1/24
Expediente N.º: EXP202307719
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
Con fecha 7 de noviembre de 2024 se formuló propuesta de resolución, proponiendo
lo siguiente:
PRIMERO: La CONSELLERIA DE SANIDAD UNIVERSAL Y SALUD PÚBLICA DE
LA GENERALITAT VALENCIANA (en adelante, la parte denunciante) con fecha 16 de
mayo de 2023 interpuso denuncia ante la Agencia Española de Protección de Datos.
La denuncia se dirige contra MARINA SALUD, S.A. con NIF A97563563 (en adelante,
la parte denunciada). Los motivos en que basa la denuncia son los siguientes:
La parte denunciante es el órgano de contratación en el marco de un contrato
relacionado con la prestación del servicio de atención sanitaria en el Departamento de
Salud de Denia (en vigor desde el 1 de febrero de 2009). Expone que la parte
denunciada (entidad concesionaria), como encargada de tratamiento, realiza
tratamientos de datos personales especialmente protegidos bajo la responsabilidad de
la Conselleria.
A continuación, expone una serie de hechos:
“- En una inspección realizada el 19 de enero de 2023, se pone de manifiesto por la
parte denunciante la utilización de un software concreto. En este contexto se ha
requerido a la parte denunciada la presentación de los contratos de licencia/asistencia
y/o prestación de servicios suscritos con las empresas propietarias de las aplicaciones
de los sistemas de información sanitaria utilizados en el Hospital de Denia y se han
negado a presentarlos.
- El 31 de enero de 2023 se le notificó a la parte denunciada la intención de no
prorrogar el contrato y su consiguiente extinción el 31 de enero de 2024, así como las
normas para la recuperación de la gestión directa del servicio público.
-El 27 de enero de 2023 se han dictado instrucciones para el tratamiento, acceso y
utilización de datos. En las referidas instrucciones se indica que la entidad
concesionaria no recurrirá a otro encargado sin autorización de la Conselleria.”
En definitiva, la parte denunciante, ante sospechas de que se está desmantelando la
aplicación de la actual encargada del tratamiento de los datos, pone en conocimiento
de la AEPD que se puede estar incumpliendo por parte de la denunciada la normativa
de protección de datos, en lo relativo a las obligaciones del encargado del tratamiento,
poniendo a su juicio, en riesgo, la devolución de los datos y la recuperación del
servicio, a escasos meses de la finalización del contrato, así como la seguridad y los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/24
derechos fundamentales de las personas a las que se refieren dichos datos. No aporta
copia del contrato de encargo entre la Conselleria y la entidad concesionaria.
Junto a la denuncia se aporta la siguiente documentación:
-Instrucciones para el tratamiento de datos por cuenta de terceros conforme al artículo
28 del Reglamento General de Protección de Datos.
-Transcripción de la inspección realizada fechada el 19/01/2023 a las 11:04 horas y el
acta de la inspección realizada (***REFERENCIA.1) fechada el 19/01/2023 a las 12:45
horas, requiriendo a la parte denunciada que facilite copia de los contratos de licencia,
asistencia y/o de prestación de servicios suscritos con los propietarios de varias
aplicaciones que detallan.
-Respuesta de la parte denunciada de fecha 01/02/23 al requerimiento anterior en la
que indica lo siguiente:
“Que, en consecuencia, no entra dentro de las funciones de la Inspección Sanitaria
solicitar la copia de los contratos de licencia/asistencia y/o prestación de servicios que
tenga suscritos con las empresas propietarias de las aplicaciones de sistemas de
información que se indican en el DIGO II de este escrito, pues requerir esta
información no tiene como finalidad última inspeccionar aspectos relacionados con el
ámbito sanitario y de la salud pública.”
-Requerimiento de fecha 10/02/2023 enviado por la parte denunciante, para que
faciliten la información solicitada el 19 de enero de 2023 contenida en el Acta de
Inspección ***REFERENCIA.1.
-Tercer requerimiento emitido por la parte denunciante de fecha 29/03/2023,
solicitando la información indicada en el primer requerimiento.
-Correo electrónico enviado por ***EMPRESA.1 el 28/03/2023 a la parte denunciante,
mostrando interés en presentar propuesta en la consulta de mercado que se va a
realizar, a pesar de, según manifiestan, estar colaborando en la desinstalación de
***SISTEMA.1.
-Comunicación del órgano de contratación (parte denunciante) a la concesionaria del
departamento de salud de Denia (parte denunciada), en relación con el tratamiento de
datos por cuenta de terceros de fecha 6/04/2023.
SEGUNDO: Con fecha de 7 de junio de 2023 la Directora de la Agencia Española de
Protección de Datos acuerda iniciar actuaciones previas de investigación por los
hechos que se describen en la denuncia.
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/24
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
Hechos puestos de manifiesto en la denuncia:
Mediante Resolución del Conseller de Sanidad de fecha 07/02/2005 se adjudicó a la
empresa denunciada el contrato de gestión de servicio público para la prestación de la
atención sanitaria integral del Área 12, Departamento de Salud de Denia,
formalizándose el contrato con fecha 14/03/2005 e iniciándose los servicios el
01/02/2009.
En fecha 19/01/2023 se realizó una inspección en el Hospital de Denia en la que
comparecieron el Director de Sistemas y Tecnologías de la Información del Hospital de
Denia acompañado del Director Corporativo de Sistemas de Información del GRUPO
RIBERA, grupo al que pertenece la entidad denunciada. Constatándose:
-El sistema de información hospitalario utilizado en el Hospital de Denia es
***SISTEMA.1, de la empresa ***EMPRESA.3.
-La gestión de laboratorio y anatomía patológica se realiza con el sistema de
información ***SISTEMA.2 cuyo propietario es la empresa ***EMPRESA.4.
-La gestión del tratamiento anticoagulación, utiliza el sistema ***SISTEMA.3 de la
empresa ***EMPRESA.6 (desde el 19/12/2022).
-En Recursos Humanos se implantó la aplicación ***SISTEMA.4 de la empresa
***EMPRESA.1.
-Para gestionar la logística del hospital y del departamento se utilizaba ***SISTEMA.5
cuyo propietario es ***EMPRESA.1.
-Por último, consta un contrato con la empresa ***EMPRESA.5 que realiza la gestión
de infraestructuras y telecomunicaciones y en el que se indica que, en un futuro,
podría contratar otros nuevos servicios.
En la Inspección se requiere la aportación de los contratos y licencias de los productos
mencionados. (ANEXO II y III acta de la inspección).
En fecha 27/01/2023 y con el fin de garantizar el cumplimiento de la normativa de
protección de datos, se dictaron las “Instrucciones para el tratamiento de datos por
cuenta de terceros conforme al art. 28 del Reglamento General de Protección de
Datos”, (ANEXO I), donde consta que la Conselleria es responsable de los
tratamientos de datos personales y requiere que la entidad concesionaria realice
tratamientos de datos personales bajo responsabilidad de la Conselleria,
desempeñando el papel de encargada de tratamiento. En este documento se recogen
las obligaciones del art. 28 del RGPD, se especifican las operaciones a realizar, la
categoría y tipología de datos y se expone que la entidad concesionaria no recurrirá a
otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria.
