← España

REPOSICION-PS-00563-2015

1/13 Procedimiento nº.: PS/00563/2015 ASUNTO: Recurso de Reposición Nº RR/00323/2016 Examinado el recurso de reposición interpuesto por Doña A.A.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00563/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 28 de marzo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00563/2015, en virtud de la cual se imponía a Doña A.A.A., una sanción de 2.500 euros, por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45, apartados 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 4 de abril de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00563/2015, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: Con fecha 30 de octubre de 2014, un vecino de la zona del Fondillo, Tafira en Las Palmas de Gran Canaria, Las Palmas, encontró en un contenedor de basura unos archivadores que contenían informes médicos con datos personales. Entregó la documentación encontrada al periódico “La Provincia”. SEGUNDO: El periódico contactó con el hospital para informar de lo sucedido, y un responsable del hospital comprobó que se trataba de copias de algunos documentos sueltos de los contenidos en las historias clínicas de pacientes del área de cardiología del hospital, ya que los originales estaban en el Archivo de Historias clínicas del hospital. El periódico se negó a devolver los documentos al hospital. TERCERO: Ese mismo día, el Hospital interpuso una denuncia ante la Policía, que se personó en el periódico e incautó los documentos encontrados en el contenedor de basura. El hospital solicitó a la policía la devolución de dicha documentación, que fue atendida y en la actualidad las copias se encuentran custodiadas en el archivo de historias clínicas del Hospital. CUARTO: El hospital inició una investigación interna, no detectando ninguna alteración en el archivo de historias clínicas ni falta de documentación del Servicio de Cardiología. Se contactó con los médicos adscritos al mismo confirmando que ninguno de ellos estaba relacionado con los hechos. No obstante, una cardióloga que había dejado de trabajar en el hospital a principios del año 2010, reconoció que esa documentación era suya y que consistía en fotocopias que había hecho de información relativa a pacientes que había tratado en el hospital. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 QUINTO: Consta en el expediente una copia del procedimiento nº 0007137/2014 del Juzgado de Instrucción número 7 de las Palmas de Gran Canaria que concluyó mediante Auto de 21 de noviembre de 2014 que acuerda el sobreseimiento provisional y archivo de la causa.” TERCERO: Doña A.A.A. ha presentado en fecha 4 de mayo de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en que la conducta realizada por la recurrente no es constitutiva de las infracciones imputadas. La conducta sancionada fue realizada por la recurrente con conocimiento y consentimiento de los responsables del Hospital Universitario de Gran Canaria Dr. Negrín, que crearon la convicción de la Dra. A.A.A. y sus compañeros de que hacer lo que hacían no suponía infracción. Durante los ocho años que trabajo en el Hospital mencionado era habitual que los médicos realizasen copias de pruebas y evaluaciones médicas practicadas a pacientes para su estudio individual y para trabajos de investigación, ya que no tenían tiempo en el Centro debido a la carga asistencial. Este hecho era conocido y consentido por el Centro. El responsable de ese incumplimiento de medidas de seguridad sería el Servicio Canario de Salud al ser el titular del fichero de historias clínicas, permitir esa actuación y no darle instrucciones en contrario. Los documentos han estado custodiados en el domicilio de (C/....1) y cuando aparecieron en un contenedor en la calle, 30 y 31 de octubre de 2014, ella trabajaba en Barcelona y desde allí salió para Dubai. Por ello, solicita el archivo del procedimiento o subsidiariamente la imposición de la multa en su cuantía mínima, 900 euros, ya que no hubo dolo, ni intencionalidad, ni negligencia, no hay reincidencia y no se han ocasionado perjuicios. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Doña A.A.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “

  1. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento
  2. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, Dª A.A.A. manifestó a la Policía que “Los seis archivadores se encontraban dentro de unas bolsas de plástico en una estantería de su casa, sita en la calle…., y que habían llegado al contenedor de basura debido a que sus padres, por error y pensando que era basura, habían depositado las bolsas en el contenedor de basura al realizar unas reformas y posterior limpieza de la vivienda.” La doctora ha manifestado a esta Agencia que los documentos se obtuvieron en el ejercicio de su actividad profesional con el conocimiento y consentimiento de los responsables del Hospital Universitario de Gran Canaria Dr. Negrín, que el uso de estos datos ha sido estrictamente profesional, en cumplimiento de las obligaciones que como médico del servicio de cardiología le incumben y que esa documentación se utilizó para el estudio de los casos y para trabajos de investigación para la publicación de artículos. Por lo tanto debe considerarse como responsable del tratamiento de dicha documentación por lo que Dª A.A.A. está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. III El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
  3. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte la letra
