido a solicitar a la ***ORGANISMO.1 el cambio en la titularidad del Banco de Gametos Crio conservados, que ha sido traspasada a la entidad ***EMPRESA.1 tal y como consta en la solicitud y autorización administrativa que se adjuntan como ANEXO N.º 4. En el contrato firmado entre CRUZ ROJA y ***EMPRESA.1 para dicho traspaso de la titularidad, el 28 de Junio de 2022, se recoge lo siguiente: “El hospital cede la titularidad del banco de ovocitos y embriones a ***EMPRESA.1, debiendo se ratificada mediane la obtención de los permisos reglamentarios que procedan para hacer efectiva la referida cesión…… ***EMPRESA.1 comunicará los cambios de titularidad de los ficheros a la Agencia Española de Protección de Datos informando también a los pacientes del cambio de titularidad del responsable del fichero…” Por lo tanto, es en el marco de la comunicación a los pacientes del cambio de titularidad del Banco de Gametos Crio conservados, cuando se produjo el lamentable error en el envío que provocó, por un lado, la notificación del incidente a la AEPD y, por otro, la reclamación de la paciente que hoy nos ocupa y que, entendemos, ha quedado aclarada. […]Las medidas que han sido adoptadas por CRUZ ROJA para impedir que se produzcan el en futuro errores como el que hoy nos ocupa, han sido las siguientes: ➢ Lunes, 17 de abril de 2023 17:38h: Envío de email a las mismas personas receptoras del primer email erróneo, pidiendo disculpas y dando instrucción para la eliminación del archivo adjunto a éste. ➢ Lunes 17 de Abril de 2023: A nivel interno, prohibición de realizar envíos de este tipo sin la previa autorización y supervisión del responsable TID. ➢ Realización de próxima formación relacionada con la Protección de Datos en el plazo de 3 meses TERCERO: Con fecha 19 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/40 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Según manifiesta CRUZ ROJA en su respuesta al traslado de la reclamación, se produjo un fallo involuntario por parte del responsable del Departamento de Sistemas de Información (TID) de ***HOSPITAL.1, a quien se encomendó el envío de las notificaciones y que cometió un error de programación en una macro de Word, a causa del cual se enviaron los datos de algunos pacientes del biobanco a las direcciones de correo electrónico de otros pacientes del mismo. CRUZ ROJA manifiesta que la macro debía extraer los datos nombre, número de D.N.I. y correo electrónico de los pacientes, almacenados en una hoja de cálculo, incluir los nombres y números de D.N.I. en los documentos de texto, y enviarlos a la dirección de correo electrónica asociada al paciente. Como consecuencia del fallo de programación, según CRUZ ROJA manifiesta se enviaron 299 notificaciones correctamente, y 237 incorrectamente, todas ellas a pacientes del biobanco. Preguntada Subdirección General de Inspección de Datos sobre el proceso de realización de las pruebas previas al envío de las notificaciones de cambio de titularidad, CRUZ ROJA manifiesta que se realizó un muestreo aleatorio de las mismas, en el que no detectaron el error: “En cuanto a las pruebas previas, según se manifestó por el Responsable TID del Hospital, se realizaron mediante la apertura aleatoria de ficheros generados antes de su envío (se abrieron entre 8 y 10 ficheros). En los ficheros comprobados se verificó que los datos eran correctos. No se dispone de más información a este respecto ni puede verificarse la veracidad de estas afirmaciones, ya que el citado Responsable fue cesado a raíz del incidente.” CRUZ ROJA manifiesta que el ***HOSPITAL.1 tuvo conocimiento de la brecha de datos personales el mismo día 13 de abril, tras recibir llamadas telefónicas de los propios afectados. Posteriormente se menciona que hubo asimismo comunicación por parte de la Delegación de Salud. Las notificaciones enviadas no estaban protegidas por ninguna medida de cifrado, a pesar de que el sistema de gestión de seguridad de la información del ***HOSPITAL.1 establece la protección de la información remitida por correo electrónico mediante cifrado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/40 Notificación de la brecha: La parte reclamante manifiesta que recibió la comunicación el 13 de abril (fecha de los hechos); registra su reclamación el 19 de abril. Queda acreditado que CRUZ ROJA notificó la brecha de datos personales a la AEPD el lunes 17 de abril de 2023, registro ***REFERENCIA.1, del que aporta copia. En el formulario, seleccionó la opción “Plazo de 72h expira fuera de la jornada laboral, durante el fin de semana o en vacaciones”. CRUZ ROJA manifiesta que notificó la brecha a todos los afectados el mismo día, 17 de abril de 2023. Preguntada por la Subdirección General de Inspección de Datos por el protocolo para gestionar y registrar las violaciones de la seguridad, CRUZ ROJA aporta el procedimiento que expresa: “Es necesario que cualquier brecha de la seguridad de los datos personales, hechos relacionados, efectos y las medidas correctivas adoptadas, así como la propia notificación, se registre y justifique documentalmente, de modo que esta documentación permita a la autoridad de control verificar el cumplimiento de la obligación de notificación en todo su contenido.” Solicitada acreditación documental del envío de las notificaciones de la brecha a los afectados, CRUZ ROJA manifiesta haber notificado a 637 afectados, y aporta copia del modelo de la notificación enviada, aunque no acredita el envío de los correos. Análisis de Riesgos (AR): Preguntada por el AR relacionado con el tratamiento, CRUZ ROJA lo aporta en: - En el AR se asigna la categoría “ESPECIAL” al tratamiento “GESTIÓN CLÍNICA”. - En “1. ESTRUCTURA DEL TRATAMIENTO”, la descripción de la probabilidad de ocurrencia y gravedad del impacto, relacionados con los riesgos asociados a ese tratamiento, califica todos los riesgos iniciales como “Bajo” o “Muy bajo”, y todos los riesgos finales (residuales tras las medidas de mitigación del riesgo) como "Muy bajo”. - En el apartado “2. CUMPLIMIENTO NORMATIVO”, la descripción de la probabilidad de ocurrencia y gravedad del impacto, relacionados con los riesgos asociados a ese tratamiento, califica todos los riesgos iniciales como “Bajo”, y todos los riesgos finales (residuales tras las medidas de mitigación del riesgo) como "Bajo”. No se califican los riesgos asociados a otros encargados o corresponsables del tratamiento, ni a otros destinatarios. - En el apartado “3. RECURSOS”, bajo el apartado “CORREO ELECTRÓNICO”, se indica: “No se transmiten datos desde la aplicación”, y se califican los riesgos inicial y final como “Muy bajo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/40 Al solicitar aclaraciones sobre la fecha de redacción y versiones del AR, que no constan en el aportado, CRUZ ROJA aporta un escrito, en el que constan como fechas de realización 15 de enero de 2023 y de revisión 29 de febrero de 2024. CRUZ ROJA manifiesta, que en la revisión se han corregido los errores a que alude el punto 6 del requerimiento de información. - En referencia a la Responsabilidad del tratamiento de la actividad “Gestión Clínica", el AR revisado por CRUZ ROJA mantiene que los datos no son tratados por encargados ni corresponsables del tratamiento. - Sobre el nombramiento de DPD, el AR revisado por CRUZ ROJA indica “[Se ha designado un DPO porque la actividad principal de la empresa CONSISTE en] tratar categorías ESPECIALES de datos personales a GRAN ESCALA” . Evaluación de Impacto (EIPD): Preguntada por la evaluación de impacto asociada al tratamiento de los datos de los pacientes, CRE manifiesta no haber realizado una EIPD por tratarse de un tratamiento anterior a la entrada en vigor del RGPD. Expresa: “Las medidas de seguridad exigibles a los ficheros y tratamientos que realiza el Hospital están en función del riesgo presente en los tipos de datos, que en su mayoría son de categoría especial por ser datos de salud y atendiendo a la naturaleza de la información tratada, en relación con la menor o mayor necesidad de garantizar la confidencialidad y la integridad de la información.” Sobre la Evaluación de impacto, EIPD, el AR de enero de 2023 indicaba que “[No precisa realizar una DPIA porque] el tratamiento no comporta un alto riesgo para los derechos y libertades de las personas físicas”. El AR de febrero de 2024 indica “[No precisa realizar una DPIA porque] no lo requiere la autoridad de control”. Auditorías y seguimiento de sus recomendaciones: CRUZ ROJA aporta como Anexo 3 dos informes de auditoría realizados a ***HOSPITAL.1 el 18 de diciembre de 2018 y el 1 de febrero de 2023 por ***EMPRESA.2. Ambos informes presentan recomendaciones. Se incluyen entre otras las verificaciones de las siguientes medidas contempladas en la auditoría de diciembre de 2018: - Apartado “Relación con proveedores (contratos con terceros)”: “Se informa de la obligación de ir actualizando los Acuerdos de Tratamientos de Datos que fueron firmados conforme a la antigua LOPD (Ley 15/1999) para ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/40 adaptados al RGPD. Dicha actualización deberá hacerse antes del 25 de mayo de 2022, haciendo uso de los modelos proporcionados por Oficina Central que se contienen en el siguiente punto.”. “Modelos de Encargo de Tratamientos CON y SIN acceso a datos para ser utilizados con los nuevos proveedores que se contraten y para actualizar aquellos firmados conforme a la antigua LOPD.” Sobre esas medidas, se indica “Verificado en auditoría de 1 de febrero de 2023”, en la que, refiriéndose a la verificación o implantación de estos apartados figura la expresión “Se encuentra en proceso. - Apartado “Procedimiento para la notificación de nuevos tratamientos de datos personales conforme al art. 30 RGPD”: “Cualquier nuevo tratamiento de datos que vaya a ser llevado a cabo por el Hospital, deberá notificarse a la Oficina de Protección de Datos de CRUZ ROJA para su inclusión en el RAT, conforme al procedimiento indicado.” “Además, cuando se pretenda por el Centro poner en marcha proyectos que puedan suponer un alto riesgo para la privacidad o el derecho a la protección de datos de las personales físicas afectadas, bien sea por el uso de nuevas tecnologías especialmente intrusivas de la privacidad o porque afecten a datos especialmente protegidos o supongan procesos automatizados de toma de decisiones , deberán notificarse, con carácter previo, a la Oficina de Protección de Datos de CRUZ ROJA, con la finalidad de valorar con el DPO, la obligación de realizar la Evaluación de Impacto contemplada en el art. 35 RGPD.” Sobre esas medidas, se indica “Verificado en auditoría de 1 de febrero de 2023”, en la que, refiriéndose a la verificación o implantación de estos apartados figura la expresión “OK”. Se redacta diligencia sobre la aparición de la parte reclamante en la página web de la entidad ***EMPRESA.3, y se incorpora como objeto asociado al expediente. QUINTO: Con fecha 10 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5.
