PS-00538-2022

1/42  Expediente N.º: EXP202203538 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos, a través de denuncia formulada por un ciudadano (en lo sucesivo, la parte denunciante) en fecha 03/02/2022, ha tenido conocimiento de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos, presuntamente cometidos por A.A.A., con NIF ***NIF.1 (en lo sucesivo, la parte denunciada) bajo su condición de titular de una farmacia sita en ***LOCALIDAD.1 (***PROVINCIA.1). En la citada denuncia se ponen de manifiesto los hechos y circunstancias siguientes: La parte denunciante manifiesta que, en un contenedor público cercano a su domicilio dispuesto para el depósito de basura doméstica, de forma reiterada, encuentra una gran cantidad de documentación de índole sanitaria con datos personales, como son hojas de medicación de pacientes, recetas, tickets de venta, albaranes, procedentes de una farmacia de la que es responsable la parte denunciada. Entiende que sobre dicha documentación no se aplican las debidas medidas de seguridad para asegurar la confidencialidad de los datos sensibles que contiene. Añade que también comunicó estos hechos al (…) de ***PROVINCIA.1, de la (…), aportándole una muestra de los papeles recogidos del contenedor, separados según los días en que fueron recogidos, y pruebas videográficas. Acompaña copia del escrito presentado ante el mencionado (…) en el que advierte que son muchas las personas afectadas y detalla los datos personales que figuran en la documentación hallada: “1. Hay multitud de tickets de dispensación, en el que aparece la Farmacia, el Paciente a quien corresponde el ticket, la medicación detallada que toma y próxima fecha de dispensación. En sus tickets puede observarse una diferencia entre pacientes institucionalizados o no. 2. Hay multitud de hojas de medicación, en que aparecen todo tipo de datos. Nombre y Apellidos de los pacientes, CIP, CIPA, fecha de nacimiento, TSI, Centro de Salud al que pertenece, su médico, su profesional de enfermería y todos y cada uno de los medicamentos que tiene pautados ese paciente”. Asimismo, informa la parte denunciante que el primer día que observó esta conduta, en fecha 27/08/2021, avisó a través del teléfono de emergencias 112. Informa también que comunicó verbalmente los hechos a la Guardia Civil de la localidad. Con su denuncia aporta imágenes y vídeos en los que pueden observarse diversos documentos rotos en varias partes, siempre en sentido vertical, cajas y envases de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/42 medicamentos abandonados en un contenedor de basura, accesible por cualquier ciudadano. Entre los documentos rotos en varias partes se distinguen facturas simplificadas (tickets de venta), hojas y recetas de medicación, pedidos de medicación de la Residencia Municipal de ***LOCALIDAD.1, calendarios de medicación de pacientes, y facturas y albaranes en los que figuran los datos identificativos de la parte denunciada. SEGUNDO: Con fecha 21/03/2022, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a la parte denunciada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Con fecha 18/04/2022, la parte denunciante aportó a esta Agencia una copia del pendrive que, según lo indicado en su denuncia, entregó al (…) de ***PROVINCIA.1. 2. En la misma fecha, se solicitó colaboración al Puesto de la Guardia Civil de ***LOCALIDAD.1 (en adelante, GC) para que informara a esta Agencia de cuantas diligencias y/o investigaciones hubiera llevado a cabo en relación con los hechos denunciados. La Comandancia de la Guardia Civil de ***PROVINCIA.1 informó que no tiene constancia de ninguna denuncia de 27/08/2021 comunicada desde el Servicio de Emergencia 112 y que la parte denunciante, en entrevista mantenida el día 07/04/2022, confirmó que no contactó con dicho Servicio de Emergencias. No obstante, añade la GC que la parte denunciante le aportó una denuncia escrita sobre hechos que podrían ser constitutivos de infracciones administrativas y diversa documentación, dando lugar a una investigación iniciada el 07/04/2022 por los componentes de la GC del Puesto de ***LOCALIDAD.1 (***PROVINCIA.1). Con fecha 29/04/2022, la GC remitió una copia de las imágenes y vídeos (2 DVD) que le habían sido entregados por la parte denunciante, copia de una denuncia presentada por ésta ante la propia GC, un portafolio de plástico transparente con documentación reconstruida y una caja con papeles sin reconstruir donde se incluye una bolsa negra de plástico entregada por la parte denunciante a la GC y otra bolsa blanca de plástico con documentación que recogieron los propios agentes de la GC en los contenedores de basura próximos a la farmacia de la que es titular la parte denunciada. Esa documentación reconstruida corresponde a tres facturas simplificadas o tickets de venta, uno de ellos expedido el 30/03/2022 y los dos restantes el 04/04/2022. Los tres tickets se presentan rotos en dos partes en sentido vertical, permitiendo acceder a toda la información que contienen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/42 Entre la documentación remitida constan dos “Diligencias de exposición”, de fechas 05 y 07/04/2022, que constan reseñadas en el Hecho Probado Tercero. La GC remite a esta Agencia copia de una diligencia de identificación de la parte denunciada señalándola como titular de (…) de ***LOCALIDAD.1 (***PROVINCIA.1). Esta circunstancia ha sido igualmente comprobada por los Servicios de Inspección de esta Agencia a través de la página web del Colegio Oficial de Farmacéuticos de ***PROVINCIA.1 (***URL.1). Y un “informe fotográfico” que incluye una vista aérea del municipio correspondiente a la zona en la que se ubica la farmacia, con la indicación siguiente: “…se puede observar la localización de la Farmacia de esta localidad y a escasos 40 metros los contenedores de basura orgánica donde estaba depositada la documentación”. Respecto a las imágenes y vídeos remitidos a esta Agencia, tanto por parte de la GC como de la parte denunciante, hay que destacar lo siguiente: . Se han enviado 49 imágenes y 68 vídeos. . En general, se muestran documentos rotos en varias partes, en la mayoría de los casos en sentido vertical. En algunos casos, se observan cajas de cartón y envases de medicamentos. . Se pueden distinguir diferentes tipos de documentos, que constan detallados en el Hecho Probado Segundo, con indicación de los datos personales que contienen. . Los documentos gráficos (imágenes y vídeos) han sido recopilados por la parte denunciante en diferentes fechas, desde el mes de octubre de 2021 hasta el mes de enero de 2022. Según puede apreciarse en las imágenes aportadas, la documentación vertida en el contenedor de basura, en cada caso, es muy numerosa y aparece siempre amontonada. La mayor parte aparece arrojada al contenedor sin ningún tipo de empaquetado o envoltura. Solo en algunos casos fue depositada introducida en una bolsa de plástico o papel. Así aparece también en los vídeos aportados por la parte denunciante, en los que puede verse como la persona que realiza la grabación se acerca al contenedor de basura y muestra el vertido de documentos existente en su interior, que ocupa gran parte del recipiente, para posteriormente alcanzar algunos de esos documentos y mostrarlos ante la cámara. Esto permite comprobar que los documentos vertidos coinciden con los tipos reseñados anteriormente. En los documentos que obran en las actuaciones constan los datos personales de decenas de afectados, entre los que figuran clientes de la farmacia y facultativos sanitarios. 