También se especifican las instrucciones para la finalización del servicio.
La prestación de los servicios requiere que la entidad concesionaria realice tratamiento
de datos personales especialmente protegidos de los que es responsable la
Conselleria, siendo la entidad concesionaria la encargada del tratamiento. Con fecha
31/01/2023, se le notificó a la concesionaria la intención de no prorrogar el
mencionado contrato y se les comunicaron las normas para la recuperación de la
gestión directa del servicio y elementos vinculados con dicho servicio público.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/24
Con fecha 01/02/2023, se recibe escrito de la concesionaria (ANEXO IV), en el que
comunican su negativa a la entrega de la documentación requerida (contratos de
licencia/asistencia y/o prestación de servicios suscritos con las empresas propietarias
de las aplicaciones de los sistemas de información sanitaria utilizados en el Hospital
de Denia y del contrato de gestión de infraestructuras y telecomunicaciones). Motivo
por el cual se les requiere de nuevo el 10/02/2023 (ANEXO V y Vbis) indicando las
posibles sanciones en caso de incumplimiento. Finalmente se requiere una tercera vez
(ANEXO VI).
En fecha 28/03/2023, se recibe un e-mail por parte de la empresa ***EMPRESA.3.
(ANEXO VII), en la que, entre otros asuntos, indican la desinstalación del sistema
Millennium en la concesionaria.
En fecha 06/04/2023, se notificó a MARINA SALUD, los pasos a seguir en caso de
que estén modificando o tengan la intención de modificar el actual contrato para el
tratamiento de datos por cuenta de terceros, la cual se adjunta como (ANEXO VIII).
Todos los ANEXOS mencionados corresponden a la documentación aportada por la
parte denunciante en fecha 15/05/2023.
Documentación relevante aportada por la parte denunciante:
- Anexo I.- Documento “Instrucciones para el tratamiento de datos por cuenta de
terceros conforme al art. 28 del Reglamento General de Protección de Datos” de la
Conselleria de Sanidad Universal i Salut Publica de la Generalitat Valenciana, de fecha
27/01/2023, en el que se indica que el 7 de febrero de 2005 se adjudicó a la mercantil
MARINA SALUD SA el contrato de gestión de servicio público por concesión cuyo
objeto era la prestación de la atención sanitaria integral del Área 12 formalizándose el
contrato el 14 de marzo de 2005.
Entre estas instrucciones se indica:
La Conselleria de Sanidad es la responsable de los tratamientos de datos personales y
la entidad concesionaria es la encargada del tratamiento.
Los tratamientos de datos incluyen las operaciones de: recogida; adaptación o
modificación; registro; extracción; habilitación de acceso, cotejo o interconexión;
organización; consulta; estructuración; utilización; conservación; comunicación por
transmisión; destrucción.
Tipología de datos: datos identificativos y de contacto (nombre y apellidos, DNI/NIE,
dirección postal, teléfonos, dirección de correo electrónico...); datos de características
personales (sexo, edad, lengua materna...); Datos de salud (diagnósticos,
tratamientos, vacunas, pruebas diagnósticas...); otros datos sensibles (estilo de vida,
familiares, laborales, socioeconómicos...); datos relativos a la vida sexual; datos
genéticos; datos profesionales (formación, titulaciones...); datos laborales (puesto de
trabajo, historial laboral, retribuciones...).
Categorías de datos: Usuarios del sistema público de salud.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/24
En relación con las subcontrataciones consta: “La entidad concesionaria no recurrirá a
otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria”.
Al finalizar la prestación, la entidad concesionaria, en función de lo que determine la
Conselleria y conforme a las presentes instrucciones, deberá devolver todos los datos
personales y, una vez verificado el correcto funcionamiento de los servicios públicos y
previa comunicación de la Conselleria, suprimir las copias existentes. La concesionaria
podrá conservar los datos, debidamente bloqueados, en tanto pudieran derivarse
responsabilidades de los tratamientos realizados por cuenta de la Conselleria.
Asimismo, deberá facilitar la transferencia de los servicios a la Conselleria o a la
entidad que ésta determine para hacerse cargo de la prestación de dichos servicios
cuando finalice la actual concesión.
- Anexo II.- Documento emitido por la Dirección General de Investigación y Alta
Inspección Sanitaria de la Conselleria de Sanidad Universal i Salut Publica de la
Generalitat Valenciana sobre una inspección sanitaria en el Hospital de Denia de fecha
19 de enero de 2023. En este documento se requiere la documentación relativa a la
licencia y/o servicios de las aplicaciones/empresas: ***SISTEMA.1, ***SISTEMA.2,
***SISTEMA.3, ***SISTEMA.4, ***SISTEMA.5 y Contrato de gestión de
infraestructuras y telecomunicaciones con ***EMPRESA.5 en el Acta aparte.
-Anexo III.- Acta de Inspección nº ***REFERENCIA.1 de Dirección General de
Investigación y Alta Inspección Sanitaria, de fecha 19 de enero de 2023. Se requiere
para que en el plazo de diez días se aporte copia de los contratos suscritos por
MARINA SALUD SA con las empresas propietarias de ***SISTEMA.1, ***SISTEMA.2,
***SISTEMA.3, ***SISTEMA.4, ***SISTEMA.5 y Contrato de gestión de
infraestructuras y telecomunicaciones con ***EMPRESA.5.
- Anexo IV.- Contestación de fecha 1 de febrero de 2023 de la entidad MARINA SALUD
SA al Acta nº ***REFERENCIA.1, indicando que no corresponde a las funciones de la
Inspección Sanitaria solicitar copia de los contratos.
- Anexo V y Vbis.- Escrito de la ***PUESTO.1 de fecha 10 de febrero de 2023
requiriendo de nuevo lo solicitado el día 19/01/2023 y reiteración del mismo.
- Anexo VI.- Escrito de notificación de fecha 29/03/23 a la entidad MARINA SALUD SA
denegando el archivo de las actuaciones y requiriendo nuevamente la información
solicitada.
- Anexo VII.- Correo electrónico de fecha 28/03/2023 remitido desde ***EMPRESA.1 a
la Generalitat Valenciana (gva.es) en donde se pone de manifiesto la colaboración de
la empresa en la desinstalación de ***SISTEMA.1.
- Anexo VIII.- Documento denominado “Comunicación del órgano de contratación a la
concesionaria del departamento de Salud de Denia, en relación con el tratamiento de
datos por cuenta de terceros” dirigido a MARINA SALUD SA de fecha 6/04/2023 donde
se recuerda el deber del encargado de tratar los datos únicamente siguiendo las
instrucciones documentadas del responsable, cualquiera de los cambios antedichos
realizados sin la correspondiente autorización incumpliría las instrucciones referidas
del 27 de enero de 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/24
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
RIBERA SALUD SA figura en AXESOR como una sociedad anónima española y con
la actividad “Actividades Hospitalarias”. En su página web riberasalud.com consta que
es un grupo empresarial proveedor de servicios sanitarios públicos y privados. Entre
las sociedades que forman parte del Grupo figura MARINA SALUD SA y en su red
asistencial figura el Hospital de Salud de Denia.
