İspanya Veri Koruma Otoritesi (AEPD) — gdprhub/aepd-spain-exp202402851

1/49

 Expediente N.º: EXP202402851

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO:
A.A.A. (en adelante, la parte reclamante), en fecha 19 de enero de 2024, interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra IDCQ HOSPITALES Y SANIDAD, S.L.U. con NIF B87324844 (en
adelante, IDCQ). Los motivos en que basa la reclamación son los siguientes:

La parte reclamante expone que, en fecha 18 de noviembre de 2021, acudió al
Hospital a realizarse una resonancia, aportando para su comparación, un CD que
contenía las imágenes originales de la resonancia magnética realizada en el año 2018,
así como las de los dos años anteriores.

Manifiesta que, en fecha 29 de marzo de 2022, habiéndose personado en el Hospital a
recoger las imágenes por él aportadas, le informaron que no las encontraban.

En fecha 04 de abril de 2022, recibió un email de IDCQ, en el que le informaban de
nuevo que las pruebas aportadas ya no estaban disponibles.

Junto a la reclamación aporta copia del correo electrónico, remitido en fecha 4 de abril
de 2022, desde la dirección: ***EMAIL.1. y dirigido a la parte reclamante, en que
consta lo siguiente:

“Buenos tardes A.A.A.,

Tal y como acordé personalmente con usted, informarle que la documentación que
incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas
previas que usted aportó, las cuales se incluyeron en dicho ensobrado, tras realizar
una nueva revisión de nuestro archivo, lamento confirmarle que ya no están
disponibles.

La capacidad de nuestro archivo es limitada, es por ello que en la realización de las
pruebas informamos a los pacientes que quieren el soporte en papel el plazo para
recoger los informes ya que pasado un plazo se procede a la limpieza de dicho
archivo para poder disponer de espacio para seguir archivando lo recientemente
realizado.

Si necesita soporte en papel del estudio de noviembre de 2021, no dude en
comentármelo para realizarle una copia del mismo.

Atentamente B.B.B.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/49

Asimismo, aporta copia del informe médico, de fecha 18 de noviembre de 2021, en el
que consta que la parte reclamante había aportado un CD que contenía una
resonancia previa.

SEGUNDO:
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a IDCQ, para que procediese a su
análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, (en adelante, LPACAP), mediante notificación electrónica, fue recibido en
fecha 22 de febrero de 2024, como consta en el certificado que obra en el expediente.

En fecha 20 de marzo de 2024, se recibe en esta Agencia escrito de respuesta de
IDCQ indicando que, con fecha con fecha 18 de noviembre de 2021, el interesado
acudió al Hospital a realizarse una resonancia; junto con esta prueba, aportó al
Hospital CD originales que contenían imágenes realizadas en 2018 y las de los años
posteriores 2019 y 2020, como pruebas previas para la prestación de su tratamiento
asistencial en el Hospital.

Ese mismo día, el interesado firmó una hoja de recogida de pruebas en la que se
indicaba expresamente que el plazo para recoger las pruebas, era de un mes. Se
adjunta Hoja de Recogida de Pruebas que se entrega a los pacientes informando
sobre el plazo de recogida como documento número nº 01.

Con fecha 29 de marzo de 2022, es decir cuatro meses después, el interesado acudió
al hospital para solicitar las imágenes aportadas. Realizadas las investigaciones
oportunas, el Hospital con fecha 04 de abril de 2022, envió la respuesta al interesado
indicando lo siguiente:

“Tal y como acordé personalmente con usted, informarle que la documentación que
incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas
previas que usted aportó, las cuales se incluyeron en dicho ensobrado, tras realizar
una nueva revisión de nuestro archivo, lamento confirmarle que ya no están
disponibles.

Si necesita soporte en papel del estudio de noviembre de 2021, no dude en
comentármelo para realizarle una copia del mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/49

Con fecha 18 de enero de 2024, el interesado interpone una reclamación ante el
Hospital reclamando las imágenes. Con fecha 23 de enero de 2024, el Hospital
responde indicando que:

“Desde el servicio de diagnóstico por la imagen, lamentan la situación. Nos trasladan
que actualmente las pruebas externas tras dos años después de la revisión de la
misma se encuentran sin registro. Tras la realización de la resonancia el día 18 de
noviembre de 2021, se muestra en la hoja de recogida que existe un mes de plazo
para la recogida de las pruebas.”

Se adjunta respuesta enviada al interesado como documento nº 02.

En ese sentido, expone que el Hospital cuenta con un procedimiento en el servicio de
Diagnóstico por Imagen cuyo objeto es definir la operativa y el modelo de atención al
paciente dentro del área de diagnóstico por la imagen, en el que se detalla el plazo de
recogida de las pruebas. Se adjunta Procedimiento de Diagnóstico por Imagen como
documento nº 03.

En el Procedimiento de Diagnóstico por Imagen aportado por la parte reclamada, se
establece, en cuanto a la “Realización de pruebas diagnósticas en el Servicio de
Radiodiagnóstico”, que:

“4.2. Entrega de resultados

4.2.1. Pruebas sin informe

Finalizada la prueba, si esta no necesita ser informada, se envían al Pacs y los
médicos lo ven en la consulta. Si el paciente requiriera la prueba física, se le
entregará.

4.2.2. Pruebas informadas

El resultado de la prueba realizada es materializado en un informe, este es dictado por
el radiólogo, y trascrito directamente en el sistema informático.

Principalmente se redirige a los pacientes a consultar su informe médico por el dpd o
bien en la consulta sucesiva del especialista.

Llegado el caso de que el paciente requiera los informes físicos, se le informa de un
plazo para dicha recogida.

En el caso de pruebas informadas, se comunicará al paciente el momento a partir del
cual puede recoger el resultado.

Para ello, se entrega el CORP06.5/F003 Recogida o Envío de Resultados/Informes
donde la recepcionista cumplimentará el apartado fecha de recogida. Además, se
informará al paciente de las diferentes formas de recogida de pruebas, que son las
siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/49

1. Si el paciente es quién recoge personalmente la prueba, deberá venir provisto de su
DNI.

2. Si es un tercero quién acude a recoger la prueba deberá venir provisto de su DNI,
con la autorización cumplimentada y firmada por el paciente junto a una fotocopia del
DNI.

En el caso de que la prueba corresponda a un menor de edad, la persona que acude a
recoger la prueba deberá venir provista de su DNI, junto a una fotocopia del Libro de
Familia que acredite su parentesco con el menor, o la autorización CORP06.5/F003
Recogida o Envío de Resultados/Informes firmada por uno de sus progenitores o
tutores.

3. Si el paciente solicita que se le envíen los resultados por mensajería a él mismo o a
un tercero, como su médico, deberá firmar la correspondiente autorización para ello. y
abonar los gastos que ocasione el envío.

4. A cada médico se la asignarán de 4 a 7 informes anuales para hacer la revisión por
pares.

5. Un técnico senior realizará el control de calidad trimestralmente, revisando 100
radiografías anualmente.

Las pruebas quedarán archivadas para su recogida durante el plazo de un mes, desde
la fecha de realización. Transcurrido dicho plazo sin que se hubiera recogido, serán
enviadas al archivo general para su custodia durante el tiempo que establezca la ley, o
hasta que el paciente lo solicite, mediante documento CORP06.5/F003 Recogida o
Envío de Resultados/Informes o con la Solicitud de historia clínica.

Los informes deben contener como mínimo los siguientes datos: nombre y apellidos
del paciente, prueba realizada, fecha de realización, hallazgos radiológicos,
conclusiones y médico que realiza el informe.

En el caso de pacientes hospitalizados, los resultados de las pruebas quedarán
integrados en la historia clínica del paciente.”

Asimismo, añade que el Hospital cuenta con la Instrucción técnica para la atención de
los derechos en materia de protección de datos aprobada por el Delegado de
Protección de Datos y publicada en una herramienta corporativa, para conocimiento y
aplicación de todos los centros sanitarios del Grupo Hospitalario Quirónsalud, que es
puesta en práctica de forma diaria porque regula las condiciones generales para dar
cumplimiento a la obligación legal de atender debidamente las solicitudes de ejercicio
de los derechos de protección de datos por parte de los afectados cuyos datos
personales son responsabilidad del Grupo Hospitalario Quirónsalud. Se adjunta la
instrucción técnica para la atención de los derechos de protección de datos, como
documento nº 04.

Por lo tanto, según lo expuesto detalladamente en párrafos anteriores, a la fecha de la
contestación del presente Procedimiento, considera que el Hospital ha cumplido con
los procedimientos establecidos, informando debidamente al interesado del plazo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/49

tenía para recoger las pruebas aportadas y dando respuesta a todas sus
comunicaciones, por lo que no se ha producido ninguna incidencia.

Por lo expuesto considera que no ha existido incidencia alguna, que no hubo ninguna
afectación al interesado y que el Hospital ha cumplido en todo momento con el
procedimiento corporativo establecido.

A pesar de que no existe incidencia alguna, el Hospital ha establecido las siguientes
medidas:

 Revisión del procedimiento de Diagnóstico por Imagen. Tras esta revisión se
verifica que el procedimiento es adecuado.
 Revisión del procedimiento de actuación para la atención de los derechos de
los pacientes. Tras esta revisión se verifica que el procedimiento es adecuado.
 Se procede a recordar a todos los usuarios afectados de la existencia de estos
procedimientos y se traslada la importancia de la correcta gestión siguiendo
todos los pasos que en los procedimientos se establecen.
 En las sesiones de concienciación que se llevan a cabo anualmente se volverá
a insistir sobre la necesidad de conocer y aplicar los procedimientos internos.

Por todo lo expuesto, solicita que se acuerde el archivo del presente procedimiento, al
haber atendido la solicitud del interesado, en virtud de lo dispuesto en el Reglamento
General de Protección de Datos 2016/679 del Parlamento Europeo y del Consejo, de
27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta
al tratamiento de datos personales y a la libre circulación de estos datos, y la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de
los Derechos Digitales.

TERCERO:
En fecha 18 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se
admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO:
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad IDCQ
HOSPITALES Y SANIDAD, S.L.U. es una gran empresa, constituida en el año 2015 y
con un volumen de negocios de 2.834.684.000 euros, en el año 2023.

QUINTO:
En fecha 22 de noviembre de 2024, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de LPACAP, por la presunta infracción del artículo
9 del RGPD, por la presunta infracción del artículo 6 del RGPD, ambas tipificadas en el
artículo 83.5 del RGPD, y por la presunta infracción del artículo 25 del RGPD,
tipificada en el artículo 83.4 del RGPD.

El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP,
mediante notificación electrónica, siendo recibido en fecha 22 de noviembre de 2024,
como consta en el certificado que obra en el expediente

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/49

SEXTO:
Notificado el citado acuerdo, la parte reclamada presentó escrito de alegaciones en el
que, en síntesis, muestra su disconformidad y presenta alegaciones sobre la
conceptualización de la historia clínica, sobre la responsabilidad de cada centro
sanitario con respecto a la historia clínica de los pacientes, sobre la posible
contravención de los principios básicos en el tratamiento de los datos personales
llevado a cabo por el responsable del tratamiento, sobre la infracción de los artículos 9,
6 y 25 del RGPD, sobre la inexistencia de responsabilidad en la infracción y la falta de
proporcionalidad de la sanción y sobre la prescripción de la infracción administrativa
grave por haber transcurrido más de dos años desde los hechos sancionados.

SÉPTIMO:
En fecha 16 de julio de 2025, se formuló propuesta de resolución, proponiendo:

<< Que por la Presidencia de la Agencia Española de Protección de Datos se
sancione a IDCQ HOSPITALES Y SANIDAD, S.L.U., con NIF B87324844,

- por la infracción del artículo 9 del RGPD, en relación con el caso concreto, tipificada
conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a
efectos de prescripción, en el artículo 72.1 e) de la LOPDGDD, con una multa
administrativa de cuantía: 100.000,00 euros.

- por la infracción del artículo 6 del RGPD, en relación con el caso concreto, tipificada
conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a
efectos de prescripción, en el artículo 72.1.b) de la LOPDGDD, con multa
administrativa de cuantía: 100.000,00 euros.

