1/14
Expediente N.º: EXP202408793
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: La JEFATURA SUPERIOR DE POLICÍA DE LAS ILLES BALEARS (en
adelante, la parte denunciante) con fecha 31/05/204 interpuso denuncia ante la
Agencia Española de Protección de Datos. La denuncia se dirigía contra MEDIOS DE
PREVENCIÓN EXTERNOS, S.L. con NIF B41776360 (en adelante, MEDIOS DE
PREVENCIÓN EXTERNOS). Los motivos en que basa la denuncia son los siguientes:
La Jefatura Superior de la Policía Nacional en Illes Balears remitió Informe a esta
Agencia, de fecha 31 de mayo de 2024, en el que se pone de manifiesto que, en fecha
4 de octubre de 2023, tras una llamada realizada por un ciudadano al Departamento
de Incidencias de la entidad (...), se había encontrado abandonada, en vía pública, en
la Calle ***DIRECCIÓN.1, de Palma, una caja con, entre otros enseres,
documentación con reconocimientos médicos realizados a agentes de la Guardia Civil
y la Policía Nacional. Realizadas las correspondientes pesquisas se averiguó que
dichos reconocimientos fueron realizados por la entidad MEDIOS DE PREVENCIÓN
EXTERNOS, S.L. y que el lugar de localización de los mismos es próximo al domicilio
de una empleada de la parte reclamada que participó en la realización de los
reconocimientos, a partir de su condición de (...).
En el Informe remitido relataban que se pusieron en contacto telefónico con la
empleada citada, Dña. A.A.A., titular del DNI ***NIF.1 que manifestó que la forma de
actuar era la siguiente:
“se realizaban los reconocimientos médicos y el resultado de los mismos, se volcaba
al ordenador de manera inmediata. Una vez finaliza la jornada laboral, cada día se
recogían todos los formularios / reconocimientos médicos y se llevaban a la central de
MPE en Palma. En dicha central, estos documentos eran recepcionados por una
administrativa cuyo nombre no sabe y ella los guardaba en dos armarios (uno para la
Policía Nacional y otro para la Guardia Civil), ambos cerrados bajo llave.”
Finalmente dice que quien se ocupaba mayormente de llevar los reconocimientos
médicos desde la Comandancia de la Guardia Civil y desde la Jefatura Superior de
Policía hasta la central de MPE sita en ese momento en ***DIRECCIÓN.2, de Palma,
era ella misma y en alguna ocasión el Doctor D. B.B.B. quien además era el que
llevaba las muestras de orina y sangre.”
Así mismo, explican que, tras acabar con todas las declaraciones y pesquisas, se
percataron de que a A.A.A., le consta como domicilio la ***DIRECCIÓN.3. Este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/14
domicilio coincide con la misma calle y número en donde el pasado 4 de octubre, se
habría abandonado una caja de cartón, conteniendo 4 contenedores con jeringuillas en
su interior, una mochila roja con documentación, tal y como manifestó C.C.C. en su
declaración.
Por todo ello, intentaron citar a A.A.A. sin conseguir contactar con ella. Con el fin de
notificarle por escrito dicha citación, realizaron gestiones para localizarla sin resultado
por lo que contactaron con el que figuraba como compañero de piso en octubre del
2023, el cual manifestó lo siguiente:
“Que conoció a A.A.A. por Internet y tras 4 meses, él le propuso vivir en su domicilio
sito en la ***DIRECCIÓN.3, con intención de alquilarle una habitación a lo que ella
aceptó y se quedó del 4 al 14 de octubre del año pasado.
Que el primer día vino con muchas bolsas, calas de cartón, etc. Que una vecina le
preguntó si tenía alguna idea de quién había dejado en el portal de su domicilio
***DIRECCIÓN.3, una caja de cartón con documentación, así como unos
contenedores amarillos para meter dentro jeringuillas, respondiendo en un principio
que no lo sabía, pero pasadas unas horas recordó que esos objetos los vio en su
propia casa ya que los trajo A.A.A., con lo que dedujo que ella fue la que los dejó en
el mentado portal.”