3. Con fecha 20/06/2022, se recibió escrito de la parte denunciada, de respuesta al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/42 requerimiento de información que le fue efectuado por la inspección actuante, en el que manifiesta lo siguiente: . Manifiesta desconocer que se haya depositado documentación en los contenedores de basura y niega tener relación alguna con este hecho o que la tengan las personas a ella vinculadas. . Considera que no puede establecerse una relación directa entre el material encontrado y la parte denunciada, por cuanto existen otras personas que gestionan una farmacia radicada en otro municipio, pero que venden medicamentos en la misma localidad en la que se encuentra la farmacia de la parte denunciada. Advierte que dichas personas viven en el portal contiguo, por lo que cabe colegir que deben emplear el mismo contenedor. . Sobre la custodia en la farmacia del material que contiene datos personales, la parte denunciada señala que las recetas se conservan en lugar cerrado, dentro de la farmacia, hasta que se remiten a la Consejería para percibir los importes correspondientes, por lo que carece de sentido deshacerse de los documentos que aseguran su financiación. . Sobre las “hojas de medicación” señala que son documentos del paciente que no se entregan a la farmacia. . En la farmacia, además de la titular, sólo trabaja una empleada que, según señala la parte denunciada, “ni por iniciativa propia ni mucho menos por indicación mía, deposita ningún material similar al referido en la denuncia en ningún contenedor”. . En el año 2015 adquirió la farmacia por traspaso, en la que ya existía una máquina trituradora de papel que siguen utilizando desde el primer momento (adjunta una imagen de esta máquina). . Concertó con una empresa externa (la identifica) la implementación de los protocolos necesarios para el adecuado tratamiento de datos personales, de lo que informó a la única empleada del establecimiento. Con su respuesta, la parte denunciada aporta la documentación siguiente: . Circular informativa para el tratamiento de datos de videovigilancia, que consta firmado por la persona (…) el día 25/05/2021. . Compromisos de confidencialidad y secreto profesional e instrucciones para el tratamiento de datos, suscritos por la persona (…) en fechas 01/08/2015 y 12/05/2020. . Declaración de la persona (…), de fecha 15/06/2022, en la que atestigua que la trituradora de papel que se emplea habitualmente había sido adquirida por la persona titular anterior de la farmacia y adquirida por la actual con el traspaso. . Política de seguridad del personal para el tratamiento de datos personales, que aparece suscrito por la parte denunciada y la persona (...) el día 12/05/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/42 En esta política, sobre la eliminación de documentos, se indica que “Cualquier documento físico o soporte digital que quiera ser eliminado y que incluya datos personales, debe ser destruido con la destructora o retirado por una empresa homologada de destrucción de documentos”. Además, en el apartado “VII. Tratamiento de información” se dice que están expresamente prohibidas las siguientes actividades “3. Destruir cualquier documento físico o soporte digital que incluya datos personales sin utilizar la destructora de papel o sin guardarlos debidamente custodiados hasta que sean retirados por una empresa homologada de destrucción de documentos”. . Documento sobre la adaptación al RGPD y LODGDD del establecimiento de farmacia denunciado. Entre otra información, incluye el detalle sobre la identidad del responsable, ficheros de datos personales utilizados, personal autorizado, política de seguridad, categorías de datos personales, transferencias internacionales, análisis de riesgos y plazos de conservación. 4. Con fecha 01/07/2022, el (…) de ***PROVINCIA.1 de (…) contestó al requerimiento de los Servicios de Inspección de esta Agencia, indicando que el día 09/03/2022 contestó a la parte denunciante en relación con la denuncia presentada en el sentido siguiente: “La documentación que se adjunta a la denuncia, tanto en soporte papel como de tipo gráfico, NO ACREDITA, de manera objetiva y concluyente, la autoría causal directa de la persona denunciada respecto a las irregularidades anteriormente descritas, por lo que no daría lugar a la apertura de expediente sancionador, salvo que se aporte documentación complementaria que permita relacionar, de forma directa e inequívoca, a Dª A.A.A., titular de la farmacia denunciada, con la comisión de los hechos denunciados”. CUARTO: En el marco de las actuaciones previas de investigación reseñadas en el Antecedente Tercero, con fecha 11/05/2022, por la Directora de la Agencia Española de Protección de Datos se acordó requerir a la parte denunciada para que, como medida cautelar, procediera al cese del tratamiento, absteniéndose de seguir depositando la documentación en el contenedor y, en su caso, si procediese la destrucción, se adoptasen las medidas de seguridad adecuadas. QUINTO: Con fecha 27/06/2022, por la Inspección de Datos actuante se accedió a la información disponible sobre la parte denunciada en “Axesor”. (…). SEXTO: Con fecha 13/12/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte denunciada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones de los artículos 32.1 y 5.1.

1. f)del RGPD, tipificadas en los artículos 83.4.
2. a)y 83.5.
3. a)del citado RGPD, y calificadas como grave y muy grave a efectos de prescripción en el artículo 73.
4. g)y artículo 72.1.
5. a)de la LOPDGDD, respectivamente. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de: . Por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
6. a)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/42 del mismo Reglamento, una sanción por importe de 4.000 euros (cuatro mil euros). . Por la presunta infracción del artículo 5.1.
7. f)del RGPD, tipificada en el artículo 83.5.