-por la infracción del artículo 25 del RGPD, en relación con el procedimiento, tipificada
conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos
de prescripción, en el artículo 73 d) de la LOPDGDD, con una multa administrativa de
cuantía: 1.000.000,00 euros.>>

La citada propuesta de resolución fue enviada, conforme a las normas establecidas en
la LPACAP, mediante notificación electrónica, siendo recibida en fecha 16 de julio de
2025, como consta en el certificado que obra en el expediente.

OCTAVO:
En fecha 31 de julio de 2025, la parte reclamada presentó escrito de alegaciones a la
Propuesta de Resolución, reiterando básicamente las alegaciones ya presentadas al
Acuerdo de Inicio y en el que, en síntesis, manifiesta que:

PRIMERA. - ACERCA DE LAS MANIFESTACIONES CONTENIDAS EN LA
PROPUESTA DE RESOLUCIÓN EN RELACIÓN CON EL TRATAMIENTO DE LOS
DATOS DE SALUD DE LOS PACIENTES POR LOS CENTROS SANITARIOS Y LAS
OBLIGACIONES DE CONSERVACIÓN DE LA DOCUMENTACIÓN CLÍNICA.

1. Consideraciones previas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/49

La Propuesta parte de una serie de consideraciones, que a su juicio no cuentan con el
necesario fundamento jurídico y que suponen una interpretación inadecuada por parte
de la AEPD acerca del contenido real de las obligaciones establecidas en la normativa
de protección de datos personales en relación con los datos de naturaleza asistencial,
lo que necesariamente debería abocar al archivo del presente procedimiento
sancionador.

2. Sobre el régimen jurídico de las historias clínicas y la determinación de su
contenido conforme a la normativa de protección de datos personales.

Frente a lo indicado en la Propuesta de Resolución alega:

• Los datos clínicamente relevantes derivados de la revisión de dichas imágenes
fueron efectivamente incorporados a la historia clínica del paciente, en forma de un
informe específico, elaborado por el facultativo responsable. Este informe está a
disposición del paciente y cumple plenamente con los requisitos legales de trazabilidad
y acceso.

• La decisión médica (que no técnico-jurídica, porque así lo dice la LAP) de no
incorporar las imágenes como objeto a la historia clínica, ni en soporte físico ni en
formato digital, responde a un criterio clínico que no puede ni debe ser revisado por
quienes carecen de competencia técnica o sanitaria para ello. La normativa vigente no
impone la obligación de incorporar a la HC todo material visual aportado por el
paciente y que haya sido revisado, sino únicamente aquello que el profesional
sanitario considere relevante para la continuidad asistencial.

• Y por este motivo, aun cuando se pretenda indicar lo contrario, las imágenes ni
fueron ni debían ser incorporadas, bajo criterio médico (el único admisible) a la historia
clínica, por lo que no constituyen documentación clínica generada por el Hospital ni les
resulta de aplicación el régimen de conservación previsto en la Ley 41/2002 ni en el
RGPD.

Afirma que un órgano administrativo que ni siquiera ostenta competencia alguna en
materia sanitaria puede proceder, de un modo que únicamente puede valorarse como
una injerencia en una materia completamente ajena a su competencia y ámbito de
actuación, a efectuar una valoración del criterio médico seguido por el facultativo al
que acudió el paciente y que incluso, si se aplica un criterio jurídico al razonamiento
efectuado por la AEPD, no puede concluirse sino que el mismo resulta claramente
contrario a derecho, por cuanto violenta radicalmente el principio de especialidad y
supone una completa extralimitación de la AEPD en el ejercicio de sus competencias.

Entiende que si la AEPD ha venido reconociendo que carece de competencia alguna
para valorar cuál debe ser el contenido de una HC, esa misma carencia debería
apreciarse en el presente caso, en que, sin embargo, se decide, sin base en criterio
médico o asistencial alguno, que una determinada información debe formar parte del
contenido de la HC.

Concluye indicando que:

• Es el facultativo, y sólo el facultativo (y evidentemente en ningún caso la AEPD),
quien puede determinar el contenido de la HC del paciente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/49

• La decisión acerca de esta cuestión no puede ser objeto de revisión por quien ni
ostenta criterio médico ni carece de competencia alguna en materia sanitaria y
asistencial. • En el presente caso, la HC del paciente contiene la información que, a
juicio del facultativo, resultaba trascendental para conocer de forma veraz y
actualizada el estado de salud del paciente, incluyendo únicamente, respecto de las
imágenes aportadas por el paciente las que resultaban trascendentales para verificar
la evolución de su estado de salud respecto a las pruebas previamente realizadas.
• Sólo esta información podía considerarse objeto de tratamiento lícito por el Hospital,
al amparo de lo establecido en los artículos 6.1 c) y 9.2 del RGPD, no debiendo
procederse al tratamiento de ningún dato adicional.

3. Sobre la conservación de los datos no incorporados a la historia clínica del
Paciente.

3.1 Las obligaciones de conservación de la documentación clínica se refieren a la que
se ha generado por el propio centro sanitario

Entiende que la documentación clínica generada por el centro es la que queda sujeta a
la LAP y sujeta por ello a los deberes de custodia y conservación establecidos por la
misma, sin que sea objeto de la LAP la documentación clínica procedente de otro
centro ni la que el paciente pudiera aportar mediante imágenes captadas con su móvil,
ya sean fotos, videos o cualquier imagen en otro soporte, si el facultativo no decide
integrarla en la HC. Firma por tanto que sólo si el médico considera dicha información
relevante solicitaría la misma para incorporarla a la HC, pero en tanto en cuanto esto
no suceda, estos datos serían de la exclusiva responsabilidad del paciente.

Asimismo, alega que la documentación clínica generada por otro centro, salvo que
pase a formar parte de la HC del paciente en el centro, sólo si así lo decide el
profesional asistencial por considerarla valiosa, útil, necesaria o trascendental, podrá
considerarse sujeta a las obligaciones de conservación y custodia establecidas en la
LAP.

Es decir, entiende que en tanto no exista la decisión médica de incorporar los datos a
la HC, el único tratamiento lícito de los datos contenidos en el CD es el de su
visualización y el que afecta a la decisión de incorporar los mismos o no a la HC. Una
vez concluido este tratamiento, que en modo alguno implica un deber de conservación
de documentación que es ajena a mi representada, no es posible, en su opinión,
persistir en el tratamiento de estos datos sin que ello suponga una vulneración de la
normativa de protección de datos personales, puesto que no existiría base jurídica
para conservar datos de otro centro sanitario y no generados por el Hospital salvo que
el criterio médico consista en su incorporación a la HC.

3.2 Sobre la licitud de los protocolos de conservación y custodia de la información
seguidos por IDCQ

Alega que lo que se llevó a cabo podría denominarse “bloqueo organizativo”,
consistente en guardar el CD en un lugar seguro (archivo cerrado, caja fuerte, etc.)
donde está restringido el acceso solo a personas autorizadas. Tras el bloqueo procede
la destrucción, si es que no hay obligación legal de conservación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/49

Y en relación con este punto, considera necesario poner nuevamente de manifiesto
que el CD no se encuentra sujeto a las normas de conservación establecidas en el
artículo 17.1 de la LAP, toda vez que dicho precepto indica que “[l]os centros sanitarios
tienen la obligación de conservar la documentación clínica en condiciones que
garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el
soporte original, para la debida asistencia al paciente durante el tiempo adecuado a
cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada
proceso asistencial”.

Manifiesta que el CD al que se refiere ni forma parte de la HC ni puede considerarse
documentación clínica a los efectos del precepto citado, por lo que no serían de
aplicación las normas sobre conservación que se acaban de reproducir.

Alega que IDCQ indicó expresamente al reclamante, y así lo hizo constar en la hoja de
recogida de pruebas, que el plazo para la recogida del CD facilitado era de un mes.
Ello implica que, dado que el mencionado CD no se incorporó a la HC del paciente
(salvo en la información contenida en el informe médico relacionado con las pruebas
practicadas) en caso de que el interesado no procediese a la recogida del CD se
procedería a su destrucción, al no ser lícito (por innecesario y en evitación del
incumplimiento del principio de minimización) el tratamiento de datos personales
contenidos en dicho CD una vez elaborado el mencionado informe. Es decir, reitera
que el reclamante tenía pleno conocimiento del plazo de un mes del que disponía
para la recogida del soporte mencionado, de forma que, habiendo transcurrido cuatro
meses desde la fecha en que se llevó a cabo la recogida del CD por el Hospital,
procedía llevar a cabo la destrucción del soporte que, en su opinión, ni puede ser
considerado documentación clínica a efectos de la LAP ni forma parte de la HC del
reclamante, tomando en consideración el criterio médico del facultativo, único
admisible conforme a la citada Ley.

3. Acerca de los protocolos implantados por IDCQ para la custodia de las HC, la
documentación clínica, los derechos establecidos en el RGPD y la custodia de los
soportes que no forman parte de la HC ni deben ser considerados documentación
clínica a efectos de la LPA.

Reitera que es incorrecto afirmar que no existía, o no existe, un procedimiento
aplicable a situaciones como la que ha motivado la presente reclamación.

En este sentido, alega que el Hospital dispone de un procedimiento de gestión de
soportes, conocido por el personal, que establece directrices claras y básicas,
consistentes en (i) no admitir soportes externos; (ii) en caso de resultar imprescindible,
tratarlos o visualizarlos en la propia consulta; (iii) una vez alcanzada la finalidad para la
que fueron entregados, ponerlos a disposición del paciente; y (iv) si no son recogidos
en el plazo de un mes, proceder a su destrucción.

Y a este respecto, entiende que aun cuando es cierto que el procedimiento específico
del servicio de diagnóstico por imagen no contempla de forma expresa la devolución
de soportes físicos que contengan datos personales aportados por los pacientes, ello
no implica la inexistencia de una práctica o un procedimiento inexistente, puesto que,
los soportes, una vez valorada la información médica que contienen e incorporada a la
historia clínica la considerada transcendental para el facultativo, son devueltos al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/49

paciente siguiendo las instrucciones del “Procedimiento CORP06.5/F003 R Recogida o
Envío de Resultados/Informes” que ya obra en el procedimiento, en los términos de la
normativa de protección de datos. Además, añade que en el continuo desarrollo de las
normas internas relacionadas con el cumplimiento de la normativa de protección de
datos se ha adoptado el procedimiento: CORP06.5-IT009 v1 Instrucción Técnica para
la gestión de soportes con datos de salud aportados por pacientes, que también fue
aportado junto a las alegaciones al Acuerdo de Inicio.

Finalmente, afirma que la propuesta de sanción se fundamenta en una interpretación
errónea e inadecuada de los procedimientos internos del centro hospitalario, así como
de los principios y obligaciones que rigen el tratamiento de datos personales en el
ámbito sanitario.

Reitera que el Hospital dispone, y ha dispuesto en todo momento, de un marco
procedimental completo y coherente que, aun a riesgo de ser reiterativos, incluye
procedimientos (todos aportados a la AEPD) tales como:
• El procedimiento de conservación y custodia de la HC, complementado con
CORP06.5- A023 v2 Plazos de conservación de HC-legislación autonómica.
• El procedimiento para la Eliminación de HC.
• El procedimiento de tratamiento seguro de datos en el uso de sistemas de
información. • El procedimiento específico del servicio de radiodiagnóstico.
•El procedimiento para la gestión de soportes con datos de salud aportados por
pacientes.

SEGUNDA. - ACERCA DE LA INEXISTENCIA DE LAS SUPUESTAS
INFRACCIONES IMPUTADAS A IDCQ.