MARINA SALUD SA figura en AXESOR como una sociedad anónima española y con
la actividad “Actividades Hospitalarias”. En su web marinasalud.es consta que es una
empresa sanitaria que presta servicios sanitarios públicos, entre ellos al Hospital de
Denia.
El Hospital de Denia, en su web denia.com/hospital-marina-salud/ indica que el
Departamento de Salud de Denia consta de 1 hospital, 4 centros sanitarios integrados,
8 centros de salud, 34 consultorios y dos consultorios adicionales durante el verano.
Se puso en marcha en 2009.
Con fecha 7 de julio de 2023 se remitió requerimiento de información a la parte
denunciada y de las respuestas recibidas se desprende:
-La entidad concesionaria ha aportado el “CONTRATO DE GESTIÓN DE SERVICIOS
PÚBLICOS POR CONCESIÓN”, celebrado con la Conselleria, firmado en fecha 14 de
marzo de 2005 (Documento nº 1), así como el Pliego de Cláusulas Administrativas
Particulares y el Pliego de Prescripciones Técnicas de dicho contrato (Documentos nº
2 y nº 3).
También se ha aportado el Convenio de tratamiento de datos personales en
cumplimiento del artículo 12 de la LOPD, firmado por ambas partes en fecha 1 de abril
de 2009 (documento nº 4). En dicho Convenio, figura, entre otras una cláusula relativa
al “Deber de devolución y no conservación” y a la “Subcontratación”, en la que se
indica “el responsable apodera al encargado para que subcontrate, en nombre y por
cuenta del responsable, el tratamiento de los datos necesarios para la prestación de
los servicios objeto de la concesión. A estos efectos, el Encargado informará al
Responsable de la identidad de las sociedades a las cuales pretende él subcontratar
los servicios objeto del contrato del que este convenio trae causa, así como de los
servicios que son objeto de esta subcontratación. La validez del apoderamiento que el
responsable en su caso otorgue (y que en tal caso deberá constar por escrito)
quedará sujeta a la firma de un contrato escrito entre el Encargado y la empresa
subcontratada, que recoja términos análogos a los previstos en este convenio con el
contenido íntegro establecido en el artículo 12 de la LOPD y a la asunción expresa por
el encargado en su propio nombre y el subcontratista de una responsabilidad solidaria
por cualquier incumplimiento de los términos del tratamiento por el subcontratista.
El Encargado deberá enviar al Responsable del fichero una copia del contrato suscrito
entre las partes, teniendo la facultad el Responsable de revocar el convenio y denegar
la posibilidad de subcontratar de no cumplir con la normativa vigente aplicable. En
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/24
este caso, el encargado será el único responsable del desino de la información que
hubiere comunicado al subcontratista, debiendo recuperarla asegurándose que éste
no almacena copia alguna.”
En fecha 27 de enero de 2023 el contenido del contrato se completó con las
“Instrucciones para el tratamiento de datos por cuenta de terceros conforme al art. 28
del Reglamento General de Protección de Datos”. (Documento nº 5) donde se indica
que “La entidad concesionaria no recurrirá a otro encargado de tratamiento sin la
autorización previa por escrito de la Conselleria”.
En el Portal de Transparencia de la Generalitat Valenciana, a través del siguiente
enlace https://gvaoberta.gva.es/es/concesiones-administrativas
sanidad//documentos/UU0OMSTrPZLv/folder/162575572?p_auth=Fb4qewiS
Diligencia D PLIEGO) constan los documentos relativos a la concesión.
-La entidad concesionaria ha aportado copia de los contratos suscritos con terceros,
en su calidad de encargado del tratamiento:
-Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil
***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo
***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018.
-Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la
mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD
de la solución informática propiedad de ***EMPRESA.4 denominada ***SISTEMA.2
que actuará como Sistema Informático de Laboratorio (LIA) para la informatización del
laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este
contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado
del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16).
-Contrato de prestación de servicios de licencia y mantenimiento sin hosting de
aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil
***EMPRESA.6. en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de
uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte
técnico. En el Anexo II constan las previsiones relacionadas con la prestación de
servicio por parte del subencargado del tratamiento. (Documento nº 17).
La concesionaria manifiesta que las subcontrataciones mencionadas se llevaron a
cabo en virtud del apoderamiento general otorgado por la Conselleria conforme a lo
señalado en la cláusula octava del Convenio de tratamiento de datos personales en
cumplimiento del artículo 12 de la LOPD aportado (Documento nº 4) en el que se
apodera al encargado para la subcontratación.
-La entidad concesionaria manifiesta que los contratos que a continuación se detallan
no forman parte del encargo de tratamiento de la concesión:
-Contrato de implementación de las herramientas ***EMPRESA.1 y ***SISTEMA.4,
celebrado con ***EMPRESA.7 (Documento nº 6), de fecha 12/07/2010, los servicios
de mantenimiento (Documento nº 7) y contrato para la mejora de la operativa de las
áreas usuarias del sistema (Documento nº 8) de fecha 8/10/2010.
Estos contratos ya no se encontraban en vigor a la fecha de la contestación de la parte
denunciada de 14/08/2023, puesto que se firmaron el 1/11/2009 con un periodo de
vigencia de cuatro años.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/24
-Contrato celebrado con la empresa ***EMPRESA.8 relacionado con el uso de la
herramienta ***SISTEMA.4 (Documentos nº 9, 10) de fecha 22/03/2011 y actualizado
el 9/05/22.
-Contrato marco para la prestación de servicios de tecnologías de la información,
firmado con la ***EMPRESA.5, (Documento nº 11), convenio de tratamiento de datos
personales complementario (Documento nº 12) y servicios de infraestructura y
telecomunicaciones contratados dentro del ámbito del citado contrato marco
(Documento nº 13) de fecha 17/03/22.
-La entidad concesionaria ha aportado copia de los siguientes documentos:
-“Normas para la recuperación de la gestión directa del servicio público de la atención
sanitaria integral del departamento de salud de Denia” (Documento nº 18) en la que se
indica la no prórroga y consiguiente extinción del contrato, prevista para el 31 de enero
de 2024 elaboradas por la parte denunciante.
En este documento se definen los trabajos preparatorios para la recuperación de la
gestión sin impacto asistencial y se concretan las tareas durante el año anterior a la
finalización del contrato.
A este respecto la entidad concesionaria aporta Decreto de 10 de mayo de 2023 por el
que se admite a trámite el recurso contencioso-administrativo interpuesto ante el
Tribunal Superior de Justicia de la Comunitat Valenciana, en relación con las
mencionadas Normas (Documento nº 19). El recurso mencionado es contra una
resolución de fecha 27/03/2023 que desestimaba un recurso de reposición contra la
comunicación de fecha 31/01/2023 anunciando no prorrogar el contrato de gestión de
asistencia sanitaria del Departamento de Salud de Denia.
-Con fecha 23/01/2024 en la web de la Consejería en la dirección
https://www.san.gva.es/ca/web/sanidad se ha publicado una comunicación donde se
indica que el día 1 de febrero de 2024, el Departamento de Salud de Denia pasará a
ser gestionado por la Conselleria.
