PS-00513-2024

1/46  Expediente N.º: EXP202416689 RESOLUCIÓN DE PROCEDIMIENTO POR RECONOCIMIENTO DE LA RESPONSABILIDAD Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, con NIF Q2827023 (en adelante, AEMPS). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 30 de julio de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202416689 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: Contenido ANTECEDENTES..........................................................................................................2 PRIMERO: La AEMPS...............................................................................................2 SEGUNDO: Notificaciones de la brecha de datos personales....................................5 TERCERO: Inicio de actuaciones previas de investigación......................................14 CUARTO: Informe de actuaciones previas de investigación de la SGID..................14 1. Contenido del informe pericial elaborado por ***ORGANISMO.1 relativo a la brecha de datos que afectó a ***EMPRESA.1......................................................14 2. Recepción de distintas notificaciones vinculadas a dicha brecha de datos personales:........................................................................................................... 19 3. Notificaciones inicial y definitiva de la brecha de datos realizadas por la AEMPS: ............................................................................................................................. 19 4. Información relativa a las causas de la brecha de datos personales, así como las medidas adoptadas por ***EMPRESA.1, con carácter inmediato a la brecha y con posterioridad, obtenida durante la investigación:...........................................22 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/46 5. Documento “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 con el fin de dar respuesta a un requerimiento de información de la SGID, que aporta información relativa a las medidas reactivas adoptadas por ***EMPRESA.1:......26 6. Información aportada por la AEMPS en respuesta al requerimiento formulado por la SGID el 29 de enero de 2024:....................................................................28 7. Análisis por parte de la SGID de la implementación de las medidas (…):.........34 8. Parte final del informe de actuaciones previas de investigación:......................34 QUINTO: Acuerdo de inicio del procedimiento sancionador.....................................36 SEXTO: Alegaciones al acuerdo de inicio................................................................36 SÉPTIMO: Relación de documentos que obran en el procedimiento.......................38 HECHOS PROBADOS................................................................................................38 PRIMERO:............................................................................................................... 38 SEGUNDO:.............................................................................................................. 38 TERCERO:............................................................................................................... 39 CUARTO.................................................................................................................. 39 QUINTO:.................................................................................................................. 39 SEXTO:.................................................................................................................... 40 SÉPTIMO................................................................................................................. 40 OCTAVO:.................................................................................................................. 40 NOVENO:................................................................................................................. 42 DÉCIMO................................................................................................................... 42 UNDÉCIMO:............................................................................................................. 43 DUODÉCIMO:.......................................................................................................... 43 FUNDAMENTOS DE DERECHO.................................................................................44 I Competencia.......................................................................................................... 44 II Cuestiones previas................................................................................................45 III Alegaciones al acuerdo de inicio..........................................................................46 IV Obligación incumplida. Integridad y confidencialidad...........................................51 I. BRECHA DE DATOS PERSONALES:...............................................................51 II. AUSENCIA DE UNA SERIE DE MEDIDAS CUYA IMPLANTACIÓN, CON GRAN PROBABILIDAD, HABRÍA EVITADO LA BRECHA DE DATOS PERSONALES O HABRÍA REDUCIDO EL IMPACTO DE LA MISMA:..............................................58 V Tipificación de la infracción del artículo 5.1.

1. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 75 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/46 VI Propuesta de declaración de infracción...............................................................76 ANTECEDENTES PRIMERO: La AEMPS. 1.1. Creación de la AEMPS y objeto de la misma: La AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, con NIF Q2827023 (en adelante, AEMPS) fue creada por el Real Decreto 1275/2011, de 16 de septiembre, norma que también aprobó su Estatuto. El artículo 1 del Estatuto de la AEMPS, relativo a la naturaleza jurídica y la adscripción orgánica, prevé en sus apartados 1 y 2 lo siguiente: “Artículo 1. Naturaleza jurídica y adscripción orgánica. 1. La Agencia Española de Medicamentos y Productos Sanitarios es un Organismo Público de los previstos en el artículo 43.1.
2. c)de la Ley 6/1997, de 14 de abril, de Organización y Funcionamiento de la Administración General del Estado, y regulado por la Ley 28/2006, de 18 de julio, de Agencias estatales para la mejora de los servicios públicos. 2. La Agencia tiene personalidad jurídica diferenciada respecto de la del Estado, patrimonio y tesorería propios y autonomía funcional y de gestión, dentro de los límites establecidos por la Ley 28/2006, de 18 de julio, y por el presente Estatuto. (…)” El objeto de la AEMPS, determinado en el artículo 6 del Estatuto, es el siguiente: “Artículo 6. Objeto de la Agencia Española de Medicamentos y Productos Sanitarios. El objeto de la Agencia es el de garantizar que tanto los medicamentos de uso humano como los de uso veterinario y los productos sanitarios, cosméticos y productos de higiene personal cumplan con estrictos criterios de calidad, seguridad, eficacia y correcta información con arreglo a la normativa vigente sobre dichas materias en el ámbito estatal y de la Unión Europea.” 1.2. Creación de los Registros Nacionales de Implantes: Los Registros Nacionales de Implantes fueron creados por la Orden SCO/3603/2003, de 18 de diciembre. Dichos Registros Nacionales persiguen una doble finalidad:  Por una parte, permiten disponer de información que redunde en la mayor efectividad del Sistema de Vigilancia, al posibilitar la rápida localización de los pacientes portadores de un determinado implante sobre el que pudiera requerirse efectuar medidas sanitarias.  Por otra, la información disponible en los mismos contribuye al conocimiento de los resultados a largo plazo de los implantes en orden a su utilización en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/46 investigación y desarrollo de los mismos, así como a la toma de decisiones en materia de salud por las autoridades sanitarias. Entre los Registros Nacionales creados, se encontraban el Registro Nacional de Implantes activos y el Registro Nacional de Implantes cardiacos e Implantes vasculares del sistema circulatorio central. De conformidad con la citada Orden Ministerial la titularidad de los Registros Nacionales de Implantes corresponde a la Agencia Española de Medicamentos y Productos Sanitarios, que tenía la condición de responsable del fichero de acuerdo con la normativa vigente en materia de protección de datos personales en ese momento (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal o LOPD). 1.3. Creación de los ficheros Registro Nacional de Marcapasos y Registro Nacional de Desfibriladores Automáticos Implantables: Posteriormente, la Orden SSI/2443/2014, de 17 de diciembre, por la que se modifica la Orden de 21 de julio de 1994, por la que se regulan los ficheros con datos de carácter personal gestionados por el Ministerio de Sanidad y Consumo (disposición normativa que también fue dictada estando vigente la LOPD), creó dos ficheros:   El Registro Nacional de Marcapasos El Registro Nacional de Desfibriladores Automáticos Implantables. Según la citada Orden el órgano responsable de ambos ficheros era el Departamento de Productos Sanitarios de la Agencia Española de Medicamentos y Productos Sanitarios. 