8. a)del mismo Reglamento, una sanción por importe de 6.000 euros (seis mil euros). Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
9. d)del RGPD. Por otra parte, en dicho acuerdo se confirmó la medida provisional adoptada en fecha 11/05/2022, durante las actuaciones previas de investigación, ordenándose a la parte denunciada, de acuerdo con lo dispuesto en el art. 69 de la LOPDGDD y art. 56 de la LPACAP, que se abstuviese de seguir depositando documentación en el contenedor de basura y, para el caso de que procediese a su destrucción, se adoptasen las medidas de seguridad adecuadas. Se advertía, asimismo, que esta medida provisional deberá mantenerse hasta la resolución final del procedimiento, en que deberá ser confirmada, modificada o levantada, sin perjuicio de lo dispuesto en el art. 56.5 de la LPACAP. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte denunciada presentó escrito solicitando copia de la totalidad de la documentación del expediente y ampliación del plazo que le fue concedido para presentar alegaciones a la apertura del procedimiento. Posteriormente, con fecha 29/12/2022, presentó escrito de alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, la imposición de otro tipo de sanción o una rebaja sustancial de la cuantía de la multa, en base a las consideraciones siguientes: . No disponer de la totalidad del expediente impide desenvolver con normalidad el derecho de defensa, es causa de indefensión y conculca los derechos reconocidos a los interesados en el procedimiento de naturaleza sancionadora en el artículo 53 de la LPACAP. . No existe prueba alguna que acredite la comisión de las infracciones por la parte denunciada, en clara vulneración del principio de presunción de inocencia y del principio de objetividad (arts. 24.2, 103.1 y 3 de la Constitución, art. 3.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público, así como del art. 6.1 del CEDH). Así lo ha establecido el (…) de ***PROVINCIA.1 de (…). Además, el modo de proceder por quien presentó la denuncia y el supuesto encuentro fortuito de los documentos hacen sospechar que sea un familiar de la titular de una farmacia radicada en ***LOCALIDAD.2, que suministra medicamentos a vecinos de ***LOCALIDAD.1, siendo la (…) de ***LOCALIDAD.1- y con acceso directo a la documentación que, supuestamente, fue encontrada en el contenedor de basura próximo a la farmacia de la parte denunciada y de la casa de esta familia, que hace uso del mismo contenedor. Estrecha conexión guarda también el hecho de que el (…), haya resuelto un expediente sancionador por incumplimiento de la normativa sanitaria por infracción en la que ha incurrido la familia titular de la farmacia de ***LOCALIDAD.2, lo que justifica el ánimo vengativo que guía la actuación de la parte denunciante para dar apariencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/42 al relato inveraz que señala a la parte denunciada como autora de las presuntas infracciones. El único indicio de autoría que señala a la parte denunciada es una diligencia de identificación de la GC donde se afirma que la dicente es “titular de la única farmacia de la localidad de ***LOCALIDAD.1”. Sin embargo, la AEPD no ha tenido en cuenta que la farmacia de ***LOCALIDAD.2 suministra medicamentos a domicilio a vecinos de ***LOCALIDAD.1 mediante una venta a distancia. . La parte denunciada había adoptado todas las medidas internas necesarias en materia de protección de datos personales, según acredita mediante la aportación de los siguientes documentos (algunos de ellos ya fueron aportados con el escrito de alegaciones de 13/06/2022): 1. Certificado de adaptación al RGPD y LODGDD de fecha 14/05/2020. 2. Compromiso de confidencialidad y secreto profesional e instrucciones para el tratamiento de datos, suscritos por la persona (...)en fechas 01/08/2015 y 12/05/2020. 3. Certificado de garantía de cumplimiento de GDPR y LOPDGDD de fecha 14/05/2020. 4. Deber de información en documentos con datos personales de fecha 14/05/2020. 5. Informe de la política de seguridad de tratamientos específicos de fecha 14/06/2022. 6. Certificado de Personal Autorizado para tratar datos personales de fecha 14/06/2022. 7. Circular informativa para el tratamiento de datos de videovigilancia firmado por la persona (...)el día 14/05/2020. 8. Política de seguridad del personal para el tratamiento de datos personales, suscrito por la persona (...)el día 12/05/2020. Así, téngase en cuenta que, de los diferentes tipos de documentos que se indican en la denuncia, los únicos que podrían estar en posesión de la oficina de farmacia serían las copias para el farmacéutico de las recetas de medicación (no la copia de la receta que debe quedarse el paciente porque consta en ella la pauta del suministro del medicamento). Esa copia de la receta es el medio de cobro de las farmacias a la Administración del importe de los medicamentos suministrados, por lo que carece de todo sentido que una farmacia se deshaga de dicha copia. Manifiesta conservar este documento en lugar cerrado hasta su envío a la Administración. Por otro lado, indica la parte denunciada quién es el poseedor del resto de documentos que se mencionan en el Acuerdo. Así: 1. Las facturas simplificadas o tickets de venta: son documentos que se entregan al cliente, ignorando el titular de cualquier negocio cuál es el destino que les dan los clientes que han adquirido productos en el establecimiento. Por tanto, el poseedor legítimo de estos documentos y, por tanto, el único responsable de su destino es el paciente/cliente. 2. Las hojas de medicación: son expedidas por el Centro de Salud o por el especialista en cuestión y son documentos que posee el paciente, que no se entregan en la farmacia. Considera la parte denunciada que quien posee dichos documentos “será” el paciente o la (…) de ***LOCALIDAD.1. A este respecto, manifiesta desconocer si esta persona es la propia parte denunciante o algún miembro de su familia. 3. Los informes de prescripción de medicamentos o productos sanitarios: es el mismo caso del tipo anterior. Son expedidos por el Centro de Salud y los tiene el paciente sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/42 que se deban entregar a la farmacia. 4. Pedidos de medicación de la Residencia Municipal de ***LOCALIDAD.1: igual que en los dos casos anteriores, se trata de documentación expedida por la propia residencia, sin que haya necesidad ni motivo alguno para entregarlos a la farmacia o que ésta posea dichos documentos. 5. Calendarios de medicación de los pacientes: como su propio nombre indica, se trata de documentación de los pacientes y no de la farmacia. La documentación es expedida por el Centro de Salud o por la (…) de ***LOCALIDAD.1 y las tiene el propio paciente, sin necesidad de entregarla a la farmacia. 