← España

PS-00606-2017

1/22 Procedimiento Nº PS/00606/2017 RESOLUCIÓN: R/00830/2018 En el procedimiento sancionador PS/00606/2017, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por Dª. C.C.C., y de acuerdo con los siguientes, ANTECEDENTES PRIMERO: Con fecha 11 de octubre de 2017 ha tenido entrada en esta Agencia un escrito de Dña. C.C.C. (en lo sucesivo la denunciante), en el que expone que el 14 de octubre de 2014 se sometió a una intervención quirúrgica en el HOSPITAL R.R.R. para reparar una lesión. La intervención la realizó el doctor D. B.B.B. (en lo sucesivo el denunciado). Expone la denunciante que la intervención fue grabada íntegramente. Informa también de que con el fin de contrastar distintas opiniones de facultativos sobre el resultado de la intervención, solicitó las imágenes grabadas al doctor B.B.B. quien, mediante correo electrónico de fecha 7 de enero de 2016, desde la dirección ***EMAIL.1, le comunicó que: “Como te he comentado lamento no haber podido encontrar las imágenes de tu cirugía, pero los niños me perdieron varios pendrive y es posible que en ellos se fuera tu intervención”. Se describen en el correo los pormenores de la intervención y se le informa que así está explicada toda la intervención. Se ha solicitado a la denunciante información adicional consistente en que aporte copia impresa del contenido completo del cuerpo del mensaje de correo electrónico en el que el denunciado reconoce la pérdida del vídeo que contenía su operación, acompañando las cabeceras de dicho correo electrónico. En escrito de 26 de octubre de 2017, la denunciante ha aportado la documentación solicitada. SEGUNDO: Con fecha 22 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. B.B.B., por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 TERCERO: Notificado el acuerdo de inicio, D. B.B.B. formuló alegaciones, significando, que: “Prescripción de los hechos denunciados. (…) De la inexistencia de datos de carácter personal en las grabaciones de intervenciones quirúrgicas: Falsedad en los hechos denunciados. A efectos de depurar la responsabilidad en este procedimiento sancionador entendemos esencial explicar con detalle el procedimiento de grabaciones de intervenciones quirúrgicas y de cómo éstas no recogen ningún dato de carácter personal. Antes de realizar la intervención quirúrgica se recaba un consentimiento informado del paciente en el que se le informa que se tomarán fotos o se realizarán grabaciones parciales de la intervención. En el caso que nos ocupa, también se recabó dicho consentimiento. (…) Continuando con la explicación del proceso de tratamiento de las grabaciones de las intervenciones, una vez que el sistema de grabación ha recogido, bien la captura fotográfica, bien la toma parcial de una reproducción en vídeo, el contenido obtenido es traspasado del sistema de grabación a un pen drive y de ese pen drive se traspasa nuevamente a un ordenador portátil propiedad del denunciado y que está protegido con un usuario y contraseña. (…) El sistema no asocia la imagen a ningún dato personal de la paciente. (…) Se pretende captar la técnica con fines científicos y docentes. (…) A mayor abundamiento debe señalarse que no existe obligación de realizar estas grabaciones de modo que tales no se entregan al paciente ni se unen a su historia clínica, por lo tanto no puede haber, tampoco, obligación de custodiar copia de seguridad.(…) Sin embargo lo que omite la paciente es que realizó insistentemente la petición de una copia de la grabación y que el que suscribe ya la informó, también en numerosas ocasiones, que dicho vídeo es de carácter interno y que no tiene obligación de entregar una copia a la paciente.(…) Como ya se ha dicho, las grabaciones (parciales) de momentos críticos de la intervención, no constituye dato de carácter personal.(…) Y lo que es más relevante: que el que suscribe, ante la notificación de la denuncia y la incoación del expediente sancionador, puede afirmar que dispone de copia de seguridad de la grabación de distintos momentos acaecidos en la intervención de 14 de octubre de 2014 Y PONE A DISPOSICIÓN DE LA AGENCIA DICHA COPIA DE SEGURIDAD POR SI FUERA DE SU INTERÉS COMPROBAR LA MISMA. (…) En suma, solo el cirujano que suscribe puede ser capaz de identificar que el vídeo cuya copia se custodia se corresponde con la paciente pues la pseudonimización para el caso que nos ocupa es indiscutible. La tarea para identificar la grabación con la paciente es titánica y solo puede conseguirse si es el especialista que realizó la intervención el que compara la información.