1/17
Expediente Nº: EXP202200999
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 20 de junio de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a HOSPITAL
RECOLETAS PONFERRADA, S.L. (en adelante la parte reclamada). Notificado el
acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 20 de julio de
2022 se emitió la propuesta de resolución que a continuación se transcribe:
<<
Procedimiento Nº: PS/00204/2021(EXP202200999)
PROPUESTA DE RESOLUCION DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
la entidad, HOSPITAL RECOLETAS PONFERRADA, S.L. con CIF.: B47767793 , (en
adelante “la parte reclamada”), en base al escrito presentado por D. A.A.A., por la
presunta vulneración de la normativa de protección de datos: Reglamento (UE)
2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección
de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la
Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD),
y atendiendo a los siguientes:
ANTECEDENTES:
PRIMERO: Con fecha 10/01/22, tuvo entrada en esta Agencia, escrito presentado por
la parte reclamante, en la que indicaba, entre otras que:
“PRIMERO.- El 07/12/21 acudí a la Clínica Recoletas a que me realizaran unos
análisis pautados. Cuando llegó mi turno enseñé el volante y me pidieron la
tarjeta del seguro para gestionar el servicio, tras esto me dieron la Tablet y me
dijeron “tiene que firmar este documento de protección de datos para poder
procesar la información”, yo cogí el dispositivo electrónico y me puse a leerlo y
le dije, “no estoy de acuerdo con los puntos 2 y 3 del formulario que habéis
marcado (uno era compartir mi información con empresas terceras y el otro
para recibir propaganda)”; la empleada de la clínica me dijo: “entonces no
podemos atenderle, sin su firma no se puede gestionar nada”, yo le recordé
que yo no me negaba a firmar el documento sino los ítems marcados por ellas,
yo firmaría SOLO con el primer ítem que decía “autorizo a la clínica a gestionar
mis datos personales…” (estoy parafraseando el documento porque nunca
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/17
recibí copia alguna) entonces ella hizo algo en la Tablet y me la volvió a pasar
y en ese momento aparecían desbloqueados todos los ítems y yo puede
marcar los que estimé oportunos tras lo cual firmé con mi rúbrica.
Finalmente apareció la enfermera en la cabina de urgencias y me fui con ella a
hacer la analítica. Tras salir de allí rellené la reclamación que aparece en este
mismo documento y que acompaño también de forma individual. En esta
reclamación también hacía constar, una más, que nadie me había facilitado
una copia de lo que había firmado ni siquiera una forma de acceder a lo
firmado como establece la ley. (cuya justificación se acompaña como Doc.
Núm. 1).
SEGUNDO.- En la Clínica pedí hablar con gerencia para hacer constar mi
malestar con todo lo ocurrido pero ese día no había nadie y me ofrecieron
poner una reclamación asegurándome que me llamaría un gerente en esa
semana. El gestor de redes de RECOLETAS me pidió un email donde me
preguntaban el Centro en el que había tenido una mala experiencia, tras
decírselo esa misma tarde (15 de diciembre) una gerente de la Clínica se puso
en contacto conmigo para pedirme disculpas y asegurar que había hablado con
la responsable de lo que había sucedido la cual le había confirmado que ellas
siempre rellenaban los datos porque la gente era mayor y me dijo que
efectivamente esto era ilegal y no se iba a repetir y que me contestaría por
escrito la reclamación presentada.
La respuesta llegó el 7 de enero y es la que ven anexada a este documento y
en un archivo separado. A mí, a pesar de decirlo en la reclamación, aún no me
han dado la copia de la hoja que firmé aquel día ni medio alguno para acceder
ella”.
Junto con el escrito anterior se aporta la siguiente documentación:
- Copia de la hoja de reclamación (Nº 00XX) interpuesta ante la Clínica, sellada
con fecha 07/12/21 donde, entre otras, denuncia los mismos hechos expuestos
ante esta Agencia e indicados anteriormente y dónde, además, denuncia ante
la dirección del centro lo siguiente:
o “(…)no me han facilitado el documento firmado como establece la ley”.
- Copia del escrito de contestación a la reclamación Nº 00XX, fechado el
03/01/22, donde la Clínica le informa al reclamante en los siguientes términos:
“Me dirijo a usted en respuesta a su escrito de Reclamación con
número de registro 0XX con fecha de entrada en nuestro Servicio de
Atención al Paciente el pasado 7 de diciembre de 2021, en la que
muestra su malestar por los inconvenientes derivados al tener que
firmar el documento de la Ley de Protección de Datos.
