REPOSICION-PS-00538-2022

(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. En el presente caso, la documentación obrante en el expediente acredita el incumplimiento del artículo 32.1 del RGPD por la parte denunciada, causado al producirse una posible violación de la seguridad de los datos personales que ha posibilitado el acceso por terceros a los datos contenidos en documentos que fueron abandonados por la misma en un sitio público. A este respecto, las pruebas gráficas incorporadas a las actuaciones demuestran que los documentos fueron hallados en un contenedor de basura ubicado en la vía pública, muy próximo a la localización del establecimiento de farmacia del que es titular la parte denunciada, así como la pertenencia de esa documentación a ese establecimiento. En las imágenes y vídeos remitidos a esta Agencia, tanto por parte de la GC como por la parte denunciante, se pueden observar diversos documentos rotos en varias partes, en un estado que no impide visualizar la información que contienen. Entre ellos, se distinguen facturas simplificadas o tickets de venta (que incorporan un calendario de medicación de los pacientes), hojas y recetas de medicación, informes de prescripción de medicamentos, pedidos de medicación e informes clínicos de alta del paciente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 La propia Guardia Civil, según consta en las diligencias de exposición formalizadas con ocasión de la intervención realizada por la misma, ha confirmado tanto el lugar en el que se produjo el hallazgo de la documentación como su tipología. Consta, asimismo, que tales documentos contienen una variedad de datos personales de pacientes, principalmente, nombre, apellidos, fecha de nacimiento y código de paciente, diagnóstico y medicación prescrita. En el Hecho Probado Segundo se describe con detalle la información contenida en cada uno de los tipos de documentos arrojados al contenedor de basura. La documentación antes indicada se hallaba en el contenedor de basura mezclada con otros documentos, tales como albaranes o facturas expedidos a nombre de la titular de la propia farmacia (parte denunciada) por sus proveedores, en los que figuran sus datos identificativos (nombre, NIF y dirección postal), y sobres de correo postal en los que figura los datos de la parte denunciada como destinataria del envío. El abandono de esta documentación, que solo pudo estar en poder de la parte denunciada, es una prueba válida para acreditar el origen de los documentos hallados en un contenedor público. Si solo la parte denunciada pudo estar en posesión de tales documentos, que fueron arrojados al contenedor de forma simultánea a los demás, debe entenderse acreditado que todos ellos fueron allí abandonados por la misma. Se rechaza, por tanto, la hipótesis planteada en las alegaciones recibidas, según la cual la documentación en cuestión fue depositada en el contenedor por terceros ajenos al establecimiento de farmacia, como pueden ser, según la parte denunciada, la misma parte denunciante o un familiar suyo, que (…) y tiene acceso a algunos de los documentos hallados; los propios pacientes; el centro de salud o los proveedores del establecimiento. Cada uno de los terceros mencionados por la parte denunciada pudo tener acceso a algunos de los documentos, pero ninguno de ellos pudo poseer todos los tipos de documentos a los que se refieren las actuaciones. Así, el personal del centro de salud, el propio centro de salud o los pacientes que figuran en los documentos hallados tienen acceso a documentos como las hojas de medicación, recetas médicas o informes clínicos de alta, pero en ningún caso a los pedidos de medicación de la residencia de (…) o a los albaranes y facturas expedidos a nombre de la parte denunciada o los sobres utilizados en envíos postales dirigidos a la misma. De igual forma, los proveedores de la farmacia disponen de la documentación contable indicada, pero no tienen acceso a la documentación médica. Y lo mismo puede decirse de la Residencia Municipal de (…), que conoce sus propias hojas de pedidos de medicamentos, pero no el resto de documentación. Finalmente, las facturas simplificadas o tickets de venta, que constituyen el mayor volumen de documentación implicada en los hechos, pertenecen al paciente, pero son expedidos por la parte denunciada. No es aceptable, además, que todos ellos, los terceros citados y la misma parte denunciada, coincidieran en el mismo sitio y en tantos días diferentes para depositar en el contenedor de basura aquella documentación (considerando la fecha de las imágenes y vídeos aportados, los Servicios de Inspección de esta Agencia han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 concluido que los hechos denunciados se produjeron, al menos, desde octubre de 2021 hasta enero de 2022). Menos aún, considerando la gran cantidad de documentos que se arrojaron al contenedor en algunas ocasiones. Por otra parte, se tiene en cuenta que los documentos hallados se encontraban rotos a mano en varias partes (entre dos y cuatro fragmentos para cada documento, en su mayor parte rotos en sentido vertical, que no impiden