(…) Del contenido de lo alegado y probado por esta parte resulta que los hechos puestos de manifiesto por la denunciante no se ajustan a la realidad de lo ocurrido o directamente son falsos, lo que debe poner en tela de juicio la veracidad de sus manifestaciones. La única prueba de cargo existente contra esta parte es una interpretación torticera de una comunicación electrónica, con omisión de elementos relevantes acaecidos con posterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 Por el contrario, el que suscribe ha demostrado que:
  2. i)no se trata de tratamiento de datos personales, porque la grabación no permite la identificación de la persona física;
  3. ii)custodia debidamente las grabaciones realizadas; iii) Dispone de copias de seguridad debidamente protegidas con contraseña. Reiteramos que ponemos a disposición de la Instrucción la copia de seguridad de la grabación realizada a la paciente para que la Agencia pueda verificar que tal copia existe y que ésta no contiene dato protegido alguno.” Concluye su escrito solicitando que se archiven las actuaciones por prescripción o por inexistencia de tratamiento de datos personales o por no existir prueba de la comisión de los hechos denunciados. CUARTO: Con fecha 6 de marzo de 2018 se inició el período de práctica de pruebas, acordándose practicar las siguientes: Incorporar al expediente las alegaciones al acuerdo de inicio del procedimiento PS/00606/2017 presentadas por D. B.B.B.. Requerir a D. B.B.B., la aportación de copia del consentimiento informado recabado de Dª C.C.C. para la realización de la intervención quirúrgica de 14 de octubre de 2014 en el HOSPITAL R.R.R., en el que se le informa de que se tomarán fotos o se realizarán grabaciones parciales de la intervención. Requerir a D. B.B.B., la aportación de la copia de seguridad completa de la grabación realizada de la intervención quirúrgica de 14 de octubre de 2014 a Dª C.C.C.. QUINTO: Con fecha 20 de marzo tiene entrada en el Registro de esta Agencia, un escrito del denunciado en respuesta a lo solicitado en pruebas. Aporta en el escrito copia de la solicitud realizada al HOSPITAL R.R.R. del consentimiento informado de la denunciante. El documento del consentimiento informado que se aporta, carece de datos identificativos del paciente, si tiene los datos identificativos del doctor y figuran las firmas de doctor y de paciente. En el texto de este documento, entre otras cosas, se expone: “Asimismo, he entendido y acepto que durante el procedimiento/tratamiento se podrán realizar fotografías o grabar imágenes que luego se conservarán y se podrán transmitir con fines científicos y/o de docencia y utilizar en sesiones clínicas, juntas facultativas, conferencias, congresos, publicaciones médicas y actos científicos, sin que en las mismas figure identidad alguna del paciente…” Aporta la copia de la grabación de la intervención quirúrgica de 14 de octubre de 2014 a la denunciante, por medio de un dispositivo pen drive. Se expone que el contenido del pen drive está protegido con contraseña y cuál es el procedimiento para obtenerla. Indica que la autenticidad de la grabación se comprueba en los metadatos del fichero donde figura la fecha de la grabación inalterada. Indica además que solo el cirujano que suscribe puede ser capaz de identificar que el video se corresponde con la paciente porque exige un análisis de la parte del cuerpo intervenida, la técnica aplicada, los remedios y la forma de acceder a la cadera. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 Concluye su escrito solicitando que se tenga por evacuado el trámite y se acuerde el archivo del expediente por no existir infracción que sancionar. Con fecha 22 de marzo de 2018 se consigue la contraseña del dispositivo pen drive, comprobando que es válida y que permite el acceso a su contenido. SEXTO: Con fecha 12 de abril de 2018 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € a D. B.B.B., por la comisión de una infracción del artículo 9.1 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3.