1.4. La ***ORGANISMO.2 se ocupa de la gestión y mantenimiento de los Registros Nacionales de Marcapasos y Desfibriladores Implantables: La ***ORGANISMO.3 era propietaria de los datos que debían figurar en los Registros Nacionales de Marcapasos y Desfibriladores Implantables. En el año 2005 se firmó un Contrato entre la AEMPS y la ***ORGANISMO.2, en la que se encuentra integrada la ***ORGANISMO.3, en virtud del cual ***ORGANISMO.3 facilitó los registros existentes en sus Bases de Datos, que pasaron a ser propiedad de la AEMPS, constituyéndose con dichos datos los Registros Nacionales de Marcapasos y Desfibriladores Automáticos Implantables. A partir de ese momento, ***ORGANISMO.2 ha venido realizando la gestión y mantenido actualizados los datos contenidos en dichos Registros (tal y como reflejan los convenios suscritos entre la AEMPS y ***ORGANISMO.2 por los que se canalizan subvenciones nominativas establecidas en los Presupuestos Generales del Estado de los años 2022 y 2023 para la gestión y el mantenimiento de los Registros Nacionales de Marcapasos y Desfibriladores Automáticos Implantables, que obran en el expediente). En el Convenio relativo a los Presupuestos Generales del Estado del año 2023 figura como anexo un Contrato para el tratamiento de datos personales por cuenta de tercero, en cuya la cláusula primera se señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/46 “(…). 1.5. Contratación de ***EMPRESA.1 como subencargado del tratamiento: ***ORGANISMO.3-***ORGANISMO.2 contrató en septiembre de 2014 a ***EMPRESA.1 para gestionar el Registro Nacional de Marcapasos y el Registro Nacional de Desfibriladores Automáticos Implantables (…). Tras dicho contrato ***EMPRESA.1 actuaba como proveedor tecnológico y subencargado del tratamiento. Por tanto, en relación con el Registro Nacional de Marcapasos y el Registro Nacional de Desfibriladores Automáticos Implantables (DAIs):    La AEMPS es el responsable del tratamiento. La ***ORGANISMO.3, a través de la ***ORGANISMO.2 es la encargada del tratamiento. ***EMPRESA.1 es el proveedor tecnológico y subencargado del tratamiento. SEGUNDO: Notificaciones de la brecha de datos personales. Con fecha 19 de junio de 2023, se notificó a esta Agencia una brecha de datos personales por la AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS (AEMPS). En dicha notificación se incluye la siguiente descripción de lo ocurrido: “(…).” A continuación, se reproduce parcialmente la información que figura en la notificación inicial de la brecha de datos personales: NOTIFICACIÓN INICIAL DE LA BRECHA DE DATOS PERSONALES Sobre el tratamiento Número aproximado de personas físicas sobre las que recoge, almacena o trata datos personales de otra forma; referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales: ***CANTIDAD.1 El incidente ha sido (…) El origen del incidente ha sido: (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…). Como consecuencia del incidente, se ha visto afectada la: (…) Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/46 (…) Tipos de datos afectados Seleccione los tipos de datos que se han visto afectados, exclusivamente de personas físicas, marque todas las opciones aplicables: (…) Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como supervivientes de violencia de género o en riesgo de exclusión social?: (…) Las personas afectadas tienen los siguientes perfiles: (…) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (Si desconoce el valor exacto, indique un valor aproximado) ***CANTIDAD.1 Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales ***FECHA.1 ¿Conoce la fecha en la que se inició la brecha? (…) Indique la fecha de inicio de la brecha ***FECHA.1 Medidas de seguridad antes de la brecha Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha (Deberá poder acreditar las medidas marcadas ante un eventual requerimiento de la autoridad de control): (…) Comunicación a los afectados por la brecha de datos personales ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? (…) Responsable del tratamiento 1 AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANIT Encargado de tratamiento ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? (…) Nombre de la Organización ***ORGANISMO.2 Junto a la notificación se aporta un documento de fecha 19 de junio de 2023 titulado “***DOCUMENTO.4” de la ***ORGANISMO.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/46 El documento destaca que constituye una notificación inicial de la brecha de datos personales. Se reproduce parcialmente el contenido de la información reflejado en dicho documento: “(…)” NATURALEZA Y CONTENIDO DE LOS DATOS PERSONALES AFECTADOS Usuarios potencialmente afectados: (…). Tipos de datos potencialmente afectados: (…). Datos especialmente protegidos potencialmente afectados por el incidente: (…). Número de afectados potencialmente afectados: ***CANTIDAD.1 aproximadamente. (…) CONSECUENCIAS DEL INCIDENTE (…) MEDIDAS TECNICAS Y DE ORGANIZACIÓN QUE SE HAN APLICADO Identificación de las medidas: • (…). Anteriormente se disponía de las siguientes medidas: • (…) Medidas de contención: (…). Evidencias recogidas: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/46 Medidas de erradicación: (…) Medidas de recuperación: (…) Otras acciones realizadas para mitigar los efectos: (…)” Posteriormente, con fecha 28 de julio de 2023 una segunda notificación en la que se completaba la información relativa a la brecha de datos personales aportada el 19 de junio de 2023. A continuación, se reproduce parcialmente la información que figura en la segunda notificación de la brecha de datos personales: SEGUNDA NOTIFICACIÓN RELATIVA A LA BRECHA DE PERSONALES (NOTIFICACIÓN COMPLETA) DATOS ¿Cuál es su intención? (…) Sobre el tratamiento El incidente ha sido (…) El origen del incidente ha sido: (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…). Como consecuencia del incidente, se ha visto afectada la: (…) Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…) ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? (...) A fecha de esta notificación, ¿tiene constancia de que se hayan materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior? (…) Como valora la probabilidad de que el daño anterior se materialice sobre las personas afectadas con la severidad indicada (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/46 Introduzca una breve descripción de lo ocurrido. Evite incluir datos personales, fórmulas del tipo "Ver anexo" y en ningún caso lo aquí escrito podrá suponer una modificación sobre lo consignado en el resto del formulario. (…) Tipos de datos afectados Seleccione los tipos de datos que se han visto afectados, exclusivamente de personas físicas, marque todas las opciones aplicables: (…) Perfil de los afectados, referido exclusivamente a personas físicas Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como supervivientes de violencia de género o en riesgo de exclusión social?: (…) Las personas afectadas tienen los siguientes perfiles: (…) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (Si desconoce el valor exacto, indique un valor aproximado) ***CANTIDAD.2 Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales ***FECHA.1 ¿Conoce la fecha en la que se inició la brecha? (…) Indique la fecha de inicio de la brecha ***FECHA.1 La brecha se ha detectado mediante: (…) Medidas de seguridad antes de la brecha Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha (Deberá poder acreditar las medidas marcadas ante un eventual requerimiento de la autoridad de control): (…) ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional? (…) ¿Dispone de un análisis de riesgos documentado que justifique las medidas de seguridad adoptadas previamente al incidente? (…) Acciones tomadas tras el incidente ¿Ha actualizado su registro de incidentes con la información de esta brecha de datos personales? (…) ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/46 ¿Ha adaptado / mejorado sus procedimientos y políticas de seguridad? (…) Marque exclusivamente las nuevas medidas de seguridad y las que se hayan actualizado (…) ¿Considera que ha tomado todas las acciones posibles y da por resuelta la brecha? (…) Indique la fecha en la que se dio por resuelta la brecha ***FECHA.2 Comunicación a los afectados por la brecha de datos personales ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? (…) A más tardar, las personas afectadas serán informadas en la siguiente fecha: ***FECHA.3 Medio por el que se informará (…) Responsable del tratamiento 1 Nombre de la Organización AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANIT Encargado de tratamiento ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? (…) Nombre de la Organización ***ORGANISMO.2 Al final de la notificación se indica: “(…)” Junto a la notificación, se aportan los siguientes documentos: 1. Documento de 27 de julio de 2023 de ***ORGANISMO.2 denominado “***DOCUMENTO.2”. 2. El resumen ejecutivo del informe pericial realizado por el ***PUESTO.1 de la ***ORGANISMO.1(***ORGANISMO.1) de fecha 5 de julio de 2023 (***EXPEDIENTE.1). Se hace referencia a dicho documento en el apartado tercero de la parte dispositiva del acuerdo de inicio. 