Junto a la denuncia se aporta la siguiente documentación:
-Acta de declaración de C.C.C. trabajador de (...), de fecha 02/02/2024 en la que
manifiesta que:
“… el 4 de octubre de 2023, el departamento de incidencias de (...) recibió llamada
telefónica de un ciudadano manifestando que: “en la ***DIRECCIÓN.1, había
abandonada una caja de cartón, conteniendo 4 contenedores con jeringuillas en su
interior una mochila roja con documentación sin poder especificar de qué tipo se
trataba”
Que se personó en la dirección indicada, recogió todo, lo precintó y se lo llevó en
almacén (...) Son Pacs, donde quedó en calidad de depósito, desconociendo qué
sucedió después con todo lo guardado. Aporta fotos de lo reseñado adjuntándolas a
su Acta de declaración”
-Acta de declaración de D.D.D., técnico de Prevención de Riesgos Laborales (…), de
fecha 2/02/2024 en la que, entre otras cosas, manifiesta:
“Que se desplazó a (...) en Son Pacs a buscar los 18 reconocimientos médicos
efectuados a otros tantos agentes de la Policía Nacional, ya que se puso en contacto
con él, (…) debido a que había recibido una llamada telefónica (…) de (...), el Sr.
E.E.E., comunicando que tiene en su poder unos reconocimientos médicos efectuados
el pasado 05/08/2023 a agentes de la Guardia Civil y de la Policía Nacional.”
“Que la Dirección General de la Policía, tiene externalizado este servicio de la
vigilancia de la salud con la mercantil MPE (…), desde hace unos 3 años. Que, ante la
gravedad de los hechos, se puso en contacto con la interlocutora habitual de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/14
empresa MPE, F.F.F., para pedirle algún tipo de explicación, respondiendo que no le
podía dar ninguna respuesta y que no se explicaba cómo podía haber pasado.”
-Carta de respuesta a la solicitud de información efectuada por la parte denunciante
en referencia a los protocolos relativos a reconocimientos médicos, proceso seguido
en la custodia de estos documentos, identificación de la custodia de los citados
reconocimientos médicos, papel desempeñado en el proceso, ubicaciones físicas de
depósito y si les consta alguna incidencia al respecto, en la que, la parte denunciada,
indica el personal médico encargado de realizar los reconocimientos médicos en las
fechas indicadas para la policía nacional y la guardia civil, y manifiesta lo siguiente:
“… Que dichos reconocimientos médicos eran realizados en las propias instalaciones
de la Policía Nacional de Palma de Mallorca y de la Guardia Civil en Palma, por lo que
la documentación de las pruebas médicas que se efectuaban allí eran custodiadas por
los mencionados cuerpos oficiales y sus medidas de seguridad implantadas.
Que, una vez finalizados los reconocimientos médicos efectuados, el traslado de toda
la documentación recopilada a nuestras instalaciones clínicas fue realizada por D.
G.G.G., con D.N.l. n°***NIF.2 y D. H.H.H., con D.N.I n° ***NIF.3, sin que ningún de
ellos nos haya expresado algún extravío o robo de los mismos.”
-Correo electrónico de la parte denunciante de fecha 11/04/2024 en el que facilitan
los números de teléfono del personal implicado (médicos y enfermeras que realizaron
los reconocimientos), previamente solicitados por la parte denunciante.
-Acta de declaración de G.G.G. trabajador de la empresa (...), que fue comprada por
la parte denunciada, de fecha 8/5/2024 en la que manifiesta:
“Que en el mes de mayo del año pasado su gerente I.I.I., le comunicó que tenía que
recoger y trasladar material médico desde la esta Jefatura Superior de Policía hasta
las instalaciones de la mercantil (...) (que fue comprada (…).
Que la llamada J.J.J. era la responsable de indicarles a él y a su compañero el
llamado H.H.H., todo lo que debían de transportar desde la Enfermería de esta
Jefatura, sin recordar si estaba en la 6 ó 7 planta.
Que no vio ninguna lista de cadena de custodia de lo que se tenían que llevar y que el
trayecto se hizo directamente de punto a punto sin ninguna parada por el camino.