  4. h)de dicha Ley. SÉPTIMO: Notificada la propuesta de resolución, D. B.B.B. realizó alegaciones frente a la misma en las que comunica: “…Indebida desestimación de la excepción de prescripción. Vulneración del principio de legalidad y seguridad jurídica que establece la norma… Indefensión por infracción del artículo 24 CE derecho a un proceso con todas las garantías: nulidad de la resolución por vulneración del principio sancionador en cuanto la modificación de los hechos objeto de sanción durante la sustanciación del mismo... Infracción de ley: aplicación indebida los artículos 15, 18 y 19 de la ley 41/2002 de 14 de noviembre de autonomía del paciente… En primer lugar, porque la denunciante ha tenido pleno acceso a su historia clínica que obra en poder de HOSPITAL R.R.R.. Acompañamos como DOCUMENTO N° 1 copia de certificación expedida por dicho Hospital acreditativa de que la denunciante solicitó y accedió a su historia clínica. Y en segundo lugar esta parte no ha comunicado su extravío. Literalmente lo que esta parte afirmó fue que no se ha encontrado en aquél momento (7/01/2016) la grabación de la paciente porque los niños habían manipulado determinados pen drive y ES POSIBLE que en ellos se fuera la grabación. Pero hemos disipado esta posibilidad sencillamente porque hemos aportado el pen drive con la grabación… Las grabaciones y las capturas fotográficas e incluso las anotaciones del cirujano no forman parte de la historia clínica porque son anotaciones de carácter interno del cirujano, únicamente existentes a los efectos de la docencia, motivo por el que carece de datos personales. Y las grabaciones y capturas son del paciente no del centro, por eso no se guardan en la historia. En la historia clínica de la paciente no se incorporan jamás captaciones de imágenes, Rayos X, TRX, ni ningún tipo de prueba similar porque se los lleva la propia paciente. Difícilmente puede formar parte de la historia clínica un documento que es personal del paciente y que este trae y lleva en todo momento al profesional que vaya a realizar la intervención. Acompañamos como DOCUMENTO N° 2 certificado expedido por el HOSPITAL R.R.R. acompañando historial clínico de la paciente y dónde se constata que no se incorporan Rayos, vídeos, fotos ni capturas… Sin embargo, queda aclarado que el médico no tiene obligación de incorporarla a la historia pues es única y exclusivamente a su propio criterio la decisión de hacerlo (Artículo 15.2 Ley 41/2002: “BAJO CRITERIO MÉDICO permitan el conocimiento veraz del estado de salud). Incongruencia omisiva en la propuesta de resolución: la instructora reprocha a esta parte el incumplimiento de las medidas de seguridad y al mismo tiempo reconoce que su actuación es razonable… C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 Incongruencia omisiva: la propuesta de resolución no se pronuncia sobre la disconformidad con la cuantía de la sanción previamente denunciada por esta parte. Inexistencia de criterios justificativos de la cuantía elegida para sancionar… En suma, insistimos en que no hay elementos para la imposición de sanción y que, de continuar con dicha decisión, la sanción no debería ser más que un mero apercibimiento sin consecuencias económicas. Infracción del principio de presunción de inocencia en el procedimiento administrativo sancionador… El que suscribe ha demostrado que:
  5. i)no se trata de tratamiento de datos personales, porque la grabación no permite la identificación de la persona física;
  6. ii)custodia debidamente las grabaciones realizadas; iii) Dispone de copias de seguridad debidamente protegidas con contraseña.” Concluyen las alegaciones a la propuesta de resolución solicitando que se acuerde el archivo del procedimiento por inexistencia de infracción alguna. HECHOS PROBADOS PRIMERO: La denunciante ha comunicado a esta Agencia que el 14 de octubre de 2014 se sometió a una intervención quirúrgica que realizó el doctor D. B.B.B. y que esta operación fue grabada íntegramente. Informa también que solicitó las imágenes al doctor para contrastar opiniones de facultativos sobre la intervención. Aporta copia del contenido completo del mensaje de correo electrónico y las cabeceras del mismo. SEGUNDO: Consta que el 7 de enero de 2016 la denunciante recibió un correo electrónico de la Secretaría del Instituto de Traumatología F.F.F., desde la dirección ***EMAIL.1, en el que el doctor B.B.B. le comunica que: “Como te he comentado lamento no haber podido encontrar las imágenes de tu cirugía, pero los niños me perdieron varios pendrive y es posible que en ellos se fuera tu intervención”. El doctor describe en el correo de forma pormenorizada la operación y termina diciendo que “con este informe está explicada toda la intervención, si necesitan cualquier aclaración ellos tienen mi contacto. En cualquier caso, si no te importa me gustaría saber qué te proponen para solucionar tu dolor, así que en caso que quieras no dudes en contactar conmigo”. TERCERO: El denunciado ha aportado, en la fase de pruebas de este procedimiento, la copia de la grabación de la intervención quirúrgica realizada el 14 de octubre de 2014 a su paciente, denunciante de este expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II Con carácter previo al examen de la cuestión de fondo, procede analizar la excepción alegada