1/12 Procedimiento nº.: PS/00404/2018 194-100519 Recurso de Reposición Nº RR/00100/2020 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00404/2018 instruido al CENTRO HOSPITALARIO PADRE MENNI, y en base a los siguientes HECHOS PRIMERO: Con fecha 11 de agosto de 2018 se registra de entrada en Agencia Española de Protección de Datos reclamación formulada por Don A.A.A., (Don A.A.A. o el reclamante en el procedimiento sancionador y el recurrente en esta resolución de recurso), poniendo de manifiesto la publicación y difusión, sin su autorización, por parte del CENTRO HOSPITALARIO PADRE MENNI, (en adelante, el reclamado), de una carta de agradecimiento remitida por correo ordinario a la Gerencia de dicho Centro, con fecha ***FECHA.1, que contenía información referida al tratamiento psicológico recibido en el mismo. SEGUNDO: Con fecha 13 de diciembre de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00404/2018, en virtud de la cual se imponía al reclamado una sanción de apercibimiento de conformidad con lo previsto en el artículo 58.2.
- b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), por la infracción del artículo 9.1 de la misma norma, tipificada en el artículo 83.5.
- a)del RGPD. Dicha resolución, fue notificada al reclamado con fecha 19 de diciembre de 2019, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), en materia de tramitación de procedimientos sancionadores. TERCERO: Como hechos probados del citado PS/00404/2018, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS Primero: Con fecha 11 de agosto de 2018 se registra de entrada en esta Agencia reclamación formulada por el reclamante (Don A.A.A.) contra el reclamado por publicar y difundir desde ***FECHA.1 hasta ***FECHA.2, inclusive, sin contar con su autorización para ello, una carta de agradecimiento remitida por correo ordinario, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 fecha ***FECHA.1, a la Gerencia del reclamado con información referida al tratamiento psicológico recibido en ese Centro Hospitalario. Segundo: El reclamante ha aportado impresión de captura de pantalla de fecha ***FECHA.2 que muestra la publicación de la carta de agradecimiento del reclamante en la página web ***URL.1-pacientes, visualizándose en el apartado “Historias del centro” de la citada página web que bajo la leyenda: “A.A.A.. Paciente del Centro” aparece la transcripción íntegra del texto de la carta de agradecimiento recibida por el reclamado, que es el siguiente: “Por la presente, en calidad de paciente de”Hermanas Hospitalarias. Centro Hospitalario Padre Menni”, quiere agradecer y poner en su conocimiento el trato profesional y humano que desde un primer momento me ha dispensado la psicóloga Dña. B.B.B., quien no solamente ha sabido diagnosticar mi problema, sino que también a través de sus terapias me ha ayudado a reconducir y gestionar, todo lo que en su momento me parecía imposible administrar. Han sido numerosas las terapias, numerosas las conversaciones, pero todo ello no hubiera servido de nada si el trato tan cercano y tan interesado en la ayuda, como el que se me proporcionó. De la misma forma quiere agradecer el trato recibido por los facultativos Dr. C.C.C., así como el ***PUESTO.1. D. D.D.D. de ***ESPECIALIDAD.1 Aprovecho la ocasión para enviarle/a un cordial saludo, y no dude que la imagen y valoración que recordaré para siempre de la institución a la que usted representa será la más sobresaliente, por el trato recibido de sus profesionales. En ***LOCALIDAD.1, a ***FECHA.1” Tercero: Con fecha ***FECHA.2 el reclamante remitió comunicación al reclamado solicitando aclaración acerca de la publicación y divulgación en Internet, sin su consentimiento previo, de la mencionada carta, así como la retirada de las redes informáticas de dicha publicación en la que figuraban datos clínicos de especial protección. En dicha comunicación, entre otros extremos, se indicaba: “-Que es informado por un familiar que reside en Madrid, así como por dos compañeros de trabajo, que a través del buscador de internet Google”, han tenido acceso introduciendo el nombre y apellidos del que suscribe, a dicha carta de agradecimiento, una de ellas en la página “HERMANAS HOSPITALARIAS CENTRO HOSPITALARIO PADRE MENNI”, concretamente en su apartado “Historias del Centro”, en la cual figuran numerosos testimonios de varias personas con sus iniciales. (…) -Que al que suscribe en ningún momento, ni le han solicitado desde dicho centro, ni el mismo ha dado su consentimiento, para que dicha carta de agradecimiento sea publicada y divulgada en la página de referencia, y por lo tanto tenga acceso a ello, como es el caso en la red informática cualquier persona.(…)” Cuarto: Con motivo de la reunión mantenida el día ***FECHA.3 entre el reclamante y el reclamado, este último elaboró un documento en el que constaba que: “la exigencia de contar con el consentimiento del interesado no implica que este consentimiento o autorización deba de ser escrito, pudiendo ser perfectamente válido el consentimiento ofrecido de forma verbal. Y es precisamente en este punto donde encontramos la razón o motivo para proceder con la publicación en nuestra web de la cata de agradecimiento que usted remitió tan amablemente a nuestro Centro. Ha tenido que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 existir un malentendido, ya que nuestro personal nos ha comunicado precisamente que está autorización fue solicitada de forma oral, y que la misma fue utilizada como base de licitud para proceder con la publicación de la carta en aprecio.”