1/9 Expediente nº.: EXP202408793 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por MEDIOS DE PREVENCIÓN EXTERNOS, S.L. (en lo sucesivo, la parte recurrente, parte denunciada o MPE) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 31 de agosto de 2025, y en base a los siguientes HECHOS PRIMERO: La Jefatura Superior de Policía de las Illes Balears (en adelante, la parte denunciante) con fecha 31/05/204 interpuso denuncia ante la Agencia Española de Protección de Datos. La denuncia se dirigía contra la entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF B41776360. Los motivos en que basa la denuncia son los siguientes: En informe de la parte denunciante, de fecha 31/05/2024, se pone de manifiesto que el 04/10/2023, tras una llamada realizada por un ciudadano al Departamento de Incidencias de la entidad Empresa Municipal d’Aigües i Clavegueram, S.A. (EMAYA), se había encontrado abandonada en la vía pública, en la ***DIRECCIÓN.1, una caja con documentación relativa a reconocimientos médicos realizados a agentes de la Guardia Civil y la Policía Nacional, entre otros enseres. Realizadas las correspondientes pesquisas se averiguó que dichos reconocimientos fueron realizados por MPE y que el lugar de localización de los mismos es próximo al domicilio de una empleada de dicha entidad que participó en la realización de los reconocimientos en su condición de ***PUESTO.1. En el Informe remitido relataban que se pusieron en contacto telefónico con la empleada citada, A.A.A., titular del DNI ***NIF.1, que manifestó que la forma de actuar era la siguiente: “se realizaban los reconocimientos médicos y el resultado de los mismos, se volcaba al ordenador de manera inmediata. Una vez finaliza la jornada laboral, cada día se recogían todos los formularios / reconocimientos médicos y se llevaban a la central de MPE en Palma. En dicha central, estos documentos eran recepcionados por una administrativa cuyo nombre no sabe y ella los guardaba en dos armarios (uno para la Policía Nacional y otro para la Guardia Civil), ambos cerrados bajo llave.” Finalmente dice que quien se ocupaba mayormente de llevar los reconocimientos médicos desde la Comandancia de la Guardia Civil y desde la Jefatura Superior de Policía hasta la central de MPE sita en ese momento en la ***DIRECCIÓN.2, era ella misma y en alguna ocasión B.B.B. quien además era el que llevaba las muestras de orina y sangre.” Así mismo, explican que, tras acabar con todas las declaraciones y pesquisas, se percataron de que A.A.A. tuvo domicilio en ***DIRECCIÓN.1, que coincide con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 misma calle y número donde el pasado 0410/2023 se habría abandonado una caja de cartón conteniendo 4 contenedores con jeringuillas en su interior y una mochila roja con documentación, tal y como manifestó en su declaración C.C.C. (persona de EAYA que contactó con la parte denunciante para comunicar el hallazgo). Por todo ello, intentaron citar a A.A.A. sin conseguir contactar con ella. Con el fin de notificarle por escrito dicha citación, realizaron gestiones para localizarla sin resultado por lo que contactaron con el que figuraba como compañero de piso en octubre del 2023, el cual manifestó lo siguiente: “Que conoció a A.A.A. por Internet y tras 4 meses, él le propuso vivir en su domicilio sito en la ***DIRECCIÓN.1, con intención de alquilarle una habitación a lo que ella aceptó y se quedó del 4 al 14 de octubre del año pasado. Que el primer día vino con muchas bolsas, cajas de cartón, etc. Que una vecina le preguntó si tenía alguna idea de quién había dejado en el portal de su domicilio (***DIRECCIÓN.1), una caja de cartón con documentación, así como unos contenedores amarillos para meter dentro jeringuillas, respondiendo en un principio que no lo sabía, pero pasadas unas horas recordó que esos objetos los vio en su propia casa ya que los trajo A.A.A., con lo que dedujo que ella fue la que los dejó en el mentado portal.” Junto a la denuncia se aporta, entre otra, la siguiente documentación: -Acta