Y el día 24/01/2024 consta una publicación del Conseller de Sanidad donde se informa
de que la transición de la gestión pública del Hospital de Denia que se hará efectiva el
próximo 1 de febrero está siendo ordenada y serena. Indica que desde la Conselleria
tienen un dialogo constante y fluido con los trabajadores con los que todos los días
miembros del equipo directo de la Conselleria están realizando la transición.
(https://valenciaplaza.com/marciano-gomez-afirma-transicion-hospital-denia-siendo-
ordenada-serena) (Diligencia D Comunicado).
-Con fecha 6 de febrero de 2024 esta Agencia remite un escrito de requerimiento de
información a la Conselleria solicitando información y documentación sobre la
finalización de la concesión y el traspaso de la gestión del Área 12, Departamento de
Salud de Denia que ha finalizado con fecha 1 de febrero de 2024.
Con fecha 29 de febrero de 2024 se ha recibido contestación de ***PUESTO.2 en la
que se informa de que la concesionaria ha aportado la documentación solicitada, a la
vez que la citada Subdirectora asegura que mediante dicha documentación cumple
formalmente las obligaciones establecidas al respecto en las normas de reversión y
sus deberes como encargada de tratamiento por cuenta de la Conselleria.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/24
CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
MARINA SALUD, S.A. es una empresa (…), constituida en el año 2005, y con un
volumen de negocios de ***CANTIDAD.1 euros en el año 2022.
QUINTO: Con fecha 24 de julio de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 28 del RGPD, tipificada en
el Artículo 83.4 del RGPD.
SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis,
manifestaba, en su alegación PRIMERA, una relación de los hechos acaecidos.
En la alegación SEGUNDA, que lleva por título, DE LA INEXISTENCIA DE
VULNERACIÓN DE LA NORMATIVA DE PROTECCIÓN DE DATOS POR PARTE DE
MARINA SALUD indicaba, entre otras cosas, lo que a continuación se transcribe:
“1. El alcance del supuesto incumplimiento imputado a Marina Salud.
Se imputa a nuestra representada la comisión de una supuesta infracción del artículo
28.2 del RGPD, a cuyo tenor “[e]l encargado del tratamiento no recurrirá a otro
encargado sin la autorización previa por escrito, específica o general, del responsable.
En este último caso, el encargado informará al responsable de cualquier cambio
previsto en la incorporación o sustitución de otros encargados, dando así al
responsable la oportunidad de oponerse a dichos cambios”.
Entiende la AEPD en el Acuerdo de Inicio que nuestra representada no comunicó a la
Administración responsable del tratamiento la información relacionada con la identidad
de las entidades con las que había subcontratado el tratamiento de datos personales,
lo que determinaría el incumplimiento del mencionado precepto. Y ello sobre la base
de la reclamación formulada por la Conselleria, en la que, sin embargo, se pone de
manifiesto expresamente el conocimiento por parte de aquélla de los contratos
suscritos por nuestra representada que implican el recurso a un subencargado del
tratamiento para llevar a cabo actividades que impliquen un tratamiento de datos
personales.
Es decir, la reclamación centra su rep***EMPRESA.6 en el hecho de que nuestra
representada no ha facilitado a la reclamante una copia de los contratos celebrados
con dichas entidades, pero no en el desconocimiento por aquélla de cuáles son dichas
entidades. Igualmente, su contenido pone de manifiesto que nuestra representada no
incumplió su obligación de informar al responsable del tratamiento acerca de las
actividades de tratamiento objeto de subcontratación, sino únicamente que nuestra
representada no había facilitado a la Conselleria responsable del tratamiento una
copia de los mencionados contratos.
1. Régimen aplicable a los contratos celebrados por MARINA SALUD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/24
Teniendo en cuenta lo anterior, es preciso referir cuál resultaba ser el marco aplicable
a la relación entre nuestra representada y la Conselleria en el momento en que se
suscribieron los contratos, así como el régimen aplicable a los mismos. En cuanto a la
relación que vinculaba a nuestra representada con la Conselleria, en su condición de
responsable del tratamiento de los datos tratados por MARINA SALUD, debe tenerse
en cuenta que, al menos hasta la adopción de las Instrucciones, la misma se regía por
el Convenio de tratamiento de datos personales en cumplimiento del artículo 12 de la
LOPD, en que, como se ha indicado, la Conselleria (como responsable del
tratamiento) otorgaba a nuestra representada (como encargada del tratamiento) un
apoderamiento general para la subcontratación de aquellas actividades de tratamiento
que resultasen precisas para la adecuada gestión de los servicios objeto de la
concesión.
Como se ha indicado, el Convenio preveía expresamente que la Conselleria
autorizaba y, en consecuencia, apoderaba a Marina Salud “para que subcontrate, en
nombre y por cuenta del responsable, el tratamiento de datos necesarios para la
prestación de los servicios objeto de la concesión”.
2. La Conselleria tenía conocimiento a la fecha de la aprobación de las
Instrucciones de los subencargados contratados por MARINA SALUD, manifestando
igualmente su idoneidad a los efectos previstos en el RGPD y la LOPDGDD.
Consecuencia de todo ello es que no resulta ajustado a la realidad lo indicado en el
Acuerdo de Inicio, dado que:
• La Conselleria responsable del tratamiento si tenía conocimiento al tiempo de
formular su reclamación de los subencargados contratados por nuestra representada y
el alcance de los servicios prestados por los mismos.
• La Conselleria consideraba idóneos a los mencionados encargados del tratamiento
(i) requiriendo a nuestra representada que no los reemplazase por otros sin su
autorización; y (ii) contratando directamente a los mismos como encargados del
tratamiento una vez producida la reversión de la concesión.
3. El hecho de no haber facilitado a la Conselleria los contratos celebrados con
las subencargados del tratamiento no supone un incumplimiento de la normativa de
protección de datos personales.
Gran parte del rep***EMPRESA.6 sustentado por la Conselleria en su reclamación
ante esa AEPD se funda exclusivamente en el hecho de que nuestra representada no
facilitó a la misma copia de los contratos celebrados con las entidades subencargadas
del tratamiento. Sin embargo, Marina Salud considera preciso poner de manifiesto que
ni el RGPD ni la LOPDGDD establecen una obligación como la que se acaba de
indicar.
4. La Conselleria ratifica la legalidad de la actuación de MARINA SALUD.
En la TERCERA alegación, titulada DE LA VULNERACIÓN DEL PRINCIPIO DE
PROPORCIONALIDAD EN LA DETERMINACIÓN DE LA SANCIÓN indicaba, entre
otras cosas, lo siguiente:
“[…] Y es que, en efecto, en el presente caso el incumplimiento supuestamente
imputado a nuestra representada, ya desvirtuado en las alegaciones anteriores,
tendría un carácter exclusivamente formal y consistiría en no haber facilitado al
responsable, como máximo hasta la fecha de realización de la inspección que tuvo
lugar el 19 de enero de 2023, es decir, unos meses después de la celebración de dos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/24
de los tres contratos analizados en el Acuerdo de Inicio, la identidad de los
subencargados del tratamiento.