. También figuraba que se había eliminado la citada publicación de su página web y se indicaba la forma de proceder para borrar el rastro de internet en caso de que siguiese encontrando información relativa a su persona en los resultados de búsqueda de los navegadores de internet. Este documento no fue suscrito por el reclamante. Quinto: Con fecha 7 de noviembre de 2018 el reclamante dirige escrito ante esta Agencia negando la existencia del consentimiento verbal a la publicación de la carta que se manifiesta en el documento de fecha ***FECHA.3 citado en el hecho probado anterior. El reclamante señala que el documento omite los daños morales, al honor y a la intimidad personal y familiar producida al mismo, habiendo provocado, además, el agravamiento de su cuadro clínico y afectado a todo el ámbito familiar que desconocía dicha patología. Sexto: Con fechas 25 de abril de 2019 el reclamado acredita la adopción de una batería de medidas tendentes a evitar una situación semejante, entre las que se encuentran la elaboración de documentos para recoger el consentimiento específico de los interesados para la difusión de información de carácter personal, voz e imagen en la página web del reclamado y otros medios con las finalidades concretas que se indican en dichos modelos. En dichos documentos no se indica que el consentimiento otorgado se refiera a datos de salud.>> CUARTO: Con fecha 3 de enero de 2020 se dirige comunicación a Don A.A.A., sin pie de recurso, informándole de que la resolución que puso fin al procedimiento instruido se encuentra publicada en la página web de la AEPD, remitiéndose al mismo copia anonimizada de la resolución publicada. Este envío fue recibido por el recurrente con fecha 9 de enero de 2020, conforme figura en el documento de “Prueba de Entrega” emitido por el Servicio de Correos obrante en el procedimiento. QUINTO: Con fecha 13 de febrero de 2020 el recurrente ha presentado recurso de reposición ante esta Agencia Española de Protección de Datos, fundamentándolo, básicamente, en los siguientes argumentos: - Reitera que nunca dio consentimiento para la publicación y difusión en Internet de una carta que envío por correo postal al Gerente del Centro Hospitalario reclamado. - Manifiesta su disconformidad ante la imposición de un mero apercibimiento ante la gravedad de los hechos acaecidos, que quedará acreditada a través del audio contenido en el DVD adjuntado al recurso. Aduce que el citado DVD recoge el contenido íntegro de la reunión celebrada el día ***FECHA.3, de la que el mismo formó parte junto a tres personas en representación del Centro Hospitalario. Según el recurrente al escuchar dicha grabación, efectuada por el mismo, se puede comprobar que las tres personas que realizan la declaración jurada, dos de ellos facultativos, y uno de ellos el Gerente del Centro Hospitalario, “han faltado completamente en la verdad aún estando bajo juramento”. - El recurrente solicita a la Directora de la AEPD que “Ante la certeza de que se va a acudir al amparo y socorro de los Tribunales de Justicia, así como al Defensor del Pueblo ante ya no sólo todos los ilícitos de los que Ud ya tiene cumplida cuenta, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 y ahora también de una falsedad en declaración jurada, realizada por facultativos en el ejercicio de sus funciones, que este extremo se refleje en su resolución final administrativa de Recuso de Reposición, pues como funcionarios estamos obligados y sino incurriríamos en o recogido en el art´. 404 y 408 Código Penal, así como también en lo estipulado al efecto en el Estatuto Básico del Empleado Público en su título VII, régimen disciplinario, art. 93, responsabilidad disciplinaria.” SEXTO: No obstante lo afirmado por el recurrente, el DVD aportado no contiene registrada ninguna grabación de audio puesto que está vacío, conforme se ha constatado al intentar acceder a su contenido con fecha 19 de febrero de 2020, tal y como se refleja en la Diligencia de misma fecha. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos. 