REPOSICION-PS-00094-2018

1/13 Procedimiento nº.: PS/00094/2018 ASUNTO: Recurso de Reposición Nº RR/00669/2018 Examinado el recurso de reposición interpuesto por Don A.A.A., representante legal de Don B.B.B., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00094/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 4 de septiembre de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00094/2018, en virtud de la cual se imponía a Don B.B.B., (en adelante el recurrente), una sanción de 6.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.

1. b)de dicha norma, de conformidad con lo establecido en los artículos 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada a Don A.A.A., representante legal del ahora recurrente, con fecha 5 de septiembre de 2018 y al propio recurrente en fecha 12 de septiembre de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00094/2018, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Se ha comunicado a esta Agencia que el denunciado, de profesión pediatra, ha enviado por whatsapp, los datos de carácter personal de sus pacientes a un tercero no autorizado con quien mantenía una relación sentimental. Consta que el 5 de abril de 2016, envió a la denunciante, por whatsapp, una fotografía de una paciente en la camilla de su consulta. El día 27 de abril de 2016 el denunciante envió por whatsapp a la denunciante una fotografía de su agenda en la que aparecen anotados 31 pacientes, con sus nombres, apellidos y su teléfono móvil de contacto. El 30 de mayo de 2016 el denunciado envía otra foto de su agenda por el mismo medio con nombres y teléfonos de sus pacientes, a la denunciante. El 7 de junio de 2016, envía a la denunciante un vídeo en el que se ve a dos menores con su madre en la consulta. SEGUNDO: Consta la aportación de la denunciante de un acta notarial de fecha 3 de febrero de 2017, de transcripción de los mensajes telefónicos referidos, en la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 describen las imágenes enviadas. Se aportan también las fotografías y el vídeo enviados con esos mensajes. TERCERO: El denunciado no ha acreditado que disponga del consentimiento de los afectados para el tratamiento de datos realizado con sus datos personales.>> TERCERO: Con fecha 5 de septiembre de 2018, el citado representante legal ha presentado, actuando en nombre y representación del recurrente, recurso de reposición solicitando el archivo del expediente o, subsidiariamente, la adopción de la medida de apercibimiento, todo ello con la reserva de la información, y sin dar publicación a la resolución. Para ello, el recurrente aduce, básicamente, los mismos argumentos utilizados durante la tramitación del procedimiento sancionador, dando, asimismo, por reproducidas las alegaciones efectuadas con anterioridad y haciendo hincapié en lo siguiente: Falta de tipicidad de la infracción a lo previsto en el artículo 6.1 de la LOPD en tanto que ha presentado sendas manifestaciones de los padres de las menores que aparecen en la fotografía del 5 de abril de 2016 y en el vídeo del 7 de julio de 2016. Las páginas de la Agenda constituyen una mera lista de nombres incompletos que sin otros datos anexos no infringen derecho alguno ni revela la condición de pacientes del recurrente. Vulneración de derechos fundamentales a valerse de todas las pruebas pertinentes para la defensa y a la presunción de inocencia (artículo 24.2 Constitución Española, en adelante CE) al haberse inadmitido todos los medios de prueba propuestos, a un procedimiento con todas las garantías, a la intimidad personal y familiar (artículo 18.1 CE) y a la tutela judicial efectiva en su vertiente garantía de indemnidad (artículo 24 CE) FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IX, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
2. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
3. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
4. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, el nombre y apellidos, teléfono de contacto y la imagen de los afectados en este procedimiento, se ajustan a este concepto. Por otra parte, el apartado c del citado artículo 3 de la LOPD expone lo que es un tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Alega el denunciado al acuerdo de inicio que los 4 mensajes de Whatsapp no contienen datos de carácter personal porque las personas no son identificables. Añade que las fotografías fueron tomadas con consentimiento de los padres de los menores, que el dietario privado del doctor contiene nombres y números de teléfono de escasa legibilidad y no permiten una identificación plena, que el dietario es privado y personal, pertenece a su ámbito doméstico, por lo que forma parte de su derecho a la intimidad. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal, así como el nombre y apellidos y número de teléfono que aparecen en las imágenes de la agenda de la consulta y que si son legibles e identificables, como puede comprobarse sin dificultad en la documentación aportada al procedimiento. Por otra parte con relación a que los datos que figuran en las imágenes pertenecen a su ámbito doméstico, cabe contestar que en las fotografías enviadas por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 whatsapp a un tercero, pueden verse los nombres, apellidos y los teléfonos a ellos asociados, del listado de los pacientes a atender en consulta en un día determinado y como tales, constituyen datos de carácter profesional y están sujetos a la normativa de protección de datos, que exige el tratamiento legítimo de los datos personales y obliga a mantener el deber de secreto para con los mismos. En el presente caso, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías expuestas en la normativa de protección de datos de carácter personal. III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, consta acreditado que el denunciado envió los datos personales de sus pacientes a un tercero sin que conste el consentimiento para este tratamiento de datos realizado al enviar, por el sistema de mensajería whatsapp, fotografías de su agenda profesional e imágenes de sus pacientes a un tercero no autorizado. El denunciado ha alegado que la denunciante es quien difunde los mensajes mediante su protocolización notarial y su aportación a procedimientos judiciales y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 administrativos. El artículo 3.
5. d)de la LOPD expone que el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
6. q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Sentado lo anterior, procede resaltar que de acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” Dentro de la doctrina expuesta y de conformidad con las definiciones citadas el denunciado es el responsable del tratamiento de los datos de carácter personal de sus pacientes, toda vez que es quien decide sobre la finalidad, contenido y uso del tratamiento. En consecuencia, el denunciado, como responsable del tratamiento realizado al enviar los datos personales de sus pacientes a un tercero, está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. Por tanto, resulta que el denunciado no ha acreditado que disponga del consentimiento de los afectados para el tratamiento de datos realizado, resultando, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos analizados atribuible al denunciado, que trató los datos de los afectados sin su consentimiento, procediendo considerar infringido el artículo 6.1 de la LOPD por parte del denunciado. El denunciante ha aportado dos escritos manuscritos firmados, aparentemente, por los padres de tres de las menores cuyas fotografías fueron enviadas por whatsapp a la denunciante. Los consentimientos se han obtenido transcurridos más de dos años desde que se enviaron las fotografías y están firmados por los padres de las menores cuando en una de las fotografías se aprecia que la menor acudió a la consulta acompañada de su madre. Por otro lado, tampoco se ha acreditado que contase con el consentimiento de todas las personas que estaban anotadas en la agenda para consulta para su envío a la denunciante. IV El artículo 44.3.
7. b)de la LOPD considera infracción grave: “
8. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se atribuye al denunciado, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 V Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación de los datos personales de los pacientes del denunciado a un tercero no autorizado. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, el denunciado, con el envío de los mencionados mensajes, permitió el acceso por parte de terceros a datos personales relativos a sus pacientes, vulnerando así la confidencialidad a ellos debida. Alega el denunciado que la denunciante ha difundido los mensajes de whatsapp mediante su protocolización notarial y su aportación a procedimientos judiciales y administrativos, y que tenía una expectativa razonable de que los mensajes no saliesen del ámbito de intimidad de la pareja, no accesible a terceros y jamás a un público anónimo. A este respecto cabe contestar que el deber de secreto que en este procedimiento se valora es el que tiene el responsable del fichero y del tratamiento, que en este caso es el denunciado, sin que pueda responsabilizarse del mismo a un tercero que no tiene deber de secreto para con esos datos porque no son responsabilidad suya. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En el mismo sentido, puede recordarse que el Código de Deontología Médica del Consejo General de Colegios Oficiales de Médicos, expone en su artículo 27 respecto del secreto profesional, en su punto 7, que: “El médico preservará en su ámbito social, laboral y familiar, la confidencialidad de los pacientes”. En esta ocasión lo que se valora es esa comunicación de datos realizada en ese llamado “ámbito de intimidad de la pareja” y quienes tenían una expectativa de que sus datos no saliesen del ámbito profesional del facultativo al que acudían, eran los pacientes del denunciado. VII La conducta del denunciado se incardina en el artículo 44.3.