  2. a)del RGPD, y por la presunta infracción del artículo 35 del RGPD, tipificada en el artículo 83.4.
  3. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/40 Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba los siguientes motivos de oposición al acuerdo de inicio: - Caducidad del procedimiento por transcurso del plazo establecido en el artículo 67.2 de la LOPDGDD. Error en la calificación y tipificación de la infracción del art. 35 RGPD. Se trata de un incidente aislado, el cual se ha calificado incorrectamente como una infracción del art. 5.1.
  4. f)del RGPD, tratándose en realidad de una vulneración del art. 32 del RGPD. Justifica la ausencia de Evaluación de Impacto en el tratamiento en cuestión debido a que es anterior al RGPD, habiéndose realizado un Análisis de Riesgo y, en cualquier caso, la infracción estaría prescrita. Sostiene que no le corresponde la adopción de la medida correctiva, esta es, la EIPD relativa al tratamiento “Gestión clínica-Reproducción Asistida” debido a que actualmente no tiene la condición de responsable de tratamiento. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 17 de abril de 2023 se notificó una brecha de datos personales de CRUZ ROJA ESPAÑOLA a la División de Innovación Tecnológica de esta Agencia, con número de entrada ***REFERENCIA.1. Esta notificación fue remitida por ALBATROS DATA PROTECTION S.L., encargado de tratamiento de CRUZ ROJA ESPAÑOLA. Adjunta a esta notificación se remite el documento con título “VIOLACIÓN DE SEGURIDAD – INCIDENCIA NÚM. XX/XXXX”, en el que se describe la siguiente brecha de datos personales: “Envío de datos cruzados entre pacientes, al confeccionar el documento de notificación de cambio de gestión del banco de gametos crioconservados. Para realizar el envío de dicha notificación a cada uno de los destinatarios, se confecciona un documento combinado de Word: por un lado, la notificación del cambio de gestión y, por otro, un documento Excel con una relación de pacientes que incluyen nombres, DNI y direcciones de correo electrónico. Mediante una macro de Word, se realiza un proceso en el que genera un documento PDF que se envía por correo electrónico a cada paciente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/40 Una vez realizadas diversas pruebas, siendo las mismas satisfactorias, el 13/04/2023, a las 9:36 horas de la mañana, se lanza el proceso, el cual genera y envía correctamente los primeros 299 documentos, siendo a partir del documento número 300 cuando comienza, sin previo aviso, a generar documentos y enviarlos a los destinatarios incorrectos.” (el subrayado es nuestro) SEGUNDO: Con fecha 19 de abril de 2023, se presentó reclamación ante esta Agencia, con relación a la brecha de datos personales a la que se refiere el hecho probado anterior. La parte reclamante aportó un documento, según declara, remitido por correo electrónico por CRUZ ROJA ESPAÑOLA, con el siguiente contenido: “Mediante la presente notificación se informa que los gametos que Usted criopreserva en el ***HOSPITAL.1 , con CIF ***NIF.1 y domicilio en ***DIRECCIÓN.1, acontecerá un CAMBIO DE GESTIÓN DEL BANCO DE GAMETOS CRIOPRESERVADOS. El centro gestor será ***EMPRESA.1, con CIF ***NIF.2 y domicilio fiscal en ***DIRECCIÓN.2, incluyendo, pero sin limitarse, la gestión de datos, de sus gametos almacenados y de la información necesaria para asegurar la trazabilidad de los mismos. En el supuesto de no recibir respuesta por su parte a esta notificación en un plazo de 30 días (1 mes) desde la recepción de la misma, se comprenderá que no se opone a su contenido, aceptando la totalidad de las condiciones descritas en la misma. En cualquier caso, puede obtener más información detallada sobre sus derechos, gestiones a realizar, así como sobre el proceso de traslado de sus datos, utilizando cualquier contacto que le detallamos a continuación: ***EMAIL.1 Teléfono y WhatApps: ***TELÉFONO.1” Este documento está firmado por los Gerentes del centro de CRUZ ROJA (***HOSPITAL.1) y de ***EMPRESA.1 y va dirigida a dos personas que no guardan relación con la parte reclamante. TERCERO: Con fecha 19 de abril de 2023, por esta Agencia se recoge la Política de Privacidad de CRUZ ROJA ESPAÑOLA, en la que consta lo siguiente: “¿Qué medidas de seguridad aplicamos a los datos personales? Aplicamos las medidas de seguridad necesarias para evitar el robo, alteración o acceso no autorizado a los datos, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En el caso de contratación de servicios, exigimos y velamos porque el encargado del tratamiento aplique medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a los riesgos existentes, conforme se recoge en el artículo 32 del Reglamento General de Protección de Datos. También realizamos evaluaciones de impacto sobre aquellas operaciones de tratamiento que consideramos puedan tener un riesgo para los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/40 de las personas, con el objeto de implantar las medidas necesarias y oportunas para evitar una violación de la confidencialidad.” CUARTO: Con fecha 19 de mayo de 2023, el Delegado de Protección de Datos de CRUZ ROJA ESPAÑOLA envió al correo electrónico ***EMAIL.2, perteneciente a la parte reclamante, el siguiente mensaje: “Estimada A.A.A., Le informo que la Agencia Española de Protección de Datos (AEPD), ha dado traslado a Cruz Roja Española de la denuncia interpuesta por usted en fecha 19 de Abril de 2023. […] Indicarle a este respecto que el motivo por el que, en la comunicación recibida por usted, figuraran los datos personales de otras personas, fue una lamentable e inesperada concatenación de errores, humano e informático, que tuvieron lugar en el procesamiento de los envíos de la citada comunicación a los usuarios del Banco de Gametos Criopreservados y que provocó que, la última parte de tales envíos fueran dirigidos a destinatarios incorrectos. En este sentido, manifestarle que, una vez revisados la totalidad de los envíos realizados, hemos podido comprobar que, si bien usted ha sido receptora de la comunicación con datos de otras personas, sin embargo, sus datos personales no figuran entre los envíos remitidos (correctos e incorrectos), por lo que podemos garantizarle que ninguno de los destinatarios del envío realizado ha recibido una comunicación en la que figuraran sus datos personales. […]” (el subrayado es nuestro) Con fecha 26 de mayo de 2023 la parte reclamante confirmó por correo electrónico a CRUZ ROJA ESPAÑOLA la recepción del citado mensaje. QUINTO: Con fecha 6 de junio de 2023, CRUZ ROJA ESPAÑOLA remite respuesta al traslado de la reclamación realizado por esta Agencia, con el siguiente contenido: “Señalar, en primer lugar, que el tratamiento respecto del cual ha tenido lugar la reclamación interpuesta ha sido el envío por parte del ***HOSPITAL.1 a los pacientes del Banco de Gametos Crio conservados, de un comunicado informando del cambio en el centro gestor de dicho banco. En el marco del envío de las citadas comunicaciones, que se realizaron vía email, se produjo un error técnico y humano que provocó que la última parte de tales envíos se realizaran a destinatarios incorrectos, conteniendo la comunicación enviada a éstos el nombre y apellidos y DNI de otros usuarios del mismo banco. Concretamente, el error consistió en que, para realizar el envío de dicha notificación a cada uno de los destinatarios, se confeccionó un documento combinado de Word: por un lado, la notificación del cambio de gestión y, por otro, un documento Excel con una relación de pacientes que incluyen nombres, DNI y direcciones de correo electrónico. Mediante una macro de Word, se realiza un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/40 proceso en el que genera un documento PDF que se envía por correo electrónico a cada paciente. Una vez realizadas diversas pruebas, siendo las mismas completamente satisfactorias, el 13/04/2023, a las 9:36 horas de la mañana, se lanza el proceso, el cual genera y envía correctamente los primeros 299 documentos, siendo a partir del documento número 300 cuando comienza, sin previo aviso, a generar documentos y enviarlos a los destinatarios incorrectos. […] Con relación a esta información requerida, hay que señalar que, hasta el pasado año 31 de marzo de 2023, la titularidad del Banco de Gametos Crio conservados del ***HOSPITAL.1 recaía en Cruz Roja Española, de forma que los informes técnicos que se realizaban sobre dicha actividad (reproducción asistida) se encuadraban en las auditorías RGPD realizadas cada 2 años al hospital por parte del equipo de Protección de Datos de CRE. Acompañamos como ANEXO N.