de declaración de C.C.C. (…), de fecha 02/02/2024 en la que manifiesta que: “… el 4 de octubre de 2023, el departamento de incidencias de EMAYA recibió llamada telefónica de un ciudadano manifestando que: “en la ***DIRECCIÓN.1, había abandonada una caja de cartón, conteniendo 4 contenedores con jeringuillas en su interior una mochila roja con documentación sin poder especificar de qué tipo se trataba” Que se personó en la dirección indicada, recogió todo, lo precintó y se lo llevó en almacén EMAYA Son Pacs, donde quedó en calidad de depósito, desconociendo qué sucedió después con todo lo guardado. Aporta fotos de lo reseñado adjuntándolas a su Acta de declaración” -Acta de declaración de fecha 02/02/2024, prestada por D.D.D., ***PUESTO.2 (la parte denunciante), en la que manifiesta: “Que se desplazó a EMAYA en Son Pacs a buscar los 18 reconocimientos médicos efectuados a otros tantos agentes de la Policía Nacional, ya que se puso en contacto con él, el ***PUESTO.3 debido a que había recibido una llamada telefónica del ***PUESTO.4, E.E.E., comunicando que tiene en su poder unos reconocimientos médicos efectuados el pasado 05/08/2023 a agentes de la Guardia Civil y de la Policía Nacional.” “Que la Dirección General de la Policía, tiene externalizado este servicio de la vigilancia de la salud con la mercantil MPE (Prevención de Riegos Laborales), desde hace unos 3 años. Que ante la gravedad de los hechos, se puso en contacto con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 interlocutora habitual de la empresa MPE, F.F.F., para pedirle algún tipo de explicación, respondiendo que no le podía dar ninguna respuesta y que no se explicaba cómo podía haber pasado.” -Carta de respuesta a la solicitud de información efectuada por la parte denunciante en referencia a los protocolos relativos a reconocimientos médicos, proceso seguido en la custodia de estos documentos, identificación de la custodia de los citados reconocimientos médicos, papel desempeñado en el proceso, ubicaciones físicas de depósito y si les consta alguna incidencia al respecto, en la que la parte denunciada, MPE, indica el personal médico encargado de realizar los reconocimientos médicos en las fechas indicadas para la Policía Nacional y la Guardia Civil, y manifiesta lo siguiente: “… Que dichos reconocimientos médicos eran realizados en las propias instalaciones de la Policía Nacional de Palma de Mallorca y de la Guardia Civil en Palma, por lo que la documentación de las pruebas médicas que se efectuaban allí era custodiada por los mencionados cuerpos oficiales y sus medidas de seguridad implantadas. Que, una vez finalizados los reconocimientos médicos efectuados, el traslado de toda la documentación recopilada a nuestras instalaciones clínicas fue realizada por G.G.G., con D.N.l. n°***NIF.2 y H.H.H., con D.N.I. n° ***NIF.3, sin que ningún de ellos nos haya expresado algún extravío o robo de los mismos.” En este escrito se detallan los facultativos encargados de realizar los reconocimientos médicos en las fechas indicadas: . Para la Policía Nacional: B.B.B. (médico) y A.A.A. (DUE). . Para la Guardia Civil: B.B.B. (médico), I.I.I. (médico), J.J.J. (médico) y A.A.A. (DUE). -Correo electrónico de fecha 11/04/2024, remitido desde la dirección “***EMAIL.1” a la Policía Nacional, a la dirección de correo “***EMAIL.2”, en el que facilitan los números de teléfono del personal implicado (médicos y enfermeras que realizaron los reconocimientos), previamente solicitados por la parte denunciante. Este correo aparece firmado por L.L.L., con la información siguiente: “Grupo MPE Dirección Nacional Técnica Edificio MPE Avda. de la Innovación 11 CP 41020 Sevilla (…) Web: www.mpeprevencion.com”. Asimismo, en el pie del correo se incluye un aviso sobre el envío de comunicaciones comerciales y se informa sobre la posibilidad de oponerse mediante correo electrónico dirigido a la dirección rgpd@grupompe.es. SEGUNDO: Con fecha 14/02/2025, se acordó iniciar procedimiento sancionador a MPE por la presunta infracción del artículo 5.1.