ver la información que contienen), pero no destruidos usando una máquina trituradora de papel, a pesar de que el establecimiento cuenta con una máquina de este tipo y que la política de seguridad adoptada por la parte denunciada contempla que “Cualquier documento físico o soporte digital que quiera ser eliminado y que incluya datos personales, debe ser destruido con la destructora o retirado por una empresa homologada de destrucción de documentos”. También que el hallazgo de documentos se produjo siempre en el mismo contenedor, el más próximo al establecimiento de la parte denunciada, y que en muchas ocasiones se muestra como un auténtico vertido de gran número de documentos, que aparecen amontonados en el interior del contenedor, ocupando una parte importante de este recipiente. No se trata, en ningún caso, de documentos arrojados individualmente por personas distintas. Según se indica en los Hechos Probados, en los vídeos aportados puede verse como la persona que realiza la grabación se acerca al contenedor de basura y muestra el vertido de documentos existente en su interior, que ocupa gran parte del recipiente, para posteriormente alcanzar algunos de esos documentos y mostrarlos ante la cámara, posibilitando comprobar que los documentos vertidos coinciden con los tipos indicados anteriormente. Lo razonamientos expuestos anteriormente, que ya constaban en la propuesta de resolución, responden suficientemente las alegaciones formuladas por la parte denunciante sobre la falta de prueba que acredite la autoría de las infracciones. En contra de lo manifestado por la parte denunciante, las conclusiones obtenidas no se basan en el relato de hechos o meras manifestaciones de la parte denunciante, sino en las pruebas gráficas y documentación aportadas a las actuaciones, no solo por la parte denunciante sino también por la Guardia Civil, que llevó a cabo las intervenciones oportunas para confirmar el vertido de documentos en el contenedor de basura aludido y la tipología de documentos hallados. No son meros indicios el arrojo de documentación y la relación de esta documentación con la farmacia, atendiendo a su tipología y procedencia. Como puede apreciarse en aquellos razonamientos, las pruebas han sido convenientemente valoradas con todo el rigor de la lógica jurídica. Por contra, no son lógicos los planteamientos que la parte denunciada realiza para sostener sus alegaciones cuando niega que la documentación emitida a su nombre, como las facturas o albaranes, hubiese llegado a estar en su posesión. Lo mismo puede decirse de los sobres utilizados en envíos postales dirigidos a la persona titular de la farmacia o los pedidos que le realiza la residencia municipal, documentos estos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 que también se encuentran entre los hallados en el contenedor de basura, pero no se mencionan por la parte denunciada en sus alegaciones. No se estima suficiente para destruir la valoración realizada de las pruebas, a juicio de esta Agencia, el hecho de negar que esta documentación hubiese llegado a estar en posesión de la farmacia o insinuar que los emisores de estos documentos fueron los que arrojaron los mismos al contenedor, de manera simultánea al arrojo del resto de documentos por otros terceros y en las numerosas ocasiones en que se produjo. Tampoco cabe admitir como cierto que estos terceros (pacientes, proveedores, personal sanitario, etc.) pudo tener acceso a toda la documentación, ni otras afirmaciones contenidas en el escrito de alegaciones de la parte denunciada, según las cuales la documentación se abandonó por los propios pacientes, a pesar de que la documentación hallada incluye documentos que nunca pudieron estar a disposición de éstos. Según la parte denunciada, los hechos no vinculan a la farmacia con la documentación. Sin embargo, a juicio de esta Agencia, es la documentación la que vincula a la farmacia con el hallazgo de dicha documentación en un sitio público. Un hallazgo que no se discute por la parte denunciada tanto como discute su autoría. Por otra parte, la parte denunciada cuestiona el valor probatorio de la prueba documental indicada y dice impugnarla conforme a lo establecido en el artículo 326.2 de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, referido a la impugnación de la autenticidad de los documentos privados. Sin embargo, no se pone de manifiesto ningún razonamiento que cuestione la autenticidad de tales pruebas ni se propone ningún medio de prueba al respecto, de modo que aquella documentación se valora conforme a las reglas de la sana crítica, de acuerdo con el mismo precepto invocado. En definitiva, los hechos expuestos ponen de manifiesto que la entidad denunciada no ha respetado de manera efectiva las medidas técnicas y organizativas apropiadas para garantizar la seguridad y confidencialidad de los datos, especialmente las dirigidas a impedir el acceso a la información por terceros no autorizados. No se cuestionan en este acto la idoneidad o adecuación de las medidas y protocolos implantados por la parte denunciada para garantizar la seguridad de la información de la que es responsable, que constan acreditadas en el expediente, sino su incumplimiento por la parte denunciada, que ha dado lugar al acceso por terceros a dicha información. En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en el artículo 32 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. De acuerdo con todo lo expuesto, no cabe estimar la ausencia de culpabilidad alegada por la parte denunciada al considerar que no se ha probado su culpabilidad o negligencia. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 sancionarse una actuación intencionada o voluntaria. En esta línea cabe citar la SAN de 21 de enero de 2010, en la que la Audiencia expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29/06/2001). En este caso, los hechos expuestos ponen de manifiesto que la parte denunciada no obró con la diligencia a la que venía obligada, provocando una pérdida de confidencialidad vinculada a la inobservancia de una serie de medidas de seguridad implantadas, causada, precisamente, por esa falta de diligencia. En este sentido, la Sentencia del Tribunal Supremo de 15 de febrero de 2022 (Rec. 7359/2020) indica que “No basta con diseñar los medios técnicos y organizativos necesarios, también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso”. Esa falta de diligencia de la parte denunciada, como responsable del tratamiento, a la hora de observar las medidas de seguridad es lo que constituye el elemento de la culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 Se concluye, por tanto, en contra de lo objetado por la parte denunciada, que el elemento subjetivo sí está presente en la infracción declarada. Por otra parte, en repuesta a las alegaciones de la parte denunciada, es preciso señalar que no corresponde a esta Agencia valorar las decisiones adoptadas por otras Administraciones Públicas que tuvieron conocimiento de los hechos relatados, a las que se refiere la parte denunciante reiteradamente en sus escritos de alegaciones. No obstante, debe indicarse al respecto que tales decisiones no son vinculantes para esta Agencia, que adopta sus decisiones conforme a lo establecido en la normativa de protección de datos personales y de acuerdo con los principios y normas que rigen el procedimiento administrativo sancionador. Y tampoco corresponde a esta Agencia determinar las causas por las que la parte denunciada estaba en posesión de la documentación vertida en el contenedor. Ni interesan al proceso las razones subjetivas que pudieron llevar a la parte denunciante a formular su denuncia, sino solo los hechos objetivos que determinan las infracciones. En cuanto a los precedentes citados por la parte denunciada, destacando que en los casos respectivos se acordó por esta Agencia el archivo de las actuaciones considerando que la documentación abandonada en la vía pública pertenecía a los pacientes, cuya custodia no corresponde al médico prescriptor o al farmacéutico dispensador, debe señalarse lo siguiente: . En uno de los casos (E/00246/2010), la documentación hallada estaba integrada solo por la “copia del asegurado” de diez partes, aproximadamente, de “autorizaciones de pruebas diagnósticas y tratamiento” de una sociedad médica, hallados en el contenedor de basura existente junto a un centro médico, el cual disponía de registros de incidencia que acreditaba la destrucción de documentos similares cuando eran abandonados en la clínica por los interesados. . En el otro caso (E/03089/2009), la documentación hallada en la vía pública correspondía al “volante de instrucción al paciente” que acompaña al cuerpo de las recetas expedidas por el servicio de salud de Castilla La Mancha, que fue hallada fuera del territorio de esta Comunidad Autónoma. Dicha documentación pertenecía a pacientes que residían en una Residencia Geriátrica que tenían contratado el suministro de medicamentos con una entidad externa, de modo que no pudo vincularse a la Administración Pública que emitía las recetas con el hallazgo de documentación. III Obligación incumplida. Deber de confidencialidad Por otra parte, el artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona, entre ellos, el de “integridad y confidencialidad”: “1. Los datos personales serán: (…) f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”). (…)”. La documentación obrante ofrece evidencias suficientes para concluir que la parte denunciada vulneró el artículo 5.1.f) del RGPD, que regula el deber de confidencialidad, materializado en el acceso por parte de terceros a los datos personales de los afectados incluidos en la documentación referida en el Fundamento de Derecho anterior, que fue hallada en un contenedor de basura por un particular (la parte denunciante), el cual accedió a la información personal contenida en dicha documentación. Se trata de una difusión de datos personales para la que la parte denunciada no dispone de base jurídica que la legitime. Este deber de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por sus titulares. En consecuencia, de conformidad con las evidencias expuestas y considerando, asimismo, lo expuesto en el Fundamento de Derecho anterior, los citados hechos suponen una vulneración