º 3 los informes de auditoría realizados el 18/12/2020 y el 01/02/2023 al ***HOSPITAL.1. El 23 de Marzo de 2023 se ha procedido a solicitar a la Junta de Andalucia el cambio en la titularidad del Banco de Gametos Crio conservados, que ha sido traspasada a la entidad ***EMPRESA.1 tal y como consta en la solicitud y autorización administrativa que se adjuntan como ANEXO N.º 4. Por lo tanto, es en el marco de la comunicación a los pacientes del cambio de titularidad del Banco de Gametos Crio conservados, cuando se produjo el lamentable error en el envío que provocó, por un lado, la notificación del incidente a la AEPD y, por otro, la reclamación de la paciente que hoy nos ocupa y que, entendemos, ha quedado aclarada.” (el subrayado es nuestro) De esta forma, según manifiesta CRUZ ROJA en su respuesta al traslado de la reclamación, se produjo un error técnico y humano por parte del responsable del Departamento de Sistemas de Información (TID) de ***HOSPITAL.1, a quien se encomendó el envío de las notificaciones y que cometió un error de programación en una macro de Word, a causa del cual se enviaron los datos de algunos pacientes del biobanco a las direcciones de correo electrónico de otros pacientes del mismo SEXTO: Con fecha 19 de diciembre de 2023, CRUZ ROJA ESPAÑOLA remite respuesta al requerimiento de información efectuado por esta Agencia en el marco de las actuaciones previas de investigación, de fecha 30 de noviembre de 2023, con el siguiente contenido: “1. En relación con la cesión de los datos personales de los afectados: Como ANEXO N.º 1, se acompañan los siguientes documentos: - Contrato suscrito entre CRUZ ROJA ESPAÑOLA y ***EMPRESA.1… […] Indicar a este respecto que los datos se entregaron a ***EMPRESA.1 el día de la firma de dicha Adenda, en un archivo Excel protegido con contraseña, que fue alojado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/40 servidor de dicha entidad, que se encuentra ubicado en el Centro de Procesamiento de Datos (CPD) del Hospital. La contraseña para el acceso al archivo se proporcionó a ***EMPRESA.1 en el momento de la firma de la adenda del contrato. […] 3. Acreditación documental de: - Registro de actividades de tratamiento (RAT) de datos personales en las categorías de datos afectadas por la brecha. (ver ANEXO N.º 2) - Evaluación de impacto (EIPD) de los tratamientos de los datos personales afectados por la brecha. - Análisis de riesgo (AR) realizados sobre la actividad de tratamiento que ha sufrido la brecha de seguridad previo a la incidencia y sus posibles modificaciones posteriores. Como ANEXO N.º 3 Se acompaña Análisis de Riesgo (AR) realizado sobre la actividad de tratamiento de datos personales del ***HOSPITAL.1 . Indicar a este respecto que, sobre el tratamiento en cuestión (Gestión clínica – Reproducción Asistida), no se realizó la Evaluación de Impacto (EIPD) contemplada en el art. 35 RGPD, al tratarse de un tratamiento anterior a la entrada en vigor del RGPD. Se aporta así, como ANEXO 4, el Procedimiento General Operativo del Archivo de Historias Clínicas del Hospital de fecha 7 de Noviembre de 2016 4. Sobre las comunicaciones a los afectados acerca del cambio de responsable: - Información acerca de la creación de la hoja de cálculo que sirvió de base para el envío de los correos. - Empresa encargada de la realización de la Macro empleada para el traslado de las direcciones de notificación desde la hoja de cálculo a los documentos enviados, o responsable interno y puesto de trabajo del programador de la Macro. - Descripción del proceso de realización de las pruebas previas al envío de las comunicaciones, especificando qué datos se emplearon para las pruebas. En cuanto a información relativa al archivo o fichero que sirvió de base para el envío de los correos, indicar que se trata de un Excel que se creó al inicio de la actividad de Reproducción Asistida, con el fin de gestionar los usuarios del banco de gametos y que tipo de material genético se almacenaba. Dicho archivo era gestionado por una única persona (responsable TID del Hospital) y estaba protegido por contraseña. Así, con motivo del convenio formalizado con "***EMPRESA.1", y con el objetivo de poner de nuevo en funcionamiento la unidad de reproducción y autorizadas las unidades asistenciales, con fecha de 21 de marzo de 2.023, se requirió por la Inspección de la Consejería de Salud y Familiar de la ***ORGANISMO.1, como requisito imprescindible, la comunicación a las mujeres y/o parejas que pudieran tener ovocitos, embriones, o espermas en el banco del Hospital, del cambio de gestión del mismo hacía ***EMPRESA.1. Dicha labor de comunicación fue encomendada por el Hospital al Responsable del Departamento Informático, determinándose que la comunicación debía de realizarse vía correo electrónico de forma personalizada, dándose expresas instrucciones de que el archivo, que contenía los nombres y DNI de las 637 personas con material biológico depositado en el Hospital y la referencia del tipo de depósito realizado, debía ir debidamente cifrado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/40 Para el envío de correspondencia que nos ocupa, el documento Excel con los datos de los pacientes se fusionó con un documento Word. No se encargó a ninguna empresa externa la realización de la Macro para el envío, sino que se realizó por el citado Responsable del Departamento de Sistemas de Información (TID) del Hospital. Según se comprobó, de las 637 comunicaciones que debieron girarse, mediante la emisión de Word y la inserción de los ficheros Excel, que comenzaron a remitirse el día 13 de abril a las 9:36 horas, sólo 299 se giraron adecuadamente. De esta forma, a partir del envío 300, comenzaron a generarse errores de remisión ( “saltos de línea” ) , enviando a unos usuarios la información de otros, en un total de 237, constatándose, a partir de las 13:48 horas, el primer aviso del envío incorrecto, mediante las llamadas que, a partir de ese momento, comenzaron a recibirse, tanto en el Hospital como en ***EMPRESA.1, de usuarios que indicaban que sus datos no correspondían a aquellos que se insertaban en el anexo incorporado. A partir de dicho momento, se suspendió inmediatamente el envío de la información. En cuanto a las pruebas previas, según se manifestó por el Responsable TID del Hospital, se realizaron mediante la apertura aleatoria de ficheros generados antes de su envío (se abrieron entre 8 y 10 ficheros). En los ficheros comprobados se verificó que los datos eran correctos. No se dispone de más información a este respecto ni puede verificarse la veracidad de estas afirmaciones, ya que el citado Responsable fue cesado a raíz del incidente. Aclarar a este respecto que, a la hora de valorar la gravedad de este incidente, se debe tener en cuenta el error humano-informático cometido, no ha supuesto en ningún momento la divulgación de los datos de 237 personas en su conjunto, sino que se limita al envío erróneo a 237 parejas de los datos personales de otra pareja paciente del mismo Banco, es decir, la revelación de datos queda limitada a” uno a uno (1:1) ” y no a una revelación masiva o colectiva de datos. Como decimos, las parejas destinatarias de los envíos erróneos únicamente recibieron los datos personales (Nombre y apellidos y DNI) de otra única pareja paciente también del mismo Banco, y no del resto de las 237 personas implicadas en la totalidad de los envíos erróneos.” Como ANEXO N.