Sentimos profundamente el incidente acaecido y le agradecemos su
reclamación para proceder a revisar el cumplimiento de la normativa de
protección de datos por parte del hospital.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/17
Nuestras cláusulas nunca aparecen premarcadas, si bien, por error el
personal de admisión las marcó en vez de explicarle las opciones para
que fueran marcadas por usted tal y como marca la ley.
Le informamos, que hemos recordado a nuestro personal que no se
pueden marcar las cláusulas y que deben informar a los pacientes las
opciones que existen cada vez que se firma una cláusula de protección
de datos. Esperamos que vuelva pronto y compruebe por sí mismo que
las cláusulas no aparecen premarcadas. Quedamos a su disposición
para cualquier duda o para ampliar la información de su reclamación”.
SEGUNDO: Con fecha 08/02/22, por parte de esta Agencia se trasladó la reclamación
a la parte reclamada para que diese respuesta a la misma, de conformidad con lo
estipulado en el artículo 65.4 de la Ley LOPDGDD. Los intentos de notificación
tuvieron como resultado lo siguiente:
- Según certificado del Servicio de Notificaciones Electrónicas y Dirección
Electrónica, el envío realizado a la entidad reclamada, el día 08/02/22, a través
del servicio de notificaciones electrónicas “NOTIFIC@”, fue aceptado en
destino el mismo día 08/02/22, siendo el receptor: (…)- B.B.B..
TERCERO: Con fecha 10/04/22, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación
presentada por la reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al
no recibir contestación alguna a las solicitudes hechas desde esta Agencia.
CUARTO: Con fecha 20/06/22, la Directoria de la Agencia Española de Protección de
Datos firma la incoación del presente procedimiento sancionador a la entidad
reclamada, al apreciar indicios razonables de vulneración del artículo 6.1 RGPD, por
las deficiencias detectadas a la hora de obtener el consentimiento de los pacientes
para el tratamiento ulterior de sus datos personales, imponiendo una sanción inicial de
10.000 euros; y por la vulneración del artículo 15 RGPD, respecto del artículo 12 del
mismo Reglamento, al no proporcionar al reclamante el acceso al documento sobre
protección de datos firmado en la Tablet, imponiendo una sanción inicial de 10.000
euros.
QUINTO: Con fecha 13/07/22 la entidad reclamada formuló, en síntesis, las siguientes
alegaciones a la incoación del expediente:
“Con fecha 07/12/21 el paciente acude al centro a primera hora de la mañana
para realizarse unos análisis, momento en que se generan largas colas de
pacientes que acuden al hospital a la realización de análisis clínicos en ayunas,
junto con resto de pacientes que acuden a consultas, cirugías programadas,
etc.
Las empleadas de admisión, ante la gran afluencia de pacientes, en el contexto
actual de pandemia, y el desasosiego por disolver dicha cola y procurar que se
cumplan con las medidas de seguridad para evitar el contagio decidieron de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/17
forma puntual para agilizar la cola premarcar las casillas de los pacientes, algo
que nunca debió suceder.
Se puede observar en Doc. 2 contestación al paciente el contenido de las
casillas de la cláusula existente ese día que pueden ser o no marcadas:
Consiento el tratamiento de mis datos personales
Consiento el envió de comunicaciones comerciales por medios
electrónicos sobre actividades, eventos o servicios prestados que
pueda resultar de su interés.
Autorizo a facilitar información presencial o telefónicamente, a
terceras personas que lo soliciten, únicamente en lo relativo a su
estancia en el centro, así como el número de habitación Hospital
Recoletas Ponferrada S.L. - CIF: B-47767793, inscrita en el Registro
Mercantil de Valladolid al Tomo: 1.521; Folio: 111, Hoja: VA-29098 –
Inscripción 1
La primera casilla es fundamental puesto que si los pacientes no consienten no
se pueden tratar sus datos.
En cuanto a la segunda casilla, el consentimiento para el envío de
comunicaciones comerciales existe un error humano a la hora de adaptar la
casilla a la firma en las tablets.
La base de legitimación de esta finalidad es el interés legítimo, amparado en
una evaluación de impacto previa a su implantación en nuestras cláusulas
informativas. Por tanto, en el formato de cláusula en papel que se implantó
existía una casilla en negativo que en caso de ser marcada por los pacientes
se rechazaba el envío de estas comunicaciones.