6. Informes clínicos de alta de paciente: son expedidos por el médico, especialista o enfermera y no guardan relación guarda con una farmacia o con las medicinas que se venden en ella. 7. Albaranes de recepción de mercancía por la farmacia y facturas emitidas: dice desconocer en qué consisten esos documentos, a qué se hace referencia en ellos o la fecha que aparece, al no haber tenido acceso al expediente completo. Como medida de seguridad técnicas, la farmacia cuenta con una máquina trituradora de documentos, que es utilizada de forma continua para cualquier tipo de papel, contenga datos sensibles o no (aporta fotografía), la cual se halla en perfecto estado de funcionamiento, tal y como atestigua la persona (...)mediante escrito de 15/06/2022 que se acompaña. Además, añade que en los últimos meses ha adquirido otra máquina trituradora de documentos (acompaña fotografía). Finalmente, añade que todas las medidas de seguridad técnicas y organizativas de las que dispone la farmacia son revisadas periódicamente por una empresa externa, con la que se contrató la implementación de los protocolos necesarios para el adecuado tratamiento en materia de protección de datos personales (acompaña contratos). . De forma subsidiaria, en relación con la graduación de la sanción, alega que las agravantes no atienden a la realidad y que la sanción es desproporcionada. Destaca que no se ha producido una sola reclamación por ninguno de los clientes o posibles afectados y que sospecha que la parte denunciante ha podido ser la persona que ha orquestado la aparición de los documentos en el contenedor de basura, señalando indebidamente a la parte denunciada. Por otro lado, entiende que la medida de apercibimiento es proporcionada y propia para este tipo de procedimientos, máxime si se tiene en cuenta que no se ha acreditado debidamente la autoría de la infracción. OCTAVO: En atención a la solicitud formulada por la parte denunciada, mediante escrito de fecha 03/03/2023, se remitió a la misma copia de las actuaciones que integran el procedimiento sancionador de referencia, incorporando a dicha copia la documentación, así como las imágenes algunos de los vídeos aportados por la parte denunciante. Con el fin de que su pretensión no suponga menoscabo de otros derechos merecedores, igualmente, de protección, en la copia remitida se suprimió la información relativa a la parte denunciante y se excluyeron los vídeos que contienen información de terceros (la voz de la persona que realiza la grabación). Se consideró C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/42 que la información suprimida de los documentos y la exclusión de los vídeos indicados, cuyo contenido es similar al de los vídeos que sí se adjuntaron, no afecta al derecho de defensa de la parte reclamante, por cuanto la documentación remitida contiene toda la información determinante en el procedimiento. Con motivo del envío de esta copia del expediente, se concedió a la parte denunciada un nuevo plazo para presentar alegaciones a la apertura del procedimiento, aportar cuantos documentos estime oportunos y formular propuesta de prueba. Se advertía, asimismo, sobre el derecho a conocer, en cualquier momento, el estado de la tramitación y a formular alegaciones, utilizar los medios de defensa admitidos por el Ordenamiento Jurídico, y a aportar documentos en cualquier fase del procedimiento anterior al trámite de audiencia. En respuesta a este escrito, con fecha 08/03/2023, se recibió un nuevo escrito de la parte denunciada en el que advierte sobre la insuficiencia del plazo otorgado para formular aleaciones y sobre el derecho a obtener copia del expediente administrativo en su integridad. Mediante escrito de 28/03/2023 se remitió copia de los vídeos que fueron excluidos del envío anterior, una vez suprimida la voz de la persona que realiza la grabación de los mismos. Con este motivo, se concedió un nuevo plazo para presentar alegaciones. NOVENO: Con fecha 13/04/2023, tuvo entrada en esta AEPD un nuevo escrito de alegaciones de la parte denunciada en el que reitera la petición de archivo de las actuaciones, basando su pretensión, básicamente, en las mismas alegaciones ya formuladas. De lo expuesto en este escrito cabe destacar lo siguiente: 1. Expresa su disconformidad con el contenido de los fundamentos expuestos en la Acuerdo de Inicio y ratifica y da por reproducidas las alegaciones y argumentaciones jurídicas de sus anteriores escritos por no haber sido refutadas en el Acuerdo de Inicio de la AEPD. 2. Sobre el relato de hechos, destaca que la parte denunciante dice haber encontrado la documentación en un contenedor público cercano a su domicilio, procedente de la farmacia de la cuál es titular la parte denunciada, pero sin incorporar prueba acreditativa alguna de tal asociación. Respecto de la documentación encontrada, la parte denunciada señala que todos los documentos pueden haber sido depositados en el contenedor por cualquiera, tanto los propios clientes, como el centro de salud, proveedores o la misma parte denunciante. De hecho, la única posible vinculación entre la farmacia y la documentación con el contenedor es su proximidad al mismo, aunque dicho contenedor también se encuentra próximo al centro médico de la localidad (140 metros) y a la residencia municipal, que también tiene acceso a mucha de la documentación médica de sus pacientes. Según la parte denunciada, los albaranes de compra son la única documentación que puede ser relacionada con la farmacia. Pero se trata de documentación contable sin ningún dato personal, que no requiere ser destruida de forma confidencial, aunque esta es la práctica habitual. Estos documentos podrían ser copias de los proveedores, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/42 que éstos depositan en el contenedor una vez realizada la entrega de los medicamentos. Entiende la parte denunciada que es obvia la instrumentalización por la parte denunciante del papel de la AEPD como garante de la protección de los datos personales, y señala de nuevo que la parte denunciante es trabajador y hermano de la titular de la farmacia sita en ***LOCALIDAD.2, que ha estado vendiendo y dispensando de forma irregular medicamentos en la localidad de ***LOCALIDAD.1 (acompaña Atestado de la Guardia Civil por dicho supuesto penal), según fue confirmado por la (…) en resolución del recurso de alzada interpuesto contra la resolución sancionadora de la (…), de 27/10/2021, que declara la comisión de una infracción grave en materia de ordenación farmacéutica (adjunta el referido documento). Este hecho es el motivo por el cual la parte denunciante intenta resarcirse frente a la parte denunciada, empleando para ello a la Administraciones Públicas. De hecho, lo intentó de forma previa con la (…). A juicio de la parte denunciada, lo más lógico es pensar que los documentos son tirados por los propios pacientes al salir de la farmacia o del centro médico, dada su cercanía, sin que la aparición de la denominación de la parte denunciada en los tickets de compra pueda constituir una asociación con una actuación de la propia farmacia. Pero, puestos a elucubrar, también podría pensarse que la información es previamente recabada por la parte denunciante (cuya familia, a la que hace referencia en su denuncia, reside en ***LOCALIDAD.1 y (…)), y posteriormente se rompe cuidadosamente y se fotografía antes de depositarla en los contenedores para su posterior grabación (lo que explica lo inmaculado del todos los documentos hallados en el contenedor y la facilidad con la que son localizados en las grabaciones). Es más, en su denuncia ante la (…) de ***PROVINCIA.1, la parte denunciante llega a afirmar (página 2 de su escrito ante este organismo) que la farmacia de la parte denunciada “tiene hojas de medicación de pacientes que hace tiempo no son clientes suyos”. Lo que implica que: 1) la parte denunciante sabe de qué farmacia son clientes los pacientes y 2) si no son clientes de la parte denunciada, los documentos fueron depositados por alguien ajeno a la misma. Adicionalmente, es un hecho probado que la parte denunciante mintió al afirmar que el día 27/08/2021 avisó al servicio de emergencias y denunció los hechos a la Guardia Civil de la localidad, según se señaló en escritos anteriores. 