º 6, auditoría de 18 diciembre de 2020, bajo el título “IMPLANTACION DE MEDIDAS DE LAS RECOMENDACIONES AUDITORIAS ***HOSPITAL.1 ”: […] Además, cuando se pretenda por el Centro poner en marcha proyectos que puedan suponer un alto riesgo para la privacidad o el derecho a la protección de datos de las personales físicas afectadas, bien sea por el uso de nuevas tecnologías especialmente intrusivas de la privacidad o porque afecten a datos especialmente protegidos o supongan procesos automatizados de toma de decisiones , deberán notificarse, con carácter previo, a la Oficina de Protección de Datos de CRE, con la finalidad de valorar con el DPO, la obligación de realizar la Evaluación de Impacto contemplada en el art. 35 RGPD. […]” (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/40 SÉPTIMO: Con fecha 8 de marzo de 2024, CRUZ ROJA ESPAÑOLA remite respuesta al requerimiento de información efectuado por esta Agencia en el marco de las actuaciones previas de investigación, de fecha 23 de febrero de 2024, con el siguiente contenido: “1. Acreditación documental de lo mencionado en la página 3 de su respuesta de 19 de diciembre de 2023: 6.e. Del mismo modo, la afirmación contenida en el Informe relativa a que “[No precisa realizar una DPIA porque] el tratamiento no comporta un alto riesgo para los derechos y libertades de las personas físicas” mencionado en el concepto “Evaluación de impacto (DPIA)” es igualmente errónea en cuanto a que, como expusimos en nuestro escrito de fecha 19 de Diciembre de 2023, el motivo por el que, sobre el tratamiento en cuestión (Gestión clínica – Reproducción Asistida), no se realizó la Evaluación de Impacto (EIPD) contemplada en el art. 35 RGPD, es porque se trata de un tratamiento anterior a la entrada en vigor del RGPD, al igual que la propia actividad del HVE. […]” Asimismo, en relación con los análisis de riesgos, al solicitar aclaraciones sobre la fecha de redacción y versiones de estos que no constan en el aportado, CRUZ ROJA aporta un escrito, en el que constan como fechas de realización 15 de enero de 2023 y de revisión 29 de febrero de 2024. Y sobre la Evaluación de impacto, EIPD, el análisis de riesgo de enero de 2023 indicaba que “[No precisa realizar una DPIA porque] el tratamiento no comporta un alto riesgo para los derechos y libertades de las personas físicas”. Y en el análisis de riesgos de febrero de 2024 indica “[No precisa realizar una DPIA porque] no lo requiere la autoridad de control”. OCTAVO: Las notificaciones enviadas no estaban protegidas por ninguna medida de cifrado, a pesar de que el sistema de gestión de seguridad de la información del ***HOSPITAL.1 aportado el 8 de marzo de 2024 en el marco de las actuaciones previas de investigación establece (en su apartado 4.1.7. de [4.Anx8.1]) la protección de la información remitida por correo electrónico mediante cifrado. NOVENO: Según consta en el contrato de fecha 28 de junio de 2022 firmado por CRUZ ROJA y ***EMPRESA.1, la cesión efectiva del banco de gametos se condicionaba a la obtención por ***EMPRESA.1 de las autorizaciones administrativas pertinentes. En Adenda firmada entre ambas partes se constata que la cesión fue efectiva a partir del 9 de noviembre de 2023. DÉCIMO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/40 De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CRUZ ROJA es una empresa con un volumen de negocios de 2.388.912.640 euros FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CRUZ ROJA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre, apellidos, y DNI. CRUZ ROJA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones formuladas al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: “PRIMERA: CADUCIDAD DEL PROCEDIMIENTO POR TRANSCURSO DEL PLAZO ESTABLECIDO EN EL ARTÍCULO 67.2 DE LA LOPDGDD.” Con relación a la alegación formulada por CRUZ ROJA sobre la supuesta caducidad del procedimiento por transcurso del plazo máximo previsto en el artículo 67.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), debe rechazarse tal planteamiento por los motivos que se exponen a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/40 La LOPDGDD ha dispuesto que la AEPD, con carácter previo a la apertura de un expediente sancionador, valore si procede o no la “admisibilidad a trámite” de la reclamación presentada. A esa actuación específica se refiere el artículo 64.2 de la LOPDGDD, inciso segundo, cuando dice: “Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.” El artículo 65 de la LOPDGDD, “Admisión a trámite de las reclamaciones”, fija un plazo de tres meses para la admisión a trámite de una reclamación. Así, el artículo 65.5 de la LOPDGDD dispone que: “5. La decisión sobre la admisión o inadmisión a trámite, […], deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” Dictado y notificado el acuerdo de admisión a trámite de la reclamación o, en su defecto, transcurridos tres meses desde la entrada de la reclamación, la LOPDGDD establece la posibilidad de que la AEPD, antes de dictar el acuerdo de inicio de un procedimiento, decida practicar Actuaciones Previas de Investigación. Las Actuaciones Previas de Investigación son potestativas. La AEPD, antes de dictar el acuerdo de inicio de procedimiento sancionador, “podrá” decidir llevarlas a cabo o no. Su finalidad es lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. A su vez, el artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) aprobado por el Real Decreto 1720/2007 (aplicable en lo que no se opongan al RGPD y a la LOPDGDD) establece en su inciso segundo, a propósito de las Actuaciones Previas de Investigación, que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” Se evidencia de los preceptos de la LOPDGDD citados que si la Agencia acuerda practicar Actuaciones Previas de Investigación -trámite potestativo - está sujeta a un plazo para dictar y notificar el acuerdo de inicio. Pues bien, el artículo 67.2 LOPDGDD, en su redacción vigente tras la reforma introducida por la Ley 11/2023, de 8 de mayo, dispone que: “El plazo máximo de duración de las actuaciones previas de investigación será de dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite de la reclamación o desde la fecha del acuerdo por el que se decida su iniciación cuando la Agencia actúe por propia iniciativa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/40 Dicha ley entró en vigor el 10 de mayo de 2023, tal y como establece su disposición final novena. En consecuencia, todas las actuaciones previas de investigación iniciadas con posterioridad a esa fecha quedan sometidas al plazo de 18 meses. En el presente caso, la reclamación fue interpuesta el 19 de abril de 2023, siendo admitida a trámite la reclamación en fecha 19 de julio de 2023, es decir, con posterioridad a la entrada en vigor de la Ley 11/2023. Es la fecha de admisión a trámite de la reclamación la que determina que la AEPD prosiga la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la LOPDGDD y no la fecha de presentación de la reclamación ante la AEPD. Por ello, resulta, de conformidad con la legislación vigente en la fecha de admisión a trámite de la reclamación, que es este plazo de 18 meses el aplicable a las actuaciones previas de investigación. De este modo, desde la fecha de admisión a trámite de la reclamación (19 de julio de 2023) hasta la fecha del dictado y notificación del acuerdo de inicio del procedimiento sancionador (10 de enero de 2025), no han trascurrido los 18 meses. Entre ambas fechas han transcurrido 17 meses y 22 días, plazo inferior a los 18 meses legalmente previstos. En consecuencia, el acuerdo de inicio del presente procedimiento se dictó dentro del plazo máximo establecido, sin que pueda apreciarse caducidad alguna. Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- NULIDAD DE PLENO DERECHO DEL ACUERDO DICTADO.” Según CRUZ ROJA, existe un manifiesto error en la calificación y tipificación de la infracción del art. 35 RGPD, por haber referido en el Fundamento de Derecho VIII una tipificación errónea (art. 83.5 RGPD en lugar de 83.4 RGPD) que ha lesionado su derecho de defensa, impidiéndole optar a la reducción prevista en el art. 85 LPACAP. En respuesta a este argumento, cabe señalar que dicha afirmación carece de sustento jurídico, pues el propio acuerdo de inicio, en su parte dispositiva califica correctamente la infracción del artículo 35 RGPD en el artículo 83.4 del RGPD: “PRIMERO: Iniciar procedimiento sancionador [...] por las presuntas infracciones de los artículos 5.1.
