PS-00559-2014

1/11 Procedimiento Nº PS/00559/2014 RESOLUCIÓN: R/00413/2015 En el procedimiento sancionador PS/00559/2014, instruido por la Agencia Española de Protección de Datos a Dª B.B.B. vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de octubre de 2013, tiene entrada en esta Agencia un escrito de D. A.A.A., en el que denuncia que, con fecha 1 de octubre de 2013, se le ha dado traslado de una demanda de incapacitación sobre su persona a instancias de su hijo. En dicha demanda se acompañan varios informes médicos realizados en el Hospital de La Princesa, que él no ha entregado a nadie. En la parte inferior aparecen direcciones de Internet, desde donde fueron obtenidos con fecha 05/02/2013 y 19/06/2013, dándose la circunstancia de que la pareja de su hijo, Dª B.B.B., trabaja como médico en el Servicio de Urgencias de dicho Hospital. Se adjunta copia de los mismos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 13 de junio de 2014, se realiza inspección en el Hospital de La Princesa de Madrid, poniéndose de manifiesto que: 1.1. El Hospital cuenta con una aplicación propia denominada NOSTRADAMUS, la cual se encuentra dividida en dos partes, una sería Nostradamus propiamente dicha dedicada a gestión de administración clínica, y la otra, denominada Hygeia, en la cual se enmarcan diferentes aplicaciones, entre las que se encuentra una dedicada a las historias clínicas de urgencias. 1.2. El representante del hospital manifiesta, a la vista de los informes objeto de denuncia, que en ellos consta el código del médico que lo ha impreso, así como la fecha y hora de impresión. 2. El representante del Hospital, hace entrega a las inspectoras de los informes correspondientes a los accesos realizados a la historia clínica del denunciante desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 la aplicación de historia clínica, que manifiesta que en teoría serían los mismos accesos que deberían constar como realizados desde Urgencias, los cuales no son accesibles en on-line. 3. A la vista de los citados informes de accesos, el representante de la entidad manifiesta que: 3.1. Con fecha 5 de febrero de 2013 constan accesos a la historia clínica del denunciante, realizados por diferentes profesionales, entre los que no se encuentra la Doctora B.B.B.. 3.2. Con fecha 19 de junio de 2013, se comprueba que existen siete accesos realizados a la historia clínica del denunciante por la Doctora B.B.B., durante el horario comprendido entre las 08:51:34 am y las 08:58:37 am, comprobándose que existe un acceso a las 08:53.21 am, coincidente con la hora que figura junto con su código de usuario y la fecha de emisión en el informe aportado por el denunciante en su escrito de denuncia. 3.3. El representante del Hospital, hace entrega a las inspectoras de una impresión del perfil de acceso asignado al usuario de la Doctora B.B.B., manifestando que como médico del Hospital y en concreto del Servicio de Urgencias tiene permisos para poder acceder a las historias clínicas de todos los pacientes. 3.4. Se comprueba mediante la emisión de uno de los informes correspondientes al día 4 de marzo de 2013, que al final del informe consta el usuario que lo ha solicitado el día y la hora correspondiente a la fecha en la que se realiza la inspección. 3.5. Con relación a la justificación de los accesos realizados por la Dra. B.B.B. a la historia del paciente el día 19/06/2013, el representante del Hospital manifiesta que dicha doctora trabajó los días 18 y 19 de junio en turno de tarde, aunque los accesos fueron realizados por la mañana, no pueden concretar si estarían justificados o no. 4. Con fecha 17 de junio de 2014, se recibe en esta Agencia escrito y documentación remitidos por el Hospital de La Princesa, como continuación a la Inspección realizada con fecha 13 de junio de 2014, poniéndose de manifiesto que: 4.1. Según certificado de la Coordinadora de Urgencias, la Dra. B.B.B., el 5 de febrero de 2013, se encontraba de baja maternal y los días 18 y 19 de junio trabajó en turno de tarde. 4.2. Según listado de accesos realizados a la historia del denunciante desde Urgencias por la Dra. B.B.B., ésta habría accedido el día 19 de junio en tres ocasiones, la primera a las 8:52:57 y la última a las 8:53:07, figurando INFORME, y el día 28 de junio de 2013 a las 17:03 figurando INFORME. 4.3. Según listado del día 05 de febrero de 2013, habrían accedido a la Historia del denunciante diferentes usuarios, desde TRIAGE, ENFERMERIA y URGENCIAS, no obstante no existe ninguno de la Dra. B.B.B.. 5. Con fecha 31 de julio de 2014, se contacta telefónicamente con el Gerente del Hospital Universitario de La Princesa, enviándose solicitud de información vía Fax de los datos de DNI y Dirección postal de la Dra. B.B.B.. Ese mismo día remiten información vía Fax que se adjunta a las investigaciones de actuación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 TERCERO: Con fecha 3 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Dª B.B.B. por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: En fecha 7 de octubre de 2014, se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador a la denunciada, por medio del servicio de correos, con el resultado de “Ausente reparto, avisado”. Con fecha 24 de octubre de 2014, se envió para su notificación el citado acuerdo de inicio de procedimiento sancionador a la denunciada, mediante su exposición en el Tablón de edictos del Ayuntamiento de Madrid. El edicto estuvo expuesto en el Tablón de edictos del Ayuntamiento de Madrid desde el día 3 al 20 de noviembre de 2014. El 11 de noviembre de 2014 se publicó en el Boletín Oficial del Estado, otorgándose a la denunciada plazo para efectuar alegaciones a dicho acuerdo. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” HECHOS PROBADOS PRIMERO: El denunciante ha presentado un escrito en esta Agencia en el que declara que sus informes médicos, de la atención recibida en el servicio de Urgencias del hospital de la Princesa de Madrid, se han aportado en una demanda de incapacitación sin su consentimiento. En los informes médicos figuran las direcciones de Internet desde donde fueron obtenidos, una referencia numérica, las fechas 05/02/2013 y 19/06/2013 y la hora de la extracción del informe. El denunciante manifiesta que la pareja de su hijo, Dª B.B.B., trabaja como médico en el Servicio de Urgencias de dicho Hospital. Del examen de los informes denunciados se deduce que el primer informe está impreso en la misma fecha en la que tiene lugar la atención del paciente en el servicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Urgencias, el día 5 de febrero de 2013. Los otros dos informes denunciados están imprimidos el día 19 de junio de 2013 y en ellos figuran atenciones del paciente en Urgencias los días 2 y 4 de marzo de 2013. SEGUNDO: Con fecha 13 de junio de 2014, se realiza inspección, por esta Agencia Española de Protección de Datos, en el Hospital de La Princesa de Madrid, durante la misma, el representante del hospital manifiesta que en los informes objeto de denuncia consta el código del médico que lo imprime y la fecha y hora de impresión. Se obtiene la relación de accesos a la historia clínica del denunciante desde la aplicación de “historia clínica”. Los accesos realizados desde “Urgencias” no son accesibles on-line. A la vista de estos accesos, el representante de la entidad manifiesta que: Con fecha 5 de febrero de 2013 constan accesos a la historia clínica del denunciante, realizados por diferentes profesionales, entre los que no se encuentra la Doctora B.B.B.. Con fecha 19 de junio de 2013, se comprueba que existen siete accesos realizados a la historia clínica del denunciante por la Doctora B.B.B., durante el horario comprendido entre las 08:51:34 am y las 08:58:37 am, comprobándose que existe un acceso a las 08:53.21 am, coincidente con la hora que figura junto con su código de usuario y la fecha de emisión en el informe aportado por el denunciante en su escrito de denuncia. El representante del Hospital, hace entrega a las inspectoras de una impresión del perfil de acceso asignado al usuario de la Doctora B.B.B., manifestando que como médico del Hospital y en concreto del Servicio de Urgencias tiene permisos para poder acceder a las historias clínicas de todos los pacientes. TERCERO: Con fecha 17 de junio de 2014, se recibe en esta Agencia escrito y documentación remitidos por el Hospital de La Princesa como continuación a la Inspección realizada con fecha 13 de junio de 2014, en el que se aporta: Escrito de la Coordinadora de Urgencias, en el que informa de que el 5 de febrero de 2013 la Dra. B.B.B. se encontraba de baja maternal y los días 18 y 19 de junio trabajó en turno de tarde. Listado de los accesos realizados a la historia del denunciante desde “Urgencias” en febrero y junio de 2013. En el listado del mes de junio se observan cuatro accesos en el día 6, entre las 8:52:16 y las 8:53:33 horas, figurando el literal IMP_INFORME en cada uno de los accesos. En el listado del día 05 de febrero de 2013, habrían accedido a la Historia del denunciante diferentes usuarios, figurando los literales TRIAGE, ENFERMERIA y URGENCIAS, no obstante no existe ninguno de la Dra. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 59.4 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones: “ Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien, intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de anuncios en el tablón de edictos del Ayuntamiento en su último domicilio, en el Boletín Oficial del Estado, de la Comunidad Autónoma o de la Provincia, según cuál sea la Administración de la que se proceda el acto a notificar, y el ámbito territorial del órgano que lo dictó.” En el presente caso se han observado las prescripciones legales, tal como se ha señalado en los Antecedentes Cuarto y Quinto de la presente Resolución. III El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. IV El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). De los hechos probados en este procedimiento, se deduce que la imputada presta sus servicios como facultativo en el servicio de Urgencias del hospital de la Princesa de Madrid perteneciente al Servicio madrileño de salud. Que el denunciante ha declarado que sus informes médicos, de la atención recibida en el servicio de Urgencias del hospital de la Princesa de Madrid, se han aportado en una demanda de incapacitación sin su consentimiento. En los informes médicos figuran las direcciones de Internet desde donde fueron obtenidos, una referencia, las fechas 05/02/2013 y 19/06/2013 y la hora de la extracción del informe. El denunciante manifiesta que la pareja de su hijo, Dª B.B.B., trabaja como médico en el Servicio de Urgencias de dicho Hospital. Para la constatación de los hechos denunciados se llevó a cabo por esta Agencia una visita de inspección al hospital de la Princesa de Madrid. De las comprobaciones realizadas se deduce que: El primer informe objeto de denuncia está impreso en la misma fecha en la que tiene lugar la atención al paciente en el servicio de Urgencias del hospital, el día 5 de febrero de 2013, y que ese día la doctora imputada estaba de baja maternal. Los otros dos informes denunciados se imprimieron el día 19 de junio de 2013 y en ellos figuran atenciones del paciente/denunciante