  4. c)del mismo artículo permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
  5. h)de la LOPD tipifica como infracción grave el “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  6. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  7. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  8. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  9. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Entre las medidas de seguridad de nivel básico, el Reglamento expone en su artículo 92, respecto de la gestión de soportes y documentos, que: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” En el presente caso la Policía comprobó, en las diligencias previas 7137/2014 iniciadas por denuncia del hospital Doctor Negrín, que los documentos localizados en un contenedor de basura eran copias de los contenidos en las historias clínicas de pacientes del Servicio de Cardiología del citado hospital de Las Palmas. Que el hospital, tras una investigación interna en la que no se detectó alteración en el archivo de historias clínicas, contactó con los médicos adscritos al Servicio de Cardiología confirmando que no tenían relación con los hechos. No obstante una cardióloga reconoció que esa documentación eran fotocopias que ella había hecho de información de pacientes que había tratado en el hospital en el que trabajó hasta principios del año 2010. La Policía, en las diligencias previas mencionadas, adjunta una relación con los nombres de 274 personas cuyos datos constaban en los documentos encontrados. Dª A.A.A. manifestó a la Policía que “Los seis archivadores se encontraban C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 dentro de unas bolsas de plástico en una estantería de su casa…., y que habían llegado al contenedor de basura debido a que sus padres, por error y pensando que era basura, habían depositado las bolsas en el contenedor de basura al realizar unas reformas y posterior limpieza de la vivienda.” La doctora ha manifestado a esta Agencia que los documentos se obtuvieron en el ejercicio de su actividad profesional con el conocimiento y consentimiento de los responsables del Hospital Universitario de Gran Canaria Dr. Negrín. Declara que el uso de estos datos ha sido estrictamente profesional, en cumplimiento de las obligaciones que como médico del servicio de cardiología le incumben y que esa documentación se utilizó para el estudio de los casos y para trabajos de investigación para la publicación de artículos. En el presente procedimiento se imputa la vulneración de las medidas de seguridad previstas en el artículo 9 de la LOPD por parte de Dª A.A.A. como responsable del tratamiento de los documentos por ella custodiados en su casa, según la definición del artículo 3.
  10. d)de la LOPD, por lo que está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. La responsable del tratamiento ha manifestado, en las alegaciones al acuerdo de inicio del presente procedimiento, que la finalidad de la documentación por ella custodiada en su casa fue la realización de trabajos de investigación con los que se publicaron artículos en revistas especializadas. A este respecto cabe recordar que, la excepción al consentimiento expreso del afectado para el tratamiento de datos que hagan referencia a la salud previsto en el artículo 7.3 de la LOPD, en ausencia de habilitación legal, está recogido en el punto 6 del mismo artículo 7. En este apartado se expone que no obstante el consentimiento exigido, podrán tratarse los datos cuando resulte necesario en una serie de supuestos entre los que no se encuentra el supuesto alegado por la imputada en este procedimiento de “la investigación”. Para el tratamiento de los datos personales relacionados con la salud de los pacientes de un hospital con la finalidad de investigación, es preciso recabar su consentimiento expreso para esta nueva y diferente finalidad de las previstas en el artículo 7.6 de la LOPD que son las únicas finalidades para las que la LOPD exceptúa del consentimiento expreso del afectado: prevención, diagnóstico médicos, asistencia sanitaria, tratamientos médicos, gestión de servicios sanitarios, y realizados por profesional sanitario sujeto a secreto profesional u otra persona sujeta a equivalente obligación de secreto. La finalidad de investigación también es diferente de la prevista en la ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, cuyo artículo 16 establece que solo es posible la comunicación y el acceso a los datos de la historia clínica con las finalidades de prevención, diagnóstico y asistencia sanitaria necesarias para la asistencia de los pacientes. El acceso a la historia clínica con una finalidad diferente a estas requerirá el consentimiento expreso del afectado para el tratamiento de sus datos de salud con la finalidad de que se trate, como en este caso, la de investigación. Dª A.A.A. expone de nuevo, en sus alegaciones a la propuesta de resolución, que los datos se utilizaban en el ámbito de su actividad profesional médica y al objeto de realizar estudios que redundaran en una mejora de la actividad asistencial, y añade que los datos hallados en el contenedor de basura no se llegaron publicar ni se desvelaron. Como ya hemos visto, el tratamiento de los datos personales relacionados con la salud para la finalidad de investigación clínica precisa de un consentimiento expreso del afectado, para esa finalidad específica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 La imputada en el presente procedimiento alega que es el responsable del fichero, el hospital Universitario de Gran Canaria Doctor Negrín, quien