1. Sobre la licitud del tratamiento llevado a cabo por IDCQ.

Alega que:

• Las imágenes contenidas en el CD no forma en ningún caso parte de la HC del
Reclamante en virtud de la decisión del facultativo que le asistió y en base a su criterio
médico, único que debe ser tenido en cuenta conforme a la LAP. En este sentido, el
facultativo únicamente incorporó la información que consideró relevante en relación
con los antecedentes derivados de las pruebas realizadas, excluyendo la restante
información incorporada a ese soporte.
El CD contiene información referida a la primera copia (nunca el original) de las
pruebas realizadas en otros centros sanitarios, no pudiendo en ningún caso
considerarse documentación generada por el Hospital, a los efectos establecidos en la
LAP.
• El único tratamiento de datos personales que contaba con la adecuada base jurídica
para su realización por parte del Hospital consistía en la visualización de la
información para la elaboración del informe médico que obra en la HC y para la toma
por el facultativo de la decisión, basada exclusivamente en su criterio médico, de
incorporar o no a la HC el contenido del CD.
• Una vez llevado a cabo este tratamiento de los datos personales contenidos en el CD
mi mandante carece de base jurídica de ningún tipo para proseguir en ese tratamiento,
por lo que, en aplicación del principio de conservación establecido en el artículo 5.1 e)
del RGPD debe cesar en todo tratamiento de dichos datos, no existiendo base jurídica
de ningún tipo para la realización de un tratamiento que únicamente hubiera sido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/49

válido en caso de que el facultativo, bajo su criterio médico (no técnico-jurídico)
hubiera decidido su incorporación a la HC del Paciente. No hay por tanto
incumplimiento alguno de la normativa sobre protección de datos sino, antes, al
contrario, un estricto cumplimiento de un principio capital en esta normativa, esto es, el
principio de minimización.
• El Paciente firmó una hoja de recogida en que se le informaba claramente de esta
circunstancia, de forma que disponía de un mes para la recogida del CD, no
procediendo a la misma ni en ese plazo ni en los tres meses siguientes.
• Transcurrido ese plazo, y habiéndose adoptado hasta ese momento las medidas
encaminadas a garantizar la disponibilidad, integridad y confidencialidad de la
información (obviamente distintas del bloqueo, dado que no es posible en un soporte
como el aportado), mi mandante procedió a la destrucción del soporte, dado que tal
era su obligación legal conforme a la normativa de protección de datos.
• En ningún caso dicha destrucción implica perjuicio alguno al interesado ni pérdida de
control sobre sus datos personales, por cuanto el CD facilitado, aun cuando parezca
insinuarse lo contrario en la Propuesta, no es el “original” de la prueba, constando
dichas pruebas en las HC de los centros donde las mismas fueron realizadas y
pudiendo acceder el interesado a las mismas conforme a la normativa aplicable a
dichos centros sanitarios.

2. Sobre el cumplimiento del principio de privacidad desde el diseño y por
defecto.

Considera que ha cumplido plenamente las obligaciones establecidas en el artículo 25
del RGPD, adoptando las medidas técnicas y organizativas necesarias para afrontar
los riesgos que el tratamiento de los datos personales pudiera generar en los
pacientes que acuden a los centros sanitario que gestiona. A tal efecto, alega que ha
aportado a lo largo del procedimiento los distintos protocolos adoptados en relación
con las cuestiones que el mismo plantea y considera que:

• El CD contenía imágenes clínicas externas, aportadas por el paciente, y no
generadas por el centro.
• Estas imágenes fueron utilizadas exclusivamente con una finalidad asistencial
puntual: permitir al Facultativo especialista en radiología realizar una comparativa con
las pruebas realizadas en el centro.
• Una vez cumplida dicha finalidad, el médico emitió su informe e incorporó a la historia
clínica únicamente los datos que consideró clínicamente relevantes, conforme al
principio de integridad de la historia clínica contenido en el artículo 15 de la LAP.
• Las imágenes en sí no fueron incorporadas a la historia clínica, al no considerarse
trascendentes para el conocimiento veraz y actual del estado de salud del Paciente,
conforme al criterio médico del facultativo.
• En consecuencia, cesó la base de legitimación del tratamiento conforme al artículo
9.2.h del RGPD, y cualquier conservación posterior habría sido ilícita.
• Por tanto, la destrucción del CD fue una medida técnica y organizativa necesaria y
proporcionada para cumplir con los principios de limitación de la finalidad,
minimización de datos y limitación del plazo de conservación.

Por tanto, entiende que la actuación consistente en la destrucción del CD que contenía
imágenes clínicas externas, una vez finalizada la finalidad asistencial y sin que dichas
imágenes fueran incorporadas a la historia clínica, se alinea plenamente con las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/49

exigencias de seguridad y minimización de riesgos que derivan tanto del RGPD como
de los marcos normativos de seguridad de la información aplicables en el ámbito
sanitario.

En definitiva, considera que la destrucción de los datos responde a la necesidad de
mitigar los riesgos inherentes a la persistencia de información personal en soportes
físicos o digitales una vez cumplida la finalidad que justifica su tratamiento. La mera
conservación de dichos soportes, en ausencia de base jurídica, no solo constituye en
su opinión, un tratamiento ilícito conforme al RGPD, sino que expone a la organización
a vulnerabilidades innecesarias en materia de seguridad de la información.

TERCERA. - ACERCA DE LA VULNERACIÓN POR EL ACUERDO DE INICIO DEL
PRINCIPIO DE CULPABILIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE
PROPORCIONALIDAD.

1. Vulneración de los principios de culpabilidad, seguridad jurídica y confianza
legítima.

Alega que ha actuado en todo momento respetando los principios y obligaciones
contenidas en la normativa de protección de datos y en la que resulta las historias
clínicas.

En consecuencia, entiende que la AEPD con su actitud ha vulnerado los principios de
confianza legítima y seguridad jurídica, adoptando un cambio radical de criterio que no
puede sino calificarse de sorpresivo e inesperado, siendo así que resulta contrario a
los principios del derecho administrativo sancionador, tanto en España como en la
Unión Europea, la apreciación de dolo o negligencia alguna en el presente caso.

Y, por tanto, a la luz de cuanto antecede, considera que no concurre en el presente
expediente el presupuesto de culpabilidad exigido por el Derecho sancionador. Afirma
que la conducta desplegada por IDCQ ha sido razonable, proporcionada y conforme a
Derecho, por lo que la imposición de una sanción administrativa en ausencia de dolo o
culpa resultaría radicalmente contraria a los principios que rigen la potestad
sancionadora de la Administración, en particular, al principio de culpabilidad, con
carácter de garantía constitucional mínima en este ámbito.

2. Subsidiariamente, vulneración del principio de proporcionalidad.

Para el negado supuesto en que se considere por esa AEPD que no procede el
mencionado archivo, considera que la Propuesta de Resolución adolece de la
necesaria motivación respecto del modo en que se calcula la sanción, limitándose a
señalar las circunstancias agravantes aplicadas y a realizar un escueto razonamiento
respecto de las mismas, que, considera, permitiría fijar la sanción en cualquier
cantidad.

IDCQ niega de plano la concurrencia de ninguna de las mencionadas agravantes.

a) Aplicación de la agravante relacionada con la naturaleza, gravedad y duración de la
infracción.

Alega que simplemente se destruyó un CD, pero no la documentación que consta en
la HC del paciente; ni se ha causado, por este motivo daño alguno a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/49

Entiende que la supuesta agravante no es sino una integrante del propio tipo
sancionador, no siendo posible el recurso a la misma como agravante de la sanción,
por cuanto su concurrencia es necesaria para considerar que existe una infracción del
RGPD. En este sentido, afirma que resulta plenamente aplicable la doctrina
sustentada por la reciente Sentencia de la Audiencia Nacional de 8 de mayo de 2025
(recurso 1448/2021), que indica de forma palmaria que “la gravedad de la infracción
es consustancial al hecho típico que se sanciona”, lo que impide su utilización como
agravante.

b) Aplicación de la agravante referida a la intencionalidad o negligencia de IDCQ.

Entiende que la mera referencia a la concurrencia de culpabilidad en la conducta
jamás puede implicar una circunstancia agravante, por cuanto no es sino un requisito
sine qua non para apreciar la concurrencia del elemento culpabilístico necesario para
que pueda considerarse cometida la infracción y a tal efecto considera irrelevante el
sector de actividad en que opera la reclamada ni su volumen de facturación.

c) Aplicación de la agravante referida a la naturaleza de los datos.

En este sentido, afirma que la AEPD una vez más, aplica como circunstancias
agravantes lo que no son sino elementos del tipo sancionador.

d) Aplicación de la agravante relacionada con la vinculación de la actividad de IDCQ
con la realización de tratamientos.

Con dicha agravante alega que se intenta agravar la conducta de aquellos infractores
que han convertido el tratamiento de datos personales en el objeto y elemento
esencial de su modelo de negocio exigiéndoles que actúen, por ello, con una diligencia
más exacerbada en razón del riesgo inherente a su actividad económica y de la
exigible mayor especialización en el tratamiento de datos de quien hace de éste su
objeto social. Y por ello considera que no es este, el objeto de negocio de la
reclamada, aun cuando el desarrollo de la actividad sanitaria pueda implicar el
tratamiento de datos personales de los pacientes que acuden a los centros sanitarios
que gestiona.

e) Conclusión

A la vista de todo lo indicado, entiende que ninguna de las mencionadas agravantes
puede ser aplicable en el presente caso, y que la consecuencia de todo ello es que en
caso de apreciarse la existencia de una infracción de la normativa de protección de
datos personales, la cuantía de la sanción planteada en el Acuerdo de Inicio debería
ser objeto de una sustancial reducción, siendo en todo punto inadmisible la valoración
efectuada en la Propuesta, que sanciona la conducta de la parte reclamada nada
menos que con un montante total de un millón doscientos mil euros.

Por último, solicita a la AEPD que dicte resolución por la que se acuerde el archivo del
presente procedimiento o, en su defecto, imponga a IDCQ la sanción de
apercibimiento consagrada en el artículo 58.2 b) del RGPD o una reducción
significativa de la cuantía establecida en la Propuesta de Resolución, en atención a las
numerosas circunstancias concurrentes en el supuesto de hecho enjuiciado, que
supondrían una muy cualificada reducción de la antijuridicidad y culpabilidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/49

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO:
Consta que en fecha 18 de noviembre de 2021, la parte reclamante acudió al Hospital
Universitario Quirónsalud Madrid a realizarse una resonancia; aportando para su
comparación, un CD que contenía las imágenes originales de las resonancias
magnéticas realizadas en el año 2018 y las de los dos años posteriores 2019 y 2020,
como pruebas previas para la prestación de su tratamiento asistencial en el Hospital.

Ese mismo día, el interesado firmó una hoja de recogida de pruebas en la que se
indicaba expresamente que el plazo para recoger los resultados/informes era de un
mes.

SEGUNDO:
Consta aportado al expediente “Recogida o envío de resultados/informes” que se
entrega a los pacientes informando sobre el plazo de recogida.

En dicha Hoja consta expresamente:

“Los resultados/informes se mantendrán pendientes de recogida durante un mes.
Transcurrido este tiempo, se remitirán al Archivo Central. El paciente podrá solicitarlos
por escrito a través del modelo “R1GHQPC07 Solicitud de HC” (tiempo de entrega: 7
días naturales).”

TERCERO:
Consta aportado al expediente el Procedimiento de Diagnóstico por Imagen, en su
versión 2, aprobada en febrero de 2024.

En el aparatado 4. DESARROLLO ÁREA TÉCNICO ASISTENCIAL, se establece:

4.2. Entrega de resultados
4.2.2. Pruebas informadas:

(…)
“Las pruebas quedarán archivadas para su recogida durante el plazo de un mes,
desde la fecha de realización. Transcurrido dicho plazo sin que se hubiera recogido,
serán enviadas al archivo general para su custodia durante el tempo que establezca la
ley, o hasta que el paciente lo solicite, mediante documento CORP06.5/F003 Recogida
o Envío de Resultados/Informes o con las Solicitud de historia clínica.”

CUARTO:
En fecha 29 de marzo de 2022, es decir cuatro meses después, el interesado acudió al
Hospital, al servicio de diagnóstico por imagen, para recoger el CD que contenía las
imágenes originales de las resonancias magnéticas realizadas en el año 2018 y las de
los dos años posteriores 2019 y 2020 que aportó para su comparación con la prueba
radiológica que se hizo en el Hospital.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/49

No obstante, según repuesta dada por el Hospital, en fecha 04 de abril de 2022, desde
la dirección: ***EMAIL.1, con el objeto “Diagnóstico por imagen”:

“Buenas tardes A.A.A.,
Tal y como acordé personalmente con usted, informarle que la documentación que
incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas
previas que usted aportó, las cuales se incluyeron en dicho ensobrado, tras realizar
una nueva revisión de nuestro archivo, lamento confirmarle que ya no están
disponibles.
La capacidad de nuestro archivo es limitada, es por ello que en la realización de las
pruebas informamos a los pacientes que quieren el soporte en papel el plazo para
recoger los informes ya que pasado un plazo se procede a la limpieza de dicho
archivo para poder disponer de espacio para seguir archivando lo recientemente
realizado.
Si necesita soporte en papel del estudio de noviembre de 2021, no dude en
comentármelo para realizarle una copia del mismo.
Atentamente B.B.B.”.