3. La nota informativa sobre la brecha de datos personales elaborada por la ***ORGANISMO.3 y la ***ORGANISMO.2. Se reproduce parte del contenido del documento denominado “***DOCUMENTO.2”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/46 “2. Alcance violación de seguridad (naturaleza y contenido de los datos personales afectados) A efectos de determinar el alcance y grado de afectación de la brecha, se hace constar lo siguiente: Usuarios potencialmente afectados: (…). Tipos de datos potencialmente afectados: (…) Datos especialmente protegidos potencialmente afectados por el incidente: (…) Número de afectados potencialmente afectados: Registro Nacional de marcapasos: ***CANTIDAD.3 Registro Nacional Desfibrilador automático implantable: ***CANTIDAD.4. (…) CONSECUENCIAS DEL INCIDENTE (…) NUEVAS MEDIDAS TECNICAS Y DE ORGANIZACIÓN DE PRÓXIMA APLICACIÓN Por parte de ***ORGANISMO.3-***ORGANISMO.2 se decide la adopción de las siguientes medidas Medidas de contención: (…). Evidencias recogidas: (…) Medidas de erradicación: (…) Medidas de recuperación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/46 Otras acciones realizadas para mitigar los efectos: • (…) TERCERO: Inicio de actuaciones previas de investigación. Como consecuencia de los hechos conocidos, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) a raíz de una brecha de datos personales sufrida por el subencargado del tratamiento ***EMPRESA.1. CUARTO: Informe de actuaciones previas de investigación de la SGID. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1. Contenido del informe pericial elaborado por ***ORGANISMO.1 relativo a la brecha de datos que afectó a ***EMPRESA.1. El informe de actuaciones previas de investigación de 15 de octubre de 2024 reproduce parcialmente el contenido del informe pericial de la brecha de fecha 5 de julio de 2023 realizado por la ***ORGANISMO.1(***ORGANISMO.1), al que hace referencia el apartado tercero de la parte dispositiva del acuerdo de inicio, destacando diversas afirmaciones realizadas por el perito informático que lo firma. A continuación, se reproducen párrafos extraídos del informe de actuaciones previas de investigación relativos a dicho informe pericial. En cada caso, se ha incluido un título con el tema analizado en el párrafo o párrafos reproducidos: 1.1. Detección de la brecha de datos personales por parte de ***EMPRESA.1: “(…)” 1.3. Fecha y duración de la brecha de datos personales: (…) 1.9. Mejoras implementadas por ***EMPRESA.1 tras la brecha de datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/46  (…) 1.10. Medidas planificadas por ***EMPRESA.1 en el momento en el que se elaboró el informe pericial de ***ORGANISMO.1:  (…) 1.11. Conclusiones del informe pericial de ***ORGANISMO.1: (…) 2. Recepción de distintas notificaciones vinculadas a dicha brecha de datos personales: El informe de actuaciones previas de investigación refleja que el incidente de seguridad que afectó a ***EMPRESA.1 como encargado del tratamiento (en este caso, subencargado) fue objeto de varias notificaciones de brechas de datos personales a la AEPD: “(…) 3. Notificaciones inicial y definitiva de la brecha de datos realizadas por la AEMPS: El informe de actuaciones previas de investigación analiza la información aportada por la AEMPS en la notificación inicial de la brecha de datos personales: “En fecha 19 de junio de 2023 y registro de entrada ***REFERENCIA.1 se recibe notificación de brecha de seguridad por parte de la AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS (en adelante AEMPS), de su análisis se extrae la siguiente información que puede resultar relevante: - Se afirma que la ***ORGANISMO.2 (…) es encargado de tratamiento afectado por la brecha. - (…) - Se aporta como fecha de detección y de inicio el ***FECHA.1. - Se afirma un total de ***CANTIDAD.1 pacientes afectados. - Incorpora la siguiente descripción: (…). - Se adjunta documento elaborado por la ***ORGANISMO.2 y la ***ORGANISMO.3, en fecha 19 de junio de 2023, con el siguiente contenido relevante sobre la brecha: (…) “Medidas técnicas y organizativas que se han aplicado:  (…) “Medidas técnicas y organizativas que existían con anterioridad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/46  (…) A continuación, el informe de actuaciones previas de investigación de 15 de octubre de 2024 examina la notificación definitiva de la brecha de datos por parte de la AEMPS: “En fecha 28 de julio de 2023 y registro de entrada ***REFERENCIA.2 se recibe nueva notificación de brecha de seguridad por parte de la AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, esta nueva entrada amplía la información proporcionada en la notificación anterior, incorporando la siguiente información: - Afectados ***CANTIDAD.2 pacientes. - (…) - Se aporta nuevo informe actualizado (en la notificación previa se había aportado el informe inicial) redactado por la ***ORGANISMO.3 y ***ORGANISMO.2 en fecha 27 de julio de 2023, con la siguiente información complementaria del incidente: (…) -Tipos de datos potencialmente afectados:  Registro Nacional de marcapasos: (…)  (…) Registro Nacional Desfibrilador automático implantable:  Datos especialmente protegidos potencialmente afectados por el incidente: (…). - Número de afectados potencialmente afectados:  Registro Nacional de marcapasos: ***CANTIDAD.3.  Registro Nacional Desfibrilador automático implantable: ***CANTIDAD.4. - Acciones realizadas:  Proceder a practicar notificación final del incidente tanto al responsable del tratamiento (AEMPS) como a la AEPD ampliando la información previamente comunicada.  (…) 4. Información relativa a las causas de la brecha de datos personales, así como las medidas adoptadas por ***EMPRESA.1, con carácter inmediato a la brecha y con posterioridad, obtenida durante la investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/46 El informe de actuaciones previas de investigación analiza la información obtenida de diversos documentos, aportados durante la investigación de la brecha de datos personales a los que hace referencia el apartado tercero de la parte dispositiva del acuerdo de inicio: “En fecha ***FECHA.4 y registros de entrada (…) se recibe respuesta al requerimiento, de su análisis se extrae la siguiente información relevante: -Se aporta documento redactado por ***EMPRESA.1 con una descripción de los hechos, con las causas del incidente e información sobre las medidas implantadas por esta entidad, de este documento se extraen las siguientes afirmaciones relevantes para la investigación (…): “(…) “Se comparte listado preliminar con las principales medidas reactivas adoptadas (...) inmediatamente tras el incidente:  (…) -Se aporta documento con el plan de acción (…). De su análisis se extraen las siguientes afirmaciones (…): (…) - En respuesta a nuestra solicitud para que aclaren (…). 5. Documento “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 con el fin de dar respuesta a un requerimiento de información de la SGID, que aporta información relativa a las medidas reactivas adoptadas por ***EMPRESA.1: El informe de actuaciones previas de investigación reproduce parte del contenido del documento “***DOCUMENTO.1” (dicho documento se menciona en el apartado tercero de la parte dispositiva del acuerdo de inicio), en el que ***EMPRESA.1 aclara varios aspectos relacionados con contenido del informe pericial de ***ORGANISMO.1: 5.1. Mejoras relativas a (...): “- Aportan documento con afirmaciones proporcionadas por ***EMPRESA.1 aclarando varios puntos del informe pericial. (…) - En relación con las mejoras introducidas tras la brecha para (...), se afirma: (…) 5.2. Mejoras relativas a (...): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/46 “- En relación con las mejoras introducidas para (…), se afirma: (…) ( el subrayado figura en el informe de actuaciones previas de investigación). En relación con la (…), el informe de actuaciones previas de investigación también señala: (…) 5.3. Mejoras relativas (…): “- En relación con las mejoras (…), se afirma: (…) 6. Información aportada por la AEMPS en respuesta al requerimiento formulado por la SGID el 29 de enero de 2024: En relación con esta cuestión, el informe de actuaciones previas de investigación, señala lo siguiente: “Este organismo notificó inicialmente el 19 de junio de 2023 la brecha de seguridad sufrida por ***EMPRESA.1 (subencargado de tratamiento), afirmándose como encargados de tratamiento a las entidades ***ORGANISMO.2 y ***ORGANISMO.3. El incidente afectó a datos identificativos y de salud pertenecientes al Registro Nacional de Marcapasos y Desfibriladores. En fecha 29 de enero de 2024 se realiza requerimiento de información dirigido a la AEMPS y marcado por la siguiente línea: - Investigar formalización de los contratos de encargo de tratamiento. - Investigar actividad de tratamiento, volumen de afectados y tipología de datos personales. - Investigar análisis de riesgos y medidas de seguridad. - Investigar adecuación en la notificación y comunicación de la brecha. “En fecha 12 de febrero de 2024 y registro de entrada ***REFERENCIA.3 se recibe respuesta al requerimiento anterior, de su análisis se extrae: - El requerimiento es respondido por ***ORGANISMO.2. - Se afirma que “Las entidades ***ORGANISMO.3 y ***ORGANISMO.2 intervienen en su condición de encargadas de tratamiento en relación con las actividades de tal naturaleza resultantes de la (…) por parte de la Agencia Española del Medicamento y Productos Sanitarios (AEMPS) de (…) incluidos en los Registros Nacionales de Marcapasos Implantables y de Desfibriladores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/46 Implantables. Dichas tareas se fundamentan en el Convenio suscrito entre la AEMPS y la ***ORGANISMO.2 publicado en el ***BOE.1”. – -Se adjunta documento que acredita este