Entre otras cosas. cargaron cajas abiertas y otras cerradas, conteniendo papeles,
tubos de orina, etc. Llevaron todos los bultos en dos coches, uno conducido por el
declarante y el otro coche conducido por H.H.H. desde esta Jefatura Superior hasta la
central de (...), sita en la calle (…) de Palma, depositando concretamente toda la carga
en el sótano. Destacar que no vio ninguna lista de cadena de custodia de lo que se
tenían que llevar y que el trayecto se hizo directamente de punto a punto sin ninguna
parada por el camino.”
-Acta de declaración de J.J.J., (…) de la parte denunciante, manifiesta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/14
“Que el actual Gerente (…), I.I.I., en mayo del año pasado, le comunicó que se
ocupara de ir con dos personas a la Jefatura Superior de Policía de Illes Balears, para
recoger todo el material médico (electro, camilla plegable, protocolos, formularios, etc)
que ellos habían traído para hacer los reconocimientos médicos.
Por lo que se persona en la citada Jefatura con los llamados G.G.G. y H.H.H., para
decirles que tenían que llevarse desde la enfermería de esas Dependencias Policiales
hasta la sede del (…). Fueron ellos tres directamente en dos coches de punto a punto
sin ninguna parada.
Que no existía ninguna hoja de control sobre el material trasladado de un lado al otro.
Únicamente se ocuparon de recoger los enseres en la Policía Nacional desconociendo
quién se encargó de hacer lo propio en la Comandancia de la Guardia Civil de Palma
Por lo que sabe la dicente manifiesta que la recogida de documentos de la
Comandancia de la Guardia Civil se gestionaba directamente desde la Central de (…).
Que no existía una cadena de custodia de documentos ni del material médico.
Quiere recalcar que le llama poderosamente la atención que a ella le resulta imposible
que hubieran encontrado documentación de la Policía Nacional y de la Guardia Civil
en la misma caja o mochila, ya que se separaban perfectamente por cuerpos
policiales
Que tiene que haber sido alguien que lo ha hecho a conciencia y hubiera trabajado en
los dos sitios (Jefatura de Policía Nacional y Comandancia de la Guardia Civil).”
-Acta de declaración a K.K.K., de fecha 15/05/2024 para ampliar información, en
donde manifiesta:
“Que desconoce cuál era la cadena de custodia de los documentos relativos a los
reconocimientos médicos, así como los contenedores con jeringuillas. Los funcionarios
citados llegaban a su hora. La enfermera de la parte denunciada les proporcionaba el
correspondiente protocolo, lo rellenaban y al entrar para realizarse el reconocimiento,
se lo entregaban nuevamente a la enfermera. Que la Jefatura solamente proporcionó
el espacio físico que era ocupado por la empresa durante el tiempo que se realizaron
los reconocimientos médicos.
Que no recibió solicitud alguna de custodia de los objetos Citados en la pregunta
anterior por parte de la empresa MPE (…).
Que en ningún momento le comunicaron cuál era su forma de actuar ni su protocolo
de actuación. El personal de esta empresa entraba y salía sin dar ninguna
explicación.”
En este mismo acto hace entrega del Pliego de prescripciones técnicas dentro del
programa de vigilancia de la salud del servicio de prevención de riesgos laborales para
la contratación de la ejecución de reconocimientos médicos con el servicio prevención
ajeno de riesgos laborales para las empleadas y empleados públicos de la Dirección
General de la Policía.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/14
Del mismo, se transcribe lo siguiente en referencia al punto número 8. CLÁUSULA DE
RESERVA Y SIGILO:
“La entidad adjudicataria garantizará la confidencialidad de la información que reciba
para el desarrollo de su actividad. La finalidad de la comunicación de datos de
carácter personal no es otra que lo de poder realizarlos reconocimientos médicos de la
empleadas y empleados públicos de la Dirección General de la Policía, que prestan
servicio en las dependencias indicadas para este pliego y que estos puedan conocer
de manera específica e individual, su estado de salud.”
“La información, datos o especificaciones facilitadas por la Dirección General de la
Policía a la empresa adjudicataria y al personal a su servicio que haya intervenido en
la ejecución del contrato, deberán ser considerados por éstos como confidenciales, no
pudiendo ser objeto, total o parcialmente, de publicación, cesión o préstamos a
terceros.”