Si bien, al transcribirse dicha cláusula a la Tablet el consentimiento, por error,
la casilla pasa a ser positiva no adecuándose a la base de legitimación
contemplada. Al observar esta incidencia se ha tomado la decisión de modificar
la base de legitimación de esta finalidad, que, a partir de finales de marzo de
2022 ha pasado a ser consentimiento.
El personal de admisión conocía que esta finalidad en origen se basaba en el
interés legítimo y que por tanto se encontraba en negativo en nuestra cláusula
de protección de datos en papel.
La última casilla como se puede observar se aplica a pacientes en caso de
ingreso en el hospital para dar información a terceras personas, nunca a
terceras empresas, es una cláusula que se puso para que los pacientes
puedan decidir si quieren que demos su número de habitación o información
sobre su estado a familiares, amigos o personas vinculadas.
El marcado de esta casilla no aplica al servicio prestado a este paciente por ser
ambulatorio, en caso de ingreso hospitalario el procedimiento siempre es
volver a preguntar al paciente sobre este punto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/17
Tras la firma del documento, el paciente no solicitó en admisión copia de la
cláusula informativa a pacientes firmada, pues de haberlo hecho se le hubiera
entregado.
El paciente, ese mismo día, 7 de diciembre de 2021, presentó una reclamación
que fue resuelta por la gerente del centro en tiempo y forma.
Que con anterioridad a la respuesta por escrito el paciente mantuvo una
conversación con la gerente relacionada con la reclamación interpuesta en la
que se le dio contestación verbal a la reclamación, no refiriéndola en la
contestación que lo que quería era copia de lo firmado, motivo por el que no se
vio la necesidad de incluir esa información en la contestación, pues de lo
contrario sin duda la hoja de protección de datos hubiera sido anexada.
Que con fecha 8 de febrero se recibió notificación de la AEPD en la que se nos
traslada la reclamación interpuesta por el paciente y por parte de la AEPD se
nos solicita más información.
Que como se observa en el Doc. 4 que debió ser enviado con fecha 8 de
marzo de 2022 a la AEPD y no tuvo entrada por fallo de los sistemas
informáticos, desde el momento en el que se recibe la reclamación se
comienzan a implantar todo tipo de medidas y controles para asegurar que no
vuelve a suceder nada similar.
TERCERO.- LA OBTENCIÓN DEL CONSENTIMIENTO
En el momento del suceso según se informa al paciente en la hoja de
protección de datos existen dos bases de legitimación del tratamiento:
- La gestión del servicio médico solicitado como base de legitimación del
tratamiento de los datos sanitarios. En este sentido, aunque se incluye una
casilla para reforzar el hecho de que el paciente sea consciente de que
estamos tratando sus datos la base de legitimación es la contenida en el
artículo 6.1.b) del RPGD.
- El interés legítimo para el envío de comunicaciones comerciales sobre el
servicio médico requerido. Siendo por tanto la base de legitimación la
contenida en el artículo 6.1.f) del RGPD. El RGPD también viene definido en el
Considerando 47 con el siguiente tenor (…).
Sin perjuicio de lo anterior, y a pesar del desafortunado incidente acaecido, el
reclamante tuvo la posibilidad de leer la cláusula de protección de datos y de
ser informado de la forma en que Grupo Recoletas trataba sus datos.
CUARTO.- EL CUMPLIMIENTO DE LO DISPUESTO EN EL ART. 15 RGPD.
En relación con el fundamento de derecho segundo en el punto IV “sobre la
gestión de la solicitud de acceso realizada por el reclamante” nos remitimos a
los documentos Nº 2 y 3 adjuntos a la presente reclamación para probar que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/17
tras la reclamación interpuesta a la AEPD se le traslado la información
solicitada en cumplimiento del art. 15 RGPD.
En cuanto al art. 12 RGPD tal y como se explica en la contestación a la AEPD
que se adjunta como Doc. 4 la información puesta a disposición al interesado
en el momento de la firma cumple con los requisitos del art. 13 RGPD.
Por último, en cuanto a la contestación a la reclamación interpuesta por el
interesado con fecha 7 de diciembre de 2021 en el Hospital, como se ha
comentado, no se trató como un derecho de acceso sino como una queja
contestando al paciente tanto verbal como por escrito entendiendo que se
estaba respondiendo a sus requerimientos.