QUINTO:
En fecha 18 de enero de 2024, el interesado interpuso una reclamación ante el
Hospital reclamando las imágenes. En fecha 23 de enero de 2024, el Hospital
respondió indicando que:

SEXTO:
Consta Informe médico de la Resonancia Magnética Craneal, de 18 de noviembre de
2021, realizada en el Hospital Quirónsalud Madrid, de la comparativa de la RM de 18
de noviembre de 2021, con las otras imágenes de las pruebas previas, aportadas por
el paciente.
Así, en dicho informe emitido en fecha 18 de noviembre de 2011, se indica
expresamente (el subrayado es nuestro):
“(…)”
SÉPTIMO:
Consta relatado en escrito de alegaciones presentado por la reclamada lo siguiente:
“i.-Si el paciente entrega un soporte que contiene información de salud, con el objeto
de prestar una asistencia sanitaria adecuada y eficaz, el facultativo debe revisar la
información e incluir en la Historia Clínica del paciente SOLO la información que sea
trascendente como se ha explicado en el punto primero.
ii.-Una vez esto se ha realizado, el mantenimiento de los datos en dichos soportes
resulta contrario a la mayoría de los principios de protección de datos como se ha
podido apreciar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/49

iii.-En base a lo anterior, el Centro, cuando no concurre excepción que permita el
tratamiento de datos de salud, ni base legitimadora, ni finalidad, ni tiene la obligación
de conservar esos datos, lo único que puede hacer es limitar el plazo de conservación
procediendo cómo procedió: En un primer momento mantiene el soporte a disposición
del paciente durante un plazo que informa, y en este caso consta informado,
únicamente a los efectos de que éste, si así lo considera, se persone a recoger el
soporte.
No podemos asumir que el soporte se entrega con el objeto de que el Centro lo
custodie o almacene hasta que el paciente tenga a bien personarse para su recogida,
si es que en algún momento llega a hacerlo, y que en su caso y hasta entonces, el
Centro esté obligado a almacenar la información sin limitar el tiempo en el que se
produce dicho tratamiento.
Tampoco podemos partir de la base de que todos los pacientes se van a personar a la
recogida de la información, ya que, de hecho, la experiencia demuestra que
normalmente los pacientes no entregan la única copia de la que disponen, sobre todo
si hablamos de soportes electrónicos, sino que lo que incluyen es una copia de
información que tienen almacenada en otro dispositivo y, en raras ocasiones vuelven
al centro sanitario a recogerlo.
iv.-Transcurrido dicho plazo de cortesía sin que se acuda a su retirada es cuando el
centro sanitario en aplicación principalmente de los principios de licitud, limitación de
la finalidad, minimización de datos y limitación del plazo de conservación, y habiendo
otorgado un plazo prudencial para deshacerse de la información por otros medios
(devolución del soporte), procede a finalizar el tratamiento de datos con la única
alternativa restante, esto es, mediante la destrucción de la información. ” (el
subrayado es nuestro).
OCTAVO:
Consta aportado al expediente Instrucción Técnica para la gestión de soportes con
datos de salud aportados por los pacientes, versión 1, aprobada en diciembre de 2024,
que: “pretende evitar incurrir en responsabilidades que no competen al centro
sanitario, y minimizar riesgos de brechas de seguridad innecesarias derivadas de una
custodia inadecuada de estos informes/pruebas externas, así como garantizar el
cumplimiento de la normativa de protección de datos, por lo que recomienda no
conservar físicamente la documentación proporcionada por los pacientes en cualquier
soporte, ya sea en papel o electrónico, sino incorporar en la historia electrónica del
paciente la información trascendente contenida en los soportes para la asistencia
sanitaria a prestar, y devolver en la misma consulta el soporte al paciente”.

FUNDAMENTOS DE DERECHO

I Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/49

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones Previas

En primer lugar, resulta preciso resaltar la especial cualidad de los datos personales
que son objeto de tratamiento, pues ofrecen información acerca de la salud de las
personas.
El artículo 4.15 del RGPD define los datos relativos a la salud como aquellos “datos
personales relativos a la salud física o mental de una persona física, incluida la
prestación de servicios de atención sanitaria, que revelen información sobre su estado
de salud”.
Sobre el dato de salud señala el considerando 35 del RGPD:

“Entre los datos personales relativos a la salud se deben incluir todos los datos
relativos al estado de salud del interesado que dan información sobre su estado de
salud física o mental pasado, presente o futuro. Se incluye la información sobre la
persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria,
o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva
2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato
asignado a una persona física que la identifique de manera unívoca a efectos
sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o
de una sustancia corporal, incluida la procedente de datos genéticos y muestras
biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una
discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento
clínico o el estado fisiológico o biomédico del interesado, independientemente de su
fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo
médico, o una prueba diagnóstica in vitro.”

Por su parte, el artículo 4 del RGPD define:

“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;”

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/49

Los Hospitales, en cumplimiento de lo que constituye su objeto social, pues prestan
asistencia sanitaria a los pacientes que lo requieren, tratan datos de carácter personal,
incluidos los relativos a la salud, respecto de los cuales son responsables del
tratamiento.

En el presente caso, ICCQ es responsable de los datos personales de la parte
reclamante que acudió al Hospital Universitario Quirónsalud Madrid a realizarse una
resonancia; aportando para ello CD original que contenía la resonancia magnética
realizada en el año 2018, así como las de los dos años anteriores, como pruebas
previas para la prestación de su tratamiento asistencial en el Hospital, a los efectos de
que se tuvieran en consideración por el equipo médico.

Por tanto, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la
realización de un tratamiento de datos personales, toda vez que IDCQ realiza, entre
otros tratamientos, la recogida y conservación de los datos personales de sus
pacientes.

Realiza esta actividad en su condición de responsable del tratamiento, dado que es
quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD.

III Categorías especiales de datos

En el caso presente, nos encontramos ante una categoría especial de datos
personales (artículo 9.1 RGPD) a la que es aplicable el principio de prohibición de
tratamiento, salvo que concurra alguna de las circunstancias previstas en su apartado
2.

Por tanto, en atención a su naturaleza especialmente sensible determinan un riesgo
en los derechos y libertades de los interesados derivados del tratamiento mayor, y
deben someterse a un estándar de protección más elevado.

El considerando 51 dispone, sobre las categorías especiales de datos personales, que

“Especial protección merecen los datos personales que, por su naturaleza, son
particularmente sensibles en relación con los derechos y las libertades fundamentales,
ya que el contexto de su tratamiento podría entrañar importantes riesgos para los
derechos y las libertades fundamentales. […] Tales datos personales no deben ser
tratados, a menos que se permita su tratamiento en situaciones específicas
contempladas en el presente Reglamento, habida cuenta de que los Estados
miembros pueden establecer disposiciones específicas sobre protección de datos con
objeto de adaptar la aplicación de las normas del presente Reglamento al
cumplimiento de una obligación legal o al cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento. Además de los requisitos específicos de ese tratamiento, deben aplicarse
los principios generales y otras normas del presente Reglamento, sobre todo en lo que
se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma
explícita excepciones a la prohibición general de tratamiento de esas categorías
especiales de datos personales, entre otras cosas cuando el interesado dé su
consentimiento explícito o tratándose de necesidades específicas, en particular
cuando el tratamiento sea realizado en el marco de actividades legítimas por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/49

determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las
libertades fundamentales”.

El Reglamento establece un concepto muy amplio de los datos de salud, y le otorga un
régimen específico, el correspondiente a las denominadas “categorías especiales de
datos” a que se refiere el artículo 9 del texto normativo, a cuyo tenor:

“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico
o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar
de manera unívoca a una persona física, datos relativos a la salud o datos relativos a
la vida sexual o las orientaciones sexuales de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de
la Unión o de los Estados miembros establezca que la prohibición mencionada en el
apartado 1 no puede ser levantada por el interesado;

b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de
derechos específicos del responsable del tratamiento o del interesado en el ámbito del
Derecho laboral y de la seguridad y protección social, en la medida en que así lo
autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con
arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del
respeto de los derechos fundamentales y de los intereses del interesado;

c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;

d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las
debidas garantías, por una fundación, una asociación o cualquier otro organismo sin
ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que
el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales
organismos o a personas que mantengan contactos regulares con ellos en relación
con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin
el consentimiento de los interesados;

e) el tratamiento se refiere a datos personales que el interesado ha hecho
manifiestamente públicos;

f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;

g) el tratamiento es necesario por razones de un interés público esencial, sobre la
base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional
al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/49

establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado;

h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación
de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o
tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de
asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados
miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las
condiciones y garantías contempladas en el apartado 3;

i) el tratamiento es necesario por razones de interés público en el ámbito de la salud
pública, como la protección frente a amenazas transfronterizas graves para la salud, o
para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y
de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o
de los Estados miembros que establezca medidas adecuadas y específicas para
proteger los derechos y libertades del interesado, en particular el secreto profesional,

j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el artículo
89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros,
que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a
la protección de datos y establecer medidas adecuadas y específicas para proteger
los intereses y derechos fundamentales del interesado.

3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines
citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un
profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de
acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas
establecidas por los organismos nacionales competentes, o por cualquier otra persona
sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de
los Estados miembros o de las normas establecidas por los organismos nacionales
competentes.

4. Los Estados miembros podrán mantener o introducir, inclusive limitaciones, con
respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la
salud.

Por su parte, el artículo 9.2 de la LOPDGDD establece lo siguiente:

“2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del
Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar
amparados en una norma con rango de ley, que podrá establecer requisitos
adicionales relativos a su seguridad y confidencialidad.

En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la
salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria
y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado
sea parte.”

La Disposición Adicional 17ª LOPDGDD en su apartado 1 indica lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/49

“1. Se encuentran amparados en las letras g), h), i) y j) del artículo 9.2 del Reglamento
(UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos
genéticos que estén regulados en las siguientes leyes y sus disposiciones de
desarrollo:

(…)
c) La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del
paciente y de derechos y obligaciones en materia de información y documentación
clínica.

(…)

Dicho lo anterior, procede acudir a la Ley 41/2002, de 14 de noviembre, básica
reguladora de la autonomía del paciente y de derechos y obligaciones en materia de
información y documentación clínica (o LAP en lo sucesivo), en cuyo artículo 3
establece definiciones legales a los efectos de la Ley y diferencia entre distintos
conceptos. Así indica que:

“Certificado médico: la declaración escrita de un médico que da fe del estado
de salud de una persona en un determinado momento.
…
Documentación clínica: el soporte de cualquier tipo o clase que contiene un
conjunto de datos e informaciones de carácter asistencial.
Historia clínica: el conjunto de documentos que contienen los datos,
valoraciones e informaciones de cualquier índole sobre la situación y la
evolución clínica de un paciente a lo largo del proceso asistencial.
Información clínica: todo dato, cualquiera que sea su forma, clase o tipo, que
permite adquirir o ampliar conocimientos sobre el estado físico y la salud de
una persona, o la forma de preservarla, cuidarla, mejorarla o recuperarla”.
De esta forma la Ley 41/2002 diferencia entre los conceptos de documentación e
historia clínicas, entendiéndose a tales efectos que el primero es un concepto más
amplio que el de historia clínica; y ello porque forman parte de la historia clínica solo la
documentación clínica que sea incorporada a criterio médico en la misma a los efectos
de la diagnosis y tratamiento del paciente.
Se debe destacar que el art. 17.1 de la Ley 41/2002 se encarga de la conservación de
la documentación clínica. Indica que.
“Los centros sanitarios tienen la obligación de conservar la documentación
clínica en condiciones que garanticen su correcto mantenimiento y seguridad,
aunque no necesariamente en el soporte original, para la debida asistencia al
paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años
contados desde la fecha del alta de cada proceso asistencial.
…
2. La documentación clínica también se conservará a efectos judiciales de
conformidad con la legislación vigente. Se conservará, asimismo, cuando
existan razones epidemiológicas, de investigación o de organización y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/49

funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de
forma que se evite en lo posible la identificación de las personas afectadas
…
6. Son de aplicación a la documentación clínica las medidas técnicas de
seguridad establecidas por la legislación reguladora de la conservación de los
ficheros que contienen datos de carácter personal y, en general, por la Ley
Orgánica 15/1999, de Protección de Datos de Carácter Personal”. (el
subrayado es de la AEPD)
Este precepto establece la obligación de conservar la documentación clínica, en los
términos y con la amplitud dispuesta en al artículo 3 de la Ley 41/2002, para cumplir
con diversas finalidades referenciadas en el mismo y proteger al interesado de la
pérdida de disposición de sus datos personales, cualquiera que sea el formato en que
estos se encuentren y hayan o no sido incluidos en la historia clínica y sin diferenciar
cuál sea la vía por la que el centro disponga de tal documentación clínica (generada
por el centro, aportada por el paciente, aportada por otro centro sanitario). Y donde la
Ley no distingue, no puede distinguirse.
No obstante, lo antedicho, se ha de poner de manifiesto que en todo caso ha de
estarse siempre al caso concreto de que se trate, de tal manera que, la eventual falta
de algún tipo de documentación clínica no determine, en todo caso, la comisión de una
infracción administrativa susceptible de ser sancionada. Ni la infracción ni la
imposición de medidas correctivas, incluida la sanción, son automáticas en ningún
caso. En el supuesto ahora examinado la infracción deviene de una incorrecta gestión
de la documentación clínica que aportan los pacientes al centro de salud, como se
verá a lo largo de la resolución.

