1/5 Expediente nº.: EXP202402279 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 24 de junio de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 24 de junio de 2024 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202402279, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada a la parte recurrente en fecha 26 de junio de 2024 según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 23 de julio de 2024 en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en lo siguiente: La parte reclamante solicitó a la parte reclamada copia del consentimiento informado que firmó para someterse a una cirugía, a través de la Oficina de Defensa de los Derechos de los Usuarios Sanitarios, recibiendo respuesta de la parte reclamada, con una serie de informes, en los que no se incluía dicho consentimiento. Dentro del referido expediente, la parte reclamante reitera su petición de acceso a la copia del informe (consentimiento informado) y copia del informe de los resultados de la analítica realizada antes de la cirugía, en fecha 26 de marzo de 2022, a través de dicha Oficina. La parte reclamada responde el 19 de abril de 2022 que no dispone de dicho documento, por causas ajenas a su persona. En fecha 19 de mayo de 2022 la parte reclamada comunica a la Oficina de Defensa de los Derechos de los Usuarios Sanitarios que, con fecha 6 de febrero de 2020, sufrieron una inundación, provocada por un escape de un vecino, que afectó de forma grave a un elevado número de historias clínicas, entre las que se encuentra la de la parte reclamante, y por ello no se puede recuperar dicho consentimiento, aportando documentación acreditativa de tal extremo, y haciendo entrega a la parte reclamante de un consentimiento estándar similar al que firmó, pero sin cumplimentar. La parte reclamante quiere poner de manifiesto que la parte reclamada tardó en comunicarle la existencia de la inundación, y que difícilmente podría haberlo comunicado a esta Agencia con anterioridad a la prescripción de dos años, si lo desconocía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Por ello, quiere solicitar que el plazo de prescripción comience a contar desde la fecha en que tuvo conocimiento de la inundación, es decir el 2 de junio de 2022, cuando la Oficina de Defensa de los Derechos de los Usuarios Sanitarios se lo comunicó, tras haber sido informada por la parte reclamada, y añade que no hay constancia de que se haya comunicado al resto de los afectados. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar que esta cuestión ya fue contestada en la resolución de archivo ahora recurrida, cuando se ponía de manifiesto que las medidas de seguridad exigen que las entidades que tratan datos personales puedan garantizar la integridad y disponibilidad de los mismos, lo que no se ha podido garantizar al haberse dañado de forma irrecuperable un documento que formaba parte de la historia clínica, en fecha 6 de febrero de 2020. El artículo 83.4.
- a)del RGPD establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” A su vez, el artículo 73.
- f)califica como infracción grave a efectos de prescripción: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679” La posible actuación infractora de la reclamada se encontraría prescrita por el transcurso de los dos años de prescripción de las infracciones graves, tal y como señala el artículo 73 de la LOPDGDD, a contar desde el momento en que se incumplieron las medidas de seguridad y se deterioró de forma irrecuperable parte de la documentación médica que formaba parte de la historia clínica del reclamante. Hay que señalar que la reclamación se interpuso transcurrido el plazo de prescripción de la posible infracción cometida por la reclamada. Con relación al hecho del tiempo transcurrido hasta que se ha comunicado la inundación, señalar que el artículo 34 del RGPD establece que: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. (…) 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes: a
- a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado; a
- b)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1; a
- c)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” Por otro lado, el artículo 74 de la LOPDGDD establece que son infracciones leves y prescribirán al año C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 “ñ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, salvo que resulte de aplicación lo previsto en el artículo 73
- s)de esta ley orgánica.” En consecuencia, dicha actuación también se encontraría prescrita, al haber transcurrido el plazo de un año desde que se produjo la inundación. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 24 de junio de 2024, en el expediente EXP202402279. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es