QUINTO.- LAS MEDIDAS ADOPTADAS
Una vez se tuvo conocimiento de lo sucedido y en cumplimiento del principio
de responsabilidad proactiva se implementaron las siguientes medidas:
- Formación: Tras analizar el incidente acaecido se ha decidido que la mejor
forma de solucionarlo para el futuro es la formación del personal.
En ese sentido, se remitió a todo el personal de la Clínica la documentación de
la formación para que pudieran leerlo y además se programó una sesión de
formación presencial en la Clínica en horario de 14:30 a 15:30.
Se acompaña como Doc.6 la hoja de control de asistencia a dicha formación.
- Revisión de los procedimientos: se ha comprobado in situ que actualmente se
cumplen el procedimiento adaptado a lo dispuesto en el Reglamento en
relación con la forma de obtener el consentimiento de los interesados.
- Control aleatorio: Se comprobó de forma aleatoria con varios
consentimientos si se encontraban o no marcadas todas las cláusulas y se
observó que no siempre en un mismo día se marcaban las mismas casillas por
parte de los pacientes.
- Creación de procedimiento estándar: ha redactado un procedimiento interno y
estandarizado para el personal de admisión de Grupo Recoletas en el que
incluye el detalle de la forma en que el personal de admisión debe tratar los
datos, solicitar el consentimiento e información a recabar. Se adjunta
procedimiento como Doc. 7.
- Adaptación de la cláusula de protección de datos: Se ha decidido modificar la
base de legitimación para el tratamiento de los datos con la finalidad de envío
de comunicaciones comerciales.
El cambio de base de legitimación de esta finalidad viene motivado por el
cambio de instrumento de obtención del consentimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/17
Inicialmente las cláusulas informativas de protección de datos se firmaban en
papel y en cada apartado se incluían las casillas pertinentes, de forma que el
paciente leía el párrafo y decidía si marcaba o no la casilla.
Casilla que en la finalidad de comunicaciones comerciales era negativa (si no
se marcaba se aceptaba tácitamente en base al interés legítimo)
Cuando se introdujeron las tablets las casillas debían incluirse al final, todas
juntas, de esa forma al adaptar las cláusulas a la Tablet quedó la casilla en
afirmativo pero la legitimación seguía como interés legítimo.
Finalmente, advertida esta cuestión se ha decidido modificar la base de
legitimación de esta finalidad al consentimiento expreso Se ha modificado la
cláusula de protección de datos puesto que se ha comprobado que la cláusula
que aparece en la Tablet solicita consentimiento expreso (y no en base al
interés legítimo) para el tratamiento de los datos con la finalidad de realizar
comunicaciones comerciales, por este motivo se ha cambiado la legitimación
del tratamiento y la redacción de esa finalidad, siendo la base de legitimación
de dicha cláusula el consentimiento del interesado. Se adjunta cláusula de
protección de datos actual como Doc. 8
- Contestación al interesado: Como ya se ha comentado se ha
contestado al interesado enviándole la cláusula de protección de datos firmada,
la contestación se corresponde con el Doc. 2.
SEXTO.- LA SANCIÓN PROPUESTA
Conforme a todo lo expuesto entendemos que desde Grupo Recoletas se ha
tenido en todo momento una actitud proactiva centrada en eliminar cualquier
riesgo que pueda producirse en el tratamiento de los datos de los interesados.
En ese sentido, entendemos que no ha lugar a las sanciones propuestas
debido por no haber sido incumplidos los preceptos 6.1. y 15 RGPD.
Sin perjuicio de lo anterior, en caso de la AEPD sí interprete que existe
infracción, serían de aplicación como atenuantes los puntos del artículo 83
RGPD:
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
Nos remitimos a las medidas impuestas en el apartado anterior.
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento; Inexistencia de sanciones anteriores por parte de Hospital
Recoletas Ponferrada, S.L.
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/17
Inexistencia de beneficios financieros obtenidos ni pérdidas evitadas, el Grupo
Recoletas intentamos ser muy escrupulosos con el cumplimiento de la
normativa de protección de datos, lo contrario aparte de las posibles sanciones
implica deterioro de nuestra imagen de marca a nivel reputacional con la
pérdida de clientes que ello puede conllevar.