IV Alegaciones al Acuerdo de inicio

En relación con las alegaciones aducidas al Acuerdo de inicio, debe señalarse que ya
fueron analizadas pormenorizadamente y desestimadas en el Fundamento de Derecho
IV de la Propuesta de Resolución, a la que, en aras de economía procesal, procede
remitirse.
V Alegaciones a la Propuesta de Resolución

En relación con las alegaciones aducidas a la Propuesta de Resolución, reiterándose
básicamente en las alegaciones ya presentadas ante el Acuerdo de Inicio, debe
señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de
Derecho IV de la Propuesta de Resolución, a la que, en aras de economía procesal,
procede remitirse.

En cuanto al resto de alegaciones, se procede a dar respuesta a las mismas, según el
orden expuesto:

1. Consideraciones previas.

En este apartado la parte reclamada alega que la Propuesta parte de una serie de
consideraciones, que a su juicio no cuentan con el necesario fundamento jurídico y
que suponen una interpretación inadecuada por parte de la AEPD acerca del
contenido real de las obligaciones establecidas en la normativa de protección de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/49

personales en relación con los datos de naturaleza asistencial, lo que necesariamente
debería abocar al archivo del presente procedimiento sancionador.

A este respecto, hay que señalar que la AEPD, en relación con una serie de hechos
concretos que considera probados, incardina los mismos en el tipo infractor que
considera adecuado, conforme a la aplicación e interpretación de la normativa,
motivando de manera prolija y suficiente tal actuación. Y es que la AEPD se encuentra
vinculada por el principio de legalidad que implica la aplicación e interpretación de las
normas atendiendo al supuesto de hecho específico que concurra en cada caso.

En el supuesto examinado, a raíz de la reclamación presentada y de la contestación al
traslado de la parte reclamada se detectaron evidencias de la existencia de una
infracción de carácter estructural, asociada a la falta del procedimiento apropiado de la
parte reclamada en relación con la conservación, custodia y entrega de las pruebas e
informes médicos externos aportados por pacientes al centro hospitalario para su
consideración en el diagnóstico médico, que afectaría además a todos los pacientes
que se encontrasen en esta situación. Por dicha razón, los hechos probados han
puesto de manifiesto una vulneración de la normativa de protección de datos.

2. Sobre el régimen jurídico de las historias clínicas y la determinación de su
contenido conforme a la normativa de protección de datos personales.

En el caso concreto que se examina consta que, en fecha 18 de noviembre de 2021, la
parte reclamante acudió al Hospital a realizarse una resonancia; aportando al Hospital,
un CD original que contenía resonancias anteriores, imágenes de los órganos del
paciente, realizadas en el año 2018 y las de los años posteriores 2019 y 2020, como
pruebas previas para la prestación de su tratamiento asistencial en el Hospital.

A la vista de los hechos probados, en el Informe médico de la Resonancia Magnética
Craneal de 18 de noviembre de 2021 realizada en el Hospital Quirónsalud Madrid,
consta la comparativa de la RM de 18 de noviembre de 2021, con las otras imágenes
de las pruebas previas, aportadas por el paciente.
Así, en dicho informe emitido en fecha 18 de noviembre de 2011, se indica
expresamente (el subrayado es nuestro):
“RM CRANEAL
Motivo de petición: Control tumor epidermoide intervenido hace dos años. No
consiente CIV.
Aporta CD con RM previa
COMENTARIO: Se realizó estudio en incidencias sagital, axial y coronal, según
técnicas habituales, sin CIV.
Se compara con RM previas de 2019 y 2020 (postquirúrgicas según información
clínica) realizadas en otro centro aportados por el paciente.
CONCLUSION. Cambios postquirúrgicos de resección de quiste epidermoide en
ángulo pontocerebeloso izquierdo, según información clínica suministrada, con imagen
compatible con resto milimétrico sin cambios. “
En este sentido se significa que la resonancia, continente de un conjunto de datos e
informaciones de carácter asistencial, no puede ser destruida por el centro libremente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/49

El paciente ha depositado documentación clínica, en el centro de salud, en un soporte
que debe ser conservado por el responsable del tratamiento a quien se ha confiado
este.
Recordemos que el artículo 17 de la LPA obliga a los centros sanitarios a conservar la
“documentación clínica” sin distinguir el formato en que se encuentre y si está o no
incorporada a la historia clínica o si ha sido aportada por el paciente o generada por el
centro.
Por otra parte, se significa que la AEPD tiene atribuidas una serie de competencias,
poderes y funciones previstas en los artículos 55 y siguientes del RGPD que como
dispone el artículo 8 de la LRJSP, son irrenunciables y se ejercerán por los órganos
administrativos que las tengan atribuidas como propias.

En este sentido, la Agencia Española de Protección de Datos ejerce la potestad
sancionadora de oficio. Por tanto, es competencia exclusiva de la Agencia Española
de Protección de Datos valorar si existen responsabilidades administrativas que deban
ser depuradas en un procedimiento sancionador.

En el supuesto examinado, esta Agencia considera no sólo la responsabilidad directa
de IDCQ en los hechos y en los que la AEPD es competente para sancionar, sino que,
además, la entidad tiene prerrogativas suficientes como para decidir sobre los
tratamientos de datos de sus pacientes, realizados dentro del ámbito competencial de
la Agencia Española Protección de Datos.

3. Sobre la conservación de los datos no incorporados a la historia clínica del
Paciente.

3.1 Las obligaciones de conservación de la documentación clínica se refieren a la que
se ha generado por el propio centro sanitario

Entiende que la documentación clínica generada por el centro es la que queda sujeta a
la LAP y sujeta por ello a los deberes de custodia y conservación establecidos por la
misma, sin que sea objeto de la LAP la documentación clínica procedente de otro
centro ni la que el paciente pudiera aportar mediante imágenes captadas con su móvil,
ya sean fotos, videos o cualquier imagen en otro soporte, si el facultativo no decide
integrarla en la HC. Afirma por tanto que sólo si el médico considera dicha información
relevante solicitaría la misma para incorporarla a la HC, pero en tanto en cuanto esto
no suceda, estos datos serían de la exclusiva responsabilidad del paciente.

Tal y como se ha expuesto anteriormente, el artículo 17.1 de la Ley, establece que
"Los centros sanitarios tienen la obligación de conservar la documentación clínica en
condiciones que garanticen su correcto mantenimiento y seguridad”.

A la vista de lo establecido en los precitados artículos, cabe concluir que la custodia de
la documentación clínica en general, por mor del art. 17.1 de la Ley, estará bajo la
responsabilidad de la dirección del centro sanitario, esto es, la obligación de
conservación es de toda la documentación clínica de que dispongan, ya sea
proporcionada por el paciente o generada por ellos mismos, como ya se ha indicado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/49

Ello supone que el Centro Médico habrá de dar cumplimiento en este caso a la
totalidad de las obligaciones contenidas en la Ley 41/2002, y debe cumplir con la
custodia de la documentación clínica.

3.2 Sobre la licitud de los protocolos de conservación y custodia de la información
seguidos por IDCQ

Esta Agencia tampoco puede compartir dicha alegación toda vez que desde el
momento en que el centro de salud recibe documentación clínica, continente de datos
de salud, las resonancias son el dato mismo, son depositarios de este.

Por tanto, IDCQ está obligado a conservar la documentación clínica de los pacientes,
en los términos establecidos en la Ley 41/2002 antes expuestos.

La voluntad del legislador en este caso no es la de que se proceda a la destrucción
inmediata de los datos de salud, de la documentación clínica, sino, al contrario, que
dichos datos sean conservados en cuanto pudieran resultar necesarios para la
salvaguardia de la vida e integridad física del paciente.

En este sentido, con independencia de que los pacientes se personen o no para la
recogida de los informes y pruebas realizadas o informes y pruebas aportadas por los
pacientes, el centro sanitario se encuentra sometido a las exigencias legales de
conservación de la documentación clínica correspondiéndole su custodia y
conservación.

3.3 Acerca de los protocolos implantados por IDCQ para la custodia de las HC, la
documentación clínica, los derechos establecidos en el RGPD y la custodia de los
soportes que no forman parte de la HC ni deben ser considerados documentación
clínica a efectos de la LPA.

Esta Agencia valora positivamente la adopción de nuevas medidas que redunden en
una mayor seguridad en lo que al tratamiento de datos personales se refiere y que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/49

ayuden a prevenir, en un futuro, incidentes como el que se sustancia en el presente
procedimiento.

Su insuficiencia previa es lo que determina la comisión de la infracción y la imposición
de la sanción.

SEGUNDA. - ACERCA DE LA INEXISTENCIA DE LAS SUPUESTAS
INFRACCIONES IMPUTADAS A IDCQ.

1. Sobre la licitud del tratamiento llevado a cabo por IDCQ.

En el caso que nos ocupa, IDCQ ha llevado a cabo un tratamiento de datos personales
consistente en la eliminación definitiva de datos de salud de los que era depositario
para prestar su servicio de salud, sin que conste acreditada causa alguna que lo
legitime, teniendo en cuenta que el deber de custodia de la documentación clínica,
resultando que en el caso concreto la documentación clínica aportada por el paciente
fue eliminada en el plazo de un mes al no ser recogida por el paciente.

En este caso, el riesgo se ha materializado con la destrucción de la resonancia, de
forma irreversible, causando un daño y comprometiendo incluso estudios médicos
posteriores. Asimismo, la falta de un procedimiento apropiado de la parte reclamada
en relación con la conservación, custodia y entrega de documentación clínica aportada
por los pacientes al centro hospitalario para su consideración en el diagnóstico
médico, y que afecta a todos los pacientes que se encontrasen en esta situación,
constituye un riesgo en sí mismo.

Dicha circunstancia refleja una omisión palmaria del responsable en el deber de
cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica
la gravedad de la infracción.

2. Sobre el cumplimiento del principio de privacidad desde el diseño y por
defecto.

En contra de lo que afirma, IDCQ como responsable del tratamiento, no ha aplicado
las medidas técnicas y organizativas apropiadas con miras a garantizar el plazo de
conservación al proceder a su destrucción sin tener en cuenta el deber de custodia ya
mencionado.

Esta pérdida de control sobre los propios datos personales, se traduce en una
vulneración del derecho fundamental a la protección de datos reconocido en el artículo
18 de la Constitución Española pues tal y como ha indicado el Tribunal Constitucional
(Sentencia 292/2000, de 30 de noviembre de 2000) “el derecho fundamental a la
protección de datos persigue garantizar a la persona un poder de control sobre sus
datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y
lesivo para la dignidad y derecho del afectado (…) El derecho a la protección de datos
garantiza a los individuos un poder de disposición sobre esos datos.”