“[…] la AEPD no ha tomado en consideración un hecho que conoce plenamente de la
mera lectura del expediente: en el presente momento, nuestra representada no presta
los servicios que constituían su fuente de ingresos, al ser su objeto social la gestión
del Departamento de Salud de Denia. Sin embargo, la AEPD considera que esta
circunstancia resulta en todo punto irrelevante, tomando como cifra de referencia para
la cuantificación de la sanción la cifra de negocio de nuestra representada en 2022,
fecha en la que sí desarrollaba su actividad como concesionaria del servicio público
ahora revertido.”
SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas
en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en
síntesis, manifestaba, la ratificación de lo indicado en las alegaciones al acuerdo de
inicio.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: Mediante Resolución del Conseller de Sanidad de fecha 07/02/2005 se
adjudicó a MARINA SALUD, S.A. con NIF A97563563, la parte denunciada, el
contrato de gestión de servicio público para la prestación de la atención sanitaria
integral del Área 12, Departamento de Salud de Denia, formalizándose el contrato con
fecha 14/03/2005 e iniciándose los servicios el 01/02/2009. No consta que se haya
renovado el contrato de encargo más allá del 25 de mayo de 2022, fecha hasta la cual
mantenían su vigencia los contratos indefinidos según la DT 5ª de la LOPDGDD.
SEGUNDO: El 01/04/2009 se formalizó entre las partes citadas, al amparo del contrato
indicado en el HECHO PRIMERO, el Convenio de tratamiento de datos personales en
cumplimiento del artículo 12 de la LOPD, que, en su cláusula Octava, en la que regula
la subcontratación, indica lo siguiente:
“El responsable apodera al encargado para que subcontrate, en nombre y por cuenta
del responsable, el tratamiento de los datos necesarios para la prestación de los
servicios objeto de la concesión.
A estos efectos, el encargado informará al responsable de la identidad de las
sociedades de las cuales pretende el subcontratar los servicios objeto de esta
subcontratación.
La validez del apoderamiento que el responsable en su caso otorgue (y que en tal
caso deberá constar por escrito) quedará sujeta a la firma de un contrato escrito entre
el Encargado y la empresa subcontratada, que recoja términos análogos a los
previstos en este convenio con el contenido íntegro establecido en el artículo 12 de la
LOPD y la asunción expresa por el encargado en su propio nombre y el subcontratista
de una responsabilidad solidaria por cualquier incumplimiento de los términos del
tratamiento por el subcontratista…….”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/24
Siendo la parte denunciante la responsable del tratamiento la Conselleria de Sanidad
y la parte denunciada MARINA SALUD, S.A la encargada del mismo.
TERCERO: El 19/01/2023, se realizó una inspección por la parte denunciante, en
cuya acta se requirió a la parte denunciada que facilitara copia de los contratos de
licencia, asistencia y/o de prestación de servicios suscritos con los propietarios de
varias aplicaciones que detallan, al comprobar que estaban siendo utilizadas en el
Hospital de Denia.
CUARTO: El 27/01/2023 se dictaron Instrucciones por parte de la parte denunciante
para el tratamiento de datos por cuenta de terceros conforme al artículo 28 del RGPD,
en las que se detallan, entre otros extremos, lo siguiente:
“La Conselleria de Sanidad es la responsable de los tratamientos de datos personales
y la entidad concesionaria es la encargada del tratamiento.
Los tratamientos de datos incluyen las operaciones de: recogida; adaptación o
modificación; registro; extracción; habilitación de acceso, cotejo o interconexión;
organización; consulta; estructuración; utilización; conservación; comunicación por
transmisión; destrucción.
Tipología de datos: datos identificativos y de contacto (nombre y apellidos, DNI/NIE,
dirección postal, teléfonos, dirección de correo electrónico...); datos de características
personales (sexo, edad, lengua materna...); Datos de salud (diagnósticos,
tratamientos, vacunas, pruebas diagnósticas...); otros datos sensibles (estilo de vida,
familiares, laborales, socioeconómicos...); datos relativos a la vida sexual; datos
genéticos; datos profesionales (formación, titulaciones...); datos laborales (puesto de
trabajo, historial laboral, retribuciones...).
Categorías de datos: Usuarios del sistema público de salud.
En relación con las subcontrataciones consta: “La entidad concesionaria no recurrirá a
otro encargado de tratamiento sin la autorización previa por escrito de la Conselleria.
Al finalizar la prestación, la entidad concesionaria, en función de lo que determine la
Conselleria y conforme a las presentes instrucciones, deberá devolver todos los datos
personales y, una vez verificado el correcto funcionamiento de los servicios públicos y
previa comunicación de la Conselleria, suprimir las copias existentes. La
concesionaria podrá conservar los datos, debidamente bloqueados, en tanto pudieran
derivarse responsabilidades de los tratamientos realizados por cuenta de la
Conselleria. Asimismo, deberá facilitar la transferencia de los servicios a la Conselleria
o a la entidad que ésta determine para hacerse cargo de la prestación de dichos
servicios cuando finalice la actual concesión.”
QUINTO: El 31 /01/2023 la parte denunciante notificó a la parte denunciada la
intención de no prorrogar el contrato y su consiguiente extinción en fecha 31 de enero
de 2024, así como las normas para la recuperación de la gestión directa del servicio
público.
SEXTO: Con fecha 01/02/2023, la parte denunciante recibió escrito de la parte
denunciada, en el que comunican su negativa a la entrega de la documentación
requerida, (copia de los contratos suscritos por MARINA SALUD SA con las empresas
propietarias de ***SISTEMA.1, ***SISTEMA.2, ***SISTEMA.3, ***SISTEMA.4,
***SISTEMA.5 y Contrato de gestión de infraestructuras y telecomunicaciones con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/24
***EMPRESA.5.), indicando que no corresponde a las funciones de la Inspección
Sanitaria solicitar copia de los contratos.
SÉPTIMO: En fecha 06/04/2023, la parte denunciante notificó a la parte denunciada el
documento denominado “Comunicación del órgano de contratación a la concesionaria
del departamento de Salud de Denia, en relación con el tratamiento de datos por
cuenta de terceros” donde se indican los pasos a seguir en caso de que estén
modificando o tengan la intención de modificar el actual contrato para el tratamiento de
datos por cuenta de terceros.
OCTAVO: Tras la entrada en vigor del RGPD la parte denunciada formalizó los
siguientes contratos:
-Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil
***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo
***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018.
-Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la
mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD
de la solución informática propiedad de***EMPRESA.4denominada ***SISTEMA.2 que
actuará como Sistema Informático de Laboratorio (LIA) para la informatización del
laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este
contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado
del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16).
-Contrato de prestación de servicios de licencia y mantenimiento sin hosting de
aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil
***EMPRESA.6 en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de
uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte
técnico. En el Anexo II constan las previsiones relacionadas con la prestación de
servicio por parte del subencargado del tratamiento. (Documento nº 17).