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En primer término, conviene delimitar si los reclamantes están legitimados para interponer recurso de reposición con el propósito de que la resolución impugnada se revise “in peius” para el reclamado, si existe interés suficiente y legítimo para la impugnación de la resolución por parte de los recurrentes, al objeto de que se imponga una sanción. Se tiene en cuenta, al respecto, que la condición de reclamante no otorga por sí la de interesado. Además, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 6/10/2009 determina que “quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. Así se desprende de las sentencias de esta Sala de 6 de noviembre de 2007 y, con mayor nitidez aún, de 10 de diciembre de 2008 . La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. Y por lo que se refiere a los principios generales del derecho administrativo sancionador, aunque en algunas ocasiones esta Sala ha dicho que el denunciante puede impugnar el archivo de la denuncia por la Administración, no se admite que el denunciante pueda impugnar la resolución administrativa final. El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. Es verdad que las cosas no son así en el derecho penal propiamente dicho, donde existe incluso la acción popular; pero ello es debido a que hay normas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 que expresamente establecen excepciones al monopolio público sobre el ejercicio del ius puniendi; excepciones que no aparecen en el derecho administrativo sancionador y, por lo que ahora específicamente interesa, en la legislación sobre protección de datos . Es más: aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contenciosoadministrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso-administrativo. En otras palabras, los tribunales contencioso-administrativos pueden y deben controlar la legalidad de los actos administrativos en materia sancionadora; pero no pueden sustituirse a la Administración en el ejercicio de las potestades sancionadoras que la ley encomienda a aquélla. Cuanto se acaba de decir debe ser objeto de una precisión: el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.); pero, llegado el caso, puede tener legitimación activa con respecto a aspectos de la resolución distintos del específicamente sancionador siempre que, por supuesto, pueda mostrar algún genuino interés digno de tutela.>> Por tanto, el reclamante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.). Por otro lado, la sentencia del Tribunal Supremo, Sala de lo Contencioso, sección: 7, nº de Recurso: 234 / 1995, de 12/09/1997 refiere que el concepto de legitimación y su atribución a un sujeto determinado responden a una misma idea en la vía administrativa y en la contencioso-administrativa: la titularidad por parte del legitimado de un derecho o de un interés legítimo en que prospere su pretensión, como se desprende fundamentalmente del artículo 24.1 de la Constitución. Según el Tribunal Constitucional (S.T.C. 143/1987, F.D. 3º) el interés legítimo, al que se refiere el art. 24.1 (en el que debe disolverse el concepto más restrictivo del art. 28.1.a L.J.C.A.), "equivale a titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta" (SS.T.C. 60/1982, 62/1983, 257/1988 y 97/1991, entre otras)". No existiendo en el supuesto examinado la titularidad de un derecho subjetivo, que en ningún caso puede atribuirse a los reclamantes de una infracción de protección de datos en relación con la sanción de la misma, no se advierte que los recurrentes tengan un interés legítimo en la impugnación ante esta Agencia de la resolución dictada en lo que respecta al tipo de sanción impuesta al reclamado, porque la situación jurídica del reclamante-recurrente no experimenta ventaja alguna por el hecho de que se sancione al reclamado. Por lo tanto, en el presente recurso de reposición, el recurrente no se halla legitimado para que la resolución dictada sea modificada sustituyendo la sanción de apercibimiento impuesta por una multa administrativa. Además, en el supuesto caso de que el recurrente hubiera ostentado legitimación para interponer el recurso examinado, se habría de estar a lo previsto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 el artículo 124 de la Ley 39/2915, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante, LPACAP), precepto que establece el plazo de un mes para la interposición del recurso de reposición, si el acto fuera expreso. A su vez, en el artículo 119 de la misma Ley se dispone que la resolución del recurso estimará, en todo o en parte, o desestimará las pretensiones formuladas en el mismo, o declarará su inadmisión. En el presente caso, teniendo en cuenta que el recurrente tuvo conocimiento de la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 13 de diciembre de 2019 en fecha 9 de enero de 2020, y el recurso de reposición fue presentado en fecha 13 de febrero de 2020. Por lo tanto, se plantea la extemporaneidad del citado recurso. Para fijar el “dies a quo” hay que estar a lo dispuesto en el artículo 30 de la LPACAP, en virtud del cual el cómputo inicial se habría de realizar desde el 10 de enero de 2020, y habría de concluir el 10 de febrero de 2020 al resultar inhábil el domingo día 9 de febrero de 2020. IV Sin perjuicio de lo expuesto en los anteriores Fundamentos de Derecho, en relación con las manifestaciones efectuadas por el recurrente, y teniendo en cuenta que es potestad de la Administración determinar la sanción a imponer atendiendo a las circunstancias del caso, debe señalarse que en los Fundamentos de Derecho VI a VII de la Resolución recurrida se motiva razonadamente que el reclamado resultaba responsable de una infracción a lo dispuesto en el artículo 9.1 del RGPD al igual que se justificaban los motivos por los cuales se consideraba conveniente la imposición de una sanción de apercibimiento de conformidad con lo previsto en el artículo 58.2.