  5. f)y 35 del RGPD, tipificadas, respectivamente, en los artículos 83.5 y 83.4 del RGPD.” En resumen, el acuerdo de inicio identifica expresamente el precepto infringido (art. 35 RGPD), y su tipificación en el art. 83.4 RGPD en la parte dispositiva. En todo caso no hay duda alguna que el artículo 35 del RGPD es el que se imputó, así como sobre qué hechos se sustenta dicha imputación. Por tanto, no cabe hablar de indefensión material. No se ha producido ninguna limitación real del derecho de defensa, sino una discrepancia meramente formal que no altera la esencia del procedimiento. La mención errónea en el fundamento jurídico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/40 constituye, a lo sumo, un error material o mecanográfico, sin trascendencia jurídica, conforme al artículo 109.2 de la LPACAP, que dispone que “las Administraciones Públicas podrán, en cualquier momento, rectificar los errores materiales, de hecho o aritméticos existentes en sus actos”. Además, CRUZ ROJA alega que, debido a la confusión, se le impidió acogerse a la reducción del 20% o 40% prevista en el artículo 85 LPACAP. Sin embargo, dicha reducción no depende de la tipificación jurídica de la infracción, sino de la multa impuesta en relación con el artículo 35 del RGPD (50.000 euros), que queda claramente fijada en el acuerdo de inicio, y de que el interesado reconozca su responsabilidad y/o pague voluntariamente la sanción propuesta. Por tanto, aunque existiera una discrepancia entre el artículo que establece la tipificación de la infracción en el fundamento de derecho VIII y en la parte dispositiva, ello no impidió en absoluto a CRUZ ROJA acogerse a la reducción. En consecuencia, la alegación de indefensión carece de fundamento, ya que no se ha privado a la parte de ningún trámite, derecho o posibilidad real de actuación procesal. En conclusión:  No existe contradicción en la tipificación del artículo 35 RGPD.  El posible error material en el Fundamento de derecho VIII del acuerdo de inicio no afecta al derecho de defensa ni al objeto del procedimiento, ni ha supuesto un impedimento real para acogerse a las reducciones del art. 85 LPACAP.  No concurre causa de nulidad de pleno derecho del art. 47.1.
  6. a)LPACAP. Procede, por tanto, la continuación del procedimiento sancionador, corrigiendo en su caso el error material detectado sin necesidad de declarar la nulidad del acuerdo de inicio. Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- INEXISTENCIA DE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 5.1.F) RGPD.” En esta alegación, CRUZ ROJA sostiene que se trata de un incidente aislado, el cual se ha calificado incorrectamente como una infracción del art. 5.1.
  7. f)del RGPD, tratándose en realidad de una vulneración del art. 32 del RGPD, y, por último, que la sanción fijada inicialmente en el acuerdo de inicio es desproporcionada. 1. Sobre la supuesta naturaleza “puntual y aislada” del incidente dentro del marco de una gestión diligente de la seguridad de la información, el HVE tenía implantadas, con anterioridad a la incidencia, medidas técnicas y organizativas preventivas que resultan razonables para evitar este tipo de incidencias y que eran acordes con el nivel de riesgo del tratamiento. Pues bien, en primer lugar, hemos de indicar que la cuestión suscitada en este procedimiento no corresponde a la “seguridad de la información”, sino a la protección de datos de carácter personal, derecho fundamental con un contenido distinto y más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/40 amplio que la seguridad de la información, tal y como se pone de manifiesto en el Informe 0170/2018, del Gabinete Jurídico de la AEPD. No obstante lo anterior, las medidas de cifrado fijadas al respecto en la gestión de la seguridad de la información no fueron implementadas para el supuesto examinado, tal y como ha quedado probado. Respecto de la afirmación de la CRUZ ROJA de que el incidente objeto del presente procedimiento se trató de un hecho “puntual y aislado” dentro de una gestión diligente de la seguridad de la información, resulta irrelevante, pues hecho puntual y aislado o no, se han producido hechos que han vulnerado el artículo 5.1.
  8. f)del RGPD, ya que se ha producido una pérdida de confidencialidad por no implementarse medidas previstas. El RGPD impone un principio de responsabilidad proactiva en su art. 5.2, que exige no sólo la existencia formal de medidas y protocolos, sino la efectiva aplicación y control de su cumplimiento. En este caso, se ha acreditado que la comunicación remitida por el ***HOSPITAL.1 a los pacientes de la Unidad de Reproducción Asistida no fue cifrada, pese a que la propia organización reconoció que el cifrado constituía una medida de seguridad prevista en sus procedimientos internos. El hecho de que el sistema interno estableciera el cifrado, pero que en la práctica éste no se aplicara en una comunicación masiva con datos de salud, demuestra una deficiencia en la gestión de cumplimiento y supervisión que impide calificar lo ocurrido como un mero error humano (máxime cuando la propia reclamada no lo ha calificado como tal ni ante la parte reclamante ni ante esta AEPD con carácter previo al procedimiento sancionador). 2. Sobre la correcta calificación de la infracción: aplicación del art. 5.1.
  9. f)RGPD CRUZ ROJA alega que los hechos deberían incardinarse en el art. 32 RGPD y no en el art. 5.1.
  10. f)RGPD. En el presente caso no se trata de una cuestión de mera seguridad, regulada en el artículo 32 del RGPD, sino de una afectación directa de uno de los principios del tratamiento establecidos en el artículo 5 del RGPD, razón por la cual la infracción se tipifica correctamente como muy grave conforme al art. 83.5 RGPD y al art. 72.1
  11. a)LOPDGDD. Una vez constatada la brecha de datos personales de los clientes de CRUZ ROJA, habiendo quedados expuestos a terceros no autorizados, sin que se hayan aplicado medidas técnicas u organizativas apropiadas, estos hechos suponen una vulneración del principio de confidencialidad del art. 5.1.
  12. f)del RGPD, en atención al propio principio de especialidad. De este modo, la infracción imputada debe entenderse comprendida íntegramente en el ámbito del artículo 5.1.
  13. f)del RGPD, en cuanto que dicho precepto recoge el principio de integridad y confidencialidad, que impone al responsable del tratamiento la obligación de adoptar medidas técnicas y organizativas apropiadas, de todo tipo, incluidas aquellas destinadas a garantizar la seguridad de los datos personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/40 protegerlos frente a todo tratamiento no autorizado o ilícito, así como frente a su pérdida, destrucción o daño accidental. El artículo 32 del RGPD se limita a establecer la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, sin que sea preciso para ello la pérdida de confidencialidad y sin que, por tanto, dicha pérdida esté integrada en el tipo infractor (como sí es preciso respecto de la infracción del artículo 5.1.
  14. f)del RGPD). En consecuencia, la conducta atribuible a CRUZ ROJA debe quedar subsumida dentro del artículo 5.1.