La concesionaria manifiesta que las subcontrataciones mencionadas se llevaron a
cabo en virtud del apoderamiento general otorgado por la Conselleria conforme a lo
señalado en la cláusula octava del Convenio de tratamiento de datos personales en
cumplimiento del artículo 12 de la LOPD aportado (Documento nº 4) en el que se
apodera al encargado para la subcontratación.
NOVENO: No consta que se haya informado al responsable del tratamiento antes de
la formalización de los contratos citados en el HECHO OCTAVO.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/24
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD
consta la realización de tratamientos de datos personales en los cuales la parte
denunciada es la encargada de los tratamientos, que lleva a cabo en el ejercicio de
sus competencias y atribuciones.
La figura del “responsable del tratamiento” se define en el artículo 4.7 del RGPD como
“la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o
junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión
o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.
Para la prestación de los servicios contemplados en el contrato de concesión, referido
a la prestación del servicio de atención sanitaria en el Departamento de Salud de
Denia, se requiere que la parte denunciada realice tratamientos de datos personales
en los que desempeña el papel de encargada de tratamiento. Entre estos tratamientos
se incluyen la recogida, adaptación o modificación, registro, extracción, habilitación de
acceso, cotejo o interconexión, consulta, estructuración, utilización, conservación,
comunicación por transmisión y destrucción de datos personales, entre los cuales se
encuentran categorías de datos especiales, datos de salud (diagnósticos, tratamientos,
vacunas, pruebas diagnósticas), datos relativos a la vida sexual, o datos genéticos.
El artículo 4.8 del RGPD entiende por “encargado de tratamiento” “la persona física o
jurídica, autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento”.
La parte denunciada desempeña el papel de encargado del tratamiento lo que se
desprende de la Resolución del Conseller de Sanidad de 07/02/2005 en la que se
adjudicó a la parte denunciada el contrato de gestión de servicio público por concesión
(***REFERENCIA.1), cuyo objeto era la prestación de la atención sanitaria integral del
Área 12, Departamento de Salud de Denia. El 14/03/2005 se formalizó el contrato,
siendo la fecha de inicio de los servicios el 01/02/2009. La prestación de los servicios
contemplados en el contrato de concesión requiere que la parte denunciada como
entidad concesionaria realice tratamiento de datos personales especialmente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/24
protegidos bajo responsabilidad de la parte denunciante. En dichos tratamientos, la
entidad concesionaria (parte denunciada) desempeña el papel de encargada del
tratamiento, ex artículo 4 apartados 7) y 8), del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante
RGPD).
III
Alegaciones al acuerdo de inicio y propuesta de resolución
En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:
En lo relativo a la alegación referida a la inexistencia de vulneración de la normativa de
protección de datos por la parte denunciada, cabe señalar que la parte denunciada
recurrió a otros subencargados en base a una autorización general, recogida en el
Convenio firmado entre las partes en 2009, por lo que sería de obligado cumplimiento
lo dispuesto en el apartado segundo del artículo 28, que se refiere, precisamente, a los
casos en que exista una autorización general del responsable del tratamiento, como
es el caso que nos ocupa:
“En este último caso, el encargado informará al responsable de cualquier cambio
previsto en la incorporación o sustitución de otros encargados, dando así al
responsable la oportunidad de oponerse a dichos cambios”.
Debe recordarse que el RGPD es de obligado cumplimiento desde el 25 de mayo de
2018, como ya se indicó en el Acuerdo de Inicio, fecha anterior a la inspección
realizada por la parte denunciante de 19/01/2023, a las instrucciones emitidas por la
misma en fecha 27/01/2023 y a la comunicación de no continuación del contrato el
31/01/2023.
En el presente caso, no consta que la parte denunciada, como encargada del
tratamiento, haya informado al responsable del tratamiento, la parte denunciante, de
los contratos de tratamiento suscritos con posterioridad a dicha fecha con los otros
subencargados, y, teniendo en cuenta que los contratos celebrados suponen
incorporaciones de otros subencargados, entrarían en la categoría de los cambios
previstos en el artículo 28.2 y deberían haberse informado con anterioridad a su
formalización para que el responsable hubiera tenido la oportunidad de oponerse a
dichos cambios.
A mayor abundamiento, convendría resaltar de nuevo, que la obligación de informar al
responsable de la identidad de las sociedades con las que se pretendía subcontratar,
ya existía en el Convenio de tratamiento de datos personales en cumplimiento del
artículo 12 de la LOPD, firmado el 1/04/2009, que en su clausula Octava, en la que
regula la subcontratación, indicaba lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/24
“El responsable apodera al encargado para que subcontrate, en nombre y por cuenta
del responsable, el tratamiento de los datos necesarios para la prestación de los
servicios objeto de la concesión.
A estos efectos, el encargado informará al responsable de la identidad de las
sociedades de las cuales pretende el subcontratar los servicios objeto de esta
subcontratación.
Por lo que tampoco es novedoso lo recogido en el RGPD, aunque la infracción
imputada se circunscribe exclusivamente a la obligación del 28.2 de los contratos con
los subencargados ya detallados en el Acuerdo de Inicio y que serían los siguientes:
-Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil
***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo
***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018.
-Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la
mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD
de la solución informática propiedad de***EMPRESA.4denominada ***SISTEMA.2 que
actuará como Sistema Informático de Laboratorio (LIA) para la informatización del
laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este
contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado
del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16).
-Contrato de prestación de servicios de licencia y mantenimiento sin hosting de
aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil
***EMPRESA.6 en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de
uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte
técnico. En el Anexo II constan las previsiones relacionadas con la prestación de
servicio por parte del subencargado del tratamiento. (Documento nº 17).
La concesionaria manifiesta que las subcontrataciones mencionadas se llevaron a
cabo en virtud del apoderamiento general otorgado por la Conselleria conforme a lo
señalado en la cláusula octava del Convenio de tratamiento de datos personales en
cumplimiento del artículo 12 de la LOPD aportado (Documento nº 4) en el que se
apodera al encargado para la subcontratación.
Como se detalló en el acuerdo de inicio persiste la obligación de informar mientras se
mantenga la relación entre el responsable y el encargado del tratamiento, la cual
deberá realizarse antes de la firma de los contratos citados, para que de acuerdo con
el artículo 28.2 el responsable tenga la posibilidad de oponerse.
Como ya indicó la parte denunciada en sus alegaciones, la DT5ª de la LOPDGDD dice
que “Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de
mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999,
de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su
vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse
pactado de forma indefinida, hasta el 25 de mayo de 2022”.
Esta Agencia en ningún momento se está cuestionando la vigencia de los contratos.
Las partes podrían haber pedido su adecuación al RGPD, aunque no consta que lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/24
hayan hecho. En todo caso, la obligación del art. 28 debía cumplirse, pero es que,
además en el contrato ya indicaba que se debía informar al responsable de los
subencargos que se hicieran. (Convenio de tratamiento de datos personales en
cumplimiento del artículo 12 de la LOPD, que, en su cláusula Octava, en la que regula
la subcontratación, indica que: “El responsable apodera al encargado para que
subcontrate, en nombre y por cuenta del responsable, el tratamiento de los datos
necesarios para la prestación de los servicios objeto de la concesión.
