← España

REPOSICION-A-00037-2018

1/6 Procedimiento nº.: A/00037/2018 ASUNTO: Recurso de Reposición Nº RR/00443/2018 Examinado el recurso de reposición interpuesto por D A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00037/2018, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 27 de abril de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento A/00037/2018, en virtud de la cual se acordaba Apercibir a D. A.A.A., por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.2 y .6 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 18 de mayo de 2018, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento A/00037/2018, quedó constancia de los siguientes: <<PRIMERO: El denunciado prestó sus servicios como especialista en Endocrinología en la clínica de terapia masculina Doctor T sin que mediara contrato escrito, la relación se estableció mediante un contrato verbal mercantil, entre noviembre de 2015 y junio de 2017, según manifiesta el representante de la clínica. Se aportan copias de las facturas emitidas por el denunciado a la clínica por “los servicios profesionales médicos prestados". SEGUNDO: Se ha aportado el presupuesto de tratamiento de un paciente de la clínica, de fecha 17 de Mayo de 2017, en el que figura como facultativo el denunciado, firmado por el paciente en el que se informa de que los datos facilitados serán incluidos en el fichero de pacientes de la clínica, con la finalidad de seguimiento y gestión de su tratamiento. El representante de la clínica aporta la copia del Consentimiento Informado que firman los pacientes, donde figura que sus datos serán tratados en un fichero cuyo titular es la CLINICA DOCTOR T. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 TERCERO: Consta la aportación de un SMS con el texto “Buenos días, teniendo en cuenta que ha sido paciente del dr B.B.B., deseamos informarle de su cambio de domicilio, desde la calle XXX a sus nuevas instalaciones en la calle YYY. Si desea seguir tratamiento ya iniciado con él, rogamos que se ponga en contacto con nosotros a través del mismo número de teléfono (…). Estaremos encantados verle de nuevo. Un cordial saludo ...” Figura también un correo electrónico de 16 de julio de 2017, dirigido a un paciente desde la dirección ***EMAIL.1. informando del cambio de domicilio y teléfono del denunciado. CUARTO: Copia de un SMS remitido con fecha 17 de julio, por el denunciante al denunciado en el que le informan de que han comprobado que ha dispuesto de la base de datos de clientes de la clínica para fines personales y que van a interponer denuncias y le instan a que se abstenga de contactar con más clientes para fines personales. Se ha presentado copia de la denuncia policial de 17 de julio de 2017, interpuesta por el denunciante por los mismos hechos denunciados a la Agencia. QUINTO: Que D. A.A.A. no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento de los datos personales, de los pacientes de CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L.>> TERCERO: D. A.A.A. (en los sucesivo el recurrente) ha presentado en fecha 31 de mayo de 2018, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los mismos argumentos ya presentados en el procedimiento de apercibimiento solicitando la anulación de la resolución recurrida y el archivo provisional del expediente administrativo por la pendencia penal existente. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por D. A.A.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 << II Se imputa a D. A.A.A. el tratamiento de los datos de los pacientes de la entidad CLINICAS DE TERAPIA MASCULINA DOCTOR T, S.L. sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de los pacientes de la entidad denunciante realizado por D. A.A.A. resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que el denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado

  1. h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
  2. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
  3. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que los pacientes de la clínica denunciante firmaban un consentimiento informado en el que se indicaba que los datos serían incluidos en el fichero de pacientes de la clínica y se ha aportado un presupuesto de tratamiento de un paciente, en el que figura el denunciado como facultativo, en el que se le informa en el mismo sentido, con la finalidad de seguimiento y gestión de su tratamiento. Se ha aportado un SMS y un correo electrónico dirigidos a pacientes en los que se les informa del cambio de domicilio y teléfono del denunciado y les ofrecen continuar con el tratamiento. El denunciado ha manifestado que durante los dos años en que ha prestado sus servicios a la clínica, sin firmar ningún contrato, utilizaba su propio ordenador y que por eso dispone de los datos de los pacientes que ha tratado en la consulta. Esta misma afirmación la realiza en el documento presentado ante el colegio de Médicos de Madrid, aportado a este procedimiento por el denunciante. A este respecto cabe contestar que los pacientes eran informados de que sus datos se iban a incluir en el fichero de pacientes de la clínica, tanto en el presupuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 como en el consentimiento informado, según ha acreditado el representante de la clínica, de manera que en esta ocasión los datos personales de los pacientes tratados por el doctor denunciado en la clínica doctor T, forman parte del fichero de pacientes de esta clínica según se les informa en los documentos que firman. El hecho de que el ordenador que se utiliza sea propio, no significa que los datos estén bajo su custodia, según afirma el denunciado en el documento presentado ante el Colegio de Médicos de Madrid. Para que el doctor fuera el responsable de los datos personales de los pacientes tratados en la clínica, debía existir, bien un contrato por escrito en el que un apartado de protección de datos determinase que él era el responsable del tratamiento de los datos personales de los pacientes, o bien se les informase de ello en los documentos en los que aportasen datos personales. Por otra parte, y con relación a la solicitada paralización del procedimiento por parte del denunciado por la interposición de una querella criminal por varios delitos, cabe responder que, valorados los motivos de dicha interposición no se observa que exista identidad de hecho ni de fundamento, por lo que no procede acceder a la paralización solicitada. La querella se fundamenta en cuestiones del ejercicio profesional que nada tienen que ver con el tratamiento de datos de carácter personal dirimido en este procedimiento. Por tanto, se ha acreditado que se realizó un tratamiento de los datos personales de los pacientes de la entidad denunciante, a quienes se comunicó la nueva consulta del doctor denunciado, sin que este haya podido acreditar que contaba con su consentimiento para dicho tratamiento, infringiendo así el artículo 6.1 de la LOPD. IV El artículo 44.3.
  4. b)de la LOPD, dispone que es infracción grave: “
  5. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
  6. b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción grave “
  7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, por tanto, se está describiendo una conducta -el tratamiento de datos personales o su uso posterior– que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la LOPD. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales Ordinarios como del Tribunal Constitucional (STC 292/2002). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales de los pacientes del denunciante sin que se haya acreditado que se disponía de su consentimiento.>> III Por lo tanto, en el presente recurso de reposición, D. A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de abril de 2018, en el procedimiento A/00037/2018. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.