  15. f)del RGPD, al establecer la obligación de preservar la confidencialidad e integridad de los datos, y no en el artículo 32 del RGPD, por la cual se limitaría a una vulneración de la seguridad del tratamiento. 3. Sobre la proporcionalidad y las circunstancias alegadas CRUZ ROJA formula una serie de alegaciones relativas a la supuesta desproporción de la sanción ni a las pretendidas circunstancias atenuantes. Si bien es cierto que la entidad procedió a notificar la brecha de seguridad y a comunicarla a los interesados, ello no elimina la comisión de infracción, máxime cuando tanto la notificación de la brecha de datos personales como la comunicación de la misma a los interesados, constituyen obligaciones legales para el responsable del tratamiento, por lo que no puede considerar como colaboración con la AEPD. El carácter humanitario o sin ánimo de lucro de la entidad no constituye un eximente de cumplimiento normativo. La normativa de protección de datos no distingue entre entidades públicas o privadas, o que éstas últimas tengan o no ánimo de lucro, sino que exige a todas ellas garantizar los derechos fundamentales de las personas afectadas. En cuanto al número de afectados, debe recordarse que el propio Hospital notificó el incidente a 637 destinatarios, reconociendo la imposibilidad de determinar con certeza cuáles de ellos se vieron concretamente afectados. Si, tal y como sostiene CRUZ ROJA, el error se produjo a partir del envío 299, las comunicaciones erróneas fueron, al menos, de 338, no 237 como afirmó CRUZ ROJA. Por lo tanto, la cifra de personas afectadas que se invoca por CRUZ ROJA carece de respaldo, ya que estas serían las comunicaciones erróneas efectuadas, pero no el total de personas cuyos datos fueron expuestos, que, pudo ser superior al de una persona por cada comunicación errónea, ya que, tomando como ejemplo la comunicación recibida por la parte reclamante, en esta consta los datos personales de dos personas. La eventual ausencia de perjuicio económico o emocional alegada por la entidad no excluye la infracción del RGPD, ya que el daño en de datos se produjo con la mera exposición no autorizada de la información personal, sin que sea necesario acreditar otro tipo de perjuicios. En este sentido, la STJUE de 4 de septiembre de 2025, en el asunto C-655/23, determina que la mera pérdida de control sobre los propios datos personales por los interesados como consecuencia de una infracción del RGPD, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión puede bastar para causar "daños y perjuicios inmateriales". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/40 Por último, la reiterada referencia a la “ausencia de intencionalidad” tampoco resulta relevante: en primer término porque aún la conducta negligente es susceptible de recibir un reproche administrativo, tal y como se establece en la LRJS; y segundo porque el RGPD tiene en consideración para determinar la gravedad de la infracción y la sanción tanto la intencionalidad como la negligencia, y en este caso se aprecia negligencia grave por falta de verificación y control sobre el cumplimiento efectivo de las medidas de cifrado. Por todo lo expuesto, se desestima la presente alegación. “CUARTA.- INEXISTENCIA DE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 35 RGPD.” En esta alegación CRUZ ROJA intenta justificar la ausencia de Evaluación de Impacto (EIPD) en el tratamiento de “Gestión Clínica – Reproducción Asistida” argumentando que el tratamiento es anterior al RGPD, el cual se adaptó mediante un Análisis de Riesgos, por lo tanto, no era exigible una EIPD adicional y, en cualquier caso, la infracción estaría prescrita. 1. Sobre la supuesta no exigibilidad de la EIPD por tratarse de un tratamiento anterior al RGPD El argumento de que el tratamiento de “Gestión Clínica – Reproducción Asistida” no requería una Evaluación de Impacto (EIPD) por haberse iniciado antes de la entrada en vigor del RGPD (25 de mayo de 2018) no puede ser aceptado. El RGPD establece expresamente en su artículo 99.2 que será aplicable “a partir del 25 de mayo de 2018” a todos los tratamientos de datos personales, ya iniciados o nuevos. El Considerando 171 del RGPD estableció un período de adaptación de dos años a los tratamientos ya existentes: “Todo tratamiento ya iniciado en la fecha de aplicación del presente Reglamento debe ajustarse al presente Reglamento en el plazo de dos años a partir de la fecha de su entrada en vigor.” Por tanto, los tratamientos en curso debían adaptarse plenamente al RGPD desde esa fecha, incluyendo, en su caso, la obligación de realizar una EIPD si se daban las condiciones del artículo 35 del RGPD. La actividad de tratamiento que realiza CRUZ ROJA, la cual consiste en un tratamiento a gran escala de datos de salud, ya que el hospital gestionaba un banco de gametos crio-conservados que involucraba a un número significativo de pacientes. Estos datos incluyen información especialmente sensible, como nombres, DNI y otros datos personales de salud relacionados con tratamientos de reproducción asistida. En este caso, el tratamiento de datos de salud en el ámbito de la Reproducción Asistida constituye, sin género de duda, un tratamiento de alto riesgo conforme al art. 35.3.
  16. b)RGPD y al punto 4 de la Lista de tratamientos que requieren EIPD publicada por la propia AEPD, donde se incluyen expresamente los tratamientos que implican “Tratamientos que impliquen el uso de categorías especiales de datos a las que se refiere el artículo 9.1 del RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/40 Como ya se razonó en el acuerdo de inicio, según las Directrices sobre la Evaluación de Impacto en la Protección de Datos del Grupo de Trabajo del artículo 29, el tratamiento a gran escala se determina por diversos factores como el número de interesados afectados, el volumen de datos tratados, la duración del tratamiento y el alcance geográfico. Aquí concurren varios de estos elementos: un gran número de pacientes afectados (aquellos inscritos en el banco de gametos), un tratamiento continuado (gestión y notificaciones relacionadas con los gametos), y la naturaleza sensible de los datos de salud. Estos factores, junto con el impacto potencial que puede tener la exposición de esta información en los derechos y libertades de los interesados, justificaban la clasificación del tratamiento como a gran escala, lo que, en consecuencia, haría obligatoria la realización de una EIPD conforme al artículo 35 del RGPD. Por último, señalar que CRUZ ROJA, tal y como se recoge en el Hecho Probado Sexto, en el ANEXO N.º 6 de la documentación aportada por CRUZ ROJA, relativo a la auditoría de 18 diciembre de 2020, bajo el título “IMPLANTACION DE MEDIDAS DE LAS RECOMENDACIONES AUDITORIAS ***HOSPITAL.1 ”, fue advertida de la necesidad de la realización de una EIPD toda vez que, ante un proyecto nuevo, como es el traspaso de la información por el cambio de titularidad en el banco de gametos, debió de aplicarse lo expresado en dicha auditoría: “…cuando se pretenda por el Centro poner en marcha proyectos que puedan suponer un alto riesgo para la privacidad o el derecho a la protección de datos de las personales físicas afectadas, bien sea por el uso de nuevas tecnologías especialmente intrusivas de la privacidad o porque afecten a datos especialmente protegidos o supongan procesos automatizados de toma de decisiones , deberán notificarse, con carácter previo, a la Oficina de Protección de Datos de CRE, con la finalidad de valorar con el DPO, la obligación de realizar la Evaluación de Impacto contemplada en el art. 35 RGPD.” Por tanto, la obligación de haber realizado la EIPD resultaba plenamente aplicable al tratamiento “Gestión Clínica”, independientemente de su fecha de inicio, debido a que CRUZ ROJA trata datos de salud a gran escala, que están dentro de los referidos por el artículo 9.1 del RGPD. 2. Sobre la supuesta equivalencia entre el Análisis de Riesgos (AR) y la EIPD. Tampoco puede admitirse que el Análisis de Riesgos realizado por CRUZ ROJA en 2023 cumpla las exigencias del artículo 35 RGPD ni pueda considerarse equivalente a una EIPD. La EIPD debe incluir, conforme al artículo 35.7 RGPD: “
  17. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/40
  18. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
  19. c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
  20. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.” Ninguno de los documentos aportados (auditorías, análisis de riesgos, planes de contingencia o documentos de seguridad) sustituye ni cumple de forma integral esos requisitos. Amén de que la EIPD requiere necesariamente el asesoramiento y la intervención del DPD. Y que no sólo debe de realizarse, sino también superarse, hasta el punto de que si esta muestra que el tratamiento entrañaría un algo riesgo si el responsable no toma medidas para mitigarlos, resulta obligatoria una consulta previa a la autoridad de control (artículo 36 del RGPD). Por tanto, decae el argumento de que un Análisis de Riesgos “cumple la misma finalidad” que una EIPD, pues si bien ambos son instrumentos para, entre otras cuestiones, identificar, evaluar y valorar los riesgos y establecer medidas mitigadoras, no son instrumentos equivalentes, y la EIPD es obligatoria cuando el tratamiento entraña alto riesgo, como ocurre en este caso, con los condicionantes establecidos en el RGPD. 3. Sobre la inexistencia de cambio de riesgo y la obligación de adaptación La alegación de que “sin que se hayan producido cambios en los riesgos que el tratamiento implica en relación con el momento en que se puso en marcha” tampoco es sostenible. En primer lugar, el contexto normativo ha cambiado sustancialmente desde 2018, año en el que comenzó a aplicarse un nuevo marco jurídico (RGPD y LOPDGDD) el cual exige un enfoque basado en el riesgo y en la responsabilidad proactiva, incluyendo documentación de cumplimiento. No puede afirmarse, además, sin más, que no se han producido cambios en los riesgos sin siquiera evaluarlos. El cambio de gestión del Banco de Gametos con la cesión a ***EMPRESA.1 y de la Historia Clínica de Pacientes a través de la aplicación GREENCUBE del HVE, se produjo una transferencia de datos personales de una entidad a otra, lo cual incrementó de forma significativa los riesgos de acceso no autorizado, pérdida o difusión de datos de salud. De hecho, en una de las acciones derivadas de dicho tratamiento se produjo la brecha de datos personales de la que trae causa el presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/40 Por tanto, incluso aunque las operaciones básicas de tratamiento fueran anteriores, el cambio normativo y tecnológico generó necesariamente nuevos riesgos que debieron ser objeto de una EIPD. De hecho, la propia definición del RGPD (“es probable que entrañe un alto riesgo”) impone al responsable un deber de evaluación proactiva. 4 Sobre la invocada prescripción de la infracción. El incumplimiento del art. 35 RGPD constituye una infracción de tracto sucesivo o permanente, que se mantiene mientras el tratamiento de alto riesgo se realice sin la preceptiva realización y superación de una EIPD. Por tanto, el plazo de prescripción no comienza a contar el 25 de mayo de 2018, sino desde el momento en que cesa la situación infractora, es decir, cuando el responsable realiza y supera efectivamente una EIPD o deja de realizar el tratamiento. Habiéndose cedido la titularidad del servicio a ***EMPRESA.1 con fecha efectiva el 9 de noviembre de 2023, es en este momento, en el que CRUZ ROJA deja de ser responsable de tratamiento, cuando debe comenzar el cómputo del periodo de prescripción. En consecuencia, la infracción no está prescrita, ya que CRUZ ROJA mantuvo la condición de responsable de tratamiento hasta el 9 de noviembre de 2023 y siendo una infracción grave, el plazo de prescripción es de 2 años, viéndose interrumpido por la iniciación del presente procedimiento sancionador. En conclusión, a los distintos fundamentos recogidos en este apartado: El tratamiento de datos de salud en el ámbito de la Reproducción Asistida constituye un tratamiento que entraña un alto riesgo que requería EIPD conforme al art. 35.3.