TERCERA. - ACERCA DE LA VULNERACIÓN POR EL ACUERDO DE INICIO DEL
PRINCIPIO DE CULPABILIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE
PROPORCIONALIDAD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/49

1. Vulneración de los principios de culpabilidad, seguridad jurídica y confianza
legítima.

En función de los argumentos expuestos, en ningún caso puede entenderse vulnerado
el principio de confianza legítima. A este respecto, esta Agencia en ningún momento
ha adoptado un cambio de criterio, sino como ha quedado expuesto a lo largo del
procedimiento sancionador, en la conducta concurre el elemento de culpabilidad, que
es indispensable para poder exigir responsabilidad sancionadora, que en este caso se
concreta, además, en una muy grave falta de diligencia, toda vez que se han visto
afectadas categorías especiales de datos personales.

Cabe insistir sobre lo ya expresado anteriormente sobre la prevalencia del principio de
legalidad, que impide invocar la confianza legítima para salvar situaciones contrarias a
la norma, máxime cuando hablamos de las potestades regladas de la AEPD reguladas
en el artículo 58 del RGPD, como es la potestad sancionadora.

Como ha reiterado la jurisprudencia - SSTS de 28 de diciembre 2012 (Rec. 273/2009),
3 de julio 2013 (Rec. 2511/2011), entre otras muchas- "no puede invocarse para crear,
mantener o extender, en el ámbito del Derecho público, situaciones contrarias al
ordenamiento jurídico", siendo la reclamada responsable de las infracciones
apreciadas, a tenor del artículo 28.1 de la LRJSP.

2. Subsidiariamente, vulneración del principio de proporcionalidad.

En este punto, IDCQ considera que la Propuesta de Resolución adolece de la
necesaria motivación respecto del modo en que se calcula la sanción, limitándose a
señalar las circunstancias agravantes aplicadas y a realizar un escueto razonamiento
respecto de estas, que, considera, permitiría fijar la sanción en cualquier cantidad.

A este respecto, se significa que la exigencia de motivación de los actos
administrativos, como señala entre otras la STS de 19 de nov 2001 (Rec. 6690/2000)
tiene su engarce constitucional en el principio de legalidad que establece el artículo
103 CE, así como en la efectividad del control jurisdiccional de la actuación de la
Administración reconocido en el artículo 106 CE, siendo en el plano legal, el artículo
35.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las
Administraciones Públicas, el precepto que concreta los actos que han de ser
motivados.

Dicha exigencia responde, según reiterada doctrina jurisprudencial, de la que es
exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la finalidad de que el
interesado pueda conocer el cuándo, cómo y por qué de lo establecido por la
Administración, con la amplitud necesaria para la defensa de sus derechos e
intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el
conocimiento de los datos fácticos y normativos que les permitan resolver la
impugnación judicial del acto, en el juicio de su facultad de revisión y control de la
actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia
notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar
las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto
dejan al interesado en situación de indefensión.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/49

Motivación de los actos administrativos, que como señala la STS de 29 de marzo de
2012 (Rec. 2940/2010, por todas), no exige ningún razonamiento exhaustivo y
pormenorizado, debiendo expresar las razones que permitan conocer los criterios
esenciales fundamentadores de la decisión “facilitando a los interesados el
conocimiento necesario para valorar la corrección o incorrección jurídica del acto a los
efectos de ejercitar las acciones de impugnación que el ordenamiento jurídico
establece y articular adecuadamente sus medios de defensa”.

Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación.
Cuestión distinta es que la reclamada discrepe legítimamente de dicha argumentación,
pero ello no implica la inexistencia de motivación suficiente, por lo que no cabe
apreciar ni indefensión ni arbitrariedad en la fijación del importe de la sanción.

Por otro lado, cabe recordar que las medidas correctivas de las que se dota a las
Autoridades de Control se configuran en el RGPD como “poderes” esto es, como
potestades de actuación que, lógicamente, se aplicarán en atención a las
circunstancias presentes en cada caso concreto.
Esta Agencia desea señalar lo que el Considerando 148 del RGPD indica sobre la
posibilidad de imponer un apercibimiento:

“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
En atención a los términos en los que se pronuncia, el RGPD insta con carácter
general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada
cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique
una carga desproporcionada cuando la infracción haya sido cometida por una persona
física.
En este sentido, esta Agencia ha evaluado y motivado todas las circunstancias a que
hace referencia el citado considerando 148 del RPGD (que no son otras que las del
artículo 83.2 del RGPD) y toda vez que las infracciones en cuestión no son leves a
efectos del RGPD, se considera conforme a Derecho imponer una multa en vez de
dirigir un apercibimiento. Razón por la que se desestima la presente alegación.

En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de
2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones
exige que "la discrecionalidad que se otorga a la Administración para la aplicación de
la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al
objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la
responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado,
considerándose proporcionada la sanción propuesta a la entidad, por los hechos
probados y ponderadas las circunstancias concurrentes, que se detallan más adelante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/49

Esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños
y/o perjuicios de la parte reclamante para constatar la existencia de infracción.

La naturaleza, gravedad y duración de la infracción, la intencionalidad o negligencia en
la infracción, las categorías de los datos de carácter personal afectados por la
infracción son todas cuestiones que se han tenido en cuenta y han sido debidamente
motivadas a la hora de graduar la sanción a imponer a IDCQ.

Ahora bien, frente a lo alegado, procede señalar varias cosas:

En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las
infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas
y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las
multas administrativas se impondrán en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas…” (el
subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a
tener en cuenta.

Así, el cálculo del importe de las multas queda a decisión de la autoridad de control,
con sujeción a las normas previstas en el RGPD.

En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea
en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD).
Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente
en cuenta una lista de circunstancias que se refieren a las características de la
infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD).

Por último, el importe de la multa no excederá de los importes máximos previstos en el
artículo 83, apartado 4, apartados 5 y 6, del RGPD.

Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación
específica realizada en cada caso, dentro de los parámetros previstos por el RGPD.
Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio
matemático, siendo las circunstancias del caso específico los factores determinantes
que conducen a la cantidad final, que puede ser, en todos los casos y para cada
infracción, una cantidad distinta hasta el máximo legal.

Como consideración general y final, procede señalar que ninguna de las sanciones
aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que el artículo
83.4 donde se encuentra tipificada la infracción del artículo 25 del RGPD y el artículo
83.5 del RGPD, donde se encuentran tipificadas las infracciones de los artículos 6 y 9
del RGPD, establecen unos límites en las cuantías de las multas que se pueden
imponer muy alejados de las que finalmente se han establecido.

Por tanto, no puede decirse que las sanciones finalmente impuestas vulneren el
principio de proporcionalidad, teniendo en cuenta que “Cada autoridad de control
garantizará que la imposición de las multas administrativas con arreglo al presente
artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y
6 sean en cada caso individual efectivas, proporcionadas y disuasorias” (el subrayado
es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/49

Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el
asunto C-683-21.

78 La existencia de un sistema de sanciones que permita imponer, cuando
las circunstancias específicas de cada caso lo justifiquen, una multa
administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los
responsables y encargados del tratamiento cumplan el Reglamento. Con su
efecto disuasorio, las multas administrativas contribuyen a reforzar la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y
constituyen, por ende, un elemento clave para garantizar el respeto de los
derechos de dichas personas, de conformidad con la finalidad del citado
Reglamento de asegurar un elevado nivel de protección de esas personas en lo
que respecta al tratamiento de los datos personales.

Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23,
dispone que la imposición de una multa exige en el examen de cada caso
particular de una serie de elementos previstos en el artículo 83 del RGPD, del
que el volumen de negocios es un elemento más (ni el único ni el determinante),
para imponer una multa que sea proporcional, disuasoria y efectiva y se
refuerce, de esta forma, la protección de las personas físicas.

25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada autoridad de
control tiene que garantizar que las multas administrativas con arreglo al referido
artículo 83 por las infracciones del RGPD indicadas en sus apartados 4 a 6
sean, en cada caso individual, efectivas, proporcionadas y disuasorias.
26 Más allá del cumplimiento de estos tres requisitos, el apartado 2 de dicho
artículo 83 exige, para decidir la imposición de una multa administrativa y su
importe, que la autoridad de control competente tenga debidamente en cuenta,
en cada caso individual, una serie de elementos.
27 De conformidad con esta última disposición, entre esos elementos figuran,
en particular, la naturaleza, gravedad y duración de la infracción, el número de
interesados afectados y el nivel de los daños y perjuicios sufridos, la
intencionalidad o negligencia en la infracción, las medidas adoptadas por el
responsable o el encargado del tratamiento para paliar los daños y perjuicios
sufridos, el grado de responsabilidad del responsable o del encargado del
tratamiento y las categorías de datos personales afectados por la infracción.
28 Los citados elementos se refieren, bien al comportamiento de ese
responsable o encargado, acusado de infringir determinadas disposiciones del
RGPD, bien a las propias infracciones. Así pues, sirven para garantizar que cada
una de dichas infracciones se aprecie sobre la base de todas las circunstancias
individuales pertinentes y que se alcancen los objetivos perseguidos por el
régimen sancionador contemplado en el RGPD.
29 Aunque estos elementos no hacen referencia al concepto de empresa, en
el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha
declarado que solamente una multa que tenga en cuenta no solo todos los
elementos que caractericen las infracciones del RGPD constatadas, sino
también, en su caso, la capacidad económica real o material de su destinatario,
reúne los tres requisitos establecidos en el artículo 83, apartado 1, del RGPD, a
saber, ser a la vez efectiva, proporcionada y disuasoria. Pues bien, para apreciar
estos requisitos, debe tenerse en cuenta si ese destinatario forma parte de una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/49

empresa en el sentido de los artículos 101 TFUE y 102 TFUE (véase, en este
sentido, la sentencia de 5 de diciembre de 2023, Deutsche Wohnen, C 807/21,
EU:C:2023:950, apartado 58).

En cuanto a las circunstancias invocadas, procede señalar que estas circunstancias se
tienen en cuenta para establecer el nivel de gravedad de las infracciones que se
consideran cometidas, pero no operan como circunstancias agravantes de acuerdo
con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, según la cual
la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen
de negocios en aquellos casos en los que el infractor sea una empresa, la
categorización de las infracciones según su propia naturaleza (es decir, si se trata de
una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en
cada caso concreto (de acuerdo con el artículo 83.2 a), b) y g)).

Asimismo, se significa que la agravante prevista en el art. 76.2.b) de la LOPDGDD
opera cuando se vincule la actividad el infractor con la realización de tratamientos de
datos personales y, es obvio que, en relación con el presente responsable del
tratamiento, su actividad, está claramente vinculada, de manera directa, con múltiples
tratamientos de datos personales que afectan a miles de clientes.
En este sentido, la Audiencia Nacional ha considerado que es correcto apreciar la
agravante prevista en el art. 76.2.b) de la LOPDGDD siempre que exista la vinculación
antedicha y así lo ha considerado en numerosas sentencias, entre otras la fecha
04/07/2024, (rec. 382/2022) señala con relación a la citada circunstancia que:
“Como también, cabe apreciar la agravante del carácter continuado de la
infracción, recogida en el art. 76.2.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales, remitiéndonos
para ello cuando analizamos la aplicación del RGPD a la infracción que nos ocupa.
Como igualmente, la apreciación de la vinculación de la actividad del infractor
con la realización de tratamientos de datos personales ( art. 72.2.b) la Ley Orgánica
3/2018, de 5 de diciembre), debido a que la actividad de la parte recurrente está
vinculada con el tratamiento de datos tanto de clientes como de terceros; es conocida
la citada vinculación ya que la entidad por su actividad está en permanente contacto
con clientes y terceros tratando un gran volumen de datos, lo que le impone un mayor
deber de diligencia” (el subrayado es nuestro).
Por todo ello, no cabe acceder a la solicitud de la reclamada con respecto al archivo
del presente expediente sancionador, así como tampoco a la minoración de la sanción
impuesta.

En consecuencia, las alegaciones deben ser desestimadas, significándose que las
argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones
que se declaran cometidas ni suponen causa de justificación o exculpación suficiente.

VI Obligación incumplida Artículo 9 RGPD

Para que se pueda realizar un tratamiento de categorías especiales de datos
personales debe concurrir conjuntamente una excepción del art. 9.2 del RGPD que
levante la prohibición del tratamiento de categorías especiales de datos personales

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/49

prevista en el apartado primero del artículo precitado, así como una base jurídica de
las previstas en el art. 6 del RGPD.

