PS-00576-2021

1/16 Expediente N.º: PS/00576/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales sufrida por la entidad OUTENUVE, S.L.U., con NIF B66589995 (en adelante OUTENUVE) (…), el 4 de marzo de 2021 se ordena por la Directora a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: primera notificación recibida el 19/02/2021. Fecha de detección de la brecha: El día 18 de febrero de 2021. Se han recibido en total 107 entradas correspondientes a notificaciones de brechas relacionadas con el incidente, si bien varias de ellas adicionales o repetidas, que arrojan un total de 98 responsables de tratamientos de datos personales que notifican la brecha, y que tienen en común todas ellas el incidente de seguridad sufrido en el encargado del tratamiento OUTENUVE. En ocasiones el encargado del tratamiento directo del responsable es otra entidad, que a su vez ha subcontratado los servicios con OUTENUVE. Resumen de las notificaciones: Los responsables de los tratamientos han comunicado con carácter general que el jueves día 18 de febrero de 2021 no se pudo acceder a los servidores por un (…). En algunos casos se citan entidades intermedias como encargadas del tratamiento que tienen contratados los servicios con OUTENUVE como subencargado. En otros casos citan directamente a OUTENUVE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Seis responsables de tratamiento indican que su encargado de tratamiento INFORMATICA MÉDICA, S.L., con NIF nº B58697608 (en adelante IM) les ha notificado la brecha de seguridad, ocurrida en el proveedor de servicios de hosting y almacenamiento en nube OUTENUVE En las notificaciones, debido a la diversidad de los responsables, se declaran diversas categorías de datos personales. En la mayoría datos básicos, identificativos y de contacto y credenciales; en muchas ocasiones datos económicos o financieros; datos de salud y de afiliación sindical. En pocas ocasiones datos de menores. El número aproximado de personas afectadas depende también del responsable, siendo 100 o menor de 100 en aproximadamente en la cuarta parte de las notificaciones, más de 100 y hasta 1000 en la mitad de las notificaciones. Las mayores declaraciones de personas afectadas son una de 17.000 (relativa a datos básicos) y una de unos 117.000 (incluyendo datos de salud). En total se estima del orden de 200.000 afectados aproximadamente con todas las notificaciones recibidas. Las notificaciones de los 6 responsables que tienen como encargado a IM suman aproximadamente 136.000 afectados, incluyendo datos de salud en su mayoría. Se ha solicitado información y documentación a IM y de la respuesta recibida se desprende lo siguiente: Respecto de la empresa. (…). Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final (…). Datos afectados. (…). Medidas de seguridad previas y posteriores al incidente (…). TERCERO: Con fecha 3 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IM, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 28, apartados 3, 4 y 9 del RGPD, tipificada en el Artículo 83.4 del RGPD. El acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP el día 3 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 CUARTO: Con fecha 16 de marzo de 2022, IM presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. QUINTO: Con fecha 17 de marzo de 2022, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. SEXTO: Con fecha 23 de marzo de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de IM en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifiesta lo siguiente: 1.- Que, en relación con la diligencia e implicación en el cumplimiento de la normativa de protección de datos, IM ha implementado todas las obligaciones que le son de aplicación como responsable y como encargado del tratamiento. Prueba de ello es que dispone de un Delegado de Protección de Datos designado, de un registro de actividades de tratamiento como responsable y como encargado, su personal ha recibido formación en materia de protección de datos, se han trabajado los riesgos y la seguridad y hay una voluntad y proactividad en mantener actualizada la documentación y en mejorar todos aquellos procesos que se detectan no ajustado al nivel de excelencia en el cumplimiento de la normativa que se pretende. Ejemplo de ello, después de la brecha de seguridad sufrida, ha procedido a cambiar de proveedor de servicios de almacenamiento en la nube. 2.- En relación con la agravante del artículo 83.2 a), la entidad indica que no es cierto que exista un tratamiento de cuantiosos datos personales, en concreto, datos de salud, por cuanto la mayoría de los datos que trata son de carácter administrativo y se refieren a la gestión de la agenda de citas y de la plataforma de citas on line, donde los pacientes se pueden citar dando únicamente su nombre y apellidos y teléfono, sin crear episodios clínicos. Tan sólo como media el 43% de los pacientes tiene ficha completa e historial médico. 