A estos efectos, el encargado informará al responsable de la identidad de las
sociedades de las cuales pretende el subcontratar los servicios objeto de esta
subcontratación. )
En otro orden de cosas, en ningún caso esta Agencia ha entrado a considerar el hecho
de que no se hayan facilitado copia de los contratos celebrados con dichas entidades
requeridos en la Inspección realizada
Así mismo, no resulta relevante en este caso el hecho de que la Administración
conociera los contratos a pesar de no haberlos comunicado según afirma la parte
denunciada.
La obligación surgió cuando se celebraron los contratos ya que, en virtud del principio
de responsabilidad proactiva, el responsable de dichas contrataciones debe estar en
condiciones de acreditar que cumplió la obligación, y no lo ha hecho.
Por todo lo expuesto, se desestima la presente alegación.
En lo que respecta a la alegación relativa a la vulneración del principio de
proporcionalidad en la determinación de la sanción ha de señalarse que la motivación
de la sanción propuesta ha seguido los criterios del artículo 83.2 del RGPD y del 76.2
de la LOPDGDD.
En el presente caso y con respecto al apartado a) del artículo 83.2 del RGPD cabe
tener en consideración la duración de la infracción y se trataría de una infracción
permanente, pues en las infracciones permanentes se crea un estado antijurídico cuya
cesación depende de la voluntad de su autor. Por lo tanto, mientras se continúe
utilizando a un subencargado persiste la obligación de informar, ya que la obligación
se impone para que el responsable esté informado, y debe estarlo mientras actúe un
subencargado,
La motivación también está plenamente justificada, siguiendo el apartado g) del
artículo 83.2 del RGPD en cuanto a los datos de carácter personal afectados, datos de
salud considerados como categoría especial de datos personales, según el artículo 9
del RGPD.
Asimismo, se ha aplicado para la graduación de la sanción el criterio del apartado 2
del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, que resalta que se
podrán tener en cuenta la vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (apartado b), como es el caso de la parte
denunciada que aunque su actividad principal es la gestión del departamento de salud
de Denia, para poder realizarla es necesario el tratamiento de datos personales, y en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/24
este caso de categorías especiales de datos personales, indicadas en el artículo 9 del
RGPD, al tratarse de datos vinculados con la salud de las personas.
Lo anterior se desprende de los datos obtenidos en las Actuaciones Previas de
Investigación que indican lo siguiente:
“El Hospital de Denia, en su web denia.com/hospital-marina-salud/ indica que el
Departamento de Salud de Denia consta de 1 hospital, 4 centros sanitarios integrados,
8 centros de salud, 34 consultorios y dos consultorios adicionales durante el verano.
Se puso en marcha en 2009.
MARINA SALUD SA figura en AXESOR como una sociedad anónima española y con
la actividad “Actividades Hospitalarias”. En su web marinasalud.es consta que es una
empresa sanitaria que presta servicios sanitarios públicos, entre ellos al Hospital de
Denia.
RIBERA SALUD SA figura en AXESOR como una sociedad anónima española y con
la actividad “Actividades Hospitalarias”. En su página web riberasalud.com consta que
es un grupo empresarial proveedor de servicios sanitarios públicos y privados. Entre
las sociedades que forman parte del Grupo figura MARINA SALUD SA y en su red
asistencial figura el Hospital de Salud de Denia.”
La alegación de falta de proporcionalidad no puede prosperar en este caso. En primer
lugar, recordemos que, respecto a la referencia utilizada para la cuantificación de la
sanción, la Agencia ha tomado en cuenta los últimos datos disponibles y publicados en
la herramienta AXESOR, que muestra un volumen de negocio de ***CANTIDAD.1
euros para el año 2022.
La multa de 500.000€ supone el 0,3% del volumen de negocio, teniendo en cuenta
que el RGPD permite multar con hasta el 2% de dicho volumen, no se podría
considerar desproporcionada, tomando además en consideración los agravantes
indicados, se trata de datos de los del art. 9 RGPD y la entidad esta habituada al
tratamiento.
Cabe añadir que para cuantías fijas el límite sería de 10 millones de euros, con lo que,
con cualquiera de los dos parámetros, la cuantía se encuentra claramente dentro del
tramo mínimo.
Por otro lado, y a pesar de lo alegado, la parte reclamada no ha aportado ninguna
información adicional que justifique la señalada disminución de su volumen de
negocios, siendo la última cifra disponible la utilizada por esta AEPD para la
cuantificación de la multa propuesta. Por lo tanto, la Agencia no dispone de elementos
distintos de los ya utilizados para la cuantificación de la sanción a imponer.
En cuanto a lo alegado por la parte denunciante respecto a que la infracción tendría un
carácter meramente formal, y por lo tanto la cuantía resultaría desproporcionada, cabe
afirmar que no es así, ya que la falta de comunicación de la existencia de
subencargados impide al responsable ejercer adecuadamente sus facultades de
control.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/24
Y no hay que perder de vista que nos encontramos antes la prestación de un servicio
público tan importante como la sanidad, donde lo habitual es el tratamiento de datos
de categoría especial.
La Administración no puede desentenderse de la posible existencia de subcontratados
(en protección de datos subencargados) que tienen acceso a datos personales de
salud.
Por todo lo expuesto, se desestima la presente alegación.
IV
Encargado del tratamiento
El artículo 28 del RGPD, “Encargado del tratamiento”, dice lo siguiente:
“1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiados, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.
2. El encargado de tratamiento no recurrirá a otro encargado sin la autorización previa
por escrito, específica o general del responsable. En este último caso, el encargado
informará al responsable de cualquier cambio previsto en la incorporación o
sustitución de otros encargados, dando así al responsable a oponerse a dichos
cambios...)”
En el caso que nos ocupa, la parte denunciada cuando subcontrató los servicios objeto
de la concesión gozaba de una autorización previa por escrito de tipo general firmada
por el responsable del tratamiento cuando se formalizó el Convenio de tratamiento de
datos personales en cumplimiento del artículo 12 de la LOPD firmado el 01 de abril de
2.009. Dicho Convenio, en su clausula Octava, en la que regula la subcontratación,
indica lo siguiente:
“El responsable apodera al encargado para que subcontrate, en nombre y por cuenta
del responsable, el tratamiento de los datos necesarios para la prestación de los
servicios objeto de la concesión. A estos efectos, el encargado informará al
responsable de la identidad de las sociedades de las cuales pretende el subcontratar
los servicios objeto de esta subcontratación. La validez del apoderamiento que el
responsable en su caso otorgue (y que en tal caso deberá constar por escrito)
quedará sujeta a la firma de un contrato escrito entre el Encargado y la empresa
subcontratada, que recoja términos análogos a los previstos en este convenio con el
contenido íntegro establecido en el artículo 12 de la LOPD y la asunción expresa por
el encargado en su propio nombre y el subcontratista de una responsabilidad solidaria
por cualquier incumplimiento de los términos del tratamiento por el
subcontratista…….”