“La adjudicataria y el personal de su servicio adquieren la obligación de custodiar fiel y
cuidadosamente los datos a los que pudieran tener acceso como consecuencia de la
realización del servicio, así como compromiso de que dichos datos serán utilizados
únicamente para el cumplimiento del objeto del contrato.”
La adjudicataria y el personal de su servicio adquieren la obligación de custodiar fiel y
cuidadosamente los datos a los que pudieran tener acceso como consecuencia de la
realización del servicio, así como compromiso de que dichos datos serán utilizados
únicamente para el cumplimiento del objeto del contrato.”
“A los fines anteriores, la empresa adjudicataria aplicará las medidas de seguridad
conforme al Reglamento General de Protección de Datos (Reglamento UE 2 16/679
del Parlamento Europeo y el Consejo, de 217 de abril de 2016, aplicable a ficheros y
tratamientos automatizados que que contengan datos de carácter personal), y la Ley
Orgánica 3/20 18, de 5 de diciembre, de protección de datos personales y garantía de
los derechos digitales.”
“El concurrente habrá de incluir en su oferta, memoria descriptiva de las medidas de
seguridad que adoptarán para asegurar la disponibilidad, confidencialidad e integridad
de los datos manejados y de la documentación facilitada. Asimismo, deberán incluir en
su oferta la designación de una persona o personas que, sin perjuicio de la
responsabilidad propia de la empresa, resulten autorizadas para las relaciones con la
Dirección General de la Policía a los efectos del uso correcto del material y de su
información a manejar.”
-Pliego de prescripciones técnicas dentro del programa de vigilancia de la salud del
servicio de prevención de riesgos laborales para la contratación de la ejecución de
reconocimientos médicos con un servicio de prevención ajeno de riesgos laborales
para las empleadas y empleados públicos de la dirección general de la policía.
SEGUNDO: De acuerdo con el informe recogido de la herramienta AXESOR, la
entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L. es una matriz de grupo
constituida en el año 1.996, y con un volumen de negocios de 7.095.892 euros en el
año 2.021.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/14
TERCERO: Con fecha 14 de febrero de 2025, la Subdirectora General de Inspección
de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de
Presidencia y Adjuntía de la Agencia Española de Protección de Datos acordó iniciar
procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo
5.1.f) del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en
adelante RGPD), tipificada en el artículo 83.5 del RGPD.
CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado
para la formulación de alegaciones, se ha constatado que no se ha recibido alegación
alguna por la parte reclamada.
El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: La Policía Nacional ha recibido llamada telefónica realizada por (…)
Inspección Medioambiental de (...) (empresa pública municipal del Ayuntamiento de
Palma), comunicando que obraban en su poder una serie de documentos, al parecer
reconocimientos médicos realizados a agentes de la Policía Nacional y Guardia Civil
en Palma, los cuales fueron encontrados abandonados en vía pública por parte de uno
de los trabajadores de (...) tras ser alertado de su existencia por un ciudadano.
SEGUNDO: Los documentos localizados en situación de abandono son
reconocimientos médicos realizados a agentes de la Guardia Civil y la Policía Nacional
por la entidad MEDIOS DE PREVENCIÓN EXTERNOS, S.L (MPE).
TERCERO: Conforme a las declaraciones del personal encargado de la realización de
dichos reconocimientos médicos, el procedimiento seguido consistía en su realización
en las instalaciones de la Guardia Civil y la Policía Nacional y el posterior traslado de
todos los formularios y/o reconocimientos médicos a la central de MPE en Palma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/14
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), es competente para resolver este
procedimiento la Presidencia de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El artículo 4.1 del RGPD define como «dato personal» a “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;”
El mismo artículo establece la definición de “tratamiento” como cualquier operación o
conjunto de operaciones realizadas sobre datos personales o conjuntos de datos
personales, ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que MEDIOS DE
PREVENCIÓN EXTERNOS realiza, entre otros tratamientos, la recogida, registro,
organización y conservación de los siguientes datos personales de personas físicas,
tales como: nombre y apellidos, documento nacional de identidad, dirección, datos
relativos a la salud etc.