por el denunciado sobre la prescripción de la infracción por incumplimiento de lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  8. h)de la citada Ley Orgánica, que resulta de la vulneración de las medidas de seguridad en el tratamiento de los datos personales de su paciente. Considera el denunciado que la infracción ha prescrito, por el transcurso del plazo previsto para la prescripción de las infracciones leves en el artículo 47 de la LOPD, contado bien desde la fecha en que se tomaron las imágenes durante la intervención quirúrgica, el 14 de octubre de 2014, o bien desde que se tiene conocimiento de la pérdida de la grabación denunciada, el 7 de enero de 2016 y hasta la apertura del presente procedimiento, en fecha 22 de diciembre de 2017. La LOPD, en el artículo 47.1, 2 y 3, establece: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Por otra parte, como señala el artículo 30.2 de la Ley 40/2015, de 1 octubre, de Régimen Jurídico del Sector Público, “El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora, reiniciándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable”. El presente supuesto tiene por objeto el examen de unos hechos supuestamente constitutivos de infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  9. h)de la citada Ley Orgánica. Por tanto, de acuerdo con las normas indicadas, dicha infracción prescribe en el plazo de dos años contados desde el día en que la infracción se hubiera cometido. La posible infracción consiste en que no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 posibilita el acceso a la historia clínica de la denunciante porque se le comunica la pérdida de la documentación de la que se tiene conocimiento el día en que se comunica la misma, el 7 de enero de 2016. Sin embargo, en el presente caso, hay que tener en cuenta que esta infracción es una de las denominadas permanentes, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse hasta tanto dicha conducta se interrumpe. En este caso, la lesión al bien jurídico protegido (vulneración de las medidas de seguridad) se prolonga en el tiempo, durante todo el periodo en el que no se posibilita a la denunciante el acceso a su historia clínica. Tales infracciones se cometen mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor. Alega el denunciado en su escrito de respuesta a la propuesta de resolución, que en cualquier caso, “la conducta presuntamente reprochable está prescrita y por ello procede el inmediato archivo”. A este respecto podemos recordar la Sentencia del Tribunal Supremo de 4 de noviembre de 2013 en la que se expone: “En la aplicación del plazo de prescripción hemos de decidir la fecha de inicio del cómputo del plazo aplicable de 2 años, que de conformidad con el artículo 47.2 LOPD comenzará a contarse desde el día en que la infracción se hubiera cometido. Tal regla, similar a la establecida con carácter general en el artículo 132 LRJPAC, es de aplicación en los casos de infracciones instantáneas ya finalizadas, pero obliga a efectuar algunas matizaciones, a fin de determinar cuándo se han de considerar cometidas las infracciones continuadas y las infracciones permanentes. A la infracción continuada se refiere el artículo 4.6, párrafo 2º, del Reglamento de procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto (RPEPS), que establece que "... será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión". A diferencia de la infracción continuada que exige pluralidad de acciones que infrinjan el mismo precepto, y por ello constituye un concurso real de ilícitos, la infracción permanente no requiere un concurso de ilícitos, sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su conducta. En el ámbito del derecho penal la diferenciación entre las distintas clases de infracciones tiene trascendencia a los efectos de determinar la fecha inicial del cómputo del plazo de prescripción, como resulta 6 del artículo 132.1 del Código Penal, que al lado de la regla general de que los plazos de prescripción se computarán desde el día en que se haya cometido la infracción, establece reglas específicas para los casos de delito continuado y delito permanente, en que los plazos se computarán, respectivamente, desde el día en que se realizó la última infracción o desde que cesó la conducta. Estas reglas y criterios procedentes del Derecho Penal han tenido acogida en la jurisprudencia de esta Sala a la hora del cómputo de los plazos de prescripción de las infracciones. En materia de protección de datos como la que nos ocupa, esta Sala ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 distinguido, en sentencias de 7 de marzo de 2006 (recurso 1728/2002 ) y 20 de noviembre de 2007 (recurso 170/2003 ), entre infracciones continuadas, en los términos que las define el artículo 4.6 del RPEPS antes citado, y las infracciones permanentes, entendiendo como tales "aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un sólo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor" , y la sentencia de 23 de mayo de 2011 (recurso 912/2011 ), también contempla un supuesto que califica como infracción permanente, derivada en ese caso de mantener los datos inexactos en el fichero de morosos tras la cancelación de la deuda, con la consecuencia de considerar que el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción.” Según