en el servicio de Urgencias los días 2 y 4 de marzo de 2013. En las consultas de los accesos a la historia clínica del denunciante se concluye que el día 5 de febrero de 2013 no hay accesos de la doctora denunciada. Respecto de los accesos del día 19 de junio de 2013, existen varios accesos de la denunciada, tanto desde la aplicación de “historia clínica” como desde la aplicación de “Urgencias”, resultanto coincidentes los horarios de los accesos realizados, con los de los informes aportados en la demanda de incapacitación sin consentimiento del denunciante. De esta secuencia de hechos se concluye que la doctora imputada obtuvo y aportó los informes denunciados al proceso de incapacitación del denunciante sin su consentimiento, vulnerando así el deber de secreto que le incumbía. En este caso, ese deber de secreto comporta que la imputada, como profesional sometida al principio de confidencialidad, no puede revelar ni dar a conocer los datos personales de los pacientes a terceros, salvo con consentimiento expreso de los afectados (al contener los informes denunciados, datos de salud especialmente protegidos artículo 7.3 LOPD) o en los casos autorizados por la ley, recordando que el artículo 7.3 señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente.” V La conducta de la denunciada se incardina en el artículo 44.3.
3. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la imputada ha divulgado los datos de salud de un paciente al aportar los informes denunciados al proceso de incapacitación del denunciante sin su consentimiento. La especial protección conferida a los datos relacionados con la salud de las personas no es arbitraria, sino que resulta de lo dispuesto en las normas Internacionales y Comunitarias reguladoras del tratamiento automatizado de datos de carácter personal. En este contexto, tanto el artículo 8 de la Directiva 95/46/CE del Parlamento y del Consejo, así como el artículo 6 del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28/01/1981, ratificado por España en fecha 27/01/1984, hacen referencia a los datos de salud como sujetos a un régimen especial de protección, de tal forma que, como indica el citado Convenio, tales datos “no podrán tratarse automatizadamente a menos que el derecho interno prevea garantías adecuadas” El artículo 7 de la LOPD pretende que la información más sensible, que afecta en mayor medida a la intimidad y privacidad de las personas y al ejercicio de los derechos fundamentales consagrados por la Constitución, sea objeto de una protección reforzada, que pasa, en la mayor parte de los supuestos, por la exigencia del consentimiento del afectado para su tratamiento. Dado que ha existido una vulneración en el deber de secreto por parte de la imputada en relación a datos de salud especialmente protegidos, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales especialmente protegidos fuera del ámbito del denunciado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VI Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De conformidad con el análisis realizado se ha incurrido en la infracción descrita. Así, ha quedado acreditado que Dª B.B.B. ha divulgado los datos de salud de un paciente al aportar los informes médicos denunciados al proceso de incapacitación del denunciante sin su consentimiento, constituyendo tal conducta la infracción grave tipificada en el artículo 44.3.b). Sin embargo, ha de tenerse en cuenta la concurrencia significativa de alguno de los criterios previstos en el apartado 4 del artículo 45 tales como la falta de carácter continuado de la infracción, el volumen de los tratamientos efectuados y la falta de reincidencia por comisión de infracciones de la misma naturaleza, lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad, al no poder obviarse que la conducta infractora se realizó por una persona física y que se ha tratado de un hecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 aislado en su trayectoria profesional. En consecuencia, constatada la comisión de la infracción imputada, se observa, como se ha expuesto, sin embargo, la concurrencia de circunstancias que, si bien no eximen del cumplimiento de la norma, sí permiten apreciar una cualificada disminución de la culpabilidad imputada respecto de la comisión de dicha infracción, por lo que se estima que procede la aplicación del artículo 45.5 de la LOPD respecto de la misma, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación. Respecto a los criterios de graduación de las sanciones recogidos en el artículo 45.4 de la LOPD es necesario tener en cuenta la entidad de la infracción cometida al vulnerar el deber de secreto que le incumbía, al divulgar los datos de salud de un paciente aportando los informes denunciados al proceso de incapacitación del denunciante sin su consentimiento. Como ya se mencionó, el derecho fundamental a la protección de los datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona es decir, el poder de resguardar su vida privada de una publicidad no querida. Por todo ello, se estima ponderada y proporcionada a la gravedad del hecho la imposición de una multa de 1.000 € (mil euros) por el incumplimiento del deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, que comporta su obligación de no revelar ni dar a conocer su contenido, así como el “deber de guardarlos”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Dª B.B.B., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
4. d)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45 .1, .2, .4 y .5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Dª B.B.B., y a D. A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es