3.- Que no ha existido negligencia en cuanto a la falta del contrato de encargo con OUTENUVE, por cuanto se entendió regulada la relación de tratamiento de datos personales con diversas comunicaciones y documental que, al entender de IM, limitaba y regulaba el tratamiento de datos personales y la protección de estos por parte del proveedor, ofreciendo así garantías suficientes para la protección de los derechos y libertades de las personas interesadas cuyos datos. En este sentido, IM aporta como Anexo VI copia del contrato/oferta de servicios con OUTENUVE y como Anexo VII el “Informe de medidas de seguridad” de OUTENUVE, indicando que con su contenido se da cumplimiento al contenido exigido por el artículo 28.3 del RGPD respecto del contrato de encargo de tratamiento. Por último, indica que queda acreditado el cumplimiento del punto 28.3 e), relativo a la obligación de asistencia, siendo prueba de ello la misma gestión de la brecha de seguridad en la que IM estuvo en todo momento informada y asistida por el OUTENUVE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 4.- Respecto de que IM realiza tratamientos de datos a gran escala, manifiesta no estar de acuerdo por cuanto sus clientes (un total de 85 Centros Médicos Privados) representan aproximadamente el 0,3% de la cuota de mercado de dicho ámbito. Por todo lo expuesto, IM solicita que se archive el procedimiento sancionador, teniendo en cuenta sobre todo la voluntad en cumplir con la vigente normativa de protección de datos y en subsanar aquellas cuestiones que pudieran suponer deficiencias en el cumplimiento de dichas obligaciones. SÉPTIMO: Con fecha 30 de septiembre de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a INFORMÁTICA MÉDICA, S.L., con NIF B58697608, por la infracción del Artículo 28, apartados 3, 4 y 9 del RGPD, tipificada en el Artículo 83.4 del RGPD, con una multa de 60.000 € (sesenta mil euros). Esta propuesta de resolución, que se notificó a IM conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 30 de septiembre de 2022, como consta en el acuse de recibo que obra en el expediente. En dicha Propuesta de Resolución, frente a las alegaciones formuladas por IM, se dio la siguiente respuesta: En relación con la alegación relativa a que de la relación y comunicaciones que existían entre IM y OUTENUVE se daba cumplimiento a las obligaciones en materia de protección de datos, se significa que el artículo 28.9, en relación con los apartados 3 y 4 del mismo precepto del RGPD, exige que cuando un encargado de tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable (subencargo), este tratamiento esté regido por un contrato u otro acto jurídico y que el mismo conste por escrito. Por otro lado, y en contra de lo que sostiene IM, el contrato de prestación de servicios suscrito con OUTENUVE y aportado como Anexo VI junto con el escrito de alegaciones, no cumple con el contenido exigido por el artículo 28.3 del RGPD pues, entre otros, no establece ni el tipo de datos personales ni las categorías de interesados, ni que tratará los datos personales únicamente siguiendo las instrucciones documentadas del encargado, no contiene indicación alguna sobre transferencias de datos a un tercer país (si existe o no y, en su caso, obligaciones al respecto, etc), ni mención sobre el contenido establecido en los apartados b), d), e), f), g), etc. En cuanto a que IM ha cumplido siempre con total diligencia todas las obligaciones que le son de aplicación como responsable y como encargado del tratamiento, se señala que como encargado de tratamiento no cumplió con la obligación de tener suscrito un contrato u otro acto jurídico donde se reflejasen las obligaciones en materia de protección de datos personales con el subencargado OUTENUVE. Por último, en relación a que no trata gran cantidad de datos personales ni tampoco de salud, puesto que la mayoría son únicamente para la gestión de cita médica (sólo datos de contacto) y que sus clientes sólo representan un pequeño porcentaje de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 clínicas privadas en el mercado español (refiere 85 empresas clientes), se señala que sólo seis del total de empresas responsables de tratamiento de los que IM es encargado de tratamiento, notificaron que se vieron afectadas por la brecha de seguridad, y que, sin embargo, sólo ellas suman alrededor de 135.000 afectados, indicando entre las categorías de datos afectados, los de salud, pues se trata de clínicas/hospitales. En