este criterio sentado por el Tribunal Supremo, la infracción permanente requiere una única acción de carácter duradero con contenido antijurídico que se prolonga en el tiempo en tanto el sujeto activo no decida cesar en la ejecución de su conducta. Este criterio resulta determinante respecto del cómputo de los plazos de prescripción de las infracciones porque en una infracción permanente el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción. En el presente caso, el plazo de prescripción no empieza a computarse mientras se mantiene la imposibilidad del acceso a la historia clínica de la denunciante. De manera que la infracción atribuida no habría prescrito cuando se publicó en el BOE el anuncio de notificación de la iniciación del presente procedimiento sancionador. Por lo expuesto, hay que concluir que en la fecha de la notificación del Acuerdo de inicio del presente procedimiento sancionador no habían transcurrido los dos años de prescripción señalados en el artículo transcrito para las infracciones graves. Por otra parte cabe recordar que el artículo 17.2 de la LAP, obliga a conservar la documentación clínica durante un tiempo de 5 años como mínimo, desde la fecha de alta de cada proceso asistencial. En el presente caso la grabación para la que se solicitó el consentimiento a la paciente, se encuentra dentro del citado plazo de 5 años mínimo y por ello la obligación de conservarla persiste. En consecuencia, las referidas alegaciones deben ser desestimadas. III Los hechos enjuiciados fueron calificados en el Acuerdo de Inicio de este expediente sancionador como constitutivos de infracción del artículo 9.1 de la LOPD, tipificada en el artículo 44.3.
  10. h)de la citada Ley Orgánica y así consta en la parte dispositiva del mismo. En los Fundamentos de Derecho se expone que la imputación del artículo 9.1 de la LOPD se hace en relación con el artículo 102 del RLOPD sobre las copias de respaldo y recuperación. En la propuesta de resolución esa mención se amplía al artículo 106 del RLOPD que, sobre los criterios de archivo, dice que deberán, entre otras cosas, posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. De esta forma no se considera que se haya realizado una modificación de la calificación jurídica efectuada, dado que la vulneración continúa siendo la del artículo 9.1 de la LOPD y el tipo el del artículo 44.3.
  11. h)de la misma ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 En todo caso, respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la denuncia que se realizó en el Acuerdo de Inicio y a la incidencia que tal cambio puede tener en el derecho de defensa del denunciado, conviene señalar que nada impide efectuar esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la acusación formulada. Entre los derechos que el artículo 53 de la LPACAP reconoce a favor del presunto responsable en procedimientos administrativos de naturaleza sancionadora está el de que le sean notificados “los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudiera imponer…”. Además, el artículo 89 de la LPACAP, sobre la propuesta de resolución en los procedimientos de carácter sancionador, en su punto 3, expone que es en la propuesta de resolución cuando se fija la exacta calificación jurídica: “En la propuesta de resolución se fijarán de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se proponga, la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, así como las medidas provisionales que, en su caso, se hubieran adoptado...” El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). IV La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 18 .1 y .2, en relación a los “derechos de acceso a la historia clínica”, lo siguiente: “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.” El artículo 17 de la misma ley, dedicado por completo a la conservación de la documentación clínica, establece en su punto primero que “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial” y en su apartado 5 establece que: “Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen”, y en el apartado 6 determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. El artículo 19 de la citada Ley 41/2002 indica: “Derechos relacionados con la custodia de la historia clínica. El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. El artículo 15 de esta Ley en sus apartados 1 y 2, sobre el contenido de la historia clínica de cada paciente, establece: “1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”. A continuación enumera cual ha de ser el contenido mínimo de la historia clínica. Por otro lado, el artículo 16 sobre usos de la historia clínica, expone en su apartado 1: “La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. En las alegaciones al acuerdo de inicio, el denunciado expone que las grabaciones de intervenciones quirúrgicas se realizan con fines científicos y docentes, que no hay obligación de realizarlas y por tanto no se entregan al paciente ni se unen a su historia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 clínica por lo que no puede haber obligación de custodiar una copia de seguridad. Que el vídeo es de carácter interno y no tiene obligación de entregar una copia a la paciente. Manifiesta también que estas grabaciones no recogen ningún dato de carácter personal, que se recaba un consentimiento informado