PS-00572-2023

1/5  Expediente N.º: EXP202316740 RESOLUCIÓN POR CADUCIDAD DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 5 de noviembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos, contra la UNIVERSIDAD DE SANTIAGO DE COMPOSTELA con NIF Q1518001A (en adelante, USC). Los motivos en que basa la reclamación son los siguientes: A principios de 20XX, la parte reclamante se sometió a una intervención quirúrgica como paciente de muestra dentro del Máster de Medicina Oral, Cirugía Oral e Implantología en la USC. Al tratarse de una técnica innovadora, acordaron con la reclamante la gratuidad de la intervención, a cambio de que fuera grabada y fotografiada. Tras fallar la técnica innovadora, se procedió en mayo de 20XX a la colocación de los implantes dentales. Afirma la reclamante que su consentimiento no fue informado y que no le facilitaron ninguna documentación, ni información para ninguna de las dos intervenciones. En el mes de enero de 2021, el nuevo facultativo de la reclamante detectó la colocación incorrecta de los implantes, motivo por el que la reclamante habría solicitado en reiteradas ocasiones acceso a copia íntegra de su historia clínica a diversas instancias, sin lograr averiguar la identidad del responsable del tratamiento de sus datos. El 25 de abril de 2022, presenta la reclamante ante la USC la solicitud de acceso a su historia clínica, así como la identificación del médico responsable en todas y cada una de las intervenciones practicadas, con nombre y apellidos y número de colegiado. El 3 de junio de 2022, la Secretaria General de la USC notificó a la parte reclamante que en abril del 2021 tuvo lugar la destrucción de historiales clínicos en papel y que no se puede atender su petición por no disponer de la documentación solicitada, porque el historial clínico de la reclamante fue destruido una vez transcurridos los cinco años preceptivos desde la finalización del proceso asistencial, de conformidad con el Art. 17.1 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, (en lo sucesivo, Ley Estatal 41/2002 de información al paciente). La citada resolución de la SG de la USC ponía fin a la vía administrativa, con la posibilidad de interponer recurso contencioso-administrativo o recurso potestativo de reposición en el plazo de un mes ante el órgano que lo dictó. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 La parte reclamante argumenta, por su parte, en su reclamación a la AEPD que la norma aplicable al caso al encontrarse el centro sanitario en la Comunidad Gallega, es la Ley gallega 3/2001, de 28 de mayo, reguladora del consentimiento informado y de la historia clínica de los pacientes (en lo sucesivo Ley Gallega 3/2001, de información al paciente), y que la ley estatal 41/2002 de información al paciente tiene carácter de legislación básica y su aplicación es supletoria. Afirma que según el apartado 20.2 de la mencionada Ley Gallega 3/2001 los datos solicitados por la parte reclamante deberían haberse conservado indefinidamente. La parte reclamante concluye que, con la destrucción de su historial clínico resulta imposible comprobar que los profesionales médicos lo hicieron de forma contraria a la “lex artis”. Considera también vulnerado además su derecho al acceso a los datos, previsto en el artículo 15 del RGPD, al haber sido destruidos sus datos personales definitivamente, así como una violación de la seguridad de los datos personales, descrita en el artículo 4.12 del RGPD; así como la vulneración del artículo 32.1 (incumplimiento de medidas de seguridad y organizativas) del RGPD. Hace referencia también a preceptos concordantes de la LOPDGDD e informes de la AEPD sobre temas de salud. Aporta la reclamante su solicitud de acceso a su historia clínica en USC de 25/04/22, así como la respuesta dada por la UNIVERSIDAD DE SANTIAGO el 03/06/2022, que incluye como anexo la certificación de destrucción solicitada por USC a una empresa especializada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la USC el 23/11/2023, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24/11/2023, como consta en el acuse de recibo que obra en el expediente. Con fecha 04/12/23, se recibe en esta Agencia escrito de respuesta de la Secretaria General de USC, quien se ratifica en la resolución notificada a la reclamante el 03/06/23: la correcta actuación de USC, con base en la obligación de conservación historia clínica durante 5 años, conforme al artículo 17.1 de la Ley estatal 41/2002 de información al paciente. Por ello, concluye que la solicitud de acceso de 25/06/2022 a la historia clínica de la reclamante, es extemporánea y que la destrucción encargada por USC y certificada por una empresa especializada es conforme a la normativa de protección de datos. TERCERO: Con fecha 19 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 CUARTO: Con fecha 3 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 25 del RGPD y de los Artículos 9 y 6 del RGPD, tipificada en el Artículo 83.5 del RGPD y en Artículo 83.4 del RGPD respectivamente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Caducidad del procedimiento sancionador El artículo 64.2 de la LOPDGDD, con relación a la duración de los procedimientos establece lo siguiente (el subrayado es nuestro): “(…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones”. Por otro lado, el artículo 25.1.
3. b)de la LPACAP establece que: “En los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver, produciendo los siguientes efectos: (…)
4. b)En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 El artículo 21.1 de la LPACAP, después de establecer la obligación de la Administración de dictar resolución expresa y notificarla en todos los procedimientos, añade que, en los casos de caducidad del procedimiento, la resolución consistirá en la declaración de caducidad, con indicación de los hechos producidos y las normas aplicables. Por su parte, el artículo 95.3 de la LPACAP se ocupa de los efectos de la caducidad y la posibilidad de reabrir otro nuevo expediente si no ha prescrito la acción de la Administración, indicando lo siguiente: "3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado". El acuerdo de inicio del presente procedimiento sancionador fue dictado el 3 de mayo de 2024, por lo que, el 3 de mayo de 2025, al no haberse dictado resolución expresa que finalizara el mencionado procedimiento, se produjo la caducidad de este. Por tanto, de conformidad con el artículo 21.1 de la LPACAP, procede dictar resolución expresa por la que se declare la caducidad del procedimiento sancionador y el consecuente archivo de actuaciones. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador en el marco del expediente EXP202316740 y proceder al ARCHIVO de actuaciones. SEGUNDO: NOTIFICAR la presente resolución a UNIVERSIDAD DE SANTIAGO DE COMPOSTELA con NIF Q1518001A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 907-120624 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es