este sentido, procede aclarar que este número no se refiere a la cantidad de datos personales afectados (como por error se ha indicado en un momento puntual en el Acuerdo de Inicio del presente procedimiento sancionador) sino a la cantidad de personas cuyos datos personales se han visto afectados (estos últimos serán mucho mayor en número). Por tanto, no procede aceptar que IM, como encargado de tratamiento, no trata un volumen muy elevado de datos personales, entre ellos datos de salud, al objeto de rechazar las agravantes -relativas a la falta del deber de diligencia que le es exigibletenidas en cuenta para valorar la cuantía de la sanción. Por todo lo expuesto, se rechazaron las alegaciones aducidas. OCTAVO: Con fecha 17 de octubre de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de IM en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifiesta que: 1.- IM ha tenido y tiene compromiso en el adecuado cumplimiento de la normativa de protección de datos, por ello dispone de delegado de protección de datos, Registro de actividades de tratamiento como responsable y como encargado, su personal ha recibido formación en la materia y se ha trabajado respecto a los riesgos y seguridad. 2.- Cuando subcontrató los servicios de alojamiento de datos o servicios Cloud, así como el entorno de copias de seguridad o back up de los datos, eligió, como proveedor, a la empresa OUTENUVE, ya que este prometía garantías respecto al RGPD a través de auditorías semestrales y la aplicación de grandes medidas de seguridad que garantizaban la disponibilidad, integridad y confidencialidad de los datos personales, garantías que no se han cumplido. Aduce también IM la existencia de diligencia en la elección de la empresa OUTENUVE como proveedor, ya que fue porque ofrecían un compromiso con la seguridad de la información y datos personales, además de que garantizaban que estaban preparados para hacer frente a una posible brecha de seguridad, tanto jurídicamente haciendo alusión al contrato a que realizaban auditorías semestrales RGPD, como con grandes medidas que garantizasen la seguridad de los datos personales. (ANEXO III. ENUVE2). Asimismo, les solicitó información sobre los DATACENTER y Certificaciones (ANEXO II) 3.- Alega IMI que tuvo proactividad a la hora de formalizar la relación con la empresa OUTENUVE, a través de un contrato de encargo de tratamiento, solicitándoselo por email y no tuvo respuesta al respecto. A este respecto, señala que ha mejorado los procesos para hacer un seguimiento más estricto en este sentido. En este sentido, sostiene que ciertamente tuvo diligencia en el cumplimiento del artículo 28.3, ya que era consciente de las obligaciones en materia de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 datos personales con el subencargado. Así, indica que solicitó, el 19 de diciembre de 2019, 2 años antes de la brecha de seguridad, el contrato de encargo de tratamiento, entre otras peticiones, a la empresa OUTENUVE mediante intercambios de correos electrónicos –“mándame cuanto antes contrato de encargado de datos”- (ANEXO I. Correo de Informática Médica –RE_Propuesta Enuve), pero OUTENUVE nunca se prestó a su formalización. Por todo ello, considera IM que su voluntad fue la de regular la relación con el proveedor-subencargado del tratamiento en el cumplimiento de la normativa aplicable y ser legalmente exigente en la elección de este proveedor, ya que ofrecía garantías suficientes. Sin embargo, y a la luz de los hechos acontecidos, ha mejorado sus procesos y actualmente dispone de un acuerdo de encargo de tratamiento completo y exclusivo para regular la relación con proveedores que tratan datos personales y una evaluación previa a la contratación. 4.- Indica IM que atendió a las consultas realizadas por los responsables, es decir sus clientes, respecto a cuestiones sobre el proveedor OUTENUVE y cuando la brecha tuvo lugar, intentó poder seguir ofreciendo sus servicios a sus clientes, aunque sin registro histórico y cuando se recuperó la disponibilidad de los datos personales, estos no se habían visto afectados ni su integridad ni confidencialidad. Asimismo, IM mantuvo informados a sus clientes, es decir a los responsables del tratamiento, respecto a la información que le transmitía la empresa OUTENUVE en todo momento y también mostró cooperación con la Autoridad de control en las solicitudes de información, durante la brecha y posteriormente. 5.- Refiere IM que ha aprovechado las oportunidades de mejora, de las vulnerabilidades detectadas, comprometiéndose a un mayor cumplimiento de la legislación de protección de datos y reformando sus medidas de seguridad. 6. Que en cuanto a la aplicación del artículo 83.2.