en el que se le informa de que se tomarán fotos y se harán grabaciones y que solo él, como cirujano que realizó la intervención quirúrgica, es capaz de identificar que el vídeo se corresponde con la paciente, al estar pseudonimizado. Según queda expuesto, cabe decir que “Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales” los centros sanitarios están obligados a una custodia activa y diligente de las historias clínicas de sus pacientes, que los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen, y que en la documentación clínica hay que aplicar las medidas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, todo ello, según establece la Ley 41/2002, de 14 de noviembre, por la que se aprueba la Ley básica, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. V El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  12. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  13. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
  14. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que:
  15. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  16. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  17. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
  18. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
  19. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
  20. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. Entre estas medidas de nivel alto se encuentra la prevista en el artículo 102 del Reglamento de desarrollo de la LOPD que, sobre las copias de respaldo y recuperación, señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 “Deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas en este título, o utilizando elementos que garanticen la integridad y recuperación de la información, de forma que sea posible su recuperación”. Por otra parte cabe estar también a lo previsto en el artículo 106 del mismo Reglamento, que sobre los criterios de archivo dispone: “El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo”. De los hechos probados en este procedimiento, se deduce que el denunciado, en su calidad de responsable del tratamiento de los datos de salud contenidos en la historia clínica de su paciente, debe adoptar las medidas necesarias para impedir cualquier alteración o pérdida de la información de carácter personal que contiene dicha documentación. Además debe también archivar los documentos y soportes de manera que se garantice su conservación, la localización y consulta de la información y se posibilite el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que no se ha posibilitado el ejercicio del derecho de acceso de una paciente a la documentación de su historia clínica porque el cirujano que realizó su intervención quirúrgica le ha comunicado su extravío. Alega el denunciado que las grabaciones de intervenciones quirúrgicas se realizan con fines docentes, científicos, que no recogen ningún dato personal, que no hay obligación de realizarlas y por eso, al ser de carácter interno no tiene obligación de entregar una copia a la paciente ni se unen a su historia clínica. A su vez también manifiesta que en el consentimiento informado que recaba de la paciente se le informa de que se tomarán fotos y se harán grabaciones y que solo él, como cirujano que realizó la intervención, es capaz de revertir el proceso de pseudonimización y de esa manera identificar que el vídeo se corresponde con la paciente. Con fecha 6 de marzo de 2018 se requirió al denunciado la aportación de copia del consentimiento informado recabado de su paciente para la realización de la intervención quirúrgica de 14 de octubre de 2014 en el HOSPITAL R.R.R., en el que se le informa de que se tomarán fotos o se realizarán grabaciones parciales de la intervención, y también se le requirió la aportación de la copia de seguridad completa de la grabación realizada de la intervención quirúrgica de 14 de octubre de 2014 a Dª C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 Con fecha 20 de marzo tiene entrada en el Registro de esta Agencia, un escrito del denunciado en respuesta a lo solicitado en pruebas. Aporta en el escrito copia del documento del consentimiento informado, que carece de datos identificativos del paciente, si tiene los datos identificativos del doctor y figuran las firmas de doctor y de paciente. En el texto de este documento, entre otras cosas, se expone: “Asimismo, he entendido y acepto que durante el procedimiento/tratamiento se podrán realizar fotografías o grabar imágenes que luego se conservarán y se podrán transmitir con fines científicos y/o de docencia y utilizar en sesiones clínicas, juntas facultativas, conferencias, congresos, publicaciones médicas y actos científicos, sin que en las mismas figure identidad alguna del paciente…” Aporta también la copia de la grabación de la intervención quirúrgica de 14 de octubre de 2014 a la denunciante, por medio de un dispositivo pen drive. Con fecha 22 de marzo de 2018 se consigue la contraseña del dispositivo pen drive, comprobando que es válida y que permite el acceso a su contenido. Las grabaciones realizadas de una intervención quirúrgica, de las que se informa a los pacientes solicitando su consentimiento para ello, y que se registran por caso y fecha, de forma que el cirujano puede revertir el proceso e identificar al paciente al que