9. d)de dicha norma que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este procedimiento se ha acreditado que el denunciado ha divulgado los datos personales de sus pacientes al enviarlos a un tercero no autorizado. Dado que ha existido una vulneración en el deber de guardar secreto por parte de denunciado en relación con datos personales de sus pacientes, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VIII Alega el denunciado que se le ha ocasionado indefensión al no haber admitido la prueba propuesta referente a la toma de su declaración personal. Si se hubiese admitido esa prueba habrían quedado en evidencia las falsedades mantenidas por la denunciante. Se refiere el denunciado a que él no ha informado a la Sra. C.C.C. de la iniciación de este procedimiento sancionador; a la manipulación de las fotografías y los extractos de conversaciones aportados; y a los comentarios descriptivos de las fotografías. Como ya se indicó en la denegación de esta prueba, el denunciante podía aportar sus manifestaciones y cualquier documento que considerase de interés para su defensa a lo largo de todo el procedimiento, como ha venido haciendo. Si ha informado o no a la denunciante de este procedimiento sancionador carece de relevancia para su resolución, así como sus comentarios sobre la manipulación realizada. En los hechos probados solo se refleja lo que está acreditado, sin añadir comentarios ni descripciones de las imágenes. IX Conforme a lo dispuesto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, en el presente caso únicamente procederá imponer la sanción correspondiente por la presunta infracción del artículo 6.1 de la LOPD por tratarse de la infracción originaria que ha dado lugar a la comisión de la vulneración del deber de secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 De conformidad con las evidencias de las que se dispone en el presente momento, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
10. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto puede apreciarse la concurrencia de los siguientes criterios:
11. a)El carácter continuado de la infracción, que en esta ocasión no concurre porque se trató de hechos puntuales.
12. b)El volumen de los tratamientos efectuados. Se considera que no se trata de un elevado volumen de tratamiento de datos.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. En este caso no se desprende la vinculación del mismo con la realización habitual de tratamientos de datos de carácter personal.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza. El denunciado no figura como responsable de infracciones de la misma naturaleza que la cometida en el presente procedimiento. Teniendo en cuenta la concurrencia de los citados criterios del artículo 45.4 de la LOPD, se considera proporcional a la gravedad de los hechos analizados graduar la sanción a imponer a Don B.B.B. en la cuantía de 6.000 € por la infracción del artículo 6.1 de la LOPD. Alega el denunciado que no se corresponde la gravedad de los hechos con la cuantía de la sanción que se ha propuesto. En este sentido hay que señalar que el apercibimiento es una opción excepcional del órgano sancionador. En este supuesto, se ha tenido en consideración que el tratamiento de datos es de menores de edad y que el responsable del tratamiento es un profesional sujeto de forma especial al secreto profesional sobre los datos de sus pacientes.>> III En relación con la alegación de vulneración del principio de tipicidad, el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece lo siguiente: “Artículo 27. Principio de tipicidad 1. Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley, sin perjuicio de lo dispuesto para la Administración Local en el Título XI de la Ley 7/1985, de 2 de abril. Las infracciones administrativas se clasificarán por la Ley en leves, graves y muy graves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 2. Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley. 3. Las disposiciones reglamentarias de desarrollo podrán introducir especificaciones o graduaciones al cuadro de las infracciones o sanciones establecidas legalmente que, sin constituir nuevas infracciones o sanciones, ni alterar la naturaleza o límites de las que la Ley contempla, contribuyan a la más correcta identificación de las conductas o a la más precisa determinación de las sanciones correspondientes. 4. Las normas definidoras de infracciones y sanciones no serán susceptibles de aplicación analógica.” En el presente caso la descripción de la conducta que establece el artículo 44.3.