  21. b)RGPD y la lista orientativa de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos de la AEPD (aprobada por el Comité Europeo de Protección de Datos).  El hecho de que el tratamiento se iniciara antes de 2018 no exime del cumplimiento de las obligaciones del RGPD, al no existir régimen transitorio.  El Análisis de Riesgos no sustituye la EIPD, que tiene una serie de condicionantes formales y materiales previstos en el RGPD obligatorios para el responsable del tratamiento.  La infracción es permanente y no puede considerarse prescrita, mientras el tratamiento continúe realizándose sin elaborar y superar una EIPD.  Por todo lo expuesto, se desestima la presente alegación. “QUINTA.- EN CUANTO A LA MEDIDA CORRECTIVA PROPUESTA.” CRUZ ROJA sostiene que no le corresponde la adopción de la medida correctiva, esta es, la EIPD relativa al tratamiento “Gestión clínica-Reproducción Asistida” debido a que actualmente no tiene la condición de responsable de tratamiento, correspondiendo a ***EMPRESA.1, S.L. (en adelante, ***EMPRESA.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/40 En respuesta a esta alegación, cabe señalar que, ante la cesión de actividad de CRUZ ROJA a ***EMPRESA.1 con fecha efectiva el 9 de noviembre de 2023, CRUZ ROJA deja de ser el responsable del tratamiento en cuestión, condición que se le atribuye a ***EMPRESA.1. Por todo lo expuesto, se estima la presente alegación. IV Obligación incumplida. Integridad y confidencialidad La letra
  22. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  23. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El citado principio recogido en el artículo 5.1
  24. f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se garantice la confidencialidad e integridad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles pérdidas de confidencialidad y de integridad, tanto externas como internas. Estas medidas deben ser apropiadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, la parte reclamante, inscrita en la unidad de reproducción asistida del ***HOSPITAL.1 , que pertenece a CRUZ ROJA, recibió un correo electrónico con la notificación del cambio de gestión del banco de gametos crio-conservados a favor de ***EMPRESA.1, figurando como destinatarios de esa notificación el nombre y DNI de otras dos personas. CRUZ ROJA, durante el transcurso de las actuaciones de investigación, admitió que dicha brecha de datos personales se produjo en virtud de un fallo en el proceso de preparación y envío de las notificaciones debido a un error de programación que debía tomar los nombres y números de D.N.I. de los pacientes de una hoja de cálculo y copiarlos a los documentos que fueron enviados. Afirman que sólo fueron destinatarios de esas notificaciones los pacientes del biobanco. La importancia de adoptar medidas apropiadas con el fin de garantizar la confidencialidad e integridad se incrementa cuando se tratan categorías especiales de datos personales de los comprendidos en el artículo 9 del RGPD como ocurre en el presente caso, pues la información personal derivada de la gestión del banco de gametos crio-conservados tiene la consideración de tratamiento de datos de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/40 Ello implica una mayor necesidad de que los responsables del tratamiento implementen mecanismos de control más rigurosos, especialmente en los procesos automatizados, para evitar fallos que comprometan la confidencialidad e integridad de estos datos. Tal y como resulta de las actuaciones de investigación y ha resultado probado, en el caso que nos ocupa, las notificaciones enviadas no estaban protegidas por ninguna medida de cifrado, a pesar de que el sistema de gestión de seguridad de la información del ***HOSPITAL.1 para la protección de datos personales establecían la protección de la información remitida por correo electrónico mediante cifrado. A tal respecto conviene indicar que no basta con enunciar medidas o definirlas en protocolos internos; para garantizar el principio de confidencialidad debe asegurarse que dichas medidas se ejecuten de forma efectiva. En el caso que nos ocupa, la implementación de la medida establecida por el sistema de gestión de seguridad, consistente en el cifrado de la información de los envíos y de las notificaciones, hubiera evitado la brecha de datos personales. La falta de implementación de dicha medida, por el contrario, comprometió la confidencialidad de los datos de los pacientes, lo que supone una vulneración del artículo 5.1
  25. f)del RGPD. Por tanto, de conformidad con los hechos probados en este momento de propuesta de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CRUZ ROJA, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  26. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  27. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  28. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  29. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  30. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  31. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/40 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  32. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  33. a)a
  34. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  35. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  36. b)la intencionalidad o negligencia en la infracción;
  37. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  38. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  39. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  40. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  41. g)las categorías de los datos de carácter personal afectados por la infracción;
  42. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  43. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/40
  44. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  45. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  46. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  47. a)El carácter continuado de la infracción.
  48. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  49. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  50. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  51. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  52. f)La afectación a los derechos de los menores.
  53. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  54. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de CRUZ ROJA de 2.338.912.640 euros. La reclamada es una Institución humanitaria de carácter voluntario y de interés público; su régimen jurídico se contempla en el Real Decreto 415/1996, de 1 de marzo, por el que se establecen las normas de ordenación de la Cruz Roja Española. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que procede determinar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/40  La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por el envío a terceros de nombre, apellidos y DNI de al menos 237 interesados en relación con el tratamiento de datos de salud como la información personal derivada de la gestión del banco de gametos crio-conservados, siendo el número de pacientes potenciales 637.  Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): el solo hecho de ser notificado del cambio de gestión del banco de gametos criopreservados implica un tratamiento de datos de salud, referenciado en el artículo 9 del RGPD y especialmente sensibles. Este tipo de datos personales gozan de una mayor atención y protección por parte de la normativa y, en consecuencia, el incumplimiento de las obligaciones respecto a este tipo de datos implica una mayor gravedad en la conducta debido a las potenciales y gravosas consecuencias que pueden ocasionar si los riesgos se materializan, como en este caso. De igual forma, el identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal identifica a una persona física de modo indubitado. Esta cualidad lo convierte en un dato particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La entidad realiza para el desarrollo de su actividad un elevado volumen de tratamientos de datos de salud de sus pacientes. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  55. f)del RGPD, permite proponer una sanción de multa administrativa de 50.000,00 euros. VII Obligación incumplida. Evaluación de impacto relativa a la protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/40 La evaluación de impacto relativa a la protección de datos se regula en el artículo 35 del RGPD en los siguientes términos: "1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. 2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos. 3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
  56. a)evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
  57. b)tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
  58. c)observación sistemática a gran escala de una zona de acceso público. 4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité. 6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión. 7. La evaluación deberá incluir como mínimo:
  59. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
  60. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
  61. c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/40
  62. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. 8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos. 9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento. 10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras
  63. c)o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento. 11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento." La finalidad principal de una Evaluación de Impacto en la Protección de Datos (EIPD), según el citado artículo 35 del RGPD, es, entre otras cuestiones, identificar, evaluar y valorar y mitigar los riesgos de aquellos tratamientos de datos personales que puedan suponer un alto riesgo para los derechos y libertades de las personas físicas. Si bien el artículo no realiza una enumeración pormenorizada sí que establece una serie de supuestos en los que particularmente hay que realizar dicha EIPD. Entre los mismos, se encuentra el “tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1”. Ello es debido precisamente a que dichos datos, como los de salud, y a gran escala, revelan información altamente sensible, resultando que su tratamiento probablemente entraña un alto riesgos puede tener un impacto significativo en los derechos y libertades de las personas si los riesgos presentes en el tratamiento se materializan. En este sentido conviene hacer referencia a la actividad de tratamiento que realiza la parte reclamada, el cual consiste en un tratamiento a gran escala de datos de salud, ya que el hospital gestionaba un banco de gametos crio-conservados que involucraba a un número significativo de pacientes. Estos datos incluyen información especialmente sensible, como nombres, DNI y otros datos personales de salud relacionados con tratamientos de reproducción asistida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/40 A tal respecto, según las Directrices sobre la Evaluación de Impacto en la Protección de Datos del Grupo de Trabajo del artículo 29, el tratamiento a gran escala se determina por diversos factores como el número de interesados afectados, el volumen de datos tratados, la duración del tratamiento y el alcance geográfico. Aquí concurren varios de estos elementos: un gran número de pacientes afectados (aquellos inscritos en el banco de gametos), un tratamiento continuado (gestión y notificaciones relacionadas con los gametos), y la naturaleza sensible de los datos de salud. Estos factores, junto con el impacto potencial que puede tener la exposición de esta información en los derechos y libertades de los interesados, justificaban la clasificación del tratamiento como a gran escala, lo que, en consecuencia, haría obligatoria la realización de una EIPD conforme al artículo 35 del RGPD. En el presente caso CRUZ ROJA ha reconocido que no ha realizado la Evaluación de Impacto, a pesar de la obligación contenida en el artículo 35.3.