de lo dispuesto en el artículo 5.1.f) del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. IV Respuesta alegación “non bis in idem” La parte denunciada invoca el principio “non bis in idem”, que impide poner dos o más sanciones administrativas por un mismo hecho y cita lo dispuesto en el artículo 29.5 de la LRJSP, según el cual “cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. Significar a este respecto que el artículo 29 de la LRJSP no resulta de aplicación al régimen sancionador impuesto por el RGPD, en tanto que norma europea directamente aplicable en los Estados miembros, que contiene un sistema nuevo, cerrado, completo y global destinado a garantizar la protección de datos de carácter personal de manera uniforme en toda la Unión Europea. En relación con el régimen sancionador dispuesto en el mismo, resultan de aplicación sus disposiciones de manera inmediata, directa e íntegra, previendo un sistema completo y sin lagunas que ha de entenderse, interpretarse e integrarse de forma absoluta, completa, íntegra, dejando así indemne su finalidad última que es la garantía efectiva y real del DDFF a la Protección de Datos de Carácter Personal. Lo contrario determina la merma de las garantías de los derechos y libertades de los ciudadanos. De hecho, una muestra específica de la inexistencia de lagunas en el sistema del RGPD es el artículo 83 del RGPD que determina las circunstancias que pueden operar como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que especifica la regla existente relativa a un posible concurso medial (art. 83.3 del RGPD). Este último precepto establece lo siguiente: “3. Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves”. A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo desarrolla o concreta algunos aspectos del RGPD en lo que éste le permite y con el alcance que le permite. Ello es así porque la finalidad pretendida por el legislador europeo es implantar un sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el cumplimiento y que posibilite la libre circulación de estos datos. En este sentido, el considerando 2 del RGPD determina que, “

(2)Los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. El presente Reglamento pretende contribuir a la plena realización de un espacio de libertad, seguridad y justicia y de una unión económica, al progreso económico y social, al refuerzo y la convergencia de las economías dentro del mercado interior, así como al bienestar de las personas físicas”. Sigue indicando el considerando 13 del RGPED que, “

(13)Para garantizar un nivel coherente de protección de las personas físicas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos personales dentro del mercado interior, es necesario un reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos, incluidas las microempresas y las pequeñas y medianas empresas, y ofrezca a las personas físicas de todos los Estados miembros el mismo nivel de derechos y obligaciones exigibles y de responsabilidades para los responsables y encargados del tratamiento, con el fin de garantizar una supervisión coherente del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como la cooperación efectiva entre las autoridades de control de los diferentes Estados miembros. El buen funcionamiento del mercado interior exige que la libre circulación de los datos personales en la Unión no sea restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales”. Para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD en cada uno de los Estados miembros aplicando su derecho nacional, como la aplicación de un concurso medial distinto del dispuesto en el RGPD, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias (artículo 83.1 del RGPD). Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. Además, no existe una laguna legal respecto de la aplicación del concurso medial que haga necesaria la aplicación supletoria del artículo 29 de la LRJSP, que no está prevista en el RGPD ni por la LOPDGDD. En el Título VIII de la LOPDGDD relativo a “Procedimientos en caso de posible vulneración de la normativa de protección de datos”, el artículo 63 que abre el Título dispone que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Si bien existe una remisión clara a la LPACAP, no se establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no contiene en su articulado disposición alguna relativa a “procedimiento administrativo” alguno. De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos en el artículo 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende, no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de apartado relativo al concurso medial y por idénticas razones. Frente a lo expuesto, la parte denunciada defiende en sus alegaciones a la propuesta de resolución la aplicación supletoria del derecho administrativo a los procedimientos instruidos por la Agencia, según señala el artículo 3 de su Estatuto. Cuestión esta que no se discute, pero que no alcanza al artículo 29.5 de la LRJSP por las razones indicadas. Por lo demás, en el presente caso se sanciona por las infracciones que resultan del incumplimiento de lo establecido en los artículos 5.1.