El Artículo 83.1. RDPG establece lo siguiente: Cada autoridad de control
garantizará que la imposición de las multas administrativas con arreglo al
presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y
disuasorias”.
HECHOS PROBADOS
Primero: Según el reclamante, cuando acudió a la Clínica Recoletas para realizarse
unos análisis, en la recepción le dieron un Tablet para que firmara el documento de
protección percatándose de que las casillas del formulario estaban premarcadas en la
opción de aceptadas. Cuando se negó a aceptar los puntos 2 y 3 del formulario la
recepcionista hizo algo en la Tablet y la volvió a pasar con los ítems desmarcados
pudiendo entonces marcar los que el paciente estimó oportunos.
Estos hechos fueron corroborados por la Clínica en el escrito remitido al reclamante
como respuesta a la reclamación presentada (Nº 00XX) y donde le informan, respecto
a las casillas premarcadas, lo siguiente: “(…) Nuestras cláusulas nunca aparecen
premarcadas, si bien, por error el personal de admisión las marcó en vez de explicarle
las opciones para que fueran marcadas por usted tal y como marca la ley (…)”.
Segundo: El reclamante aporta junto al escrito presentado en esta Agencia, copia de la
citada hoja de reclamación (Nº 00XX) que interpuso ante la Clínica, sellada con fecha
07/12/21 donde, además de denunciar los hechos expuestos en el apartado primero,
indica a la Dirección del Centro lo siguiente: “(…)no me han facilitado el documento
firmado como establece la ley”.
Tercero: En el escrito de contestación a la reclamación presentada por el reclamante
ante la Clínica, está, además de pedirle disculpas por los hechos acaecidos y de
reconocer que las casillas se encontraban premarcadas por un hecho puntual debido a
un error del personal de recepción, le informaron de que habían dado orden al
personal de no volver a premarcar las casillas antes de ofrecer la Tablet a los
pacientes. Pero en ningún momento se le informa al paciente sobre su solicitud de
accedo al documento firmado en la Tablet.
Cuarto: En el escrito de alegaciones presentado por la Clínica a la incoación del
presente procedimiento sancionador se indica que se han implantado las siguientes
medidas para que los hechos indicados en los puntos anteriores no vuelvan a ocurrir,
aportando para ello la siguiente documentación :
- Formación sobre procedimiento en materia de protección de datos. Se
acompaña como Doc.6 la hoja de control de asistencia a dicha formación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/17
- Revisión de los procedimientos: se ha comprobado in situ que actualmente se
cumplen el procedimiento adaptado a lo dispuesto en el Reglamento en
relación con la forma de obtener el consentimiento de los interesados.
- Control aleatorio: Se comprobó de forma aleatoria con varios consentimientos
si se encontraban o no marcadas todas las cláusulas y se observó que no
siempre en un mismo día se marcaban las mismas casillas por parte de los
pacientes.
- Creación de procedimiento estándar: ha redactado un procedimiento interno y
estandarizado para el personal de admisión de Grupo Recoletas en el que
incluye el detalle de la forma en que el personal de admisión debe tratar los
datos, solicitar el consentimiento e información a recabar. Se adjunta
procedimiento como Doc. 7.
- Adaptación de la cláusula de protección de datos: Se ha decidido modificar la
base de legitimación para el tratamiento de los datos con la finalidad de envío
de comunicaciones comerciales. Se adjunta cláusula de protección de datos
actual como Doc. 8.
- Contestación al interesado, enviándole la cláusula de protección de datos
firmada, la contestación se corresponde con el Doc. 2.
FUNDAMENTOS DE DERECHO
I-Competencia
Es competente para iniciar y resolver este Procedimiento Sancionador la Directora de
la Agencia Española de Protección de Datos, en virtud de los poderes establecidos en
el artículo 58.2 del RGPD y en la Ley LOPDGDD.
II.- Sobre las deficiencias observadas en la obtención del consentimiento de los
pacientes.
Sobre la licitud del tratamiento de los datos personales, el considerando (40) RGPD
indica que:
“Para que el tratamiento sea lícito, los datos personales deben ser tratados con
el consentimiento del interesado o sobre alguna otra base legítima establecida
conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro
Derecho de la Unión o de los Estados miembros a que se refiera el presente
Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al
responsable del tratamiento o la necesidad de ejecutar un contrato en el que
sea parte el interesado o con objeto de tomar medidas a instancia del
interesado con anterioridad a la conclusión de un contrato”.