3. No consta cómo los hechos son vinculables o asociables de forma directa a la parte denunciada, ningún razonamiento jurídicamente válido que permita imponer la autoría de tales hechos, ni prueba o documentación. La Agencia indica que la Guardia Civil ha aportado evidencias sobre la pertenencia de esa documentación a la farmacia. Dicha afirmación parece basarse únicamente en que, en alguna de la documentación aparece la denominación de la farmacia. Así lo recoge en las Conclusiones del Resultado de las Actuaciones de Investigación de la AEPD: “Aunque no se puede afirmar que la totalidad de la documentación hallada en el contenedor perteneciera a la parte denunciada, sí se puede concluir de forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/42 indubitada que parte de ella pertenece a ésta”. La Agencia no especifica ni concreta qué documentación “pertenece” a la farmacia y tampoco distingue ni enumera si dicha documentación contiene datos de carácter personal. Es evidente que la mera mención de los datos identificativos de la farmacia no constituye ni acredita que dicha documentación estuviese en poder de la farmacia (pudiendo, lógicamente, tenerlo el paciente o interesado en cuestión), mucho menos que la localización de tal documentación en un contenedor público responda a una actuación de ésta. Por lo tanto, dicha afirmación contradice no sólo los criterios de valoración de la prueba aplicables al procedimiento administrativo sancionador, sino que choca frontalmente con cualquier lógica jurídica; al atentar contra el principio de presunción de inocencia. La Agencia no indica qué indicios son los que permiten acreditar que se ha producido el abandono de tal documentación por la parte denunciada. En este sentido, la parte denunciante ha manifestado su relato a diferentes autoridades y organismos, así como a las Fuerzas y Cuerpos de Seguridad, y ninguna de ellas ha emprendido acciones contra la farmacia, excepto la AEPD, en tanto que les resulta manifiesta la ausencia de vinculación entre la documentación aportada y la parte denunciada, a la que se pretende imputar la comisión de unos hechos con base únicamente en un criterio de proximidad. Así lo ha manifestado el (…) de ***PROVINCIA.1 de (…), que contestó además al requerimiento de los Servicios de Inspección de la Agencia indicando que no se acredita la autoría respecto de las irregularidades descritas. No se entiende ni es defendible que, contando con un procedimiento previo en el que se llega a tales conclusiones por otro órgano administrativo, la AEPD puede llegar a la conclusión opuesta sin haber desplegado ninguna actividad probatoria adicional. 4. La propia Agencia entiende que no hay motivo para vincular los hallazgos con la entidad emisora de los documentos en las actuaciones señaladas con los números E/00246/2010 (“No se trata de ningún documento que deba custodiarse por el Centro y es el propio paciente…el que decide qué hace con ellos”) y E/03089/2009 (“No se trata de ningún documento que deba custodiarse por el médico prescriptor o el farmacéutico dispensador, y es el propio paciente, cuyos datos personales se incluyen en el volante el que decide que hace con ellos”). En consecuencia, la parte denunciada se encuentra ante una clara indefensión jurídica debido al cambio de criterio injustificado entre supuestos análogos. 5. Sobre la calificación de la presunta infracción: impugnación de la documentación aportada. La documentación ha sido supuestamente localizada en un contenedor de la localidad de ***LOCALIDAD.1, pero se desconoce las vías, motivos o formas en que dicha documentación ha sido depositada en el mismo. Ninguna de las tipologías de documentación que lista el Acuerdo de Inicio permite asociar las mismas a la parte denunciada: no son documentos que la farmacia tenga C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/42 obligación de conservar ni custodiar; algunos ni siquiera son emitidos por farmacias, sino que son documentos emitidos por el sistema de sanidad de (…), y que son facilitados al paciente. Por ejemplo, las hojas de medicación u otros documentos médicos pertenecientes al paciente, que son emitidos por los centros médicos o de salud. De hecho, todos los documentos listados que contienen datos personales se corresponden con documentos que se entregan a los pacientes, ya provengan del centro de salud o de la farmacia. En el caso de que, efectivamente, la documentación referida se haya depositado en el mencionado contenedor, la sucesión de hechos lógica resulta que los pacientes (con sus recetas médicas, tickets de compra de medicamentos y hojas de medicación) las depositan en el contenedor en cuestión, bien al salir del centro de salud, bien al salir de la farmacia. Este relato fáctico también explicaría por qué no consta ni se ha presentado ninguna reclamación por parte de interesados o afectados en el presente procedimiento. En este sentido, la parte denunciada cuestiona el valor probatorio de la documental obrante en el expediente, procediendo a impugnar la misma, en los términos del artículo 326.2 de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil; y el Artículo 77.1 de la Ley 39/2015, dada su ausencia de vinculación con esta parte. Este último artículo establece: “1. Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por cualquier medio de prueba admisible en Derecho, cuya valoración se realizará de acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil”. Así, la AEPD tiene la obligación de analizar y valorar la prueba documental existente de acuerdo con los criterios de enjuiciamiento civil. No habiendo sido valoradas las pruebas aportadas con rigor conforme los criterios de valoración jurídica aplicable, la Agencia ha generado una manifiesta situación de indefensión a la parte denunciada y vulnera su derecho a la presunción de inocencia. 6. Destaca la parte denunciada la diligencia y cumplimiento de la normativa en materia de protección de datos y su firme compromiso con dicha normativa; y enumera, como ya se ha comunicado en los escritos previos, las medidas y procedimientos implementados, que incluyen una política de seguridad para el tratamiento de datos personales, en la que se establece de forma expresa y absoluta la prohibición de destruir cualquier documentación que incluya datos de carácter personal sin la utilización de la máquina trituradora o sin la puesta a disposición de una empresa debidamente homologada para la destrucción de este concreto tipo de documentación. 7. Advierte sobre la indefensión y la vulneración de derechos fundamentales que se produce, invocando el principio de culpabilidad que rige en materia sancionadora, al no haberse probado su culpabilidad o negligencia. Entiende en base a ello que la AEPD no podrá tomar en consideración en el presente procedimiento, ni para imponer sanción alguna o ponderar la misma, ningún hecho sobre el que no se haya acreditado la culpabilidad de esta parte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/42 El Tribunal Supremo ha reiterado en varias sentencias la vigencia del principio de culpabilidad, que debe tener su correlato en la existencia de una prueba y una motivación suficientes de la concurrencia de, al menos, negligencia, produciéndose en caso contrario la vulneración del derecho a la presunción de inocencia. En el presente, no habiéndose acreditado por prueba admisible en derecho la culpabilidad o negligencia de esta parte, se ha vulnerado por la Agencia el contenido esencial del derecho a la presunción de inocencia 8. Sobre la falta de proporcionalidad de la sanción propuesta. En el hipotético caso de que la Agencia considerase que existe algún tipo de incumplimiento, la sanción incluida en el Acuerdo de Inicio resulta, en todo caso, desproporcionada. Debe tenerse en cuenta que la parte denunciada desarrolla su actividad bajo la condición de autónomo, con una cifra de negocio en el año 2021 que asciende a (…). Entiende que la multa propuesta, de 10.000 euros, supera los márgenes estipulados en el artículo 83.4 y 5 del RGPD, y no considera lo señalado para estos supuestos en el Considerando 148 del mismo Reglamento, que admite que en lugar de sanción mediante multa pueda imponerse un apercibimiento. En cuanto a las circunstancias agravantes valoradas por la AEPD, señala lo siguiente: . La naturaleza y gravedad de la infracción: la Agencia no ha realizado una valoración detallada y concreta de los documentos que resultan asociables a la farmacia, no analiza qué información concreta ha sido tratada por esta parte. En este apartado no se evalúa la naturaleza y gravedad de la infracción imputada a esta