1. b)RGPD. Intencionalidad o negligencia en la infracción, solicita IM que se tenga en cuenta la doctrina de la responsabilidad subjetiva: “Sentencia del Tribunal Supremo, recurso. 7707/2000, de 18 de marzo de 2005, ECLI:ES:TS:2005:1730: (...) no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa no fuera imputable a dolo o a culpa”. Y la “Sentencia de 6 junio 2008 (recurso de casación para la unificación de doctrina núm. 146/2004) -EDJ 2008/97539, resume la jurisprudencia en relación con el principio de culpabilidad en materia sancionadora, concluyendo con la siguiente afirmación "En nuestro sistema jurídico y en el tributario, en particular, (...), no rige la responsabilidad objetiva o sin culpa, exigiendo la norma al menos la concurrencia de negligencia o, lo que es lo mismo, la falta de la diligencia necesaria o debida". En el supuesto del presente procedimiento, señala IM que no se tiene constancia de que hubiera obrado dolosamente ni con grave negligencia, como señala la propuesta de resolución, ni ignoró las normas, ya que ha quedado demostrado que intentó su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 cumplimiento no desatendiendo su deber legal y requirió a OUTENUVE la formalización de un contrato de encargo y garantías de seguridad de los Data Centers para sus clientes. Que en cuanto a la aplicación del artículo 83.2.
2. c)RGPD. Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados, señala IM que ha aprovechado las oportunidades de mejora, de las vulnerabilidades detectadas, comprometiéndose a un mayor cumplimiento de la legislación de protección de datos y reformando sus medidas de seguridad: tras la brecha ha cambiado de proveedor y ha mejorado los procesos para hacer un seguimiento más estricto a la hora de formalizar los contratos de encargo de tratamiento. Por ello, solicita IM que se apliquen las siguientes atenuantes previstas en el artículo 70.2 de la LOPDGDD: 1. El grado de cooperación de IM con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción, ya expuesto en nuestro escrito de alegaciones. 2. La constatación de que IM no ha obtenido, ni ha buscado, ni ha intentado obtener ningún beneficio, ni ha realizado ningún tipo de negocio a través de la presunta infracción. 3. Que el nivel de daños y perjuicios que han sufrido las personas interesadas por la presunta infracción ha sido inexistente. Por todo lo expuesto, concluye IM solicitando que se archive el expediente sancionador por falta de responsabilidad subjetiva o, en todo caso, se imponga una sanción en su grado mínimo de acuerdo con alegaciones aportadas. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El día 18 de febrero de 2021 la entidad OUTENUVE, dedicada a ofrecer servicios de alojamiento de los datos o servicios cloud, así como entorno de copias de seguridad o backup de los datos, (…). SEGUNDO: Seis responsables de tratamiento, al notificar a esta Agencia la brecha de seguridad, indican que su encargado de tratamiento es IM y que les ha notificado la brecha de seguridad, ocurrida en el proveedor de servicios de hosting y almacenamiento en nube, OUTENUVE. Las notificaciones de los 6 responsables que tienen como encargado a IM suman aproximadamente 136.000 afectados, incluyendo datos de salud. TERCERO: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 IM tiene contratado con OUTENUVE la prestación de servicios de almacenamiento de los datos en la nube. CUARTO: El contrato de encargado de tratamiento aportado por IM suscrito con OUTENUVE, tiene fecha de firma el 30 de marzo de 2021, en el que consta que el contrato toma efectos retroactivos desde el 01/02/2020. Figura OUTENUVE como subencargado de IM. FUNDAMENTOS DE DERECHO I Competencia En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IM realiza, entre otros tratamientos, la estructuración, conservación, extracción, consulta, interconexión y destrucción de los siguientes datos personales de personas físicas, tales como: datos identificativos (nombre, apellidos, número de identificación), datos de contacto (dirección postal, número de teléfono, dirección de correo electrónico, etc) y datos de salud (datos médicos y de historia clínica). (…). El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de disponibilidad, (…). Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 III Alegaciones aducidas En relación con las alegaciones aducidas la propuesta de resolución del presente procedimiento sancionador se procede a dar respuesta a las mismas: En relación a la pretendida diligencia en el cumplimiento del artículo 28 del RGPD que IM basa en el hecho de que solicitó a su subencargado de tratamiento (OUTENUVE) el correspondiente contrato de encargo, pero que éste nunca lo formalizó, se significa que de ello se deduce lo contrario, es decir, la falta de diligencia en el cumplimiento de las obligaciones y de la normativa que le ataña como empresa que en numerosas ocasiones actúa como encargada de tratamiento de datos personales, puesto que era plenamente consciente de que debía suscribirse entre ella y OUTENUVE el contrato que el citado precepto exige para regular la relación entre encargado y subencargado, pero que, sin embargo, no lo hizo, manteniéndose en esta situación al menos durante un año. En cuanto a la proactividad y diligencia alegada en relación a que eligió a OUTENUVE como su proveedor tras analizar las garantías que ofrecía en cuanto a seguridad y cumplimiento de la normativa en materia de protección de datos, se significa que el presente procedimiento sancionador no se dirige por haber infringido sus obligaciones respecto a elegir un subencargado que ofrezca garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del RGPD, sino por no tener suscrito el correspondiente contrato de encargo con OUTENUVE. Asimismo, alega IM que no deben aplicarse las agravantes tenidas en cuenta para graduar la sanción, ya que no ha obrado dolosamente ni con grave negligencia, ni ignoró las normas, ya que ha demostrado que intentó su cumplimiento - no desatendiendo su deber legal y requirió a OUTENUVE la formalización de un contrato de encargo y garantías de seguridad de los Data Centers para sus clientes-, lo cual supone, además, una falta de culpabilidad, por lo que debería archivarse el expediente sancionador. Sin embargo, frente a ello, se significa, tal y como se ha señalado anteriormente, que la conducta infractora de IM refleja una grave negligencia en cuanto a la falta del contrato de encargo, pues por su práctica empresarial, además de ser perfectamente conocedor de la normativa y de las obligaciones que le incumben como encargado de tratamiento, era plenamente consciente de su falta y aún así no lo suscribió. Por tanto, resulta adecuado mantener las agravantes que se tienen en cuenta en la graduación de la sanción, las cuales están debidamente motivadas y justificadas en el Fundamento de Derecho VI de la presente Resolución al que, para evitar reiteraciones innecesarias, procede remitirse. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. No se exige pues la concurrencia de un ánimo deliberado de infringir la norma, con conciencia y voluntad de hacerlo. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 responsabilidad objetiva. El campo de la simple inobservancia es el clásico de la imprudencia o negligencia, en sus distintos grados. A lo expuesto, debemos añadir siguiendo lo declarado en la Sentencia del Tribunal Supremo de 23 de enerode 1998, parcialmente trascrita en las Sentencias de dicho Tribunal de 9 de octubre de 2009 -recurso nº.5.285/2005-, y de 23 de octubre de 2010 -recurso nº. 1.067/2006-, que, "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte dela conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” En el caso que nos ocupa, tal y como se ha señalado, se aprecia y es suficiente la falta de la diligencia debida por parte de IM y siendo plenamente imputable a la entidad la conducta. Por último, en cuanto a la exigencia de aplicación de las circunstancias atenuantes indicadas por IM, relativas a la cooperación con la autoridad de control con el fin de poner remedio a la infracción, la falta o ausencia de búsqueda de beneficios a través de la infracción y la inexistencia de daños y perjuicios para los afectados, se señala, en primer lugar, que respecto al hecho de que IM procediera a suscribir el correspondiente contrato de encargo de forma inmediata tras el incidente de seguridad ocurrido, esta circunstancia ya se ha tenido en cuenta como atenuante a la hora de graduar la sanción. En segundo lugar, en cuanto al resto de circunstancias alegadas, se significa que las mismas operan como agravantes y su ausencia conlleva que no puedan ser tomadas en consideración, pero no implica ni permite su aplicación como atenuante. En esta la línea de interpretación se señala, entre otras, la Sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
3. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
4. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante. Por todo lo expuesto, se rechazan las alegaciones aducidas. IV Artículo 28, apartados 3, 4 y 9 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 En relación a la figura del encargado del tratamiento, el artículo 28 del RGPD, señala lo siguiente: 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
5. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
6. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
7. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
8. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
9. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
10. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
11. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
12. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
13. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. De la investigación realizada se ha constatado que la entidad IM, que actúa como encargada de tratamiento de numerosos responsables de tratamiento y que tiene subcontratado los servicios de cloud computing con OUTENUVE, ha aportado, a requerimiento de esta Agencia, un contrato de encargo de tratamiento suscrito el 30 de marzo de 2021 con OUTENUVE, en el que se indica en su cláusula tercera que tiene efectos retroactivos desde el 1 de febrero de 2020. Es decir, dicho contrato no estaba suscrito en el momento del incidente de seguridad. Por tanto, desde que IM tiene subcontratado los servicios de cloud computing con OUTENUVE (al menos desde el 1 de febrero de 2020, fecha a la que se pretenden retrotraer los efectos) hasta el 30 de marzo de 2021, no tenía formalizado ningún contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que les vincule a ambas y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos, especialmente lo relativo a las medidas de seguridad, con el contenido que establece el art. 28.3 RGPD. Ello pone de manifiesto la inexistencia del contrato que exige el artículo 28 del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a IM, por vulneración del artículo 28, apartados 3, 4 y 9 del RGPD. V Tipificación de la infracción del artículo 28, apartados 3, 4 y 9 De confirmarse, la citada infracción del artículo 28 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679. VI Sanción por la infracción del artículo 28, apartados 3, 4 y 9 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - Artículo 83.2.
16. a)RGPD. Naturaleza, gravedad y duración de la infracción: se considera que la naturaleza de la infracción es grave puesto que IM tiene subcontratado con OUTENUVE el tratamiento de cuantiosos datos personales. Por tanto, no es una subcontratación aislada o de poca relevancia ya que afecta al tratamiento a gran escala de datos personales que, además, incluyen datos de salud. En este sentido, no debe olvidarse que la brecha de seguridad sufrida en el subencargado afectó a los datos personales de más de 135.000 afectados, lo que arroja una idea sobre la trascendencia del subcontrato. Sin embargo, no tenía suscrito el correspondiente contrato de encargo con OUTENUVE, lo cual supone dicho tratamiento sin las garantías y la cobertura jurídica exigida por el RGPD, situación que, además, duró más de un año. - Artículo 83.2.
17. b)RGPD. Intencionalidad o negligencia en la infracción: Se aprecia, una grave negligencia respecto a la falta del contrato de encargo con OUTENUVE, pues es perfectamente conocedor, por su práctica empresarial, de la normativa en materia de protección de datos y especialmente de las obligaciones que le incumben como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 encargado de tratamiento, evidenciando con ello una clara dejadez en el cumplimiento de la normativa que le atañe. En este sentido, IM viene obligado a actuar con la especial diligencia exigible a una empresa de estas características. Procede recordar la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos, indica “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad es de constante y abundante manejo de datos de carácter personal y que afectan a datos de salud ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al respecto. - Artículo 83.2 g). Las categorías de los datos de carácter personal afectados por la infracción. La infracción cometida por IM, como encargado de tratamiento especializado en prestar servicio de software y de almacenamiento a clínicas y hospitales, ha afectado a un gran número de datos, pues trata datos a gran escala que, además, incluyen categorías especiales de datos, concretamente datos relativos a la salud Como atenuantes: - Artículo 83.2.
18. c)RGPD. Medidas tomadas por el responsable para paliar los daños y perjuicios sufridos. Positivas. IM ha procedido a poner remedio a la infracción suscribiendo el correspondiente contrato de encargo con OUTENUVE con fecha 30 de marzo de 2021. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - Artículo 76.2.
19. b)LOPDGDD. Vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal: El desarrollo de la actividad empresarial que desempeña IM se dirige fundamentalmente a operar como encargado de tratamiento de numerosos responsables de tratamiento, ofreciéndoles diversos servicios de software y de almacenamiento, conllevando un tratamiento continuo y a gran escala que, además, incluyen categorías especiales de datos, concretamente datos relativos a la salud. Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa por la infracción del art 28 del RGPD imputada es de 60.000 € (sesenta mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 RESUELVE PRIMERO: IMPONER a INFORMÁTICA MÉDICA, S.L., con NIF B58697608, por una infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de 60.000 euros (SESENTA MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a INFORMÁTICA MÉDICA, S.L., con NIF B58697608 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
20. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
21. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es