16. b)de la LOPD en relación con el artículos 6.1 de la LOPD, cumple las exigencias derivadas del citado principio del consentimiento, toda vez que está calificada como infracción grave en el reseñado precepto, a lo que se suma que en la tramitación del procedimiento se ha razonado que el recurrente ha efectuado un tratamiento inconsentido de datos personales de sus pacientes menores, todos ellos perfectamente identificados o fácilmente identificables a través de los registros de la agenda y de las imágenes (fotografías) que envío a la denunciante vía whatsapp. Respecto de esta cuestión en la Sentencia de la Audiencia Nacional de fecha 17 de octubre de 2007, Recurso 23/2006, se indicaba: “Por tanto, concurre la tipicidad cuya infracción se denuncia en el escrito de demanda, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra.” En cuanto a la vulneración del derecho a la prueba plena, cabe reseñar que la inadmisión de las pruebas cuya práctica fue propuesta se justificó debidamente en el acuerdo de fecha 11 de mayo de 2018, que se notificó al recurrente el 22 de mayo de 2018, sin que éste ejerciese su derecho a presentar declaración testimonial por escrito conteniendo las manifestaciones que hubiera podido realizar en la declaración presencial que le fue denegada. Por otra parte, el recurrente, ha aportado al procedimiento todos aquellos documentos que ha considerado convenientes para su defensa, los cuales se han incorporado al expediente, con independencia de que no se hayan citado en la propuesta de resolución o en la propia resolución por no considerar que tuviera relación directa con los hechos analizados. Por otro lado, la inadmisión de las pruebas tampoco ha producido la indefensión pretendida por el recurrente. En este sentido debe recordarse lo señalado al respecto en reiterada jurisprudencia de la Audiencia Nacional, que determina que para apreciar la nulidad por indefensión, esta ha de ser de carácter material, no meramente formal, esto es, que la misma haya originado al recurrente un menoscabo real de su derecho de defensa causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio; 212/1994, de 13 de julio;137/1996, de 16 de septiembre; 89/1997, de 5 de mayo; 78/1999, de 26 de abril , entre otras). En este caso no ha existido indefensión material dado que el recurrente ha dispuesto de todos los derechos y garantías previstas en el ordenamiento jurídico para la defensa de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 derechos. Así, ha tenido acceso a la copia del procedimiento, ha propuesto la práctica de las pruebas que ha considerado necesarias, con independencia de su inadmisión posterior, ha formulado cuantas alegaciones ha estimado procedentes en las distintas fases del procedimiento, y, posteriormente, ha recurrido en reposición la resolución adoptada. En definitiva, ha tenido acceso y ha utilizado todas aquellas facultades que el ordenamiento le concede, motivos por los que se considera que no se han vulnerado las garantías constitucionales previstas en el artículo 24 de la Constitución Española ni se ha impedido la aplicación efectiva del principio de contradicción. En cuanto a las declaraciones de los padres de las menores que aparecen en la fotografía de fecha 5 de abril de 2016 y el vídeo de fecha 7 de julio de 2016, que por error de transcripción se cita en la resolución como de fecha 7 de junio de 2016, se reitera que no consta acreditado en el procedimiento que éstos estuvieran presentes en la consulta del recurrente, tal y como se puede comprobar de la visualización de las correspondientes imágenes. En relación con este punto, se observa que el recurrente no ha aportado ningún medio de prueba que justifique la presencia de los firmantes de las declaraciones en las fechas en que se captaron dichas imágenes en su consulta. Asimismo, en dichas declaraciones no se menciona que el recurrente informase, con carácter previo a la toma de las imágenes de las menores, la finalidad a la que respondía su captura y posterior envío a una amiga. Respecto a las manifestaciones del recurrente relativas a que esta Agencia no ha realizado las actuaciones previas a las que se refiere el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, señalar que dicho precepto establece que “se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación (…)”. Por lo cual, no existe una obligación de realizar dichas actuaciones con anterioridad a la iniciación del procedimiento sancionador cuando se dispongan de elementos de juicio que permitan establecer los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. Situación ésta que se producía en el presente caso, como refleja que los hechos descritos en el acuerdo de inicio del procedimiento son los mismos que han sustentado la resolución del mismo ahora recurrida. Tampoco se ha vulnerado el principio