parte, que hace referencia al mantenimiento de una adecuada seguridad de los datos personales (Artículos 5 y 32 del RGPD), sino que se asocia a la parte denunciada con el arrojo de la documentación sin prueba o evidencia alguna . La duración de la infracción: la documentación obrante no permita acreditar en qué fecha se pudo realizar el abandono de la documentación . El número de interesados y la naturaleza de los perjuicios causados a los mismos no se comprueba ni se cuantifica por la Agencia. . La intencionalidad o negligencia en la infracción: contradiciendo toda la normativa aplicable, así como los principios del cumplimiento normativo, la Agencia considera un agravante el establecimiento de medidas de seguridad y protocolos en materia de protección de datos por parte de la farmacia. De nuevo, dicho agravante no resulta imputable a esta parte al no haberse evaluado la negligencia o intencionalidad de la parte denunciada en la actuación, especialmente dado que no se ha acreditado la autoría de ésta. . Las categorías de datos personales afectados por la infracción: nuevamente advierte que la Agencia no ha evaluado los datos concretos o documentos asociables a esa parte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/42 . La vinculación entre la actividad empresarial de la denunciada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD): según la parte denunciada, dicha vinculación no supone una relación directa con la supuesta infracción. El artículo 83.2
10. k)exige que dicho agravante sea puesto en relación con el supuesto de hecho concreto. Adicionalmente, y según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, además de la atenuante ya reconocida expresamente por la AEPD en su acuerdo de inicio, considera que concurren en el presente caso las siguientes circunstancias atenuantes que no han sido consideradas: . La inexistencia de infracciones previas. . El grado de cooperación mostrado por la parte denunciada, que ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia, aportó toda la documentación contractual y acreditativa del cumplimiento de sus obligaciones en materia de protección de datos antes de que le fuera requerida y manifestado su buena fe e intención de colaboración (Art. 83.2
11. f)RGPD). . El inexistente beneficio obtenido como resultado al tratamiento de datos que ocupa este procedimiento. Por otra parte, señala que la calificación de los hechos realizada por la AEPD supone una clara infracción de principio de “non bis in idem”. A estos efectos, no resulta admisible en Derecho la exposición efectuada por parte de esa Agencia de dos infracciones derivadas de la falta de medidas de seguridad adecuadas y, de forma simultánea, “otra infracción a causa del incumplimiento del principio de privacidad por diseño y por defecto”, pues el primero sería, necesariamente, consecuencia del segundo. Al respecto, bien es sabido que nuestra jurisprudencia ha reiterado en multitud de ocasiones como principio fundamental del Derecho, que un mismo hecho no puede ser sancionado en dos ocasiones. La aplicación de este principio supone una imposibilidad manifiesta de imponer dos o más sanciones administrativas, por un mismo hecho, siempre que se produzca una identidad de hecho, sea atribuida a un mismo sujeto y se impongan sobre la base de un común fundamento en lo que se refiere al bien jurídico protegido. En este sentido, resulta esencial traer a colación lo dispuesto en el artículo 29.5 de la LRJSP, que señala: “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. En cualquier caso, las medidas vigentes en el momento de los hechos cumplían con las más rigurosas normas, pautas, estándares y recomendaciones (incluyendo los emitidos por la propia AEPD) para poder hacer frente a los riesgos y eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Es por ello, que la medida provisional estipulada por la Agencia, consistente en el cese C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/42 del tratamiento supuestamente realizado de arrojar y abandonar documentación en el referido contenedor público, carece de efectos prácticos, en tanto dicha actuación o tratamiento nunca ha sido efectuada por la parte denunciada. Traslada, asimismo, la aceptación por su parte de cualquier tipo de propuesta de mejora o recomendación por parte de esta Agencia en lo relativo al cumplimiento de la normativa. DÉCIMO: Con fecha 05/07/2023 se formuló propuesta de resolución en el sentido de que se sancione a la parte denunciada con multa de 4.000 euros (cuatro mil euros) por la infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
12. a)del citado RGPD, y calificada como grave a efectos de prescripción en el artículo 73.
13. g)del RGPD; y con multa de 6.000 euros (seis mil euros) por la infracción del artículo 5.1.
14. f)del RGPD, tipificada en el artículo 83.5.
15. a)del citado Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
16. a)de la LOPDGDD. Asimismo, se propuso que se eleve a definitiva la medida provisional acordada en fecha 11/05/2022, durante las actuaciones previas de investigación, confirmada en el acuerdo de apertura del presente procedimiento sancionador y, en consecuencia, se requiera a la parte denunciada para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VIII de la propuesta de resolución, y justifique ante esta Agencia Española de Protección de Datos la atención del correspondiente requerimiento. La notificación de esta propuesta de resolución fue entregada a la parte denunciada en la fecha del 06/07/2023 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. DECIMOPRIMERO: Con fecha 20/07/2023, se recibió escrito de alegaciones a la propuesta de resolución en el que la parte denunciada reitera y ratifica sus alegaciones anteriores y solicita nuevamente el archivo del procedimiento. De lo expuesto en este escrito cabe destacar lo siguiente: 1. Insiste la parte denunciada en señalar que ninguno de los hechos permite vincular a la farmacia con el arrojo de documentación; la cual tampoco está relacionada con la farmacia (salvo los albaranes) y ha podido ser depositada en el contendedor por cualquiera; que la Agencia no justifica por qué la proximidad de la farmacia al contenedor resulta suficiente para imputar la infracción ni considera en su propuesta la proximidad al mismo del centro médico de la localidad o del domicilio de los familiares de la parte denunciante. Asimismo, reitera que las actuaciones demuestran la instrumentalización de la AEPD por la parte denunciante, que ésta ha mentido en las actuaciones y que tiene interés en perjudicar a la parte denunciada, con la que compite comercialmente. Entiende, por todo ello, que el procedimiento se fundamenta en meros indicios cuya fuente es discutible. 2. Considera que la AEPD basa sus conclusiones sobre la autoría de la infracción en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/42 documentación que contiene la denominación de la farmacia (facturas), aunque ni siquiera haya quedado acreditado que estuviese en algún momento temporal en posesión de la parte denunciada, entendiendo la AEPD que ello es suficiente para tener por demostrado el depósito en el contenedor de toda la documentación, incluida aquella que no contiene datos de la farmacia ni ha sido emitida por la misma. En ese razonamiento, la propuesta de resolución excluye que el resto de intervinientes pudo tener acceso a toda la documentación y no explica por qué considera que la parte denunciada tuvo acceso a la misma y depositó la misma en el contenedor de basura. Según la parte denunciada, lo indicado contradice los criterios de valoración de la prueba aplicables al procedimiento administrativo sancionador, choca frontalmente con cualquier lógica jurídica y atenta contra el principio de presunción de inocencia. Así, rechaza los argumentos recogidos en la propuesta de resolución sobre el principio de culpabilidad, señalando que lo determinante en este caso es la acreditación de la autoría, la inexistencia de prueba sobre el arrojo de documentación por la parte denunciada, que impide imputarle la comisión de infracción alguna. A este respecto, añade nuevamente que así lo ha considerado el (…) de ***PROVINCIA.1 de (…) en su respuesta al requerimiento de información de los Servicios de Inspección de la Agencia y en el procedimiento que dicho Servicio tramitó, al que ya se hizo referencia. Entiende sorprendente que una Administración considere que no está acreditada la autoría y la Agencia concluya lo contrario. 