1. f)y 32 del RGPD. La confidencialidad y la seguridad de los datos tienen su reflejo fundamentalmente en estos dos preceptos independientes del RGDP. El artículo 5.1.
2. f)del RGPD es uno de los principios relativos al tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Pues bien, el artículo 5.1.
3. f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Establece una obligación de resultado, no objetiva. Por otra parte, el artículo 32 del RGPD reglamenta cómo ha de articularse la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. Como podemos ver, el artículo 32 del RGPD, aunque relacionado con el artículo 5.1.
4. f)del RGDP, no circunscribe el principio en su totalidad. El artículo 5.1.
5. f)del RGPD exige taxativamente que se garantice la confidencialidad, y requiere para su imputación una pérdida de confidencialidad. Podemos encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello haya una pérdida de integridad y confidencialidad. Por lo expuesto, no hay quiebra del principio “non bis in idem”, toda vez que no hay identidad de hechos ni de fundamento jurídico. V Tipificación y calificación de las infracciones La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
6. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
7. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)”. Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
8. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679. (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 Por otra parte, el incumplimiento de lo establecido en el artículo 5.1.
9. f)del RGPD supone la comisión de una infracción tipificada en el apartado 5.
10. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VI Poderes correctivos Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
13. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
14. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
15. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
16. d)anterior es compatible con la sanción consistente en multa administrativa. VII Sanción Con respecto a las infracciones de los artículos 32 y 5.1.
17. f)del RGPD, atendiendo a los hechos expuestos y sin perjuicio de lo que resulte de la instrucción del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27 se considera que la sanción que correspondería imponer es de multa administrativa. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
18. a)a
19. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
20. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
21. b)la intencionalidad o negligencia en la infracción;
22. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
23. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
24. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
25. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
26. g)las categorías de los datos de carácter personal afectados por la infracción;
27. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
28. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
29. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
30. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
31. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
32. a)El carácter continuado de la infracción.
33. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
34. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
35. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
36. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
37. f)La afectación a los derechos de los menores.
38. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27
39. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Además de lo señalado, debe considerarse lo establecido en el artículo 83.1 del RGPD, según el cual “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias”. En este caso, considerando la gravedad de las infracciones constatadas, atendiendo especialmente a la naturaleza de los datos personales afectados, procede la imposición de multa, además de la adopción de medidas. No cabe aceptar la solicitud formulada por la parte denunciada para que se impongan otros poderes correctivos que hubiesen permitido la corrección de la situación irregular, como es el apercibimiento, que está previsto para infracciones leves o cuando se trate de personas físicas y la sanción constituya una carga desproporcionada. El Considerando 148 del RGPD se refiere a esta cuestión en los siguientes términos: “

(148)A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento…”. El presente caso no se ajusta a ninguno de los supuestos previstos en el RGPD, pues (

1. i)ninguna de las infracciones por las que se sanciona está calificada como leve; (
2. ii)los incumplimientos que motivan la imposición de sanciones se producen en el marco de la actividad profesional de la parte denunciada que, por tanto, no interviene en los hechos bajo la condición de persona física, en el sentido contemplado en la norma; y (iii) la multa que se impone no constituye una carga desproporcionada para la parte denunciada. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de pequeña empresa y el volumen de negocio de la parte denunciada (…). De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones a imponer en el presente caso, se considera que procede graduar las sanciones de acuerdo con los siguientes criterios que establecen los preceptos transcritos: 1. Infracción del artículo 32 del RGPD, tipificada en el 83.4.
3. a)del citado RGPD, y calificada como grave a efectos de prescripción en el artículo 73.