- f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 la infracción imputada, sin perjuicio de lo que resultase de la instrucción, sería de 100.000 euros (cien mil euros). Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD. Asimismo, se advertía que, si en el plazo estipulado, MPE no efectuara alegaciones a dicho acuerdo de inicio, el mismo podría ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). TERCERO: El acuerdo de apertura del procedimiento sancionador fue debidamente notificado a MPE en fecha 20/02/2025, según consta en la certificación emitida por el Servicio de Dirección Electrónica Habilitada Única (DEHÚ), habiendo siendo accedida la correspondiente notificación por M.M.M. en representación de aquella entidad. El plazo otorgado para la formulación de alegaciones y proponer prueba transcurrió sin que MPE presentara escrito alguno. CUARTO: Con fecha 31/08/2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202408793, en virtud de la cual se acordó: “PRIMERO: IMPONER a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF B41776360, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 100.000,00 € (CIEN MIL EUROS). SEGUNDO: ORDENAR a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF B41776360, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la medida establecida en la presente resolución consistente en acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
- f)del RGPD, asegurando, en particular, la confidencialidad y trazabilidad de la documentación relativa a reconocimientos médicos efectuados fuera de sus instalaciones, relativas a la custodia, transporte, entrega y conservación de la documentación citada”. Dicha resolución, que fue notificada a la parte recurrente en fecha 09/09/2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. QUINTO: Como hechos probados del citado PS/00279/2024, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: La Policía Nacional ha recibido llamada telefónica realizada por el Jefe de Servicio de Inspección Medioambiental de EMAYA (empresa pública municipal del Ayuntamiento de Palma), comunicando que obraban en su poder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 una serie de documentos, al parecer reconocimientos médicos realizados a agentes de la Policía Nacional y Guardia Civil en Palma, los cuales fueron encontrados abandonados en vía pública por parte de uno de los trabajadores de EMAYA tras ser alertado de su existencia por un ciudadano. SEGUNDO: Los documentos localizados en situación de abandono son reconocimientos médicos realizados a agentes de la Guardia Civil y la Policía Nacional por la entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L (MPE). TERCERO: Conforme a las declaraciones del personal encargado de la realización de dichos reconocimientos médicos, el procedimiento seguido consistía en su realización en las instalaciones de la Guardia Civil y la Policía Nacional y el posterior traslado de todos los formularios y/o reconocimientos médicos a la central de MPE en Palma”. SEXTO: Con fecha 30/09/2025, dentro del plazo establecido, M.M.M. presentó recurso de reposición en nombre y representación de la entidad MPE contra la resolución de 31/08/2025, reseñada en el Antecedente Cuarto anterior, cuya anulación solicita en base a las consideraciones siguientes: Niega que las personas que prestaron los testimonios recabados por la parte denunciante sean empleados de MPE, la cual tampoco tiene relación contractual alguna con la Policía Nacional ni con la Guardia Civil. A este respecto, manifiesta que MPE “no actúa como servicio de prevención ajeno y dejó de estar autorizada por la autoridad laboral para ejercer como tal desde el 1 de marzo de 2013”. Añade que, en base a ello, no es necesario atender el requerimiento de adopción de medidas efectuado en la resolución impugnada. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones formuladas en el recurso En primer término, se estima oportuno destacar las dos consideraciones previas siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 1. MPE tuvo oportunidad de realizar alegaciones y formular propuesta de prueba durante el plazo concedido para ello mediante el escrito de notificación del acuerdo de inicio del procedimiento sancionador que dio lugar a la resolución impugnada, el cual fue accedido a través del Servicio de Dirección Electrónica Habilitada Única (DEHÚ) por la misma persona que formula el recurso de reposición en nombre de MPE en calidad de Administrador Único. En dicha notificación se concedía un plazo de audiencia de diez días hábiles para que MPE pudiera formular las alegaciones y presentar las pruebas que considerase convenientes y se advertía expresamente que, si en el plazo estipulado no efectuaba alegaciones a dicho acuerdo de inicio y este acuerdo contiene un pronunciamiento preciso acerca de la responsabilidad imputada, el mismo podría ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. El plazo otorgado para la formulación de alegaciones y proponer prueba transcurrió sin que MPE presentara escrito o documentación alguna. Así, en el presente caso, considerando que el acuerdo de inicio del procedimiento sancionador determina los hechos en los que se concreta la imputación, la infracción del RGPD atribuida a MPE y la sanción que podría imponerse, tomando en consideración lo establecido en el artículo 64.2.