convenio, de su análisis se aporta: -Que “la ***ORGANISMO.2 (***ORGANISMO.2 (…) promovida por la ***ORGANISMO.3 y sometida al ***ORGANISMO.4”. -Se incluye la siguiente afirmación: “El responsable de los datos de la AEMPS, (…)”. -Incluye Anexo con el contrato de encargo de tratamiento de datos personales en relación con el convenio suscrito, destacando: “(…)” -En relación con el subencargado de tratamiento que sufre la brecha (***EMPRESA.1), afirman: (…) Se adjunta documento que lo acredita. De su análisis destaca el apartado (...)” que incluye (entre otras) las siguientes medidas relevantes a implantar: (…) -Aportan descripción cronológica de los hechos, destacan las siguientes afirmaciones relevantes: -“ ***FECHA.1 se tiene conocimiento por parte de ***EMPRESA.1. de brecha de seguridad. (…) -“***FECHA.5***EMPRESA.1. procede a comunicar el incidente a ***ORGANISMO.3-***ORGANISMO.2, quien, a su vez da traslado a su delegado de protección de datos, el ***FECHA.6”. -“***FECHA.7. Analizados los hechos y valoradas las circunstancias de los mismos, el DPD de ***ORGANISMO.3-***ORGANISMO.2 procede a la formular primera notificación la brecha de seguridad a la Agencia Española de Protección de Datos (AEPD)”. -“***FECHA.2. Tras el estudio de los resultados del informe pericial y con ánimo de ampliar la información de la primera notificación a la AEPD, se efectúa notificación final de la brecha incorporando la comunicación de la brecha de seguridad a los afectados (…)”. -En relación con el volumen de afectados, afirman: -(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/46 -En relación con la tipología de datos afectados, afirman: -Registro Nacional de marcapasos: (…). -Registro Nacional Desfibrilador automático implantable: (…). -Adjuntan el Registro de Actividades ***ORGANISMO.3 y ***ORGANISMO.2, (…). de Tratamiento de la -Se acredita procedimiento de gestión de brechas de seguridad de ***ORGANISMO.3-***ORGANISMO.2. - Se acredita el comunicado realizado a las personas afectadas (…). -Se adjunta documento con el análisis de riesgos del Registro Nacional de Marcapasos y Desfibriladores, no contiene fecha de realización ni firma. De su análisis se extrae: -(…) - El análisis de riesgo finaliza con las siguientes conclusiones: “(…)”. -En respuesta a nuestra solicitud para que aporten motivo por el que las medidas implantadas no impidieron el incidente, afirman: “(…)”. -Se aporta la relación de medidas preventivas y reactivas desplegadas por ***EMPRESA.1 (este documento ya ha sido analizado en puntos anteriores del presente informe).” 7. Análisis por parte de la SGID de la implementación de las medidas (…): En relación con esta cuestión, el informe de actuaciones previas de investigación indica: “Con respecto a la (…). 8. Parte final del informe de actuaciones previas de investigación: En su parte final, el informe de actuaciones previas de investigación señala: (…) 2) (…) afectó a datos de, al menos, los siguientes proyectos de investigación médica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/46 (…) 1) La auditoría forense constata amplio listado de medidas reactivas implantadas por ***EMPRESA.1 tras la brecha (páginas 3 y 5 del presente informe), entre estas medidas destacan las siguientes por su relevancia para evitar incidentes similares (su implantación previa hubiera evitado con gran probabilidad el impacto de la brecha): - (…) 1)En relación con la investigación realizada a la AEMPS: - Ha quedado constatado que AEMPS actuaba como responsable de tratamiento de los datos afectados, que existía contrato de encargo formalizado con la ***ORGANISMO.2 y ***ORGANISMO.3 (…). Se acredita contrato de encargo formalizado entre ***ORGANISMO.3 y ***EMPRESA.1 (…) (hace referencia normativa antigua). - Por afirmación del responsable se confirma un total de ***CANTIDAD.2 personas afectados y la siguiente tipología de datos filtrada: (…). - Se acredita análisis de riesgos de la actividad afectada (sin fecha ni firma), (…).” QUINTO: Acuerdo de inicio del procedimiento sancionador. Con fecha 20 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
3. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Alegaciones al acuerdo de inicio. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: En primer lugar, señala que el 20 de noviembre de 2023 la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) firmó un convenio con la ***ORGANISMO.2, por el que se canalizaba la subvención nominativa establecida en los presupuestos generales del estado para el año 2023 para la gestión y el mantenimiento de los registros nacionales de marcapasos y desfibriladores implantables. La AEMPS afirma que ha actuado de forma diligente como responsable del tratamiento. Señala que, a través de las cláusulas cuarta “***CLÁUSULA.1”, quinta “***CLÁUSULA.2” y sexta “***CLÁUSULA.3” del convenio firmado con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/46 ***ORGANISMO.2 [se refiere a las cláusulas cuarta, quinta y sexta del contrato para el tratamiento de datos personales por cuenta de tercero firmado entre la AEMPS y ***ORGANISMO.2, que figura como anexo al convenio de 20 de noviembre de 2023], la AEMPS aseguró de que se adoptaran medidas de seguridad técnicas y organizativas que, en opinión de la AEMPS, resultaban acordes con el nivel de sensibilidad de los datos gestionados. La AEMPS considera que adoptó todas las actuaciones exigibles a un responsable del tratamiento para cumplir con la normativa en materia de protección de datos. Sin embargo, indica que hubo determinadas actuaciones que se apartaron de las directrices que había dado la AEMPS. A continuación, hace referencia a la distinción entre medios esenciales y no esenciales contemplada en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD). Asimismo, señala que en ***ORGANISMO.2 se indica: la cláusula quinta del convenio suscrito con “(…)” La AEMPS destaca, en su opinión, el incidente de seguridad no se debió a una falta de cumplimiento por parte de la AEMPS, sino (…). Afirma que (…) excede de las responsabilidades de la AEMPS como responsable del tratamiento y recae en las prácticas llevadas a cabo (…). La AEMPS afirma que, en aplicación de lo dispuesto en el apartado once de la cláusula quinta del contrato firmado entre la AEMPS y ***ORGANISMO.2, la responsabilidad recae en el encargado del tratamiento (***ORGANISMO.2, por incumplimiento de las obligaciones por el subencargado. A continuación, reproduce el contenido del artículo 28.10 del RGPD y añade que según dispone el artículo 82 del RGPD: “un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable”. La AEMPS concluye su escrito de alegaciones afirmando que no procede imputarle la responsabilidad por la brecha de datos personales, derivados de la falta de implantación de medidas. Considera que la responsabilidad recae en ***ORGANISMO.2, encargada del tratamiento, a través de actuaciones que fueron objeto de contratación con el subencargado (***EMPRESA.1). SÉPTIMO: Relación de documentos que obran en el procedimiento. Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/46 PRIMERO: La AEMPS es titular de los Registros Nacionales de Implantes: el de Implantes activos, el de Implantes cardíacos e implantes vasculares del sistema circulatorio central. En el año 2005 la AEMPS firmó un contrato con la ***ORGANISMO.2, en la que se encuentra integrada la ***ORGANISMO.3, en virtud del cual ***ORGANISMO.3 facilitaba los registros existentes en sus Bases de Datos, que pasaron a ser propiedad de la AEMPS, constituyéndose con dichos datos los Registros Nacionales de Marcapasos y de Desfibriladores Automáticos Implantables (DAI). A partir de ese momento, ***ORGANISMO.2 ha venido realizando la gestión y ha mantenido actualizados los datos contenidos en dichos Registros, tal y como reflejan los convenios suscritos entre la AEMPS y ***ORGANISMO.2 por los que se canalizan subvenciones nominativas establecidas en los Presupuestos Generales del Estado de los años 2022 y 2023 para la gestión y el mantenimiento de los Registros Nacionales de Marcapasos y Desfibriladores Automáticos Implantables. En el contrato para el tratamiento de datos personales por cuenta de tercero de 20 de noviembre de 2023, celebrado entre la AEMPS y ***ORGANISMO.2, se indica que la AEMPS es responsable del tratamiento de los ficheros Registro Nacional de Marcapasos y Registro Nacional de Desfibriladores Automáticos Implantables (DAI) y ***ORGANISMO.3, a través de ***ORGANISMO.2, encargado del tratamiento. En relación con esta cuestión, el informe de actuaciones previas de investigación de 15 de octubre de 2024 señala: 1) En relación con la investigación realizada a la AEMPS: - Ha quedado constatado que AEMPS actuaba como responsable de tratamiento de los datos afectados, que existía contrato de encargo formalizado con la ***ORGANISMO.2 y ***ORGANISMO.3 (formalizado en convenio suscrito (…)). (…)” (el subrayado es nuestro). SEGUNDO: ***EMPRESA.1 es subencargado del tratamiento relativo a los Registros Nacionales de Marcapasos y de Desfibriladores Automáticos Implantables (DAI). Forman parte del expediente los Acuerdos relativos al Registro Nacional de Marcapasos y al Registro Nacional de DAI, firmados por ***ORGANISMO.3 y el subencargado (***EMPRESA.1). En este sentido, el informe de actuaciones previas de investigación señala: “Se acredita contrato de encargo formalizado entre ***ORGANISMO.3 y ***EMPRESA.1 con fecha de firma septiembre de 2014 (hace referencia normativa antigua).” TERCERO: ***EMPRESA.1 (***EMPRESA.1), proveedor tecnológico tratamiento, sufrió una brecha de datos personales, (…). y subencargado del En este sentido, el informe de actuaciones previas de investigación de 15 de octubre de 2024 indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/46 (…) CUARTO (…) afectó a datos de varios proyectos clínicos, entre ellos, datos personales del Registro Nacional de Marcapasos y el Registro Nacional de Desfibriladores Automáticos Implantables. En relación con esta cuestión, el informe de actuaciones previas de investigación de 15 de octubre de 2024 señala: “(…)2)(…) afectó a datos de, al menos, los siguientes proyectos de investigación médica: (…) - Registro Nacional Marcapasos Y Desfibriladores Implantables: su responsable es la AEMPS, que encomendó su gestión a la ***ORGANISMO.2 y ***ORGANISMO.3. Se filtraron datos de pacientes incluidos en este registro, entre los que existían datos identificativos y de salud de pacientes. (el subrayado es nuestro).” QUINTO: La brecha de datos personales afectó a los datos personales de ***CANTIDAD.2 personas. Se filtraron los siguientes tipos de datos personales: (…)” Así se refleja en la segunda notificación a la Agencia de fecha 28 de julio de 2023 y en el informe de actuaciones previas de investigación. Este último señala: “- Por afirmación del responsable se confirma un total de ***CANTIDAD.2 (…)” SEXTO: La brecha de datos personales se produjo en (…). En este sentido se indica en el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***ORGANISMO.1 de fecha 5 de julio de 2023 (***EXPEDIENTE.1) con el título “***DOCUMENTO.3”. En el apartado titulado “***APARTADO.1” del referido cuadro figura, entre otra, la siguiente información: “(…)” SÉPTIMO (…) En este sentido, el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***ORGANISMO.1 de fecha 5 de julio de 2023 (***EXPEDIENTE.1) con el título “***DOCUMENTO.3, indica la siguiente información en el apartado denominado “***APARTADO.1”: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/46 OCTAVO: La brecha de datos personales se produjo como consecuencia de (…). En relación con esta cuestión, el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***ORGANISMO.1 de fecha 5 de julio de 2023 (***EXPEDIENTE.1) con el título “***DOCUMENTO.3” indica la siguiente información en el apartado denominado “***APARTADO.2”: “(…)” Asimismo, el informe de actuaciones previas de investigación de 15 de octubre de 2024 señala: “(…)” NOVENO: (…) Así se refleja en el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***ORGANISMO.1 de fecha 5 de julio de 2023 (***EXPEDIENTE.1) con el título “***DOCUMENTO.3”, en el apartado denominado “***APARTADO.3”: En el apartado titulado “***APARTADO.3” del referido cuadro figura, entre otra, la siguiente información: (…) DÉCIMO  (…) Esta información figura en el apartado titulado “***APARTADO.4” del cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***ORGANISMO.1 de fecha 5 de julio de 2023 (***EXPEDIENTE.1) con el título “***DOCUMENTO.3”: (…) UNDÉCIMO: El 17 de junio de 2023 un representante de ***EMPRESA.1 denunció la brecha de datos personales ante la Policía Nacional. DUODÉCIMO: En la fecha en la que se produjo la brecha de datos personales (***FECHA.1) ***EMPRESA.1 no tenía implantadas las siguientes medidas, que fueron implementadas en el sistema de ***EMPRESA.1 con posterioridad a la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/46  (…) En relación con esta cuestión el informe de actuaciones previas de investigación de 15 de octubre de 2024 indica: “1) La auditoría forense constata amplio listado de medidas reactivas implantadas por ***EMPRESA.1 tras la brecha (páginas 3 y 5 del presente informe), entre estas medidas destacan las siguientes por su relevancia para evitar incidentes similares (su implantación previa hubiera evitado con gran probabilidad el impacto de la brecha): - (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS (AEMPS) realiza, entre otros, los tratamientos consistentes en la recogida, registro, conservación, modificación, extracción, consulta, utilización de datos personales de personas físicas. En contestación a un requerimiento de información de la SGID de fecha 29 de enero de 2024, en el que, entre otros aspectos, se solicitaba información sobre la tipología de datos afectados por la brecha, la AEMPS, a través de la ***ORGANISMO.3 y la ***ORGANISMO.2, encargados del tratamiento, facilitaba la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/46 (…) En consecuencia, algunos de los datos personales afectados por la brecha de datos pertenecen a las categorías especiales de datos personales contempladas en el artículo 9 del RGPD. La AEMPS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Así se refleja en los Contratos para el tratamiento de datos personales, que figuran como Anexo a los convenios suscritos entre la AEMPS y ***ORGANISMO.2 por los que se canalizan subvenciones nominativas establecidas en los Presupuestos Generales del Estado para la gestión y el mantenimiento de los Registros Nacionales de Marcapasos y Desfibriladores Implantables: En concreto, en el Convenio relativo a los Presupuestos Generales del Estado del año 2023 figura como anexo un Contrato para el tratamiento de datos personales por cuenta de tercero, en cuya la cláusula primera se señala lo siguiente: “(…) III Alegaciones al acuerdo de inicio La AEMPS, en su escrito de alegaciones al acuerdo de inicio de 14 de enero de 2025, indica que el 20 de noviembre de 2023 se firmó un convenio entre la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) y la ***ORGANISMO.2, por el que se canalizaba la subvención nominativa establecida en los presupuestos generales del estado para el año 2023 para la gestión y el mantenimiento de los registros nacionales de marcapasos y desfibriladores implantables (en adelante, el convenio). La AEMPS afirma que ha actuado de forma diligente como responsable del tratamiento. Señala que, a través de las cláusulas cuarta, quinta y sexta del convenio firmado con ***ORGANISMO.2 [cláusulas cuarta “***CLÁUSULA.1”, quinta “***CLÁUSULA.2” y sexta “***CLÁUSULA.3” del contrato para el tratamiento de datos personales por cuenta de tercero, firmado entre la AEMPS y ***ORGANISMO.2, que figura como anexo al convenio de 20 de noviembre de 2023], la AEMPS aseguró que se adoptaran medidas de seguridad técnicas y organizativas que, en opinión de la AEMPS, resultaban acordes con el nivel de sensibilidad de los datos gestionados. La AEMPS considera que adoptó todas las actuaciones exigibles a un responsable del tratamiento para cumplir con la normativa en materia de protección de datos. Sin embargo, indica que hubo determinadas actuaciones que se apartaron de las directrices dadas por la AEMPS. A continuación, hace referencia a la distinción entre medios esenciales y no esenciales contemplada en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD). Asimismo, señala que la cláusula quinta del convenio suscrito con ***ORGANISMO.2 indica: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/46 La AEMPS afirma que el incidente de seguridad no se debió a una falta de cumplimiento por parte de la AEMPS, sino a (…) (…) excede de las responsabilidades de la AEMPS como responsable del tratamiento y recae en las prácticas llevadas a cabo (…). La AEMPS afirma que, en aplicación de lo dispuesto en el apartado once de la cláusula quinta del contrato firmado entre la AEMPS y ***ORGANISMO.2, la responsabilidad recae en el encargado del tratamiento (***ORGANISMO.2, por incumplimiento de las obligaciones por parte del subencargado. A continuación, reproduce el contenido del artículo 28.10 del RGPD y añade que según dispone el artículo 82 del RGPD: “un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable”. La AEMPS concluye su escrito de alegaciones afirmando que no procede imputar a dicha Agencia la responsabilidad por la brecha de datos personales, derivados de la falta de implantación de medidas. Considera que la responsabilidad recae en ***ORGANISMO.2, encargada del tratamiento, a través de actuaciones que fueron objeto de contratación con el subencargado (***EMPRESA.1). En respuesta a las alegaciones presentadas por la AEMPS se debe señalar que uno de los elementos más destacados del RGPD es el principio de responsabilidad proactiva, contemplado en el artículo 5.2 del RGPD, que prevé: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Es decir, el responsable del tratamiento es responsable de cumplir con todos los principios relativos al tratamiento, previstos en el artículo 5.1 del RGPD, y ha de ser capaz de demostrar dicho cumplimiento. El Gabinete Jurídico de la AEPD ha destacado en numerosas ocasiones que dicho principio ha supuesto un cambio de paradigma, dado que la regulación del derecho a la protección datos personales ha pasado a fundamentarse en el principio de responsabilidad proactiva. Tras la entrada en vigor del RGPD los responsables del tratamiento han asumido un papel protagonista a la hora de garantizar que los tratamientos de datos personales, que pretenden llevar a cabo o que están llevando a cabo, son plenamente respetuosos con la legalidad y respetan lo dispuesto, tanto en el RGPD como en la LOPDGDD. En coherencia con la relevancia que el RGPD otorga, tanto