4. g)del RGPD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
5. a)del RGPD: “
6. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 nivel de los daños y perjuicios que hayan sufrido”. . La naturaleza y gravedad de la infracción, atendiendo a la naturaleza de la información personal a la que se refiere la conducta infractora. La parte denunciada considera que no puede considerarse este factor de graduación dado que la Agencia no valora qué documentación está relacionada con la parte denunciada, si bien se trata esta de una cuestión que ya ha sido justificada a lo largo del presente acto. También entiende que deberían evaluarse las medidas de seguridad establecidas en los procedimientos de la farmacia. Sin embargo, las infracciones que se sancionan resultan de la no atención de las medidas adoptadas por la responsable. En todo caso, estas cuestiones difieren de lo expresado anteriormente al valorar la naturaleza y gravedad de la infracción, que a juicio de esta Agencia resulta de la naturaleza de la información personal a la que se refieren los hechos. . En relación con la duración de la infracción, consta en las actuaciones que la conducta infractora se produjo en repetidas ocasiones durante varios meses. Que las infracciones se producen durante un período prolongado es una evidencia constatada, que resulta no solo de las fechas de los documentos, sino también de las pruebas gráficas aportadas, cuya grabación guarda relación con las fechas de los documentos hallados, y del tiempo transcurrido entre la denuncia en febrero de 2022 y las comprobaciones realizadas sobre nuevos abandonos de documentación por la Guardia Civil en abril del mismo año. . Número de interesados: la infracción afecta a decenas de clientes de la parte denunciada y a facultativos sanitarios. No es necesario a estos efectos distinguir los interesados afectados entre los diversos tipos de documentos, como señala la parte denunciada. . La naturaleza de los perjuicios causados a las personas interesadas, que han visto incrementado el riesgo en su privacidad. Sobre esta cuestión alega la parte denunciada que no se han examinado los posibles afectados ni se han cuantificado, lo que está más en relación con el factor de graduación anterior que con el relativo a los perjuicios sufridos por los interesados. . Artículo 83.2.
7. b)del RGPD: “
8. b)la intencionalidad o negligencia en la infracción". En este supuesto la negligencia de la parte denunciada debe calificarse de “grave”, por cuanto había dispuesto las medidas de seguridad pertinentes y disponía de los medios para ejecutarlas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/27 A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. La parte denunciada realiza tratamientos de datos personales relativos a la salud de manera sistemática y debe extremar el cuidado en el cumplimiento de sus obligaciones en la protección de los mismos. Entiende esta Agencia que la diligencia tiene que deducirse de hechos concluyentes, que consten debidamente acreditados y directamente relacionados con los elementos que configuran la infracción, de tal modo que pueda deducirse que la misma se ha producido a pesar de todos los medios dispuestos por el responsable para evitarla. En este caso, la actuación de la parte denunciada no tiene este carácter. La negligencia se considera ateniendo al hecho de que la parte denunciada no respetó sus propias medidas de seguridad, no al hecho de haberlas adoptado, obviamente. . Artículo 83.2.
9. g)del RGPD: “
10. g)las categorías de los datos de carácter personal afectados por la infracción”. Se trata de datos personales relativos a la salud de las personas, especialmente merecedores de garantías. . Artículo 76.2.
11. b)de la LOPDGDD: “
12. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales relativos a la salud de las personas, considerando la actividad que desarrolla. No comparte esta Agencia lo indicado por la parte denunciada en sus alegaciones sobre la inexistencia de relación entre este factor de graduación y las infracciones sancionadas. Se considera, asimismo, que concurren como atenuantes las circunstancias siguientes: . Artículo 83.2.
13. k)del RGPD: “
14. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/27 El alcance meramente local de los hechos constitutivos de infracción. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 32 del RGPD, es de 4.000 euros (cuatro mil euros). 2. Infracción del artículo 5.1
15. f)del RGPD, tipificada en el artículo 83.5.
16. a)del citado Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
17. a)de la LOPDGDD: Se estiman concurrentes como agravantes y atenuantes los mismos criterios de graduación señalados en el caso anterior. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 5.1.
18. f)del RGPD, es de 6.000 euros (seis mil euros). Los importes de las sanciones propuestas, en contra de lo señalado por la parte denunciada en sus alegaciones a la apertura del procedimiento, se encuentran dentro de los límites establecidos en los artículos 83.4.