- f)de la LPACAP, el acuerdo de inicio se consideró propuesta de resolución, dictándose la resolución recurrida en fecha 31/08/2025. De haber hecho uso del trámite de audiencia concedido, MPE bien pudo haber planteado en ese momento las cuestiones puestas de manifiesto en el recurso que se resuelve mediante el presente acto. 2. Los hechos que motivan la sanción impuesta están relacionados con el abandono en la vía pública de documentación correspondiente a reconocimientos médicos realizados por MPE a agentes de la Policía Nacional y Guardia Civil, y su hallazgo por un ciudadano, habiéndose calificado los mismos como una infracción del principio de confidencialidad regulado en el artículo 5.1.
- f)del RGPD. El escrito de recurso presentado por MPE no contiene alegación alguna sobre la infracción imputada, ni sobre las circunstancias valoradas para la determinación del importe de la sanción impuesta. En cuanto al fondo del recurso de reposición, destacar que MPE se limita a negar su intervención en los hechos constitutivos de la infracción declarada, señalando que no tiene vinculación alguna con las personas que prestaron los testimonios recabados por la parte denunciante ni relación contractual con la Policía Nacional o Guardia Civil. Si bien, omite tomar en consideración todas las circunstancias de hecho que constan acreditadas en las actuaciones. En primer lugar, es la propia Policía Nacional la que informa a esta Agencia que MPE actúa para la propia Policía Nacional como servicio externo de prevención de riesgos laborales, en virtud del contrato formalizado por sus servicios centrales. Así consta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 igualmente, en la declaración prestada por el ***PUESTO.2. Y es la propia MPE la que, en el marco de las investigaciones realizadas por la Policía Nacional, facilita a ésta los detalles sobre el traslado de la documentación desde las dependencias de la Policía Nacional y Guardia Civil donde se realizaban los reconocimientos médicos hasta las sedes de la empresa, así como la identidad sus empleados responsables de ese traslado y custodia de documentación y de los facultativos encargados de los reconocimientos médicos, entre los que figura la persona que participaba en su realización como ***PUESTO.1 con domicilio en un inmueble junto al que se abandonaron los documentos en cuestión. Durante el desarrollo de estas investigaciones, en ningún momento MPE manifestó no tener relación con los hechos investigados. Las actuaciones remitidas a esta Agencia por la Policía Nacional incluyen copia de un correo electrónico de fecha 11/04/2024, remitido desde la dirección “***EMAIL.1” a la dirección de correo “***EMAIL.2”, en el que facilitan los números de teléfono del personal implicado (médicos y enfermera que realizaron los reconocimientos). En este correo, en el pie de firma, se incluyen los datos de MPE, concretamente los siguientes: “Grupo MPE Dirección Nacional Técnica Edificio MPE Avda. de la Innovación 11 CP 41020 Sevilla (…) Web: www.mpeprevencion.com”. El domicilio de MPE que figura en ese correo (Avda. de la Innovación 11 CP 41020 Sevilla) coincide con el que figura en los datos relativos a MPE indicados en el escrito de recurso de reposición. Por otra parte, en la web “www.grupompe.es” se accede a la información siguiente: “Prevención de riesgos laborales. Grupo MPE, como servicio de prevención de riesgos laborales, está comprometido con la seguridad y salud de las personas trabajadoras. Para ello, dispone de un gran equipo de profesionales altamente cualificados y gran experiencia en las especialidades de seguridad en el trabajo, higiene industrial, ergonomía y psicosociología aplicada y medicina del trabajo”. Asimismo, en el mismo apartado de “Prevención de riesgos laborales” incluye un formulario dispuesto para que pueda solicitarse presupuesto por los servicios que presta en dicho ámbito. Y otro apartado más en la misma web en el que enumera algunos clientes destacados de la entidad, entre los que figura la Policía Nacional y Guardia Civil. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MEDIOS DE PREVENCIÓN EXTERNOS, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 31 de agosto de 2025, en el expediente EXP202408793. SEGUNDO: ORDENAR a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 1 mes desde la notificación de la presente resolución, acredite haber procedido a adoptar las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
- f)del RGPD, asegurando, en particular, la confidencialidad y trazabilidad de la documentación relativa a reconocimientos médicos efectuados fuera de sus instalaciones, relativas a la custodia, transporte, entrega y conservación de la documentación citada. TERCERO: NOTIFICAR la presente resolución a MEDIOS DE PREVENCIÓN EXTERNOS, S.L. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-010925 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es