al responsable del tratamiento como al principio de responsabilidad proactiva, las Directrices 07/2020 del CEPD sobre los conceptos de «Responsable del Tratamiento» y «Encargado del Tratamiento» en el RGPD abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: (el subrayado es nuestro) “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/46 e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento. Asimismo, las mencionadas Directrices 07/2020” señalan: “28. En muchas ocasiones, el examen de las cláusulas contractuales entre las distintas partes involucradas puede ayudar a determinar qué parte o partes actúan como responsables del tratamiento. Aun cuando el contrato no estipule quién es el responsable del tratamiento, puede contener elementos suficientes para inferir quién tiene el poder de decisión en relación con los fines y medios del tratamiento. También es posible que el contrato contenga una declaración expresa sobre la identidad del responsable del tratamiento. Si no existen motivos para dudar de que esta se ajuste a la realidad, nada se opone a que se sigan las condiciones fijadas en el contrato. No obstante, los términos de un contrato no son determinantes en todos los casos, ya que, de ser así, las partes simplemente podrían atribuir la responsabilidad como lo consideraran oportuno. No es posible devenir responsable del tratamiento ni rehuir las obligaciones del responsable mediante una mera fórmula en el contrato cuando las circunstancias de hecho indiquen lo contrario.” (el subrayado es nuestro). El apartado 11 de la cláusula quinta del contrato para el tratamiento de datos personales por cuenta de tercero, firmado por la AEMPS y ***ORGANISMO.2, dispone: (…) En primer lugar, la existencia de dicha cláusula contractual no supone, que la AEMPS, tal y como dicha Agencia pretende, quede eximida de forma automática de toda responsabilidad en relación con la brecha de datos personales que sufrió su subencargado del tratamiento (***EMPRESA.1). El RGPD persigue una finalidad claramente garantista, al tiempo que, tal y como se ha indicado anteriormente, las Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento. Partiendo de dicha finalidad garantista de los derechos y libertades de los interesados, cuyos datos personales son tratados, la aplicación del artículo 28.10 del RGPD quedaría reservada para aquellos supuestos en los que existan evidencias de que el encargado del tratamiento ha incurrido en las conductas reflejadas en dicho artículo. No consta que nos encontremos en dicho caso, ya que no existen evidencias que reflejen que ***ORGANISMO.2 haya realizado el tratamiento de datos personales persiguiendo finalidades propias, ni que dicho encargado del tratamiento se haya separado o haya desoído instrucciones expresas, en materia de medidas de seguridad, adoptadas por la AEMPS y comunicadas al mismo. En segundo lugar, resulta necesario recordar la Sentencia del Tribunal de Justicia de la Unión Europea de 5 de diciembre de 2023, dictada en el asunto C-807/21, que destaca: “un responsable del tratamiento es responsable no solo por todo tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/46 de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta,” Los datos personales tratados por ***ORGANISMO.2 (encargada del tratamiento) y por ***EMPRESA.1 (subencargado), fueron tratados por cuenta de la AEMPS y para una finalidad claramente vinculada a dicha Agencia. En este sentido, cabe destacar que la AEMPS: 1. Ha de garantizar que los productos sanitarios cumplen con estrictos criterios de calidad, seguridad, eficacia y correcta información con arreglo a la normativa vigente en el ámbito estatal y de la Unión Europea (artículo 6 del Estatuto de la AEMPS). 2. Desarrolla actuaciones de seguimiento y vigilancia de los productos sanitarios implantables activos y no activos, para lo cual necesita conocer el comportamiento a largo plazo de dichos productos a fin de obtener datos sobre su seguridad. 3. Actúa como centro de referencia nacional en las redes europeas y evalúa la idoneidad sanitaria de los productos sanitarios, así como la autorización, modificación, suspensión o revocación de investigaciones clínicas con productos sanitarios. 4. Es titular del “Registro Nacional de Marcapasos” y del “Registro Nacional de Desfibriladores Automáticos Implantables” (Los Presupuestos Generales del Estado contemplan subvenciones nominativas a ***ORGANISMO.2 para la gestión y mantenimiento de ambos Registros Nacionales). El convenio de fecha 20 de noviembre de 2023, celebrado entre la AEMPS y ***ORGANISMO.2, refleja claramente que ***ORGANISMO.2, en la que está integrada ***ORGANISMO.3, presta un servicio a la AEMPS, consistente en el mantenimiento y la recogida de los datos incluidos en los Registros Nacionales de Marcapasos y de Desfibriladores Automáticos Implantables, con el fin de que la información contenida en los mismos se encuentre permanentemente actualizada, en orden a adoptar las medidas que resulten precisas en beneficio de la salud de los pacientes. Dichos servicios conllevan el tratamiento de datos de carácter personal El examen del contenido del mencionado convenio refleja que la AEMPS, en calidad de responsable del tratamiento, ha adoptado decisiones que ha de cumplir ***ORGANISMO.2, encargada del tratamiento. A modo de ejemplo, la AEMPS ha decidido que: (el subrayado es nuestro). (…) La estipulación segunda del convenio titulada “Compromisos de la ***ORGANISMO.2” prevé: (…) La estipulación segunda del convenio contiene varias previsiones, que ponen de manifiesto que la finalidad del tratamiento de datos es una finalidad propia de la AEMPS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/46 A lo ya expuesto cabe añadir que, la AEMPS ha establecido y ***ORGANISMO.2 ha de cumplir, un procedimiento específico para la recogida, validación grabación y valoración de datos (disposición tercera del convenio), así como un Protocolo de contacto para alertas y otras noticias (anexo 2 del convenio). Por otra parte, la AEMPS, responsable del tratamiento, ha optado por delegar amplias facultades en su encargado del tratamiento. En particular, en relación con la aplicación de las medidas de seguridad, notificación de brechas de datos personales, realización de evaluaciones de impacto y realización de consultas previas. No obstante, se ha reservado la facultad de ser informada de forma inmediata de cualquier acto realizado por su encargado en relación con dicha delegación. Así lo refleja la cláusula sexta del contrato para el tratamiento de datos personales por cuenta de tercero, celebrado entre la AEMPS y ***ORGANISMO.2: “(…)” Por los motivos expuestos, no cabe admitir las alegaciones formuladas. IV Obligación incumplida. Integridad y confidencialidad La letra
4. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, se ha producido una brecha de confidencialidad como consecuencia del acceso no autorizado (…) a información confidencial (parte de la cual eran datos personales sanitarios), almacenada en ***SERVIDOR.1 de la empresa ***EMPRESA.1, subencargado del tratamiento. Así se refleja en los siguientes documentos que obran en el expediente:  Las Notificaciones inicial y segunda notificación de la brecha de datos de la AEMPS ante la AEPD.  El informe pericial elaborado por ***ORGANISMO.1 de fecha 5 de julio de 2023.  El informe de actuaciones previas de investigación de fecha 15 de octubre de 2024. I. BRECHA DE DATOS PERSONALES: 1.Notificaciones de 19 de junio y 28 de julio de 2023 ante la AEPD: En la notificación inicial de la brecha de fecha 19 de junio de 2023 figuraba la siguiente descripción de lo ocurrido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/46 “(…)” Por su parte, la segunda notificación de la brecha ante la AEPD de 28 de julio de 2023 (calificada como completa) también detalla la brecha de confidencialidad sufrida. A continuación, se reproduce parte de la notificación de la brecha de 20 de julio de 2023 (subrayado de la AEPD): SEGUNDA NOTIFICACIÓN RELATIVA A LA BRECHA DE PERSONALES (NOTIFICACIÓN COMPLETA) DATOS Sobre el tratamiento El incidente ha sido (…) El origen del incidente ha sido: (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…) Como consecuencia del incidente, se ha visto afectada la: (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…) Introduzca una breve descripción de lo ocurrido. Evite incluir datos personales, fórmulas del tipo "Ver anexo" y en ningún caso lo aquí escrito podrá suponer una modificación sobre lo consignado en el resto del formulario. (…) Tipos de datos afectados Seleccione los tipos de datos que se han visto afectados, exclusivamente de personas físicas, marque todas las opciones aplicables: (…) Perfil de los afectados, referido exclusivamente a personas físicas Las personas afectadas tienen los siguientes perfiles: (…) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (Si desconoce el valor exacto, indique un valor aproximado) ***CANTIDAD.2 Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales ***FECHA.1 ¿Conoce la fecha en la que se inició la brecha? (…) Indique la fecha de inicio de la brecha ***FECHA.1 Indique la fecha en la que se dio por resuelta la brecha ***FECHA.2 Responsable del tratamiento 1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/46 Nombre de la Organización AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANIT Encargado de tratamiento ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? (…) Nombre de la Organización ***ORGANISMO.2 Los documentos de ***ORGANISMO.2 denominados “***DOCUMENTO.4” de fecha19 de junio de 2023 y “***DOCUMENTO.2” de 27 de julio de 2023, que acompañan a las notificaciones de la brecha, coinciden al señalar las consecuencias de la brecha de datos personales: “CONSECUENCIAS DEL INCIDENTE (…) 2. Informe pericial elaborado ***ORGANISMO.1(***ORGANISMO.1): por ***PUESTO.1 de la La AEMPS ha aportado junto con el escrito de 12 de febrero de 2024, elaborado en contestación al requerimiento de información de la SGID, un informe pericial de ***ORGANISMO.1 de fecha 5 de julio de 2023 (***EXPEDIENTE.1) con el título “***DOCUMENTO.3”. El referido informe fue realizado tras el análisis de la brecha de datos personales y la obtención de evidencias (…). En las tres primeras conclusiones del informe pericial se señala: “(…) 2.1. Cuadro resumen sobre cómo se produjo la brecha de datos personales: En dicho informe pericial, se incluye un cuadro que explica cómo se produjo la brecha de datos personales. (…) 2.2.