Asimismo, MEDIOS DE PREVENCIÓN EXTERNOS realiza esta actividad de
tratamiento en su condición de responsable del tratamiento, dado que es quien
determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: que
lo define como la persona física o jurídica, autoridad pública, servicio u otro organismo
que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho
de la Unión o de los Estados miembros determina los fines y medios del tratamiento,
el responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/14
III
Obligación incumplida: “Principio de integridad y confidencialidad”
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”
En el presente caso, constaría una brecha de datos personales, al haberse expuesto a
terceros los datos de reconocimiento médicos de agentes de la policía y de la guardia
civil, al encontrarse en la vía pública una caja con la documentación relativa a
categorías especiales de datos relativos a la salud.
Se considera que los hechos conocidos son constitutivos de una infracción, imputable
a la parte reclamada, por vulneración del artículo 5.1.f) del RGPD.
IV
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con
arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del
tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control
con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del
artículo 58, apartado 1."
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/14
A los solos efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas
muy graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
Sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/14
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5. a) del RGPD.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa, además de la adopción de medidas.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de MEDIOS
DE PREVENCIÓN EXTERNOS, S.L. (7.095.892 euros en el año 2.021).
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.
Con carácter previo, se estima que concurren las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD): por haber afectado a 18
miembros de las fuerzas y cuerpos de seguridad y no haber sido detectada la
pérdida de confidencialidad hasta tiempo después.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/14
• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD): El Tribunal Supremo viene entendiendo que existe imprudencia siempre
que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se
comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha
de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda
de que, en el caso ahora examinado, cuando la actividad de la parte denunciada
es de constante y abundante manejo de datos de carácter personal, ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones
legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec.
63/2006)].
No solamente se constataría la falta de diligencia debida en la persona que
recogió los reconocimientos médicos, sino también de los receptores de la
documentación misma.
Dicha circunstancia refleja una omisión palmaria del responsable en el deber de
cuidado hacia la protección de los datos de sus clientes, lo que refuerza y
amplifica la gravedad de la infracción.
• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD): el hecho de que la pérdida de
confidencialidad se haya producido en relación con reconocimientos médicos
hace que sea una vulneración especialmente relevante puesto que, no solo se
han desvelado datos personales generales sino también datos de salud de los 18
afectados.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes
• La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (artículo 76.2, letra b), de la LOPDGDD):
MEDIOS DE PREVENCIÓN es un Grupo que nació en 1996 como Servicio de
Prevención de Riesgos Laborales, cuyo objetivo es velar por la seguridad y salud de
los trabajadores y contribuir en la disminución de la siniestralidad laboral, con más de
sesenta sedes en el territorio nacional y habituado a realizar tratamientos de datos
personales.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar una sanción de multa administrativa de
100.000,00 euros.
VI
Medidas correctivas
En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y
los hechos que han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/14
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a
MEDIOS DE PREVENCIÓN EXTERNOS, S.L. para que, en el plazo de 1 mes, a
contar desde la fecha de ejecutividad de la resolución finalizadora de este
procedimiento, adopte las medidas siguientes:
- Acreditar la adopción de las medidas necesarias para garantizar el
cumplimiento de lo dispuesto en el artículo 5.1.f) del RGPD, en particular para
asegurar la confidencialidad y trazabilidad de la documentación relativa a
reconocimientos médicos efectuados fuera de sus instalaciones, relativas a la
custodia, transporte, entrega y conservación de la documentación citada.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF
B41776360, por una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 del RGPD, una multa de 100.000,00 € (CIEN MIL EUROS).
SEGUNDO: ORDENAR a MEDIOS DE PREVENCIÓN EXTERNOS, S.L., con NIF
B41776360, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 1 mes desde
que la presente resolución sea firme y ejecutiva, acredite haber procedido al
cumplimiento de la medida establecida en la presente resolución consistente en
acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo
dispuesto en el artículo 5.1.f) del RGPD, asegurando, en particular, la confidencialidad
y trazabilidad de la documentación relativa a reconocimientos médicos efectuados
fuera de sus instalaciones, relativas a la custodia, transporte, entrega y conservación
de la documentación citada.
TERCERO: NOTIFICAR la presente resolución a MEDIOS DE PREVENCIÓN
EXTERNOS, S.L.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/14
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez sea firme en vía administrativa.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-100325
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/14
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es