Y en aplicación a ello, el artículo 6.1 del RGPD, establece, sobre la licitud del
tratamiento de datos personales obtenidos de los usuarios lo siguiente:
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones: a) el interesado dio su consentimiento para el tratamiento de sus
datos personales para uno o varios fines específicos; b) el tratamiento es
necesario para la ejecución de un contrato en el que el interesado es parte o
para la aplicación a petición de este de medidas precontractuales; c) el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/17
tratamiento es necesario para el cumplimiento de una obligación legal aplicable
al responsable del tratamiento; d) el tratamiento es necesario para proteger
intereses vitales del interesado o de otra persona física; e) el tratamiento es
necesario para el cumplimiento de una misión realizada en interés público o en
el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el
tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
En el presente caso, la licitud del tratamiento de datos personales que realiza la Clíni-
ca para la gestión del historial clínico del reclamante está amparado en el punto b) del
artículo 6.1 RGPD: “b) el tratamiento es necesario para la ejecución de un contrato en
el que el interesado es parte (…)”.
Pero para cualquier otro fin al que se pretenda dedicar los datos personales obtenidos,
deberá estar amparado en algún otro punto del citado artículo 6.1 RGPD, si no tiene
cabida en el apartado b). Por eso, en nuestro caso, cuando la Clínica pretende utilizar
los datos personales para cederlos a terceros o para enviarle comunicaciones comer-
ciales, solicita el consentimiento del afectado a través de las casillas existentes en el
formulario que debe firmarse en la recepción de la Clínica.
No obstante, lo que denuncia el reclamante, es que cuando fue a firmar el documento
de aceptación de la política de privacidad, se encontró con que las casillas correspon-
dientes al consentimiento para ceder los datos personales a otras empresas y para re-
cibir comunicaciones comerciales ya estaban marcadas en “acepto”.
En este caso, cuando el tratamiento de los datos personales está basado en el con-
sentimiento del interesado, el artículo 7 del RGPD establece lo siguiente:
1.Cuando el tratamiento se base en el consentimiento del interesado, el res-
ponsable deberá ser capaz de demostrar que aquel consintió el tratamiento de
sus datos personales.
2.Si el consentimiento del interesado se da en el contexto de una declaración
escrita que también se refiera a otros asuntos, la solicitud de consentimiento se
presentará de tal forma que se distinga claramente de los demás asuntos, de
forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No
será vinculante ninguna parte de la declaración que constituya infracción del
presente Reglamento.
3.El interesado tendrá derecho a retirar su consentimiento en cualquier mo-
mento. La retirada del consentimiento no afectará a la licitud del tratamiento
basada en el consentimiento previo a su retirada. Antes de dar su consenti-
miento, el interesado será informado de ello. Será tan fácil retirar el consenti-
miento como darlo.
4.Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en
la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/17
contrato, incluida la prestación de un servicio, se supedita al consentimiento al
tratamiento de datos personales que no son necesarios para la ejecución de di-
cho contrato.
Y en cuanto al modo de obtener dicho consentimiento, el considerando (32) RGPD
dispone que éste:
“debe darse mediante un acto afirmativo claro que refleje una manifestación de
voluntad libre, específica, informada e inequívoca del interesado de aceptar el
tratamiento de datos de carácter personal que le conciernen” y que “el silencio,
las casillas ya marcadas o la inacción no deben constituir consentimiento”.
Asimismo, se exige que el consentimiento se otorgue: “para todas las
actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando
el tratamiento tenga varios fines, debe darse el consentimiento para todos
ellos”. Por último, establece que: “si el consentimiento del interesado se ha de
dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara,
concisa y no perturbar innecesariamente el uso del servicio para el que se
presta”.
Por tanto, el hecho de que el responsable del tratamiento de los datos personales
obtenidos de los pacientes de la Clínica obtenga su consentimiento a través de un
formulario donde las casillas de los fines a los que se destinaran los mismos, aparte de
la gestión de la historia clínica del paciente, se encuentran ya marcadas en “acepto”,
podría ser constitutivo de una infracción del artículo 6.1 del RGPD.