- b)del RGPD. En dichos Fundamentos de Derecho se indica lo siguiente: <<VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 A la vista del conjunto de elementos de prueba obrantes en el procedimiento queda acreditado que el reclamado ha efectuado un tratamiento de datos de salud concernientes al reclamante (categoría especial de datos personales) que está prohibido en el artículo 9.1 del RGPD. Dicha afirmación se sustenta en que el reclamado no ha justificado fehacientemente la concurrencia de la circunstancia prevista en la letra
- a)del apartado segundo del artículo 9 del RGPD, toda vez que las declaraciones juradas aportadas no acreditan que contase con el consentimiento explícito del reclamante para publicar en la página web de su titularidad ***URL.1, asociada al nombre y apellidos del reclamante y a su condición de paciente de la institución, la carta de agradecimiento remitida por aquel en ***FECHA.1 a raíz del tratamiento psicológico seguido en dicho Centro Hospitalario. Asimismo, tampoco concurre ninguna de las otras circunstancias contempladas en el artículo 9.2 de dicha norma que legitimarían el tratamiento de datos de salud estudiado, que el reclamado mantuvo como mínimo hasta que recibió la comunicación del reclamante de ***FECHA.2 El reclamado ha mantenido que procedió a la publicación de la mencionada carta en la página web del centro al mediar consentimiento explícito del interesado para ese fin, puesto que disponía del consentimiento verbal del reclamante para ello, tal y como, según pretende, prueban las declaraciones juradas suscritas con fecha ***FECHA.4 por varios profesionales del centro que intervinieron, bien en la reunión mantenida con el reclamante el día ***FECHA.3 a fin de explicarle las razones del tratamiento, bien en el proceso de gestión del incidente. A fin de valorar su incidencia en la comisión de la infracción imputada conviene conocer su contenido. Así, una de las declaraciones se suscribió en la fecha indicada por el ***PUESTO.1, (Dr. D.D.D.), la Jefa de ***PUESTO.2 del Centro (Dña. E.E.E.) y el ***PUESTO.3 del Centro (Don F.F.F.) en su condición de participantes en la reunión mantenida con el reclamante durante el día ***FECHA.3 en el Centro Hospitalario reseñado. Suscriben que cuando se le explicó al reclamante que la carta objeto de controversia “había sido publicada en la web de la entidad porque él mismo había ofrecido su consentimiento verbal, no negó dicha afirmación, ni la puso en duda en ningún momento. Que de hecho, en la relación con el punto anterior, el interesado manifiesta expresamente que a pesar de que hubiera ofrecido el consentimiento verbal, él consideraba que la legislación obligaba a obtener un consentimiento escrito, y en este sentido, nadie le había transmitido ninguna autorización para firmar.” En relación con esta primera declaración jurada, se observa que se trata de declaraciones de parte suscritas por profesionales al servicio del centro, que, además, no demuestran la pretendida existencia del consentimiento verbal del reclamante ni tampoco su supuesta aceptación de tal circunstancia condicionada a obtener un consentimiento escrito, puesto que conforme con la legislación vigente cuando el tratamiento se base en el consentimiento del interesado, el responsable del tratamiento deberá ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento (artículo 7.1. RGPD y Considerando 42). La otra declaración jurada aportada se suscribió en la fecha indicada por la ***PUESTO.4, (Dña. G.G.G.), quien, con motivo de su participación en la gestión del incidente, declaró: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 “. Que en el análisis de la situación que se realizó en el momento de la