19. a)y 83.5.a). No comparte esta Agencia la idea expresada en dichas alegaciones sobre la imposibilidad de que la sanción a imponer supere el 2% o el 4% del volumen de negocio anual de la entidad responsable, según se trate de infracciones tipificadas en el artículo 83.4.
20. a)o 83.5.a), respectivamente. Dichos artículos establecen una cuantía de multa equivalente a los porcentajes indicados respecto al volumen de negocio anual, o bien una multa de 10 o 20 millones como máximo, debiendo optarse por la de mayor cuantía. A este respecto, ya se ha dicho que al establecer el importe de la multa propuesta se ha tenido en cuenta el volumen de negocio y la condición de pequeña empresa de la parte denunciada. Por otra parte, considera la parte reclamada que ha de valorase como atenuante la inexistencia de infracciones previas. Sin embargo, ninguno de los factores de graduación considerados queda atenuado por el hecho de que la entidad reclamada no haya sido objeto de un procedimiento sancionador con anterioridad. A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica que “… el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Del mismo modo, debe rechazarse la atenuante relativa al grado de cooperación mostrado por la parte denunciada, que ésta valora únicamente a partir del mero hecho de haber respondido los requerimientos que le fueron realizados por los servicios de esta Agencia. Sobre esta cuestión, en las directrices 04/2022, sobre el cálculo de multas administrativas bajo el RGPD, adoptadas por el Comité Europeo de Protección de Datos en fecha 24/05/2023, se declara que “la obligación general de cooperar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/27 incumbe al responsable y al encargado con arreglo al artículo 31 del RGPD, y que la falta de cooperación puede dar lugar a la aplicación de la multa prevista en el artículo 83, apartado 4, letra a), del RGPD. Por lo tanto, debe considerarse que el deber ordinario de cooperación es obligatorio y, por lo tanto, debe considerarse neutral (y no un factor atenuante)” (traducción no oficial). Lo mismo puede decirse respecto de la ausencia de beneficios también alegada como atenuante por la parte denunciada. Sobre este criterio, el artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la comisión de la infracción” y no la ausencia de estos beneficios. La misma Sentencia de la Audiencia Nacional citada, de 05/05/2021, se refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
22. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
23. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de cada caso individual y, en el presente, no se estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante para valorar la gravedad de la conducta infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora podrá considerarse como una atenuante, en aplicación del artículo 83.2.
24. k)del RGPD, que se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso”. Nada se indica en las alegaciones a la propuesta de resolución formuladas por la parte denunciada respecto de los límites de las sanciones a imponer o sobre las atenuantes cuya aplicación se solicitó en las alegaciones a la apertura del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/27 procedimiento, analizadas anteriormente. Por lo demás, la parte denunciada cuestiona los factores y criterios de graduación tenidos en cuenta al establecer la multa propuesta, pero lo hace sobre las mismas razones ya expuestas y rebatidas en relación con la inexistencia de infracción y la ausencia de pruebas que acrediten la autoría de los hechos y las circunstancias valoradas. VIII Adopción de medidas Confirmada las infracciones, procede imponer a la parte denunciada la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
25. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el texto de la presente propuesta de resolución se establecen cuáles han sido las infracciones cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la parte denunciada para que, en el plazo que se determina en la parte dispositiva, cese en el tratamiento en cuestión, absteniéndose de seguir depositando documentación en la que figuren datos personales de terceros en un lugar accesible al público y, en su caso, de pretender la destrucción de la documentación en cuestión, se adopten las medidas de seguridad adecuadas. Debe recordarse que en el marco de las actuaciones previas de investigación desarrolladas por esta Agencia se acordó requerir a la parte denunciada, como medida cautelar posteriormente confirmada en el acuerdo de apertura del presente procedimiento, para que cesara en la conducta consistente en depositar documentación con información personal en un contenedor de basura próximo al establecimiento que dirige. Por tanto, la medida que se impone equivale a elevar a definitiva la medida cautelar impuesta. Esta medida es cuestionada por la parte denunciada en sus alegaciones a la propuesta de resolución, pero lo hace nuevamente amparándose en su negativa a reconocer la autoría de las infracciones, que ya ha sido suficientemente analizada en este