No obstante, lo anterior, la dirección de la Clínica reconoce que las casillas se
encontraban premarcadas por un hecho puntual debido a un error del personal de
recepción al premarcar las casillas antes de ofrecer la Tablet al paciente para que
firme, y que habían dado orden al personal de no volver a hacerlo y aunque se han
implantado medidas para que esto no vuelva a ocurrir en el futuro, esta actuación no
produce en sí misma una reducción de los prejuicios sufridos por el paciente si no que
lo único que se ha producido es la actuación obligada por la norma y para el futuro.
Tampoco encaja en este caso el atenuante aplicando el artículo 83.2.e) “toda
infracción anterior cometida por el responsable o el encargado del tratamiento” pues
este apartado solamente encajaría como agravante cuando la entidad hubiese
cometido previamente otras infracciones semejantes, por lo que, se procede a emitir la
siguiente:
II.- Sobre la gestión de la solicitud de acceso realizada por el reclamante.
Sobre el derecho de acceso de los interesados a sus datos personales el
considerando (63) RGPD indica que:
Los interesados deben tener derecho a acceder a los datos personales
recogidos que le conciernan y a ejercer dicho derecho con facilidad y a
intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento.
Ello incluye el derecho de los interesados a acceder a datos relativos a la
salud, por ejemplo, los datos de sus historias clínicas que contengan
información como diagnósticos, resultados de exámenes, evaluaciones de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/17
facultativos y cualesquiera tratamientos o intervenciones practicadas. Todo
interesado debe, por tanto, tener el derecho a conocer y a que se le
comuniquen, en particular, los fines para los que se tratan los datos
personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en
todo tratamiento automático de datos personales y, por lo menos cuando se
base en la elaboración de perfiles, las consecuencias de dicho tratamiento. Si
es posible, el responsable del tratamiento debe estar facultado para facilitar
acceso remoto a un sistema seguro que ofrezca al interesado un acceso
directo a sus datos personales. Este derecho no debe afectar negativamente a
los derechos y libertades de terceros, incluidos los secretos comerciales o la
propiedad intelectual y, en particular, los derechos de propiedad intelectual que
protegen programas informáticos. No obstante, estas consideraciones no
deben tener como resultado la negativa a prestar toda la información al
interesado. Si trata una gran cantidad de información relativa al interesado, el
responsable del tratamiento debe estar facultado para solicitar que, antes de
facilitarse la información, el interesado especifique la información o actividades
de tratamiento a que se refiere la solicitud.
En este sentido, el artículo 15 RGPD establece lo siguiente:
1.El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen
y, en tal caso, derecho de acceso a los datos personales y a la siguiente
información: a) los fines del tratamiento; b) las categorías de datos personales
de que se trate; c) los destinatarios o las categorías de destinatarios a los que
se comunicaron o serán comunicados los datos personales, en particular
destinatarios en terceros u organizaciones internacionales; d) de ser posible, el
plazo previsto de conservación de los datos personales o, de no ser posible,
los criterios utilizados para determinar este plazo; e) la existencia del derecho a
solicitar del responsable la rectificación o supresión de datos personales o la
limitación del tratamiento de datos personales relativos al interesado, o a
oponerse a dicho tratamiento; f) el derecho a presentar una reclamación ante
una autoridad de control; g) cuando los datos personales no se hayan obtenido
del interesado, cualquier información disponible sobre su origen; h) la
existencia de decisiones automatizadas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
2.Cuando se transfieran datos personales a un tercer país o a una
organización internacional, el interesado tendrá derecho a ser informado de las
garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
3.El responsable del tratamiento facilitará una copia de los datos personales
objeto de tratamiento. El responsable podrá percibir por cualquier otra copia
solicitada por el interesado un canon razonable basado en los costes
administrativos. Cuando el interesado presente la solicitud por medios
electrónicos, y a menos que este solicite que se facilite de otro modo, la
información se facilitará en un formato electrónico de uso común.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/17
4.El derecho a obtener copia mencionado en el apartado 3 no afectará
negativamente a los derechos y libertades de otros.
Mientras que, el artículo 12 RGPD establece que:
“1.El responsable del tratamiento tomará las medidas oportunas para facilitar al
interesado toda información indicada en los artículos 13 y 14, así como
cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al
tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un
lenguaje claro y sencillo, en particular cualquier información dirigida
específicamente a un niño. La información será facilitada por escrito o por otros
medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el
interesado, la información podrá facilitarse verbalmente siempre que se
demuestre la identidad del interesado por otros medios.