solicitud enviada por parte del interesado al centro, durante el pasado mes de agosto, se reunió con la trabajadora que recibió la carga de agradecimiento objeto de esta controversia. .Que en la mencionada reunión, la trabajadora que recibió dicha carta de agradecimiento le transmitió que en el proceso de recogida de dicha carta, el interesado mostró su intención de que se diese a conocer públicamente, ya que, según palabras del interesado, “le gustaría que se conociese la buena labor realizada por el Centro Hospitalario Padre Menni”, dando , por tanto, su autorización a proceder con la publicación que se está discutiendo en este expediente.” En relación con esta segunda declaración jurada, no sólo se aprecia que se trata de una declaración de parte, sino que la declarante se refiere a las manifestaciones de un tercero, en concreto a las que, según declara, le realizó la trabajadora que recibió dicha carta de agradecimiento, quien le transmitió que en el proceso de recogida de dicha carta el reclamante le mostró su intención de que se diese a conocer públicamente, de lo que se colige la autorización del reclamante a proceder a la publicación de la carta en la página web del reclamado. En esta declaración se observa que la declarante no identifica a la trabajadora que indica recibió la carta en cuestión, no informa sobre la forma y fecha exactas en que, supuestamente, el reclamante pudo mostrar a dicha trabajadora en el proceso de recogida de la carta su intención de que dicho documento se diese a conocer públicamente, máxime cuando la carta fue recibida por correo ordinario. A mayor abundamiento, de haberse producido una voluntad de reconocimiento público de tal agradecimiento por parte del reclamante, lo que no está probado, ni del contenido de la propia carta ni de la supuesta manifestación efectuada por el reclamante a la trabajadora se colige que el reclamante estuviera consintiendo en forma explícita la divulgación del contenido íntegro de la referida carta en la página web del centro. Además, el reclamante ha negado reiteradamente haber autorizado en forma alguna al reclamado a publicar la mencionada carta en la reseñada página web. Sentado todo lo cual, el reclamado ha llevado a cabo entre mediados de ***FECHA.1 y ***FECHA.2 un tratamiento de datos de salud del reclamante al publicar en su página web el contenido íntegro de una carta de agradecimiento remitida por aquel al reclamado con motivo del tratamiento psicológico que se cita en la carta, apareciendo reseñados en dicha publicación los datos identificativos y la condición de paciente del centro del reclamante. Con arreglo a lo expuesto, el reclamado resulta responsable de la comisión de una infracción a lo dispuesto en el artículo 9.1 del RGPD, tipificada en el artículo 83.5.
- a)del citado texto legal y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- e)de la LOPDGDD, pudiendo ser sancionado, de acuerdo con lo dispuesto en el artículo 58.2.
- b)del RGPD, con apercibimiento. VII Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD, “Poderes”, disponen que: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” A los efectos de determinar la sanción que lleva aparejada la infracción descrita, se tienen en cuenta los siguientes preceptos: El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.
- b)señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
- a)a
- h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A su vez, el artículo 72.1.
- e)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves”, dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley Orgánica.” En el presente caso, se considera adecuado imponer al reclamado la sanción de apercibimiento prevista en el artículo 58.2.