¿Dónde se produjo la brecha de datos personales? Como puede observarse, la brecha de datos se produjo en ***SERVIDOR.1. En este sentido, el informe pericial de ***ORGANISMO.1 señala: “(…)” El cuadro del informe pericial de ***ORGANISMO.1 refleja que: (…) 2.3. Origen de la brecha de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/46 En cuanto al origen de la brecha de datos, el informe pericial de ***ORGANISMO.1 señala como origen de la brecha (…). En este sentido, señala: (…) 2.4. ¿Cómo se produjo la brecha de datos personales? (…) 2.5. ¿Cuándo se produjo la brecha de datos personales? Tal y como refleja el cuadro resumen del informe de ***ORGANISMO.1 la brecha de datos tuvo lugar ***FECHA.1. (…) 3.Informe de actuaciones previas de investigación de fecha 15 de octubre de 2024: En la parte final del informe de actuaciones previas de investigación de 15 de octubre de 2024, se señala (subrayado nuestro). - (…) 1)En relación con la investigación realizada a la AEMPS: - Ha quedado constatado que AEMPS actuaba como responsable de tratamiento de los datos afectados, que existía contrato de encargo formalizado con la ***ORGANISMO.2 y ***ORGANISMO.3 (…). Se acredita contrato de encargo formalizado entre ***ORGANISMO.3 y ***EMPRESA.1 (…) (hace referencia normativa antigua). - Por afirmación del responsable se confirma un total de ***CANTIDAD.2 personas afectados y la siguiente tipología de datos filtrada: (…). - Se acredita análisis de riesgos de la actividad afectada (sin fecha ni firma), (…). En conclusión, se produjo una brecha de datos personales materializada en una pérdida de confidencialidad. La brecha tuvo lugar como consecuencia del (…). En este sentido, el escrito de 12 de febrero de 2024, elaborado en contestación al requerimiento de información de la SGID, indica, en relación con el número de personas afectadas y posibles consecuencias, lo siguiente: “1.3. Número de personas afectadas y posibles consecuencias. Conforme a la información recogida en la notificación final de violación de seguridad (ANEXO VII), se hace constar: • (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/46 II. AUSENCIA DE UNA SERIE DE MEDIDAS CUYA IMPLANTACIÓN, CON GRAN PROBABILIDAD, HABRÍA EVITADO LA BRECHA DE DATOS PERSONALES O HABRÍA REDUCIDO EL IMPACTO DE LA MISMA: La documentación obrante en el expediente, evidencia que en momento en el que se produjo la brecha de datos personales (***FECHA.1) el subencargado del tratamiento no tenía implantadas una serie de medidas que, con gran probabilidad, habrían evitado que la brecha de datos personales se produjera o habrían reducido el impacto de la misma, según se desprende del contenido del informe pericial realizado a instancias de la parte reclamada. Las referidas medidas fueron introducidas una vez que la brecha de datos ya se había producido con el fin de evitar que pudiera repetirse. Dicha implantación posterior evidencia la ausencia de tales medidas, al tiempo que refleja que la parte reclamada ha considerado necesaria su adopción a la vista del tratamiento de datos personales realizado. En particular, lo muestran los siguientes documentos: 1.Documentos elaborados por ***EMPRESA.1 (subencargado el tratamiento) en los que se detallan las medidas preventivas y reactivas adoptadas:     Medidas de seguridad preventivas implementadas por ***EMPRESA.1 con anterioridad a la brecha de seguridad. Nuevas medidas técnicas y organizativas adoptadas por ***EMPRESA.1 para evitar, en lo posible, incidentes de seguridad como el sucedido (versiones reducida y amplia, que incluye explicaciones y capturas de pantalla) Medidas de seguridad para reducir riesgo (…) (versiones reducida y amplia, que incluye explicaciones y capturas de pantalla). ***DOCUMENTO.1. 2. Informe pericial elaborado por ***ORGANISMO.1 de fecha 5 de julio de 2023, tanto el resumen ejecutivo como el informe pericial completo. 3. Informe de actuaciones previas de investigación de 15 de octubre de 2024. El informe de actuaciones previas de investigación de 15 de octubre de 2024 señala una serie de medidas reactivas, que fueron introducidas por ***EMPRESA.1 tras la brecha de datos personales, cuya implantación previa hubiera evitado, con gran probabilidad, (…), que ocasionó la brecha de datos personales, se completara con éxito. La mayor parte de la información relativa a dichas medidas se ha obtenido en respuesta a requerimientos de información formulados por la SGID. Se reproduce la referencia a dichas medidas reactivas en el informe de actuaciones previas de investigación: “1) La auditoría forense constata amplio listado de medidas reactivas implantadas por ***EMPRESA.1 tras la brecha (páginas 3 y 5 del presente informe), entre estas medidas destacan las siguientes por su relevancia para evitar incidentes similares (su implantación previa hubiera evitado con gran probabilidad el impacto de la brecha): C/ Jorge Juan, 6 28001 – Madrid (…) www.aepd.es sedeaepd.gob.es 34/46 A continuación, se va a analizar cada una de dichas medidas reactivas. Posteriormente, se analizarán otras medidas introducidas por ***EMPRESA.1 tras la brecha de datos personales que hubieran evitado la brecha de datos o, al menos, habrían reducido su impacto: (…) 1.1. Informe pericial de ***ORGANISMO.1: El informe pericial de ***ORGANISMO.1 ha revelado que (…). En el apartado 4 de dicho informe titulado “***DOCUMENTO.5” se formula la siguiente recomendación técnica relativa a (…): (…) En el apartado 5 de dicho informe titulado “***DOCUMENTO.6” se incluyen tanto medidas ya implementadas por ***EMPRESA.1 como medidas que tiene previsto implantar relativas a (...) de seguridad, indicando: (…) 1.2. Documento denominado “***DOCUMENTO.1” elaborado por ***EMPRESA.1, en contestación a un requerimiento de información de la SGID: El documento denominado “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID, incluye la siguiente información: (…) Por tanto,  (…). En dicho documento, ***EMPRESA.1 aporta la siguiente información relativa a las medidas de mejora introducidas (…): (…) Por tanto, tras la brecha de datos personales ***EMPRESA.1 (…). 1.3. Documento denominado “***DOCUMENTO.7 En dicho documento se señala: (…) 1.4. Informe de actuaciones previas de investigación: El informe de actuaciones previas de investigación incluye numerosas referencias a los (...). Del conjunto de las mismas, se reproduce el análisis realizado por la SGID en el documento “***DOCUMENTO.8: (…) En resumen, la brecha de datos personales fue posible como consecuencia de (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/46 2.1. Informe pericial de ***ORGANISMO.1: En el apartado 4 del informe pericial de ***ORGANISMO.1 “***DOCUMENTO.5” se formula la siguiente recomendación técnica: titulado “(…)” En el apartado 5 de dicho informe titulado “***DOCUMENTO.6” se incluyen tanto medidas ya implementadas por ***EMPRESA.1 como medidas que tiene previsto implantar, indicando: “(…)” 2.2. Documento denominado “***DOCUMENTO.1” elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID: El documento denominado “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID, incluye la siguiente información: (…) 2.3. Documento denominado “***DOCUMENTO.7 En dicho documento se indica: (…) 3.1. Informe pericial de ***ORGANISMO.1: En el apartado 5 de dicho informe pericial, titulado “***DOCUMENTO.6”, se incluyen tanto medidas ya implementadas por ***EMPRESA.1 como medidas que tiene previsto implantar, indicando: (…) 3.2. Documento denominado “***DOCUMENTO.1” elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID: El documento denominado “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID, incluye la siguiente información: (…) 3.3. Documento denominado “***DOCUMENTO.7 En dicho documento se (…). La medida adoptada es relevante dado que (…), en los que no solo figuraban datos personales identificativos o de contacto, sino también datos de salud. (…) 4.1. Informe pericial de ***ORGANISMO.1: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/46 En el apartado 4 de dicho informe titulado “***DOCUMENTO.5” se formula la siguiente recomendación técnica: (…) En el apartado 5 de dicho informe pericial, titulado “***DOCUMENTO.6”, se incluyen tanto medidas ya implementadas por ***EMPRESA.1 como medidas que tiene previsto implantar, indicando: (…) 4.2. Documento denominado “***DOCUMENTO.7 Dicho documento señala lo siguiente: (…) Por otra parten, en el documento elaborado por ***EMPRESA.1 analizado (titulado “***DOCUMENTO.7 se contempla (…) que resulta necesario destacar: (…) 4.3. Documento denominado “***DOCUMENTO.1” elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID: El documento denominado “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID, incluye la siguiente información: (…) En una captura de pantalla se muestra que (…) y se indica:  (…) En este sentido, es importante recordar que la brecha de datos personales se produjo (…). Durante la brecha de datos personales se produjo (…) de datos personales (algunos de los cuales eran datos de salud, categoría especial de datos personales del artículo 9 del RGPD). (…) Con posterioridad a la brecha de datos personales, ***EMPRESA.1 ha implantado (…). En el apartado 5 de dicho informe pericial, titulado “***DOCUMENTO.6”, se incluyen tanto medidas ya implementadas por ***EMPRESA.1 como medidas que tiene previsto implantar, indicando: (…) 5.2. Documento denominado “***DOCUMENTO.7 Dicho documento señala lo siguiente: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/46 6. Mejoras en la detección relacionadas con (…): El documento denominado “***DOCUMENTO.1”, elaborado por ***EMPRESA.1 en contestación a un requerimiento de información de la SGID, incluye la siguiente información: (…) Como puede observarse, ***EMPRESA.1 está tratando (…). 7.1. Informe pericial de ***ORGANISMO.1: En el apartado 5 de dicho informe pericial, titulado “***DOCUMENTO.6”, se incluyen tanto medidas ya implementadas por ***EMPRESA.1 como medidas que tiene previsto implantar, indicando: (…) 7.2. Documento denominado “***DOCUMENTO.9: En dicho documento se señala: “(…)” 7.3. Documento denominado “***DOCUMENTO.7 En el último apartado de dicho documento, (…), se indica: (…) En resumen, en el momento de la brecha de datos personales, en (…). El informe pericial de ***ORGANISMO.1 refleja que el (…). Tras la brecha de datos personales, ***EMPRESA.1 ha decidido (…). A continuación, se incluye una tabla resumen en la que se reflejan las medidas por ***EMPRESA.1 en el momento de la brecha de datos personales y las implantadas por dicha empresa tras la brecha: (…) En conclusión, el hecho de que ***EMPRESA.1 (subencargado del tratamiento) no tuviera implantadas las medidas que han sido examinadas, permitió que la brecha de datos personales se produjera y el mayor impacto de la misma. Las referidas medidas fueron introducidas por el subencargado el tratamiento a posteriori (de forma reactiva), con el fin de evitar que volviera a producirse una brecha de datos personales similar. Aunque la brecha de datos personales se produjera en los sistemas de ***EMPRESA.1, subencargado del tratamiento, y aunque dicho subencargado no tuviera implantadas, en el momento en el que se produjo la brecha de datos personales las medidas que acaban de ser analizadas, que, con gran probabilidad, habrían impedido que dicha brecha se produjera o, al menos, habrían reducido su impacto, el responsable del tratamiento es Ia AEMPS, que es quien determina los fines y los medios del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/46 Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, por vulneración del artículo 5.1
6. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
7. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
9. b)los derechos de los interesados a tenor de los artículos 12 a 22;
10. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
11. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
12. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “7.Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/46 sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD, dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
14. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
15. b)Los órganos jurisdiccionales.
16. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
17. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
18. e)Las autoridades administrativas independientes.
19. f)El Banco de España.
20. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
21. h)Las fundaciones del sector público.
22. i)Las Universidades Públicas.
23. j)Los consorcios.
24. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/46 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o ***DOCUMENTO.5 para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Por tanto, correspondería dictar resolución declarando la infracción de la AEMPS por: - Una infracción del artículo 5.1f) del RGPD, tipificada en el artículo 83.5 de dicho Reglamento. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se declare que AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, con NIF Q2827023I, ha infringido lo dispuesto en el artículo 5.1.
25. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/46 En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-250625 R.R.R. INSTRUCTORA (…) >> SEGUNDO: En fecha 11 de agosto de 2025, la AEMPS ha presentado en la AEPD un escrito en el que indicaba, entre otros aspectos, lo siguiente: “Primero. - Que, habiendo tenido conocimiento de la propuesta de resolución notificada en el presente procedimiento, y tras el análisis de los hechos y fundamentos jurídicos contenidos en el expediente, esta parte manifiesta expresamente su reconocimiento de los hechos y de la responsabilidad que se le imputa en relación con la brecha de seguridad producida en los sistemas de información vinculados a los registros de marcapasos y desfibriladores automáticos implantables. Este reconocimiento se formula al amparo del artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en virtud del cual, el reconocimiento de responsabilidad comporta la reducción del 20% del importe de la sanción que, en su caso, se imponga en la resolución definitiva. Asimismo, esta parte manifiesta su compromiso de realizar el pago voluntario de la sanción que se determine, a fin de acogerse a la reducción adicional del 20% contemplada en el artículo 85.3 de la misma ley, acumulable a la anterior. Con este escrito, la AEMPS acepta la responsabilidad administrativa derivada de los hechos objeto del procedimiento y se acoge al mecanismo previsto por la Ley 39/2015 para la terminación simplificada del mismo, interesando que en la resolución final se refleje tanto el reconocimiento como la aplicación de las reducciones mencionadas, así como las instrucciones necesarias para proceder al pago voluntario. En consecuencia, se solicita expresamente que la sanción resultante se vea reducida en un 40% sobre la cuantía que finalmente se establezca en la resolución sancionadora. Segundo. - Sin perjuicio de dicho reconocimiento, se solicita que la graduación de la sanción se fije en el tramo mínimo posible atendiendo a las circunstancias concurrentes del caso. (…)” En relación con dichas peticiones cabe señalar que en el presente procedimiento se ha dictado ya propuesta de resolución. Asimismo, tal y como se indicaba en el acuerdo de inicio de fecha 20 de diciembre de 2024, el artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/46 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
26. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
27. b)Los órganos jurisdiccionales.
28. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
29. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
30. e)Las autoridades administrativas independientes.
31. f)El Banco de España.
32. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
33. h)Las fundaciones del sector público.
34. i)Las Universidades Públicas.
35. j)Los consorcios.
36. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/46 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o ***DOCUMENTO.5 para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción (no con la imposición de una sanción consistente en una multa). TERCERO: El reconocimiento de responsabilidad por parte de la AEMPS, en los términos expuestos, permite resolver el procedimiento. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/46 De acuerdo con y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la LPACAP, bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85.1 de la LPACAP, en el acuerdo de inicio de 20 de diciembre de 2024 se informaba sobre la posibilidad de reconocer su responsabilidad dentro del plazo correspondiente para la formulación de alegaciones al acuerdo de inicio, condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa; resolviéndose el procedimiento con la declaración de la infracción, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/46 La AEMPS ha reconocido su responsabilidad mediante escrito de fecha 11 de agosto de 2025. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, el reconocimiento de la responsabilidad no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS, con NIF Q2827023I, ha infringido lo dispuesto en el Artículo 5.1.
37. f)del RGPD, siendo aplicable lo dispuesto en el artículo 77.2 de la LOPDGDD. SEGUNDO: DECLARAR la terminación del procedimiento EXP202416689, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a AGENCIA ESPAÑOLA DE MEDICAMENTOS Y PRODUCTOS SANITARIOS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
38. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 46/46 Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es