La supresión de datos personales es una operación de tratamiento que cuando
comprende categorías especiales de datos personales debe de contar, en primer
término, con una excepción del artículo 9.2 del RGPD que permita dicho tratamiento.

Pues, bien, en el supuesto concreto que se examina consta que, en fecha 18 de
noviembre de 2021, la parte reclamante acudió al Hospital a realizarse una
resonancia; aportando al Hospital, un CD original que contenía resonancias anteriores,
imágenes de los órganos del paciente, realizadas en el año 2018 y las de los años
posteriores 2019 y 2020, como pruebas previas para la prestación de su tratamiento
asistencial en el Hospital.

El interesado firmó una hoja de recogida de pruebas que indicaba expresamente que
el plazo para recoger las mismas era de un mes. Entre la documentación relativa a la
recogida de pruebas, el Hospital incluyó en dicho ensobrado las pruebas previas que
aportó el reclamante.

Consta aportado al expediente Recogida o envío de resultados/informes” que se
entrega a los pacientes informando sobre el plazo de recogida.

En dicha Hoja consta expresamente:

Sin embargo, el responsable del tratamiento, tal y como señala en su contestación de
04 de abril de 2022, comunicó a la parte reclamante que no estaba disponible la
documentación que incluía el informe de la resonancia realizada en noviembre de
2021 y las pruebas previas que aportó.

En este sentido no habría transcurrido ni siquiera los dos años que la reclamada
manifiesta tener registro de las pruebas, toda vez que el reclamante aportó el CD el 18
de noviembre de 2021 y fue a recogerlo el 29 de marzo de 2022, siendo además que
los centros sanitarios tienen la obligación de conservar la documentación clínica en
condiciones que garanticen su correcto mantenimiento y seguridad (artículo 17 de la
Ley de Autonomía del Paciente).

Así, en la respuesta enviada por el Hospital al interesado, en fecha 04 de abril de
2022, se informa:

“La capacidad de nuestro archivo es limitada, es por ello que en la realización de las
pruebas informamos a los pacientes que quieren el soporte en papel el plazo para
recoger los informes ya que pasado un plazo se procede a la limpieza de dicho
archivo para poder disponer de espacio para seguir archivando lo recientemente
realizado.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/49

Consta que en fecha 18 de enero de 2024, el interesado interpuso una reclamación
ante el Hospital reclamando las imágenes. Con fecha 23 de enero de 2024, el Hospital
responde indicando que:

A la vista de los hechos, procede señalar, de nuevo, que la documentación clínica
debe conservarse por el centro sanitario en los términos del artículo 17 de la LAP:

En consecuencia, IDCQ es responsable de la conservación de dicha documentación
clínica, estando sometido a lo dispuesto en el RGPD, LOPDGDD y LAP, debiendo
proceder a la implantación de las necesarias medidas técnicas y organizativas
apropiadas para cumplir con las previsiones legales y en los tiempos prescritos.

Por tanto, teniendo en cuenta que el deber de custodia de la documentación clínica
debería subsistir al menos durante el período de tiempo establecido por la normativa
estatal o autonómica reguladora de la materia, y toda vez que no concurren ninguna
de las excepciones previstas en el artículo 9.2 del RGPD, que permitan la supresión
de dichos datos personales, se considera que los hechos acreditados son constitutivos
de una infracción, imputable entidad reclamada, por vulneración del artículo 9 del
RGPD.
VII Tipificación y calificación de la infracción

La citada infracción del artículo 9 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/49

una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

e) El tratamiento de datos personales de las categorías a las que se refiere el artículo
9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias
previstas en dicho precepto y en el artículo 9 de esta ley orgánica.

VIII Sanción por el incumplimiento del artículo 9 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/49

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres
elementos: el volumen de negocios, la categorización de las infracciones según su
propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g)). En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.

En este sentido, se considera, con carácter previo, el volumen de negocio de IDCQ
HOSPITALES Y SANIDAD, S.L.U. de 2.834.684.000 euros en el año 2023.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 20. 000. 000 euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 4% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 4% del volumen de negocio de IDCQ HOSPITALES Y SANIDAD,
S.L.U. es 113.387.360 €.

Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y
113.387.360 €.

Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción
se estima que concurren las circunstancias siguientes:

Artículo 83.2 a) RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo
en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”;

En el caso que se examina se ha materializado el riesgo con la destrucción de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/49

de salud, en este caso de las resonancias, de forma irreversible y, por tanto, ha
causado un daño, comprometiendo incluso estudios médicos posteriores.

Artículo 83.2 b) RGPD: “La intencionalidad o negligencia en la infracción”

El grado de responsabilidad del responsable es muy relevante, al ser además titular de
un establecimiento sanitario, en relación con la implantación imperativa de la gestión y
custodia de datos de salud.

Dicha circunstancia refleja una negligencia grave del responsable en el deber de
cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica
la gravedad de la infracción.

El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la entidad reclamada es de constante y
abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de
la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

Artículo 83.2 g) RGPD: las categorías de los datos de carácter personal afectados por
la infracción; toda vez que se han visto afectadas categorías especiales de datos
personales.

En este sentido, el RGPD otorga siempre al tratamiento de estos datos, una especial
protección y consideración. Así el Considerando 75 del RGPD, considera el
tratamiento de datos relativos a la salud, como tratamiento de riesgo.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”.

La reclamada es una entidad del sector sanitario en el que se tratan datos de salud
(83.2.g RGPD) actividad con la que aparece vinculada su actividad.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 9 del RGPD, permite fijar una sanción de multa administrativa de 100.000
euros.

IX Obligación incumplida Artículo 6 RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/49

El RGPD exige que el tratamiento de datos de carácter personal sea lícito (artículo
5.1.a), principio que desarrolla el artículo 6, cuyo apartado 1, señala que el tratamiento
solo será lícito si concurre alguna de las circunstancias que se relacionan.

Así pues, el artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su
apartado 1, los supuestos en los que el tratamiento de datos de terceros es
considerado lícito:

“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40
del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los
datos personales deben ser tratados con el consentimiento del interesado o sobre
alguna otra base legítima establecida conforme a Derecho, ya sea en el presente
Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que
se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal
aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con
el que sea parte el interesado o con objeto de tomar medidas a instancia del
interesado con anterioridad a la conclusión de un contrato.»
Como se ha indicado anteriormente, no sólo para poder llevar a cabo un tratamiento
es precisa, cuando de categorías especiales de datos personales se trate, de una
excepción del artículo 9.2 del RGPD, sino que es preceptiva la concurrencia de una
base jurídica del artículo 6 del RGPD que legitime el tratamiento.

La documentación obrante en el expediente ofrece indicios evidentes de que la parte
reclamada vulneró el artículo 6 del RGPD, puesto que no consta base legitimadora
para el tratamiento de los datos personales de la parte reclamante que permita la
supresión de dichos datos personales.

En el caso que nos ocupa, el interesado firmó una hoja de recogida de pruebas que
indicaba expresamente que el plazo para recoger las mismas era de un mes. Entre la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/49

documentación relativa a la recogida de pruebas, el Hospital incluyó en dicho
ensobrado las pruebas previas que aportó el reclamante.

Transcurrido dicho plazo de un mes, sin que las pruebas hubieran sido recogidas,
IDCQ “procedió a la limpieza de dicho archivo”, exponiendo además que “las pruebas
externas tras dos años después de la revisión se encuentran sin registro”.

El responsable del tratamiento, tal y como señala en su contestación de 04 de abril de
2022, comunicó a la parte reclamante que no estaba disponible la documentación que
incluía el informe de la resonancia realizada en noviembre de 2021 y las pruebas
previas que aportó, ya que “la capacidad de nuestro archivo es limitada, es por ello
que en la realización de las pruebas informamos a los pacientes que quieren el
soporte en papel el plazo para recoger los informes ya que pasado un plazo se
procede a la limpieza de dicho archivo para poder disponer de espacio para seguir
archivando lo recientemente realizado.” Asimismo, tampoco habría transcurrido ni
siquiera los dos años que la reclamada manifiesta tener registro de las pruebas, toda
vez que el reclamante aportó el CD el 18 de noviembre de 2021 y fue a recogerlo el 29
de marzo de 2022, siendo además que los centros sanitarios tienen la obligación de
conservar la documentación clínica en condiciones que garanticen su correcto
mantenimiento y seguridad, durante el tiempo adecuado a cada caso y, como mínimo,
cinco años contados desde la fecha del alta de cada proceso asistencial (artículo 17
de la Ley de Autonomía del Paciente).

Ello supone que IDCQ ha llevado a cabo un tratamiento de datos personales, en el
caso concreto del reclamante, consistente en la supresión de datos personales, sin
que conste acreditada causa alguna que lo legitime, teniendo en cuenta que el deber
de custodia de la documentación clínica debería subsistir al menos durante el período
de tiempo establecido por la normativa estatal o autonómica reguladora de la materia.

La falta de diligencia desplegada por la parte reclamada en el cumplimiento de las
obligaciones impuestas por la normativa de protección de datos de carácter personal
es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento
de datos personales requiere que el tratamiento se base en una causa de las previstas
en el art. 6 del RGPD.

Por tanto, dado que la parte reclamada no ha acreditado que el tratamiento realizado
de los datos de la parte reclamante pueda basarse en la causa de licitud contemplada
en el artículo 6.1 del RGPD, se considera que los hechos acreditados son constitutivos
de una infracción, imputable a la parte reclamada por vulneración del artículo 6.1 del
RGPD.
X Tipificación y calificación de la infracción

La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/49

volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.

XI Sanción por el incumplimiento del artículo 6 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD y 76.2 de la LOPDGDD
anteriormente citados.

En este sentido, se considera, con carácter previo, el volumen de negocio de IDCQ
HOSPITALES Y SANIDAD, S.L.U. de 2.834.684.000 euros en el año 2023.

Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y
113.387.360 €.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/49

Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción
se estima que concurren las circunstancias siguientes:

En el caso que se examina se ha materializado el riesgo con la destrucción de los
datos personales de salud de la parte reclamada, de las resonancias previas
aportadas, de forma irreversible y, por tanto, ha causado un daño.

Artículo 83.2 b) RGPD: “La intencionalidad o negligencia en la infracción”

Dicha circunstancia refleja una negligencia grave del responsable en el deber de
cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica
la gravedad de la infracción.

Artículo 83.2 g) RGPD: las categorías de los datos de carácter personal afectados por
la infracción; toda vez que se han visto afectadas categorías especiales de datos
personales.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”.

La reclamada es una entidad del sector sanitario en el que se tratan datos de salud
(83.2.g RGPD) actividad con la que aparece vinculada su actividad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/49

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite fijar una sanción de multa administrativa de 100.000
euros.
XII Obligación incumplida Artículo 25 RGPD

En un mundo cada vez más digital, el cumplimiento de la protección de datos por
diseño y por defecto, obligaciones impuestas por el RGPD, desempeña un papel
crucial en la promoción de la privacidad y la protección de datos en la sociedad.

El artículo 25 del RGPD, en relación con la Protección de datos desde el diseño y por
defecto, establece lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa
probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de
las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de
determinar los medios de tratamiento como en el momento del propio tratamiento,
medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas
para aplicar de forma efectiva los principios de protección de datos, como la
minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de
cumplir los requisitos del presente Reglamento y proteger los derechos de los
interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento
los datos personales que sean necesarios para cada uno de los fines específicos del
tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a
la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales
medidas garantizarán en particular que, por defecto, los datos personales no sean
accesibles, sin la intervención de la persona, a un número indeterminado de personas
físicas.

3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42
como elemento que acredite el cumplimiento de las obligaciones establecidas en los
apartados 1 y 2 del presente artículo.”

En consonancia con estas previsiones, el considerando 78 del RGPD dispone:

“La protección de los derechos y libertades de las personas físicas con respecto al
tratamiento de datos personales exige la adopción de medidas técnicas y
organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del
presente Reglamento.

A fin de poder demostrar la conformidad con el presente Reglamento, el responsable
del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en
particular los principios de protección de datos desde el diseño y por defecto.

Dichas medidas podrían consistir, entre otras, en reducir al máximo el tratamiento de
datos personales, seudonimizar lo antes posible los datos personales, dar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/49

transparencia a las funciones y el tratamiento de datos personales, permitiendo a los
interesados supervisar el tratamiento de datos y al responsable del tratamiento crear y
mejorar elementos de seguridad.