de presunción de inocencia al haber quedado probada la responsabilidad del recurrente en los hechos que sustentan el tratamiento de datos personales de pacientes sin consentimiento de los mismos, puesto que ha quedado enervado que se tratase de un tratamiento efectuado en un ámbito privado, ya que las fotografías y el vídeo se relacionaban con la actividad profesional del recurrente. Por lo tanto, tampoco se ha vulnerado el derecho a la intimidad personal y familiar del recurrente. Finalmente, en cuanto a la solicitud de no dar publicación a la resolución adoptada en la página web de la AEPD, cabe significar lo siguiente: El artículo 37.2 de la LOPD establece la obligación de publicar las resoluciones que se adopten por esta Agencia: “2. Las resoluciones de la Agencia Española de Protección de Datos se harán públicas, una vez hayan sido notificadas a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 preferentemente a través de medios informáticos o telemáticos. Reglamentariamente podrán establecerse los términos en que se lleve a cabo la publicidad de las citadas resoluciones. Lo establecido en los párrafos anteriores no será aplicable a las resoluciones referentes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos ni a aquéllas por las que se resuelva la inscripción en el mismo de los Códigos tipo, regulados por el artículo 32 de esta Ley Orgánica”. La Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos, sobre publicación de sus resoluciones, señala que “La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tras la modificación introducida por el artículo 82.1 de la Ley 62/2003, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social, establece en el artículo 37.2 que las resoluciones de la Agencia Española de Protección de Datos, a excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo regulados en el artículo 32 de la citada Ley, se harán públicas, una vez hayan sido notificadas a los interesados, preferentemente a través de medios informáticos o telemáticos.” A su vez, los artículos 115 y 116 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establecen sobre los procedimientos tramitados por esta Agencia que: “Artículo 115. Régimen aplicable. 1. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el presente título, y supletoriamente, por la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. 2. Específicamente serán de aplicación las normas reguladoras del procedimiento administrativo común al régimen de representación en los citados procedimientos. Artículo 116. Publicidad de las resoluciones. 1. La Agencia Española de Protección de Datos hará públicas sus resoluciones, con excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo, siempre que se refieran a procedimientos que se hubieran iniciado con posterioridad al 1 de enero de 2004, o correspondan al archivo de actuaciones inspectoras incoadas a partir de dicha fecha. 2. La publicación de estas resoluciones se realizará preferentemente mediante su inserción en el sitio web de la Agencia Española de Protección de Datos, dentro del plazo de un mes a contar desde la fecha de su notificación a los interesados. 3. En la notificación de las resoluciones se informará expresamente a los interesados de la publicidad prevista en el artículo 37.2 de la Ley Orgánica 15/1999, de 13 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 4. La publicación se realizará aplicando los criterios de disociación de los datos de carácter personal que a tal efecto se establezcan mediante Resolución del Director de la Agencia. “ A la vista de la normativa expuesta, la publicación de la resolución responde al cumplimiento de la previsión legal establecida en el artículo 37.2 de la LOPD. En relación con los argumentos utilizados por el recurrente en su escrito de alegaciones a la propuesta de resolución para solicitar que no se publicase la resolución, petición que reitera en el recurso ahora estudiado, se estima que no ha lugar a considerar que la publicación de la resolución pueda perjudicar la carrera profesional del recurrente, ello teniendo en cuenta que se publica anonimizada, que el recurrente no ha justificado el modo en que la publicación de la resolución podría afectar negativamente a su actividad profesional, amén de que las supuestas intenciones de la denunciante de utilizarla de forma abusiva y torticera son apreciaciones subjetivas que no son objeto del presente procedimiento. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por el representante legal de Don B.B.B. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de septiembre de 2018, en el procedimiento sancionador PS/00094/2018. SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES93 2100 8981 6302 0001 1719, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
18. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es