estaba obligado a adoptar las medidas de seguridad necesarias que garantizaran la seguridad de los datos de carácter personal. El servicio Canario de Salud ha acreditado, a solicitud de esta Agencia, que se dispone de las medidas necesarias que garanticen la seguridad de los datos de carácter personal incluidos en los ficheros de los que es responsable. La conclusión de todo ello es que una doctora del Servicio Canario de Salud extrajo documentación de su lugar de trabajo, que contenía datos de carácter personal especialmente protegidos, los custodió en su domicilio, aparecieron en un contenedor de basura y fueron recogidos por un vecino. Por este motivo se considera en el presente procedimiento sancionador, que Dª A.A.A. es responsable del tratamiento de la documentación que se encontró por un vecino en un contenedor de basura y por tanto está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. Por lo tanto, Dª A.A.A., debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información que contenían dichos documentos. Tales medidas no fueron adoptadas totalmente en el presente caso. Prueba de ello es el hecho de que la documentación que estaba almacenada en su domicilio, fue encontrada en un contenedor de basura por un vecino en la zona del Fondillo, Tafira, Las Palmas de Gran Canaria. En el presente caso y teniendo en cuenta la documentación encontrada, copia de historias clínicas de pacientes del Servicio de Cardiología del hospital Doctor Negrín de Las Palmas que la imputada custodiaba en su casa, ha quedado acreditado que Dª A.A.A., no adoptó las medidas de índole técnica y organizativas necesarias que garantizasen la seguridad de los datos de carácter personal de sus ficheros, de manera que se evitase el acceso no autorizado a los datos de los mismos. IV El artículo 44.3.
  11. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” El hechos constatados en el presente procedimiento relativo al abandono de documentación conteniendo datos de carácter personal relacionados con la salud de los afectados en un contenedor de basura y accesible a terceros, supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable del tratamiento de los datos de carácter personal contenidos en la documentación objeto de la presente denuncia. Dado que ha existido una vulneración en las medidas de seguridad por parte de Dª A.A.A., se considera que ha incurrido en la infracción grave descrita. V El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18 de enero de 2002, recoge en su Fundamento de Derecho Segundo, y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. Expone Dª A.A.A., en el escrito de alegaciones a la propuesta de resolución, que la administración no ha desvirtuado la presunción de inocencia con una prueba suficiente acerca de su pretendida culpabilidad. La Sentencia de la Audiencia Nacional de 29 de enero de 2015, recurso 15/2014, expone respecto del principio de la culpabilidad lo siguiente: “El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005 ). El principio de culpabilidad, garantizado por el art. 25 de la Constitución , limita el ejercicio del ius puniendi del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio , que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías ( STS de 1 de marzo de 2012 -recurso nº. 1298/2009 -). Ciertamente, el principio de culpabilidad, previsto en el art. 130.1 de la Ley 30/1992, de 26 noviembre, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus Sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( art. 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011 -recurso nº. 598/2008-. A lo expuesto debe añadirse, siguiendo la Sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009 -recurso nº. 5.285/2005 , y de 23 de octubre de 2010 -recurso nº. 1.067/2006 -, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". A este respecto cabe recordar la declaración que la misma imputada realizó ante la Policía Nacional el 7 de noviembre de 2014 en la que reconoce que la documentación hallada en un contenedor de basura se encontraba en su casa en unas bolsas de plástico que sus padres, por error, depositaron en la basura. Siguiendo lo expuesto por la Audiencia Nacional, y analizados los hechos objeto del expediente sancionador que nos ocupa y la documentación que lo integra, se concluye que resulta acreditada la concurrencia de culpabilidad respecto de la comisión por la imputada de la infracción administrativa. Que no obró con la diligencia que le resultaba exigible porque en el presente procedimiento ha quedado acreditado que no adoptó las medidas de índole técnica y organizativas necesarias que garantizasen la seguridad de los datos de carácter personal de sus ficheros, de manera que se evitase el acceso no autorizado a los datos personales de los mismos. Prueba de ello es el hecho de que la documentación que estaba almacenada en su domicilio, fue encontrada en un contenedor de basura por un vecino en la zona del Fondillo, Tafira, Las Palmas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Gran Canaria. En el caso que nos ocupa, Dª A.A.A. es responsable del tratamiento de los datos de los pacientes de cardiología que custodiaba en su casa, y que aparecieron en los ya referidos contenedores de basura. Atendiendo a los hechos ocurridos, se comprueba la existencia de un incumplimiento del deber de secreto, produciéndose una ausencia de confidencialidad, porque los datos fueron accesibles a terceros, por lo que se considera que se ha cometido una infracción del transcrito artículo 10 de la LOPD. VI El artículo 44.3.