Al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que
están basados en el tratamiento de datos personales o que tratan datos personales
para cumplir su función, ha de alentarse a los productores de los productos, servicios
y aplicaciones a que tengan en cuenta el derecho a la protección de datos cuando
desarrollan y diseñen estos productos, servicios y aplicaciones, y que se aseguren,
con la debida atención al estado de la técnica, de que los responsables y los
encargados del tratamiento están en condiciones de cumplir sus obligaciones en
materia de protección de datos.

Los principios de la protección de datos desde el diseño y por defecto también deben
tenerse en cuenta en el contexto de los contratos públicos.”

El principio de privacidad desde el diseño es una muestra del paso de la reactividad a
la proactividad y manifestación directa del enfoque de riesgos que impone el RGPD.

Parte de la responsabilidad proactiva, impone que, desde los estadios más iniciales de
planificación de un tratamiento debe de ser considerado este principio: el responsable
del tratamiento desde el momento en que se diseña y planifica un eventual tratamiento
de datos personales deberá determinar todos los elementos que conforman el
tratamiento, a los efectos de aplicar de forma efectiva los principios de protección de
datos, integrando las garantías necesarias en el tratamiento con la finalidad última de,
cumpliendo con las previsiones del RGPD, proteger los derechos de los interesados.

Así, y respecto de los riesgos que pueden estar presentes en el tratamiento, el
responsable del tratamiento llevará a cabo un ejercicio de análisis y detección de los
riesgos durante todo el ciclo de tratamiento de los datos, con la finalidad primera y
última de proteger los derechos y libertades de los interesados, y no sólo cuando
efectivamente se produce el tratamiento.

Así se expresa en las Directrices 4/2019 del CEPD relativas al artículo 25 Protección
de datos desde el diseño y por defecto, adoptadas el 20 de octubre de 2020.

En las citadas Directrices se indica al respecto que:

“35. El «momento de determinar los medios de tratamiento» hace referencia al período
de tiempo en que el responsable está decidiendo de qué forma llevará a cabo el
tratamiento y cómo se producirá este, así como los mecanismos que se utilizarán para
llevar a cabo dicho tratamiento. En el proceso de adopción de tales decisiones, el
responsable del tratamiento debe evaluar las medidas y garantías adecuadas para
aplicar de forma efectiva los principios y derechos de los interesados en el tratamiento,
y tener en cuenta elementos como los riesgos, el estado de la técnica y el coste de
aplicación, así como la naturaleza, el ámbito, el contexto y los fines. Esto incluye el
momento de la adquisición y la implementación del software y hardware y los servicios
de tratamiento de datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/49

36. Tomar en consideración la PDDD desde un principio es crucial para la correcta
aplicación de los principios y para la protección de los derechos de los interesados.
Además, desde el punto de vista de la rentabilidad, también interesa a los
responsables del tratamiento tomar la PDDD en consideración cuanto antes, ya que
más tarde podría resultar difícil y costoso introducir cambios en planes ya formulados
y operaciones de tratamiento ya diseñadas”.

Para ello, debe recurrir al diseñar el tratamiento a los principios recogidos en el artículo
5 del RGPD, que servirán para aquilatar el efectivo cumplimiento del RGPD.

Así, las citadas Directrices 4/2019 del CEPD disponen que para hacer efectiva la
PDDD, los responsables del tratamiento han de aplicar los principios de transparencia,
licitud, lealtad, limitación de la finalidad, minimización de datos, exactitud, limitación del
plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva.
Estos principios están recogidos en el artículo 5 y el considerando 39 del RGPD.

La Guía de Privacidad desde el Diseño de la AEPD afirma que “La privacidad desde el
diseño (en adelante, PbD) implica utilizar un enfoque orientado a la gestión del riesgo
y de responsabilidad proactiva para establecer estrategias que incorporen la
protección de la privacidad a lo largo de todo el ciclo de vida del objeto (ya sea este un
sistema, un producto hardware o software, un servicio o un proceso). Por ciclo de vida
del objeto se entiende todas las etapas por las que atraviesa este, desde su
concepción hasta su retirada, pasando por las fases de desarrollo, puesta en
producción, operación, mantenimiento y retirada”.

La Guía dispone que “La privacidad debe formar parte integral e indisoluble de los
sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y
procesos de la organización. No es una capa adicional o módulo que se añade a algo
preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales
desde el mismo momento en el que se concibe y diseña (…) La privacidad nace en el
diseño, antes de que el sistema esté en funcionamiento y debe garantizarse a lo largo
de todo el ciclo de vida de los datos”.

Una verdadera cultura de protección de datos en la organización implica la capacidad
de documentar todas las decisiones que se adopten con un enfoque global de la
privacidad, demostrando el cumplimiento del RGPD también en este aspecto.

Se pretende proteger a las personas de los riesgos derivados del tratamiento de datos
personales para sus derechos y libertades. Estos riesgos pueden ser de gravedad y
probabilidad variables y provocar daños y perjuicios físicos, materiales o inmateriales,
consecuencias tangibles o intangibles.

En ese sentido, el Hospital asevera que cuenta con un procedimiento en el servicio de
Diagnóstico por Imagen cuyo objeto es definir la operativa y el modelo de atención al
paciente dentro del área de diagnóstico por la imagen, en el que se detalla el plazo de
recogida de las pruebas. (adjunta Procedimiento de Diagnóstico por Imagen como
documento nº 03).

Asimismo, el Hospital asevera que cuenta con la Instrucción técnica para la atención
de los derechos en materia de protección de datos, aprobada por el Delegado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/49

Protección de Datos, y publicada en una herramienta corporativa, para conocimiento y
aplicación de todos los centros sanitarios del Grupo Hospitalario Quirónsalud, y que es
puesta en práctica de forma diaria, porque regula las condiciones generales para dar
cumplimiento a la obligación legal de atender debidamente las solicitudes de ejercicio
de los derechos de protección de datos por parte de los afectados, cuyos datos
personales son responsabilidad del Grupo Hospitalario Quirónsalud.

Sin embargo, hasta el inicio del presente procedimiento sancionador, no contaba con
un procedimiento referido a cómo gestionar la documentación clínica, cualquiera que
fuera el soporte físico en que se contuviera, y que aportara un paciente (cualquier
paciente que acuda al grupo hospitalario), continente de datos de salud para que sean
considerados por el equipo médico en su diagnóstico y tratamiento, así como aspectos
relativos a la accesibilidad, incorporación, mantenimiento, supresión o, limitación de
dichos datos de salud, entre otras operaciones de tratamiento.

No estaba previsto en su procedimiento qué hacer en situaciones como la que ha dado
lugar a esta reclamación y en relación con cualquier paciente.

Según el Procedimiento de Diagnóstico por Imagen aportado por la parte reclamada
como documento nº 03, en cuanto a la “Realización de pruebas diagnósticas en el
Servicio de Radiodiagnóstico” consta que:

“Las pruebas quedarán archivadas para su recogida durante el plazo de un mes,
desde la fecha de realización. Transcurrido dicho plazo sin que se hubiera recogido,
serán enviadas al archivo general para su custodia durante el tempo que establezca la
ley, o hasta que el paciente lo solicite, mediante documento CORP06.5/F003 Recogida
o Envío de Resultados/Informes o con las Solicitud de historia clínica.”

Sin embargo, nada se preveía en este procedimiento, respecto de la devolución de
soportes físicos continentes de datos personales suministrados por los pacientes
previamente al centro hospitalario.

A mayor abundamiento, en la respuesta suministrada al reclamante por parte del
Hospital de fecha 23 de enero de 2024, se indica que,

Así, entre otras cuestiones, debería preverse todo lo relativo a la gestión que, de dicho
soporte, continente de datos de salud, debe realizar el responsable del tratamiento,
desde que un paciente lo suministra, pasando por la utilización de datos personales
contenidos en el mismo, o la conservación y custodia del soporte, entre otras
operaciones de tratamiento, hasta que es devuelto al paciente. Ello pone de manifiesto
la falta de un procedimiento en los términos explicitados para todos los pacientes del
grupo hospitalario. Esta falta de procedimiento supone una conculcación del principio
de responsabilidad proactiva y de la privacidad desde el diseño.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/49

Finalmente, a los meros efectos ilustrativos, a raíz del primer escrito de petición de
información sobre este caso, de manera proactiva, IDCQ se puso a trabajar en la
formalización de una instrucción técnica escrita que compilara el proceso. Su
insuficiencia es lo que determina la comisión de la infracción y la imposición de la
sanción.

Por tanto, se considera que los hechos acreditados son constitutivos de una infracción
de procedimiento, que excede del caso concreto, imputable a la parte reclamada, por
vulneración del artículo 25 del RGPD.

XIII Tipificación y calificación de la infracción

La citada infracción del artículo 25 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía: a) las obligaciones del responsable y del encargado a tenor de
los artículos 8, 11, 25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

d) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para aplicar de forma efectiva los principios de
protección de datos desde el diseño, así como la no integración de las
garantías necesarias en el tratamiento, en los términos exigidos por el
artículo 25 del Reglamento (UE) 2016/679.”

XIV Sanción por el incumplimiento del artículo 25 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD y 76.2 de la LOPDGDD
anteriormente citados.

Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres
elementos: el volumen de negocios, la categorización de las infracciones según su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/49

propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g)). En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.

En este sentido, se considera, con carácter previo, el volumen de negocio de IDCQ
HOSPITALES Y SANIDAD, S.L.U. de 2.834.684.000 euros en el año 2023.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.4 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 10. 000. 000 euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 2% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 2% del volumen de negocio de IDCQ HOSPITALES Y SANIDAD,
S.L.U. es 56.693.680 €.

Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y
56.693.680 €.

Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción
se estima que concurren las circunstancias siguientes:

Es extremadamente grave que al menos desde la reclamación, un grupo hospitalario
no cuente con un procedimiento referido a cómo gestionar la documentación clínica
con datos de salud, cualquiera que sea el soporte físico que aporte un paciente
(cualquier paciente que acuda al grupo hospitalario), continente de datos de salud para
que sean considerados por el equipo médico en su diagnóstico y tratamiento, así como
lo relativo a la conservación del soporte físico y su devolución al paciente.

En este sentido, hay que tener en cuenta que se trata de una infracción que afecta al
procedimiento en el servicio de Diagnóstico por Imagen y por ello, todos los pacientes
de dicho servicio son potencialmente afectados.

Artículo 83.2 b) RGPD: “La intencionalidad o negligencia en la infracción”

Dicha circunstancia refleja una negligencia grave del responsable en el deber de
cuidado hacia la protección de los datos de sus pacientes, lo que refuerza y amplifica
la gravedad de la infracción.

El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/49

desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la entidad reclamada es de constante y
abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de
la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

Artículo 83.2 g) RGPD: las categorías de los datos de carácter personal afectados por
la infracción; toda vez que se han visto afectadas categorías especiales de datos
personales.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”.

La reclamada es una entidad del sector sanitario en el que se tratan datos de salud
(83.2.g RGPD) actividad con la que aparece vinculada su actividad.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 25 del RGPD, permite fijar una sanción de multa administrativa de 1.000.000
euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos,
RESUELVE:

PRIMERO: IMPONER a IDCQ HOSPITALES Y SANIDAD, S.L.U., con NIF
B87324844,

- por la infracción del artículo 9 del RGPD, en relación con el caso concreto, tipificada
conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a
efectos de prescripción, en el artículo 72.1 e) de la LOPDGDD, una multa
administrativa de cuantía: 100.000,00 euros.

- por la infracción del artículo 6 del RGPD, en relación con el caso concreto, tipificada
conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a
efectos de prescripción, en el artículo 72.1.b) de la LOPDGDD, una multa
administrativa de cuantía: 100.000,00 euros.

-por la infracción del artículo 25 del RGPD, en relación con el procedimiento, tipificada
conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/49

de prescripción, en el artículo 73 d) de la LOPDGDD, una multa administrativa de
cuantía: 1.000.000,00 euros.

SEGUNDO: NOTIFICAR la presente resolución a IDCQ HOSPITALES Y SANIDAD,
S.L.U.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea
notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/49

web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

AEPD (Spain) - EXP202402851

Karar metni