Este convenio se firma a raíz del contrato existente entre las partes para la prestación
del servicio de atención sanitaria en el Departamento de Salud de Denia por concesión
de fecha 14/03/2005 siendo la fecha de inicio de los servicios el 01/02/2009, y ya en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/24
ese momento, como refleja la cláusula transcrita, existía obligación de informar al
responsable de la identidad de las sociedades con las que se pretendía subcontratar.
Así mismo el artículo 28.2 del RGPD es de obligado cumplimiento a partir del 25 de
mayo de 2018.
En el presente caso no consta que la parte denunciada haya informado al responsable
del tratamiento de los contratos suscritos con posterioridad a dicha fecha con los
subencargados.
Son los siguientes, han quedado también detallados en el HECHO PROBADO
OCTAVO:
-Acuerdo de Protección de datos, anexo al contrato celebrado con la mercantil
***EMPRESA.3., en fecha 6 de octubre de 2017 relacionado con el uso del aplicativo
***SISTEMA.1 (Documento nº 14). El anexo fue firmado el 27/09/2018.
-Contrato de Prestación de Servicios Informáticos para Laboratorio, celebrado con la
mercantil ***EMPRESA.4 cuyo objeto es “la adquisición por parte de MARINA SALUD
de la solución informática propiedad de***EMPRESA.4denominada ***SISTEMA.2 que
actuará como Sistema Informático de Laboratorio (LIA) para la informatización del
laboratorio de análisis clínicos del nuevo hospital de Denia” (Documento nº 15). Este
contrato fue firmado el 16 de abril de 2008. Aportan asimismo contrato de encargado
del tratamiento, adaptado al RGPD de fecha 5 de mayo de 2022. (Documento nº 16).
-Contrato de prestación de servicios de licencia y mantenimiento sin hosting de
aplicación informática ***SISTEMA.3 y la APP ***SISTEMA.3, firmado con la mercantil
***EMPRESA.6 en fecha 12 de abril de 2022, cuyo objeto es el uso de una licencia de
uso del Software de Gestión de Pacientes y el servicio de mantenimiento y soporte
técnico. En el Anexo II constan las previsiones relacionadas con la prestación de
servicio por parte del subencargado del tratamiento. (Documento nº 17).
El 27/01/2023 se dictaron unas instrucciones por parte del órgano de contratación, una
serie de obligaciones de carácter general al encargado, que se deducen del artículo 28
del RGPD y que a efectos de las subcontrataciones indican lo siguiente:
“La entidad concesionaria no recurrirá a otro encargado de tratamiento sin la
autorización previa por escrito de la Conselleria. A tal fin, la concesionaria deberá
informar a la Conselleria de cualquier previsión en este sentido con una antelación
mínima de 10 días hábiles.
En las subcontrataciones la entidad subcontratista también tendrá la condición de
encargada del tratamiento, estará obligada a cumplir las obligaciones establecidas en
este documento para el encargado del tratamiento, incluidas las relativas a
transferencias internacionales, y las instrucciones que pudiera establecer la
Conselleria.
Corresponde a la concesionaria regular la relación con la subcontratista de modo que
ésta quede sujeta a las mismas condiciones en lo referente al tratamiento de los datos
personales y a la garantía de los derechos de las personas afectadas. En caso de
incumplimiento por parte del subencargado, la concesionaria seguirá siendo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/24
plenamente responsable ante la Conselleria del cumplimiento de sus obligaciones
como encargada de tratamiento.
Las autorizaciones a las que se refiere el párrafo primero de este apartado estarán
supeditadas a que la concesionaria pueda confirmar la idoneidad de la entidad
propuesta, concretamente su conocimiento, capacidad y voluntad de cumplir las
exigencias que, para la prestación del servicio objeto del encargo de tratamiento, le
imponen tanto la normativa legal aplicable, particularmente la relativa a la seguridad
de la información y a la protección de datos personales, como las instrucciones de la
Conselleria.
A estos efectos, la concesionaria deberá aportar una declaración responsable de la
idoneidad de la subcontratista en los términos expuestos.
Así mismo, en el caso de que la concesionaria ya disponga de subcontrataciones que
conlleven el tratamiento de datos personales cuya responsabilidad ostenta la
Conselleria, deberán notificarse en el plazo de 15 días hábiles siguientes a la
notificación de las presentes instrucciones.”
Estas instrucciones solamente redundan en las obligaciones del encargado ya
contenidas en el artículo 28 del RGPD, plenamente exigibles desde la entrada en vigor
del RGPD, como ya hemos indicado previamente. Por otro lado, fueron emitidas solo
unos días antes a comunicar la no renovación del contrato de gestión de servicios por
la parte denunciante.
De conformidad con las evidencias de las que se dispone en el presente momento de
resolución del procedimiento sancionador, se considera que los hechos conocidos son
constitutivos de una infracción, imputable a la parte denunciada por vulneración del
artículo 28.2 del RGPD.
V
Tipificación y calificación de la infracción del artículo 28.2 del RGPD
La citada infracción del artículo 28.2 del RGPD supone la comisión de una de las
infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones
generales para la imposición de multas administrativas” dispone:
“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43;
A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe al año, conforme al artículo 74 de la LOPDGDD, que califica de leve la
siguiente conducta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/24
Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83
del RGPD y en particular las siguientes:
l) La contratación por un encargado del tratamiento de otros encargados sin contar
con la autorización previa del responsable, o sin haberle informado sobre los cambios
producidos en la subcontratación cuando fueran legalmente exigibles.
La infracción es permanente pues se ha creado un estado antijurídico cuya cesación
depende de la voluntad de su autor. La infracción del tipo se mantiene por la voluntad
del autor y se sigue consumando hasta que se abandona la situación antijurídica por
ese motivo no se considera prescrita
VI
Propuesta de sanción
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que procede graduar la
sanción a imponer de acuerdo con los siguientes criterios que establece el artículo
83.2 del RGPD:
- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(apartado a): por no informar de los tres contratos realizado con subencargados,
mientras se continúe utilizando a un subencargado persiste la obligación de informar,
ya que la obligación se impone para que el responsable esté informado, y debe estarlo
mientras actúe un subencargado, desde la fecha de la firma de los contratos con
***EMPRESA.3 de fecha 27/09/18 , ***SISTEMA.3 (***EMPRESA.6) de fecha
12/04/22 y ***EMPRESA.4 de fecha 5/5/22 (Actualización de un contrato de fecha
16/04/08), hasta la inspección realizada por el responsable del tratamiento en fecha
19/01/2023.
- Las categorías de los datos de carácter personal afectados por la infracción
(apartado g): las categorías de datos de carácter personal afectados por la infracción
son datos de salud, que se consideran categorías especiales de datos.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:
- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (apartado b): el tratamiento de datos personales constituye, en la
prestación del contrato con la Administración, una parte inherente o sustancial a la
prestación encomendada.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/24
artículo 28.2 del RGPD, permite fijar una sanción de multa administrativa de
500.000,00 euros.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a MARINA SALUD, S.A., con NIF A97563563, por una
infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa
de 500.000,00 euros (QUINIENTOS MIL euros).
SEGUNDO: NOTIFICAR la presente resolución a MARINA SALUD, S.A.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/24
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
1479-111224
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es