  12. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, entendemos que por parte de Dª A.A.A. se ha producido una vulneración del deber de secreto que procede calificar como infracción grave. En el presente caso ha quedado acreditado que ha tenido lugar una difusión de datos personales fuera del ámbito de los afectados, pacientes de cardiología del hospital Doctor Negrín, porque se ha constatado el acceso a los mismos por terceros no autorizados. Estos hechos suponen una vulneración de las medidas de seguridad así como del deber de guardar secreto por lo que se ha incurrido en las infracciones graves descritas. VII El hecho constatado de la difusión de datos personales fuera del ámbito de la responsable del tratamiento, establece la base de facto para fundamentar la imputación de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia de que la comisión de una implica necesariamente la comisión de la otra. Esto es, si una documentación que contiene información sobre datos personales sale del ámbito de la responsable de su confidencialidad, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora que señala que: “en defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, procede subsumir ambas infracciones en una. Dado que, en este caso, se ha producido una vulneración de las medidas de seguridad, calificada como grave por el artículo 44.3.
  13. h)de la LOPD y también un incumplimiento del deber de guardar secreto calificado como grave en el artículo 44.3.
  14. d)de la misma norma, procede imputar únicamente la infracción del artículo 9 de la LOPD por tratarse de la infracción originaria que ha dado lugar a la comisión de la otra infracción. VIII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  15. a)El carácter continuado de la infracción.
  16. b)El volumen de los tratamientos efectuados.
  17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  18. d)El volumen de negocio o actividad del infractor.
  19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. f)El grado de intencionalidad.
  21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Expone la imputada en sus alegaciones que “para el hipotético e Improbable supuesto de que esta Agencia entendiera que la conducta de la dicente ha de considerarse como una infracción de las previstas en la Ley 15/1999, ha de concluirse que la misma no merece la imposición de una sanción. En este sentido, ha de tenerse en cuenta que ni ha existido intencionalidad por parte de la dicente de realizar la conducta que podría ser sancionada, ni reiteración de dicha conducta, ni se han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 producido perjuicios a terceros (obsérvese, en este punto, que en la publicación realizada en el periódico La Provincia’ no se identifica a los pacientes a los que se refieren los documentos encontrados). Luego aun cuando admitiéramos que la conducta realizada por la dicente es una conducta típica, antijurídica y culpable (lo cual hacernos a efectos puramente dialécticos), en ningún caso podría concluirse que la misma es punible.” Como ya se ha visto, no es posible aceptar la alegación de que esta infracción no merece la imposición de una sanción porque, como responsable del tratamiento de la documentación cuestionada en este procedimiento, la imputada está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. Las circunstancias que se alegan, falta de intencionalidad, falta de reiteración, ausencia de perjuicios, se encuentran entre las previstas en el artículo 45.4 para la graduación de la cuantía de las sanciones y pueden estimarse como concurrentes en el presente caso. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso se ha constatado la falta de intencionalidad de la imputada en los hechos ocurridos, valorando además que se trató de un hecho puntual, debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad por concurrencia del supuesto
  30. a)del punto 5 del artículo 45 que permite establecer la cuantía de la sanción en la escala que precede en gravedad a la que aquí se considera, es decir, en la escala de las infracciones leves. En segundo lugar, el artículo 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  31. a)la existencia de intencionalidad o reiteración,
  32. b)la naturaleza de los perjuicios causados,
  33. c)la reincidencia”. Pues bien la secuencia de hechos expuesta en este caso, valorada en aplicación de dichos criterios, permiten, que en este caso, se considere procedente proponer que se fije la cuantía de la sanción en 2.500 euros, al haberse constatado una disminución cualificada de la culpabilidad.>> III Por lo tanto, en el presente recurso de reposición, Doña A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de marzo de 2016, en el procedimiento sancionador PS/00563/2015. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.