pertenecen, no cabe duda de que forman parte de la historia clínica del mismo. Las previsiones de la ley de autonomía del paciente no dejan lugar a dudas a este respecto cuando afirman que: todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales. También cuando afirma que: los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen. En este caso, la paciente/denunciante tiene derecho a que quede constancia de la información obtenida en su proceso asistencial como parte de su historia clínica. El hecho de que la grabación de su intervención se recoja con la finalidad de utilizarla para fines docentes y científicos, no significa que, por esa razón, no deban conservarse como parte de la historia clínica de la paciente, tal y como alega el denunciado. No puede aceptarse por tanto lo alegado por el denunciante sobre que las grabaciones no se entregan al paciente ni se unen a su historia clínica, por el mero hecho de que no existe obligación de realizarlas. En las alegaciones a la propuesta de resolución se expone que, la afirmación de que la grabación forma parte de la historia clínica, no se basa en prueba alguna. No puede aceptarse esta alegación toda vez que se ha expuesto lo que la Ley de autonomía del paciente ha previsto respecto de la historia clínica, su definición, su contenido; relacionándolo con el presente caso, por una parte, y por otra parte, se ha expuesto el hecho de que se ha solicitado el consentimiento de la denunciante para su captación, y todo ello como argumentos que confirman que la grabación realizada de una intervención quirúrgica, forma parte de la historia clínica de la paciente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 El artículo 5.1.
  21. g)del Reglamento de la LOPD dispone que se entenderá por “datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.” Por otra parte la definición de dato de carácter personal de la LOPD dice que es “cualquier información concerniente a personas físicas identificadas o identificables”: Este concepto de dato personal no puede ser más amplio. La Audiencia Nacional ha señalado que “para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en sus apartados
  22. a)y
  23. f)y también del Considerando 26 de la invocada Directiva 95/46/CE que expresamente señala que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. Aduce el denunciado también que dispone de una copia de seguridad de la grabación realizada en su día, en el centro sanitario en el que se realizó la intervención y que conseguirla no ha sido tarea fácil, que solo él es capaz de identificar que el vídeo se corresponde con aquella intervención y califica esta tarea de “titánica”. Por otra parte también alegó el denunciado en el acuerdo de inicio que en el proceso de tratamiento de las grabaciones de sus intervenciones, el contenido se traspasa del sistema de grabación a un pen drive y de este a un ordenador portátil propiedad del denunciado protegido con usuario y contraseña. Es decir, el denunciado manifiesta que dispone de una copia de la grabación objeto de esta denuncia tanto en el centro sanitario donde se realizó la intervención como en su propio ordenador portátil, cuestión esta que resulta razonable dado que utiliza la grabación para sus fines docentes. En definitiva, el cirujano que realizó la intervención ha conseguido relacionar la grabación de una intervención quirúrgica con la realizada a una paciente suya, de manera que, utilizando los medios necesarios, ha llegado a identificar los datos contenidos en una grabación con los captados en su día durante la intervención quirúrgica a la que se sometió su paciente. De esta forma puede decirse que la información contenida en la grabación de la intervención denunciada, contiene datos de carácter personal de la denunciante, a quien se solicitó consentimiento para su captación, que el cirujano los ha asociado a su paciente de manera que no son anónimos sino que son datos de carácter personal de la denunciante y que forman parte de su historia clínica como ya se ha visto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 En las alegaciones a la propuesta de resolución se añade que el médico no tiene obligación de incorporar la grabación realizada a la historia porque es a su propio criterio la decisión de hacerlo. La redacción del artículo 15.2 de la LAP que expresa “La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”, no puede entenderse como un criterio subjetivo del profesional sanitario como parece alegar el denunciado, expone más bien, un genérico criterio médico dirigido a la finalidad del conocimiento de la evolución de la patología del paciente, razón por la que ha de formar parte de la historia clínica del paciente. Por otra parte, no le parece congruente al denunciado que se afirme en la propuesta que, al utilizar el doctor la grabación objeto de denuncia para sus fines docentes, lo normal es que disponga de copias de la misma. Tampoco se entiende que, el hecho de que el facultativo que intervino a su paciente sea capaz de relacionar la grabación de la intervención con la paciente a la que pertenece, es un proceso que no se considera que exija esfuerzos desproporcionados. Sobre esta cuestión puede contestarse que el fichero de la grabación contiene datos de fecha y hora en que se realizó y el facultativo dispondrá de una agenda de