1/5 TD/00133/2019 Recurso de Reposición Nº RR/00533/2019 Examinado el recurso de reposición interpuesto por D. A.A.A. (a partir de ahora la parte recurrente), contra la resolución dictada por la directora de la Agencia Española de Protección de Datos, de fecha 31 de mayo de 2019, y teniendo como base los siguientes HECHOS PRIMERO: En fecha 11 de diciembre de 2018, tuvo entrada en esta Agencia escrito presentado por el recurrente, antes reclamante, en el que exponía que por la entidad reclamada no se habían atendido los derechos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. SEGUNDO: En fecha 31 de mayo de 2019, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la directora de la Agencia Española de Protección de Datos, acordando desestimar la reclamación. La resolución le fue notificada al afectado en fecha 12 de junio de 2019, según aviso de recibo que figura en el expediente. TERCERO: En fecha 19 de julio de 2019 el afectado ha presentado un recurso de reposición, registrado en la misma fecha, en el que en síntesis argumenta: Que a pesar de haber solicitado en varias ocasiones el derecho de acceso, no ha sido atendido. Según el reclamante, ahora recurrente, ha atendido todas las subsanaciones que le han solicitado. Que no se han cumplido los plazos establecido para la resolución según la normativa establecida. Manifiesta el reclamante su desacuerdo respecto a que la reclamación es genérica y, dice que sin autorización, sus datos pasaron de hospitales públicos a privados. Discrepa el recurrente respecto a que determinados aspectos sean resueltos por la Ley de Autonomía del Paciente, ya que considera que todo está englobado en la protección de los datos. Por último, solicita se investigue al reclamado para posible sanción y, se revise toda la normativa de protección de datos para aplicarla adecuadamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, que reiteran básicamente las ya realizadas en el escrito de reclamación, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos continúan plenamente vigentes. No obstante, se vuelve a analizar toda la documentación y, se responderá a las principales cuestiones ahora planteadas. Es reclamante solicitó el derecho de acceso y, atendió algunas de las subsanaciones solicitadas como la del DNI. Pero, no atendió la solicitud que se le hizo para que detallara el centro u hospital al que quería dirigir su derecho de acceso, motivo por el que este no fue atendido. No estamos ante una negativa a atender un derecho en base a las respuestas recibidas por el reclamado, sino ante una imposibilidad por la amplitud de la solicitud. A saber: “…dentro de la CSCM se encuentran más de 50 responsables de tratamiento de datos personales distintos, incluyendo los 34 Hospitales de la Comunidad de Madrid, los más de 450 Centros de Salud, así como las Direcciones Generales y Subdirecciones Generales de la misma, y demás centros de atención sanitaria, como puede ser el Centro de Transfusión de la Comunidad de Madrid, el SUMMA 112, etc. Estos responsables, en total, gestionan alrededor de 500 actividades de tratamientos diferentes, con distintos soportes y formatos, como soporte papel, electrónico, grabaciones de cámaras, etc (…) debemos remarcar que la presente petición del Sr. A.A.A., ha supuesto durante más de un año, la dedicación de los profesionales de la CSCM a fin de elaborar numerosos informes y comunicaciones, destinados a solventar los problemas expuestos por el ciudadano, llegando incluso a ponerse en contacto telefónico con el mismo la responsable de la Subdirección de la que depende la gestión de tarjeta sanitaria a fin de crear una comunicación directa y fluida con el ciudadano para solventar su problema de la manera más eficaz posible. Tampoco ahora en el recurso presentado, el recurrente detalla el lugar al que quiere dirigir su acceso e insiste en hacerlo de forma generalizada. Respecto al cumplimiento de los plazos, el recurrente debe saber que la entrada de la reclamación en esta Agencia fue el 11 de diciembre de 2018 y, a partir de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 este momento hay tres meses para admitir a trámite y seis para resolver, en total nueve meses, que hubieran terminado en septiembre de
- Por tanto, se ha resuelto dentro de los plazos que recoge la normativa, ya que con fecha 31 de mayo de 2019 fue firmado y enviada la notificación de la resolución y recogida con fecha 12 de junio de
- Dentro de los nueve meses desde la presentación de la reclamación. El Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del derecho español a la normativa de la Unión Europea en materia de protección de datos establece en su artículo 8.
- “Forma de iniciación del procedimiento y duración. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. Y en el artículo 9.4 dice: “Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta, a fin de que den respuesta a la reclamación en el plazo de un mes. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación también en el plazo de un mes.” En cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la normativa en protección de datos, cabe señalar que este procedimiento se establece para garantizar el ejercicio de los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición que la citada norma consagra. Por otra parte, el procedimiento sancionador, como su propio nombre indica, tiene naturaleza sancionadora y como tal constituye una de las manifestaciones del “ius puniendi” del Estado. De modo que, si bien en cualquier caso la función constitucional de esta Agencia es la garantía del derecho fundamental a la protección de datos personales, debe señalarse que con el procedimiento sancionador se persigue determinar la comisión de las infracciones que se hayan podido cometer y, en su caso, la imposición de las sanciones correspondientes. Los procedimientos que tienen su regulación en los artículos 15 a 22 del RGPD se inicia a instancia del afectado, en tanto el procedimiento sancionador se inicia siempre de oficio por la directora de la Agencia Española de Protección de Datos y es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Por tanto, solo quedaría por analizar si todo lo que solicita el reclamante y, su problemática con los centros sanitarios de la Comunidad de Madrid están dentro de la normativa de protección de datos o, como se le dijo en la resolución estarían en mas relacionado con la Ley de Autonomía del Paciente y, no hay duda que algunas de las problemáticas planteadas no son del ámbito de esta Agencia. A saber: “…si se mantiene una controversia con el responsable del tratamiento sobre cuestiones derivadas de la relación médico paciente , deben saber que la Agencia Española de Protección de Datos no es competente para dirimir cuestiones tales como las relativas a los tratamientos realizados o no realizados, el cambio de hospital o citas médicas, la capacidad de un facultativo para dar un alta o administrar un tratamiento, la inclusión de información en un expediente médico, la repercusión en la derivación a hospitales privados etc…” En conclusión, se han ejercido unos derechos de forma genérica y, a pesar de haberse solicitado información para poder atenderlos, no se ha facilitado y no se han podido atender. IV En base a estas normas y en consideración a los hechos tenidos por probados, se determina desestimar el recurso de reposición ya que no aporta nada que haga reconsiderar el resultado de la resolución ahora impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición presentado por D. A.A.A.. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es