3. Cuestiona el valor probatorio de la documental obrante en el expediente e impugna la misma, en los términos del artículo 326.2 de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil; y los artículos 77.1 y 90.1 de la Ley 39/2015, dada su ausencia de vinculación con esta parte. La AEPD tiene la obligación de analizar y valorar la prueba documental existente de acuerdo con los criterios de enjuiciamiento civil, pero, en este caso, las pruebas aportadas no han sido valoradas con rigor conforme los criterios de valoración jurídica aplicable, generando una manifiesta situación de indefensión para la parte denunciada y vulnerando la presunción de inocencia. Entiende que la Agencia no puede sostener la imputación de culpa en meras manifestaciones ausentes de prueba, inclusive meras suposiciones o hipótesis. A este respecto, señala que el procedimiento se sostiene en las imágenes y videos aportados por la parte denunciante y la Guardia Civil, pero no se examina el método de obtención de aquellas imágenes y vídeos; y que los documentos hallados no pueden asociarse a la parte denunciada, al no tratarse de documentación que ésta venga obligada a conservar ni custodiar, no es emitida por dicha parte y se trata de documentos que el sistema de salud facilita a los pacientes. Ello explica que ningún interesado haya formulado reclamación contra la parte denunciada, siendo muy probable que los propios pacientes arrojasen los documentos al contenedor. Destaca, además, que “no sólo se desconoce la forma de obtención de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/42 documentación obrante en el presente expediente -a la que esta parte únicamente ha tenido acceso a través de fotografías, de dudosa validez jurídica-, sino que el propio relato de hechos consta acreditado, y reconocido por la propia Agencia que… (la parte denunciante) ha manipulado la información: la ha transportado a su vivienda, donde la ha manipulado y supuesta reconstruido. No consta acreditado las fechas exactas de tal actuación, ¿cómo sabe la Agencia que el arrojo de la documentación en el contenedor no ha sido posterior a la manipulación de la misma por parte… (la parte denunciante)? ¿Cómo sabe la Agencia que… (la parte denunciante) no ha recopilado la documentación en su vivienda, como consta reconocido que ha hecho, para darle una apariencia de veracidad a su relato, para luego depositarla cuidadosamente en el contenedor, de forma previa a realizar las grabaciones que realiza y remite a la Agencia, en las que, curiosamente, tiene identificada perfectamente en qué parte del contenedor está toda la documentación?”. 4. Reitera su firme compromiso con la normativa y enumera nuevamente las medidas y procedimientos implementados por la farmacia para su cumplimiento. 5. Invoca el principio de culpabilidad y derecho de defensa, al considerar que la AEPD se basa en meras suposiciones ausentes de rigor jurídico y sin la existencia de prueba alguna que acredite la culpabilidad de la parte reclamada. 6. En relación con las agravantes consideradas en la propuesta de resolución, la parte denunciada alega lo siguiente: . Naturaleza y gravedad de la infracción: la Agencia no valora qué documentación está relacionada con la parte denunciada y no evalúa las medidas de seguridad establecidas en los procedimientos de la farmacia, de modo que no puede aplicar esta agravante. . Duración de la infracción: la documentación no permite acreditar las fechas en que pudo realizarse el arrojo de documentación. A tal efecto, no sirve la fecha en que se emite un documento ni las manifestaciones de parte. . Número de interesados: la Agencia ni siquiera cuantifica el número de interesados: no evalúa de forma exhaustiva la documentación existente, ni distingue entre los diversos documentos. Tampoco ha entrado a analizar cuántas personas físicas o posibles interesados aparecen en la documentación obrante en el expediente. . Perjuicios causados a los interesados: no se examinan los posibles afectados ni se han cuantificado. . Intencionalidad o negligencia: la Agencia considera un agravante el establecimiento de medidas de seguridad y protocolos en materia de protección de datos por parte de la farmacia y no ha evaluado la intencionalidad o negligencia de la parte denunciada, especialmente al no haber acreditado la autoría de ésta. . Categoría de datos afectados por la infracción: la Agencia no ha evaluado los datos concretos o documentos asociables a la parte denunciada. . La vinculación entre la actividad empresarial de la reclamada y el tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/42 datos personales de clientes o de terceros: si bien es cierto que la actividad de una farmacia hace necesario el tratamiento de datos personales de salud de sus clientes, lo cierto es que este factor es ambiguo en su valoración para incluirlo como agravante, ya que dicha vinculación no supone, ni mucho menos una relación directa con la supuesta infracción. 7. Adicionalmente, alega nuevamente la infracción del principio “non bis in idem”, rechazando la exposición efectuada al respecto en la propuesta de resolución para justificar la imposición de dos infracciones derivadas de la falta de medidas de seguridad adecuadas. A tales efectos, en contra de lo manifestado por la Agencia, considera aplicable el artículo 29.5 de la LRJSP, por la aplicación supletoria del derecho administrativo a los procedimientos instruidos por la Agencia, según señala el artículo 3 de su Estatuto. 8. Finalmente, se advierte por la parte denunciada sobre la idoneidad de las medidas vigentes en el momento de los hechos para hacer frente a los riesgos y señala que la medida provisional estipulada, consistente en el cese del tratamiento supuestamente realizado de arrojar o abandonar documentación en el contenedor de basura carece de efectos prácticos en relación con la parte denunciada, dado que dicha actuación no ha sido realizada por la misma. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte (***PROVINCIA.1). denunciada es titular de (…) de ***LOCALIDAD.1 SEGUNDO: Con fecha 03/02/2022, se recibió en la AEPD una denuncia en la que la parte denunciante manifiesta que, en un contenedor público cercano a su domicilio dispuesto para el depósito de basura doméstica, de forma reiterada, encuentra una gran cantidad de documentación de índole sanitaria con datos personales, procedentes de una farmacia de la que es responsable la parte denunciada. Con la denuncia se aportaron 49 imágenes y 68 vídeos, que muestran una gran cantidad de documentos vertidos en un contenedor de basura, siempre el mismo. Los documentos aparecen amontonados, en la mayoría de ocasiones sin ningún tipo de empaquetado o envoltura, y rotos a mano en varios fragmentos de gran tamaño (entre dos y cuatro fragmentos para cada documento, en su mayor parte rotos en sentido vertical), que no impiden ver la información que contienen. De hecho, algunas de las imágenes muestran estos documentos reconstruidos. En los vídeos aportados puede verse como la persona que realiza la grabación se acerca al contenedor de basura y muestra el vertido de documentos existente en su interior, que ocupa gran parte del recipiente, para posteriormente alcanzar algunos de esos documentos y mostrarlos ante la cámara. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/42 Según consta en dichas imágenes y grabaciones, estos documentos gráficos fueron recopilados por la parte denunciante en diferentes fechas, desde el mes de octubre de 2021 hasta el mes de enero de 2022. En los documentos que obran en las actuaciones constan los datos personales de decenas de afectados, entre los que figuran clientes de la farmacia de la que es titular la parte denunciada y facultativos sanitarios. Tanto en las imágenes como en los vídeos aportados se pueden distinguir los siguientes tipos de documentos, que contienen la información que en cada caso se detalla: . Facturas simplificadas (tickets de venta) correspondientes a la dispensación de medicamentos a pacientes: constan los datos de la farmacia (titular, NIF, dirección y teléfono); el nombre completo y CIP (Código de Identificación Personal) del paciente; los datos de la factura (fecha, forma de pago, medicamentos dispensados e importe); próximas dispensaciones (fecha y medicamento); fecha de fin de la recogida de medicamentos; y medicamentos anulados. Este tipo de documento es el más numerosos entre los hallados en el contenedor de basura. . Hojas de medicación de (…): datos del centro de salud (dirección y teléfono); datos del paciente (nombre completo, CIP, CIPA -Código de Identificación Personal Automático- y fecha de nacimiento); datos del médico (nombre completo y CPF -código que suele coincidir con el número de colegiado); datos del enfermero (nombre completo); datos de medicación (medicamento prescito, DE -desayuno-, CO -comida- y CE -cena-, AC -antes de comidas-, posología, instrucciones al paciente, fecha de prescripción y fecha fin/renovación). . Recetas de medicación de (…), MUFACE o ISFAS: datos del paciente (nombre completo, núm. de afiliación/CIP y edad); datos de medicación (medicamento prescrito, duración del tratamiento y posología); y datos del prescriptor (nombre completo, núm. de colegiado, fecha y firma). . Informes de prescripción de medicamentos o productos sanitarios (ISFAS): datos del paciente (nombre y apellidos, núm. de ISFAS y fecha de nacimiento); datos del facultativo (nombre completo, núm. de colegiado, especialidad y firma); datos del diagnóstico (diagnóstico y fecha de la próxima revisión); y tratamiento (medicación, pauta/posología y duración). . Pedidos de medicación de la Residencia Municipal de ***LOCALIDAD.1 (***PROVINCIA.1): nombre completo del paciente y medicamento prescrito. . Informes clínicos de alta de paciente: nombre y dirección del paciente; datos del informe clínico (unidad, fecha, hora y motivo del alta); tratamiento prescrito (medicación, pauta/posología y duración). . Albaranes de recepción de mercancía por la farmacia (parte denunciada) y facturas emitidas nombre de la misma: incluye los datos del cliente (parte denunciada) relativos a nombre, NIF y dirección; datos del pedido y listado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/42 productos. . Sobres de correo postal en los que figuran los datos de la parte denunciada como destinataria. TERCERO: La Guardia Civil tuvo conocimiento de los hechos detallados en el Hecho Probado Primero a través de la parte denunciante. Con fecha 05/04/2022, una patrulla de la Guardia Civil accedió al contenedor de basura doméstica próximo al establecimiento de farmacia de la parte denunciada, formalizando la correspondiente “diligencia de exposición”, de la misma fecha, en la que consta el hallazgo en dicho contenedor de documentos relativos a los clientes de dicho establecimiento, “como copias de hojas de medicación, facturas con datos personales y otros en los que aparecen prescripciones de medicamentos, también con datos personales”. Esta diligencia continúa señalando: “Por lo que seguidamente a las 21:15 horas, los agentes actuantes se personaron junto con el comunicante al objeto de corroborar estos hechos. Encontrando en el interior del citado contenedor, los documentos anteriormente relacionados, haciendo acopio de algunos de éstos que son accesibles, al estar en la parte superior de éste y poderlos así recoger con la mano. Que éstos se encuentran partidos a mano a la mitad y en distintos trozos. Que se pueden observar infinidad de documentos en la parte inferior del contendedor y que éste encima carece de tapa. Se adjunta reportaje fotográfico de los citados documentos recogidos” . La Guardia Civil aportó, asimismo, otra “Diligencia de exposición” de 27/04/2022, en la que se alude nuevamente a la actuación de 05/04/2022 reseñada en la diligencia anterior: “Asimismo, el día 05 de abril de 2022, a solicitud del denunciante, se persona una patrulla de la Guardia Civil del Puesto de ***LOCALIDAD.1, en los contenedores de basura orgánica de la citada calle, observando en el interior, numerosa documentación y recogiendo parte de ella en la que se pueden observar lo que a primera vista pudieran ser ticket de venta de la Farmacia de la localidad en la que se pueden observar los medicamentos adquiridos y las fechas de los medicamentos para próximas dispensaciones, junto con el nombre del paciente. Estos documentos se encuentran rasgados al medio. Asimismo, se recogen documentos rasgados en cuatro partes en los que en una cara del documento es un albarán de envío de medicamento a la farmacia de la localidad de ***LOCALIDAD.1 sita en la calle… y nombre de la titular… (nombre y apellidos de la parte denunciada) e impreso en el reverso lo que puede ser una receta electrónica donde se puede observar el nombre del paciente, el personal sanitario que le asiste y así como las prescripciones médicas. El denunciante aporta documentación digital, vídeos y fotografías con la fecha realizadas donde se puede observar la reiteración por parte de esta farmacia, de la manera de deshacerse de documentación sensible, junto con una bolsa de plástico negro que contiene numerosa documentación”. CUARTO: Según las comprobaciones realizadas por la Guardia Civil, el establecimiento de farmacia de la parte denunciante dista del contenedor de basura en el que se han hallado los documentos objeto de las actuaciones unos 40 metros. QUINTO: La parte denunciada dispone de una Política de Seguridad del personal para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/42 el tratamiento de datos personales, suscrita por la parte denunciada y la persona (...)el día 12/05/2020. En esta política, sobre la eliminación de documentos, se indica que “Cualquier documento físico o soporte digital que quiera ser eliminado y que incluya datos personales, debe ser destruido con la destructora o retirado por una empresa homologada de destrucción de documentos”. Además, en el apartado “VII. Tratamiento de información” se dice que están expresamente prohibidas las siguientes actividades “3. Destruir cualquier documento físico o soporte digital que incluya datos personales sin utilizar la destructora de papel o sin guardarlos debidamente custodiados hasta que sean retirados por una empresa homologada de destrucción de documentos”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Obligación incumplida. Seguridad de los datos Los hechos denunciados se materializan en el abandono reiterado de documentación en un contenedor de basura ubicado en la vía pública, accesible por cualquier tercero, en la que figuran datos personales correspondientes a clientes de la parte denunciada y facultativos sanitarios, vulnerando la normativa en materia de protección de datos. La seguridad de los datos personales se regula en los artículos 32, 33 y 34 del RGPD. El artículo 32 del RGPD, “Seguridad del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
17. a)la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/42
18. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
19. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
20. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros” . El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/42 “