2.El responsable del tratamiento facilitará al interesado el ejercicio de sus
derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el
artículo 11, apartado 2, el responsable no se negará a actuar a petición del
interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22,
salvo que pueda demostrar que no está en condiciones de identificar al
interesado.
3.El responsable del tratamiento facilitará al interesado información relativa a
sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a
22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la
solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario,
teniendo en cuenta la complejidad y el número de solicitudes. El responsable
informará al interesado de cualquiera de dichas prórrogas en el plazo de un
mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
Cuando el interesado presente la solicitud por medios electrónicos, la
información se facilitará por medios electrónicos cuando sea posible, a menos
que el interesado solicite que se facilite de otro modo.
4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le
informará sin dilación, y a más tardar transcurrido un mes de la recepción de la
solicitud, de las razones de su no actuación y de la posibilidad de presentar
una reclamación ante una autoridad de control y de ejercitar acciones
judiciales.(…)
En el presente caso, se ha constatado que en el escrito que el reclamante presentó
ante la dirección de la Clínica denunciaba textualmente “no haber recibido el
documento de protección de datos firmado en la Tablet” pero en la contestación que
hace la dirección de la Clínica a esta reclamación no se hace referencia en ningún
momento a este hecho ni tampoco se le facilita dicha información.
Frente a esto, la Clínica indica en su escrito de alegaciones a la incoación del presente
procedimiento sancionador que: “(…) nos remitimos a los documentos Nº 2 y 3
adjuntos a la presente reclamación para probar que tras la reclamación interpuesta a
la AEPD se le traslado la información solicitada en cumplimiento del art. 15 RGPD”, en
base al requerimiento expuesto por parte de esta Agencia, de la medida a adoptar por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/17
la reclamada, en el escrito de incoación del presente procedimiento y que, en cuanto
a la contestación a la reclamación interpuesta por el interesado con fecha 7 de
diciembre de 2021 en el Hospital, “(…) no se trató como un derecho de acceso sino
como una queja contestando al paciente tanto verbal como por escrito entendiendo
que se estaba respondiendo a sus requerimientos”.
Por tanto, de conformidad con las evidencias de las que se dispone, tras el análisis
realizado sobre los documentos aportados por la entidad reclamada, se constata que
se ha contestado al derecho de acceso del reclamante tras la reclamación interpuesta
ante la AEPD, pero esta actuación no produce en sí misma una reducción de los
prejuicios sufridos por el concreto interesado si no que lo único que se ha producido es
la actuación obligada por la norma.
Tampoco encaja en este caso el atenuante aplicando el artículo 83.2.e) “toda
infracción anterior cometida por el responsable o el encargado del tratamiento” pues
este apartado solamente encajaría como agravante cuando la entidad hubiese
cometido previamente otras infracciones semejantes, por lo que, se procede a emitir la
siguiente:
PROPUESTA DE RESOLUCIÓN
PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
proceda a sancionar por infracción del artículo 6.1 del RGPD, respecto de las
deficiencias detectadas a la hora de obtener el consentimiento de los pacientes, a la
entidad, HOSPITAL RECOLETAS PONFERRADA, S.L. con CIF.: B47767793, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP),
imponiéndola una sanción de 10.000 euros.
SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
proceda a sancionar infracción del artículo 15 del RGPD, respecto del artículo 12 del
mismo Reglamento a la entidad, HOSPITAL RECOLETAS PONFERRADA, S.L. con
CIF.: B47767793, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), imponiéndola una sanción de 10.000 euros.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de diez días hábiles pueda alegar cuanto considere en su
defensa y presentar los documentos e informaciones que considere pertinentes, de
acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
C.C.C..
EL INSTRUCTOR DEL PROCEDIMIENTO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/17
Relación de documentos obrantes en el Procedimiento PS/00204/2022, se notifica la relación de documentos obrantes
en el procedimiento a fin de que pueda obtener las copias de los que estime convenientes, previa cita:
1. Denuncia y documentación
2. Petición e Informes.
3. Acuerdo de inicio del procedimiento sancionador.
4. Alegaciones al acuerdo de inicio y documentos adjuntos.
5. Inicio de período de práctica de pruebas, notificación a denunciada.
>>
SEGUNDO: En fecha 31 de octubre de 2022, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 16000 euros haciendo uso de la reducción prevista en
la propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/17
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202200999, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a HOSPITAL RECOLETAS
PONFERRADA, S.L..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/17
968-171022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es