REPOSICION-E-01427-2018

1/6 Procedimiento nº.: E/01427/2018 ASUNTO: Recurso de Reposición Nº RR/00596/2018 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01427/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de julio de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01427/2018, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 2 de agosto de 2018, según aviso de recibo que figura en el expediente. SEGUNDO: Con fecha 29 de agosto de 2018 Don A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia recurso de reposición que fundamenta, básicamente, en los siguientes argumentos: Respecto de los hechos, niega que en los exámenes de salud de los años 2017 y 2018 eligiera como canal de contacto para recibir las claves de acceso que le posibilitaban el acceso a los resultados una dirección de correo electrónico de la que no es usuario, por lo que no podría acceder a los mismos. Afirma que, en las instrucciones dadas en las consultas médicas, expresó claramente al personal de Premap/Quirón que las mencionadas claves sólo se le comunicasen a través de su teléfono móvil y les solicitó verbalmente que eliminasen de su ficha el correo ***EMAIL.1 por no haber sido el canal de contacto elegido. También señala que en los hechos de la resolución se ha omitido parte del contenido del cuerpo del email que le remitió la usuaria del mencionado correo electrónico después de recibir la información de sus resultados médicos desde Quirón Prevención, S.L.U., y de la que, a juicio del recurrente, se muestra el asombro de dicha persona, que se encarga de coordinar los exámenes de salud con las mutuas, por haber recibido tal comunicación que vulnera la LOPD en su correo electrónico. El reenvío de dicha información demuestra que esa persona sabía que el correo electrónico que recibió se refería a su examen de salud. Asimismo, afirma que el tercero que recibió su clave de acceso podría haber accedido a sus resultados al disponer de su DNI al ser la solicitante de los exámenes de salud. Por tanto, tener un DNI distinto al del recurrente no le impedía acceder a dichos resultados. Sentado lo anterior, el recurrente alega que: “Quirón Prevención S.L.U. únicamente se escuda en que tuyo opté verbalmente por que las comunicaciones de los resultados de mi examen de salud fueran enviados a mi teléfono móvil personal y a una dirección de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/6 email ajena a mí. En ningún caso aporta como prueba documentación donde autorizo de forma fehaciente los canales que elijo para ser informado, como así estipula la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal en su Artículo

1. Consentimiento del afectado” Añade que el reconocimiento en la resolución de la existencia de un error por parte de Quirón Prevención al enviar un correo electrónico con las credencias para acceder a los resultados en una tercera persona, conlleva una asimilación de una vulneración del Reglamento Europeo de Protección de datos, cuyo Considerando 32 y artículos 7 y 9 cita, y de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo, LOPD), sin imponer sanción. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En el Fundamento de Derecho II de la resolución impugnada se argumentaban los motivos que sustentaban el acuerdo de archivo de las actuaciones de inspección practicadas en el expediente E/01427/2018 en relación con el posible incumplimiento por parte de Quirón Prevención, S.L.U. de lo previsto en el artículo 10 de la LOPD, y que a continuación se transcriben parcialmente: <<La documentación aportada por el denunciante es un correo electrónico remitido desde la dirección misaludapp@quironprevencion.com y dirigido a ***EMAIL.
2. Asunto: RECONOCIMIENTO MÉDICO. Y el texto del correo es el siguiente: “Estimado/a Sr/a: Tiene su Reconocimiento Médico disponible en https://quironprevencion.com/es/area/privada o https://quironprevencion.com/es/area/privada/portal-misalud. Portal en MiSalud App No olvide sus credenciales para acceder: Usuario DNI+letra Clave ***CLAVE.1…” Por tanto, no se facilita el acceso al resultado de los análisis del denunciante ya que si la receptora pone su DNI completo y no se corresponde con el del denunciado no va a poder acceder a los resultados. En el pie del correo se indica la dirección de atención al cliente y un teléfono ante cualquier duda que pueda surgir. Por tanto, solo se ha producido un error por parte de Quirón Prevención al enviar a un correo electrónico las credenciales para acceder a los resultados de una tercera persona. El denunciante, al tener conocimiento del error asociado a su correo C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/6 electrónico deberá dirigirse a Quirón Prevención solicitando la rectificación del mismo. >> III En relación con los argumentos efectuados por el recurrente conviene realizar las siguientes consideraciones: En primer lugar, con arreglo a la información recabada no consta acreditado que ningún tercero haya accedido al contenido de los resultados de las pruebas médicas efectuadas al recurrente como consecuencia del envío, por parte de Quirón Prevención, S.L.U., del correo electrónico que contenía los datos de acceso (usuario y clave) necesarios para su descarga a través de la plataforma corporativa de Premap “Área de Clientes”. Únicamente consta probado que la usuaria de la cuenta corporativa ***EMAIL.1 recibió con fecha 27/02/2018 las credenciales necesarias para acceder a esa información y que el día 28/02/2018 las reenvió al recurrente. En segundo lugar, el recurrente no ha aportado ningún indicio de prueba del que se desprenda que, no obstante que dicha persona pudiera conocer el DNI del denunciante en razón de las funciones que desempeña en la empresa en la que ambos prestan servicios, utilizase ese dato junto con la clave facilitada en el correo recibido el 27/02/2018 para acceder al informe del reconocimiento médico en cuestión. Por lo que, no hay constancia de que la remisión de esa información a un tercero haya dado lugar al acceso por persona no interesada ni autorizada a datos de salud del recurrente. Téngase en cuenta que el DNI es un dato personal identificativo que no proporciona por sí mismo información concerniente a la salud de su titular y que en este caso, según el recurrente ya era conocido por la persona que recibió el email con las credenciales. En tercer lugar, en el momento en que acaecieron los hechos denunciados el Reglamento Europeo de Protección de Datos no resultaba de aplicación. En cuarto lugar, el reconocimiento por parte de la AEPD de un mero error asociado al envío de las reseñadas credenciales a una tercera persona conlleva, en este supuesto, la inexistencia de responsabilidad administrativa por parte de Quirón Prevención, S.L.U., toda vez que su actuación, aislada y puntual, adolece del elemento de culpabilidad que resulta necesario para sancionar la infracción al deber de secreto que pudiera derivar de los hechos denunciados. Así, el artículo 28.1 de la Ley, 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone en relación con la “Responsabilidad” que: “
3. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de orar, los grupos de afectados, las uniones y entidades in personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” IV En un supuesto semejante al analizado, la Audiencia Nacional en Sentencia de fecha 23 de diciembre de 2013, (Recurso C-A 341/2012), señaló lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/6 Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones particulares, a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/6 Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional.(…) Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” (El subrayado es de la AEPD) V En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 27 de julio de 2018, en el expediente de actuaciones previas de inspección E/01427/
4. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es