las intervenciones realizadas, de esta manera, asociar la grabación de una concreta intervención quirúrgica, con un paciente concreto no se considera que exija esfuerzos desproporcionados y además, es el responsable del tratamiento de los datos de salud contenidos en la historia clínica de su paciente y por ello es la persona que debe custodiar los mismos utilizando las medidas de seguridad adecuadas. Las medidas que garanticen la seguridad de los datos de carácter personal no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que una paciente no ha tenido acceso a la documentación de su historia clínica porque el cirujano que realizó su intervención quirúrgica no le ha facilitado ese acceso, comunicándole su extravío. Las medidas de seguridad deben posibilitar el ejercicio del derecho de acceso por medio de un correcto archivo de los soportes que garanticen la conservación, la localización y la consulta de la información. Se alega a la propuesta de resolución que la grabación de la paciente ha sido custodiada con las debidas condiciones de seguridad. En el presente procedimiento ha quedado acreditado que las medidas de seguridad adoptadas no posibilitaron el ejercicio del derecho de acceso de la denunciante a la grabación de su intervención quirúrgica porque el denunciado le comunicó su extravío. Un problema con el archivo de la información impidió el acceso de la denunciante a documentación de su historia clínica. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 especialmente las normas aplicables”. En definitiva, el denunciado, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para posibilitar el ejercicio del derecho de acceso de su paciente a los datos de su historia clínica, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a quienes operan con datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. VI El artículo 44.3.
  24. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el denunciado carecía de las medidas de seguridad que la Ley exige al responsable del fichero, al no posibilitar el ejercicio del derecho de acceso de su paciente a los datos de su historia clínica. De acuerdo con los fundamentos anteriores, se deduce que por parte del denunciado se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que su paciente no pudiera ejercer el derecho de acceso a los datos personales de su historia clínica, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VII El artículo 45 de la LOPD, apartados 1 a 5, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad.
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Tras las evidencias de las que se dispone en el presente momento del procedimiento sancionador, se considera que D. B.B.B. ha tratado los datos personales de la denunciante sin adoptar las medidas necesarias que garantizaran la seguridad de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 mismos y evitaran su alteración, pérdida, tratamiento o acceso no autorizado, tal como exige el art. 9.1 de la LOPD. De conformidad con estas evidencias se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  40. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto puede apreciarse la concurrencia de los siguientes criterios:
  41. a)El carácter continuado de la infracción, que en esta ocasión no concurre porque se trató de un hecho puntual.
  42. b)El volumen de los tratamientos efectuados. Se considera que no se trata de un elevado volumen de tratamientos de datos.
  43. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción
  44. f)El grado de intencionalidad. Se tiene en cuenta en esta ocasión que no hay constancia de actuación intencionada, si bien no cabe duda de que incurrió en una grave falta de diligencia.
  45. g)La reincidencia por comisión de infracciones de la misma naturaleza. El denunciado no figura como responsable de infracciones de la misma naturaleza que la cometida en el presente procedimiento. En las alegaciones a la propuesta de resolución se expone una disconformidad con la cuantía de la sanción por la falta de criterios justificativos de la cuantía. Los criterios utilizados para graduar la cuantía de la sanción ya figuran en el acuerdo de inicio de este procedimiento, tanto el utilizado para la aplicación del artículo 45.5 de la LOPD que permite rebajar el importe del mínimo de la escala de la infracción, 40.001 euros, como los criterios del artículo 45.4 LOPD para fijar la cuantía por la infracción imputada. Por todo ello se considera que la cuantía de la sanción resulta proporcionada a la infracción cometida. Sin embargo en el transcurso de la instrucción se ha aportado al procedimiento, la copia de la grabación realizada durante la intervención quirúrgica de la denunciante, este hecho se considera de relevancia para determinar la cuantía de la sanción. Teniendo en cuenta la concurrencia de los citados criterios, se considera que procede graduar la sanción a imponer a D. B.B.B. y fijarla en la cuantía de 5.000 € por la infracción del artículo 9.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. B.B.B., por una infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  46. h)de la LOPD, una multa de 5.000 €, de conformidad con lo establecido en el artículo 45 .2, .4 y .5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  47. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.