acto. Finalmente, se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/27 RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador>>. En su escrito de recurso, la parte recurrente se limita a reproducir los argumentos expuestos en los escritos de alegaciones presentados durante la tramitación del procedimiento que dio lugar a la resolución impugnada, sin considerar los hechos constatados y los fundamentos que sirven de base al acuerdo adoptado, en los que, además, se analizan ampliamente las circunstancias puestas de manifiesto por la dicha parte y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en el recurso quedan sobradamente rebatidos con los argumentos transcritos, que se consideran válidos y suficientes para rechazar el archivo de las actuaciones solicitado. En el recurso ahora examinado, para defender que la resolución impugnada se basa en meras suposiciones, la parte recurrente construye un relato de hechos alternativo, según el cual pudo ser la parte denunciante la que recopilara la documentación y realizara posteriormente los vertidos en el contenedor de basura, llegando a afirmar que la parte denunciante es la única que pudo acceder a toda la documentación, extrayéndola del mismo contenedor en el que la habían depositado los clientes de la farmacia u obteniéndola por otros medios. Para dar verosimilitud a este relato, la parte recurrente se ha visto obligada a justificar en el recurso cómo pudo la parte denunciante acceder a documentos que pertenecen a la propia farmacia, cómo pudo obtenerlos y posteriormente depositarlos en el contenedor de basura junto con el resto de documentación hallada. Esto ha motivado que la parte recurrente modifique las afirmaciones defendidas durante el procedimiento que dio lugar a la resolución impugnada respecto de los albaranes expedidos a su nombre por sus suministradores. Durante el procedimiento negó haber depositado estos albaranes en el contenedor, alegando al respecto que tales documentos pudieron ser depositados en ese lugar por los mismos suministradores al salir de la farmacia. Ahora, en el recurso, reconoce haber depositado ella misma los albaranes en el contenedor de basura, insinuando que ello permitió a la parte denunciante disponer de los mismos para verterlos posteriormente en el mismo lugar junto con los demás documentos. Se dice en el recurso que la parte denunciante “ha podido acceder a toda la documentación obrante en el expediente, recabando parte de la tirada por la Farmacia en el contendor (los albaranes) …”. La parte recurrente nada indica en el recurso, en cambio, en relación con otra documentación que también le pertenece y fue igualmente hallada en el contenedor, como las facturas emitidas a su nombre o los sobres de correo postal en los que figuran sus datos como destinataria. Y lo mismo puede decirse de las hojas de pedidos de medicamentos elaboradas por la Residencia Municipal, que tampoco se mencionan en el recurso. La parte recurrente omite mencionar esta documentación al intentar justificar que la parte denunciante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/27 estaba en condiciones de obtener toda la documentación hallada en el contenedor de basura. Interesa destacar a este respecto que la resolución recurrida ya advirtió que las alegaciones realizadas por la parte denunciada, ahora recurrente, omitían cualquier referencia a esta documentación (sobres de correo postal y hojas de pedido de la Residencia Municipal), dando a entender que ello debilitaba sus planteamientos sobre la posibilidad de que la documentación hubiese sido abandonada por terceros ajenos a la farmacia. En definitiva, como ya se expone en los Fundamentos de Derecho transcritos, esta Agencia considera que la documentación abandonada en un contenedor público solo pudo estar en posesión de la parte recurrente; y se rechaza nuevamente la hipótesis planteada en el recurso según la cual la documentación fue depositada en ese lugar por otras personas. En cuanto al importe de la multa impuesta, que la parte recurrente considera desproporcionado, ninguna mención hace el recurso a los factores y criterios de graduación apreciados en la resolución, y tampoco a las razones que determinaron la desestimación de aquella supuesta falta de proporcionalidad, que ahora se plantea nuevamente en base a las mismas circunstancias rechazadas en la resolución. Por último, señalar que, confirmada la infracción, procede imponer a la parte denunciada la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de agosto de 2023, en el expediente EXP202203538. SEGUNDO: REQUERIR a A.A.A. para que, en el plazo de un mes, contado desde la notificación de la presente resolución, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VIII de la resolución recurrida, y justifique ante esta Agencia Española de Protección de Datos la atención del presente requerimiento en el mismo plazo. TERCERO: NOTIFICAR la presente resolución a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/27 CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
26. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
27. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es