- b)del RGPD. Para ello, se valoran las siguientes circunstancias: que el tratamiento analizado afecta únicamente a los datos de salud del reclamante; que el reclamado procedió a eliminar dicha publicación de su página web tan pronto como recibió, a principios de agosto de 2018, un escrito del reclamante solicitando recibir las aclaraciones oportunas con motivo de la difusión de la carta estudiada sin su autorización; el reclamado ha reforzado las medidas de seguridad existentes en evitación de incidencias similares que puedan afectar al tratamiento ilícito de datos y/o al del principio de confidencialidad, procediendo a eliminar la posibilidad de publicar cualquier información relativa a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 agradecimientos, felicitaciones, testimonios u opiniones de pacientes en su página web o RRSS, amén de que lo le consta la comisión de ninguna infracción anterior en materia de protección de datos. Confirmada la existencia de la infracción al artículo 9.1 del RGPD descrita, y a la vista de las plantillas que el reclamado adjuntó al escrito de alegaciones presentado al acuerdo de inicio del procedimiento a fin de justificar los cambios introducidos en el procedimiento de recogida de consentimientos escritos para publicar imágenes, grabaciones o informaciones personales en la web u otros medios de difusión, en relación con los modelos presentados bajo la denominación “Consentimiento para la Difusión de Información” y de “Consentimiento para la cesión de Imágenes”, en la propuesta de resolución de fecha 31 de octubre de 2019 se observaron las siguientes irregularidades que afectarían, en su caso, a la validez del consentimiento otorgado si se entiende como referido a los datos de salud, que son los que afectan al caso estudiado: - No incluyen información que permita vincular el consentimiento solicitado en dichos documentos a tratamientos que alcancen categorías especiales de datos personales, entre los que se encuentran los datos de salud. - En el apartado relativo a la finalidad del tratamiento de los datos personales cuyo consentimiento se solicita en el documento “Consentimiento para la cesión de Imágenes”: debería solicitarse diferenciadamente el consentimiento para el tratamiento con la finalidad de promocionar los servicios y dar visibilidad a las actuaciones, el consentimiento para el tratamiento con finalidades terapéuticas y el consentimiento para finalidades de docencia. - En el apartado relativo a los destinatarios: deberían identificarse los Centros vinculados al reclamado a los que podrán comunicarse los datos personales. En relación con el anterior apartado, referido a los destinatarios, conviene puntualizar que la información proporcionada se limitaba a indicar como destinatarios los centros vinculados al reclamado, información que es absolutamente insuficiente ni siquiera como “categorías de destinatarios”, por lo que en este caso deben ser identificados. Sentado lo anterior, en la propuesta de resolución citada se indicaba que con arreglo a lo establecido en el citado artículo 58.2.
- d)del RGPD se consideraba oportuno proponer que en la resolución a adoptar se ordenase al reclamado, como responsable del tratamiento, llevar a cabo la implementación de las medidas técnicas y organizativas necesarias para asegurarse de que el tratamiento de datos de salud publicados en la página web del centro y en otros medios de Internet o soportes sea conforme a lo dispuesto en el artículo 9.2.
- a)del RGPD para esa categoría especial de datos personales. Para lo cual debería obtenerse, en relación con cada uno de los fines específicos a los que respondiera el tratamiento, el consentimiento explícito requerido por la normativa de protección de datos para publicar datos de salud de los pacientes del centro en su página web, redes sociales u otros medios de difusión o soportes. Además, se proponía que, en este caso, también deberían adecuarse las plantillas de obtención del consentimiento presentadas al tipo de categoría de datos recogidos, para todo lo cual debería tenerse en cuenta lo dispuesto en los artículos 7 y 9 del RGPD en relación con las condiciones, prohibiciones y excepciones aplicables a esa categoría especial de datos como son los datos de salud. Se advertía que dichas medidas se habrían de adoptar, en su caso, en el plazo de un mes computado desde el día siguiente al de la notificación de la resolución sancionadora que se acordase, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 debiendo aportarse los medios de prueba acreditativos de su cumplimiento. En cuanto a estas medidas correctoras, el reclamado en su escrito de alegaciones a la propuesta de resolución ha comunicado a esta Agencia la implementación de las medidas que se detallan en el antecedente de hecho séptimo de esta resolución a los efectos de subsanar las deficiencias detectadas y adecuar su conducta a la normativa de protección de datos.>> Por tanto, procede rechazar la manifestación relativa a la “impunidad con la que se ha resuelto” el procedimiento sancionador. Finalmente, en cuanto al DVD adjuntado al recurso debe señalarse que el mismo está vacío, no conteniendo, por tanto, la grabación de audio de la reunión de fecha ***FECHA.3 a la que se refiere el recurrente, y que según este pondría de manifiesto, la falsedad de las declaraciones juradas aportadas al procedimiento por el reclamado. En cualquier caso conviene reseñar que las declaraciones juradas aportadas al procedimiento por el reclamado no fueron tenidas en cuenta en la resolución acordada a los efectos pretendidos por el reclamado, en concreto, la defensa de la existencia de un consentimiento verbal al tratamiento de sus datos otorgado por el ahora recurrente. V Por tanto, en el presente recuso de reposición, no se han aportado nuevas pruebas o argumentos que hagan reconsiderar el sentido de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR el recurso de reposición interpuesto por Don A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 13 de diciembre de 2019, en el procedimiento sancionador PS/00404/2018. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es