  64. b)transcrito anteriormente, obligación aplicable al tratamiento de datos personales que nos ocupa puesto que debería haberse adaptado al RGPD a partir de su aplicabilidad el 25 de mayo de 2018. Este reconocimiento al que se alude queda manifestado en la respuesta de CRUZ ROJA (al requerimiento enviado por esta Agencia) de fecha 19/12/2023, en la que explica, entre otras cosas lo siguiente: “Indicar a este respecto que, sobre el tratamiento en cuestión (Gestión clínica – Reproducción Asistida), no se realizó la Evaluación de Impacto (EIPD) contemplada en el art. 35 RGPD, al tratarse de un tratamiento anterior a la entrada en vigor del RGPD. Se aporta así, como ANEXO 4, el Procedimiento General Operativo del Archivo de Historias Clínicas del Hospital de fecha 7 de Noviembre de 2016.” Y reitera estos extremos en su respuesta de fecha 8/03/2024, presentada ante un nuevo requerimiento de información, en la que se refiere a ciertos errores apreciados por esta Agencia en la documentación aportada por CRUZ ROJA, y en la que indica al respecto, lo siguiente: “Del mismo modo, la afirmación contenida en el Informe relativa a que “No precisa realizar una DPIA porque el tratamiento no comporta un alto riesgo para los derechos y libertades de las personas físicas” mencionado en el concepto “Evaluación de impacto (DPIA)” es igualmente errónea en cuanto a que, como expusimos en nuestro escrito de fecha 19 de Diciembre de 2023, el motivo por el que, sobre el tratamiento en cuestión (Gestión clínica – Reproducción Asistida), no se realizó la Evaluación de Impacto (EIPD) contemplada en el art. 35 RGPD, es porque se trata de un tratamiento anterior a la entrada en vigor del RGPD, al igual que la propia actividad del HVE. A este respecto conviene indicar que el concepto de tratamiento de datos personales, definido en el artículo 4.2 del RGPD, incluye cualquier operación o conjunto de operaciones realizadas sobre datos personales, como la recogida, registro, organización, estructuración, almacenamiento, consulta, modificación, comunicación o destrucción. Este concepto debe distinguirse del de actividad, que puede implicar una finalidad o conjunto de operaciones más amplio, del cual pueden derivarse uno o varios tratamientos de datos personales en diferentes momentos del tiempo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/40 Es posible que una actividad se haya iniciado antes de la entrada en vigor y de la aplicabilidad del RGPD pero los tratamientos de datos personales derivados de la misma que se realicen con posterioridad a 25 de mayo de 2018 están plenamente sujetos a las disposiciones del reglamento. En este sentido, el considerando 171 del RGPD establece que los tratamientos en curso deben adaptarse a sus requisitos. Esto incluye, entre otras obligaciones, la realización de una Evaluación de Impacto en la Protección de Datos (EIPD) cuando las características del tratamiento impliquen un alto riesgo para los derechos y libertades de las personas físicas, como ocurre en el presente caso. Por tanto, a partir de la aplicabilidad del RGPD, cualquier tratamiento de datos personales que reúna las condiciones establecidas en el artículo 35 para requerir una previa Evaluación de Impacto en la Protección de Datos deberá someterse a dicha evaluación, con independencia de cuándo se haya iniciado la actividad de la que derive dicho tratamiento. A tal respecto, conviene recordar que el RGPD no incluye disposición transitoria alguna que exima a los tratamientos existentes de cumplir con esta obligación, lo que implica que todos los tratamientos en curso o posteriores deben adaptarse plenamente a las exigencias del reglamento desde que este sea aplicable. Por su parte, en el documento “LISTAS DE TIPOS DE TRATAMIENTOS DE DATOS QUE REQUIEREN EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS (art 35.4), que la AEPD tiene publicado en https://www.aepd.es/sites/default/files/2019-09/listas-dpia-es-35-4.pdf, se incluye como una de las actividades que requiere esta EIPD los “Tratamientos que impliquen el uso de categorías especiales de datos a las que se refiere el artículo 9.1 del RGPD, datos relativos a condenas o infracciones penales a los que se refiere el artículo 10 del RGPD o datos que permitan determinar la situación financiera o de solvencia patrimonial o deducir información sobre las personas relacionada con categorías especiales de datos”. Tal y como ha quedado establecido, CRUZ ROJA trata datos de salud a gran escala, que están dentro de los referidos por el artículo 9.1 del RGPD y, por tanto, se debió realizar y superar una EIPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a CRUZ ROJA ESPAÑOLA, por vulneración del artículo transcrito anteriormente. VIII Tipificación de la infracción del artículo 35 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/40 "
  65. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  66. a)[…]
  67. t)El tratamiento de datos personales sin haber llevado a cabo la evaluación del impacto de las operaciones de tratamiento en la protección de datos personales en los supuestos en que la misma sea exigible.” IX Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  68. a)a
  69. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  70. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  71. b)la intencionalidad o negligencia en la infracción;
  72. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  73. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  74. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/40
  75. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  76. g)las categorías de los datos de carácter personal afectados por la infracción;
  77. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  78. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  79. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  80. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  81. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  82. a)El carácter continuado de la infracción.
  83. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  84. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  85. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  86. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  87. f)La afectación a los derechos de los menores.
  88. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  89. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de CRUZ ROJA de 2.338.912.640 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/40 La parte reclamada es una Institución humanitaria de carácter voluntario y de interés público; su régimen jurídico se contempla en el Real Decreto 415/1996, de 1 de marzo, por el que se establecen las normas de ordenación de la Cruz Roja Española. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD):  Naturaleza: No haber realizado la evaluación de impacto habiendo estado obligado a ello incrementa el riesgo para los derechos fundamentales de los clientes de CRUZ ROJA, lo que aumenta la probabilidad de vulneraciones de privacidad tales como accesos indebidos o filtraciones, como la ocurrida en el presente caso.  Duración: La infracción se ha producido desde la entrada en vigor del RGPD hasta la actualidad, ya que CRUZ ROJA no ha realizado la evaluación de impacto del tratamiento en cuestión. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La entidad realiza para el desarrollo de su actividad un elevado volumen de tratamientos de datos de salud de sus pacientes. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 35 del RGPD, permiten proponer una sanción de multa administrativa de 50.000,00 euros. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a CRUZ ROJA ESPAÑOLA, con NIF ***NIF.1: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/40 - Por la infracción del artículo 5.1.
  90. f)del RGPD, tipificada en el artículo 83.5.
  91. a)de dicha norma, multa administrativa de cuantía 50.000,00 euros - Por la infracción del artículo 35 del RGPD, tipificada en el artículo 83.4.
  92. a)de dicha norma, multa administrativa de cuantía 50.000,00 euros Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 80.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-250625 R.R.R. INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/40 ANEXO Índice del expediente EXP202306404 (…) >> SEGUNDO: En fecha 12 de diciembre de 2025, CRUZ ROJA ha procedido al pago de la sanción en la cuantía de 80.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/40 Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 80.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, CRUZ ROJA, en fecha 12 de diciembre de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 100.000,00 euros. Tras haber procedido CRUZ ROJA ESPAÑOLA al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 80.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/40 SEGUNDO: DECLARAR la terminación del procedimiento EXP202306404, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a CRUZ ROJA ESPAÑOLA. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  93. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
  94. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 968-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.