1/12
Procedimiento Nº: PS/00187/2019
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: La reclamante presento interpuso escrito de reclamación el 03/01/2019
ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HM
HOSPITALES 1989, S.A. con NIF A79325858 (en adelante HM). Los motivos en que
basa la reclamación son, en síntesis, los siguientes: que el 08/11/2018 acudió al
servicio de urgencias de HM siendo ingresada; con motivo del ingreso hubo de rellenar
formulario donde constaba una casilla para marcar en la que se señalaba que cedía
los datos a terceros si no la marcaba; que posteriormente HM remitió el informe
médico a Mapfre, su compañía aseguradora, para solicitar el ingreso; que el
23/11/2018 le fue denegada por Mapfre prueba medica basándose en el informe
remitido y que su ingreso hospitalario no estaba autorizado por lo que se iba a solicitar
el reingreso del importe y, aprovechándose de estas circunstancias, recalcular el
importe de la prima de la póliza de seguro.
Aporta la siguiente documentación:
- Copia del DNI.
- Copia de reclamación ante la Consejería de Salud de la CCAA de Madrid.
- Copia del escrito presentado en el HM solicitando documentación.
- Copia de la documentación entregada por HM.
- Copia de denuncia ante la Comisaria de Policía de Getafe y ampliación de
denuncia ante la Comisaria de Policía de Móstoles.
En el documento aportado por el reclamante Solicitud de Ingreso Urgente de
HM consta lo siguiente clausula:
Y a continuación se añade lo siguiente en relación con la normativa de
protección de datos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante, la Subdirección General de Inspección de
Datos procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
El 01/02/2019, fue trasladada al reclamante la reclamación presentada para su
análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente,
se le requería para que en el plazo de un mes remitiera a la Agencia determinada
información.
En la misma fecha se le comunicaba a la reclamante la recepción de la
reclamación y su traslado a la entidad reclamada.
El 06/03/2019 HM dio respuesta al requerimiento de información señalando lo
siguiente: que todo paciente que acude a la Unidad de Urgencias es informado que los
gastos de su estancia se comunicaran a la entidad aseguradora como en el presente
caso, al objeto de comprobar la cobertura que pueda tener contratada como
asegurado y que su negativa a dicha comunicación comportaría el compromiso de
satisfacer los citados gastos; que para poder prestar una asistencia adecuada es
necesario que existan cesiones de datos entre HM y las aseguradoras con la que
tienen firmado Convenio sin que en ningún momento se tenga que pedir un
consentimiento específico para dicha comunicación; que el motivo principal por el que
se dirigió a HM se centró el acceso a los datos por parte de agente y operadora de
Mapfre cuestión que es de funcionamiento de aquella y en cuanto a la documentación
solicitada que en ningún momento se le ha negado sino que debía ser documentada
informándole sobre los plazos de contestación y las medidas de seguridad aplicadas.
El 03/05/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación
presentada por el reclamante.
TERCERO: Con fecha 27/06/2019, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta
infracción del artículo 6.1.a) del RGPD, tipificada en el Artículo 83.5 del RGPD.
CUARTO: Notificado el citado acuerdo de inicio, el 10/07/2019 el reclamado presentó
escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
documento de ingreso de la reclamante no se encontraba adaptado a la nueva
normativa sobre protección de datos; que la información dada a los pacientes que
acuden a los centros del reclamado se realiza de conformidad con los artículos 13 y 14
del RGPD, no considerando adecuado la tipificación realizada por la AEPD de la
infracción cometida; que en el caso concreto se necesitaba autorización de la
aseguradora para abonar los gastos derivados del ingreso siendo imprescindible darle
traslado del documento de urgencias; que el reclamado tiene implantadas medidas de
seguridad a fin de evitar que se produzcan incidencias similares a la ocurrida.
QUINTO: Con fecha 02/08/2019 se inició la apertura de un período de práctica de
pruebas, acordándose las siguientes:
- Dar por reproducidos a efectos probatorios la reclamación interpuesta por la
reclamante y su documentación, los documentos obtenidos y generados por
los Servicios de Inspección que forman parte del expediente E/01052/2019.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio PS/00187/2019 presentadas por HM y la documentación que a ellas
acompaña.
SEXTO: En fecha 15/11/2019, fue emitida Propuesta de Resolución en el sentido de
que por la Directora de la Agencia Española de Protección de Datos se sancionara a
HM, por una infracción del artículo 6.1.a) del RGPD, tipificada en el artículo 83.5.a) del
RGPD, una multa de 48.000 € (cuarenta y ocho mil euros). Asimismo, se acompañaba
Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de
obtener copia de los que estimara convenientes.
La representación de HM en escrito de 29/11/2019 presento escrito reiterando lo
señalado en el procedimiento y, además, que procede la desestimación del
procedimiento sancionador al no existir infracción del artículo 6 del RGPD habiendo
actuado de conformidad con lo señalado en la Guía publicada por la AEPD, solicitando
la desestimación de la sanción al reclamado.
HECHOS PROBADOS
PRIMERO. El 03/01/2019 tuvo entrada en la AEPD escrito de la afectada en el que
reclama contra HM; declara que habiendo acudido a su servicio de urgencias, tuvo que
ser ingresada y con motivo del mismo hubo de rellenar un formulario donde constaba
una casilla para marcar en la que se señalaba que cedía los datos a terceros si no la
marcaba; que posteriormente HM remitió el informe médico a Mapfre, su compañía
aseguradora, para solicitar el ingreso; que posteriormente le fue denegada por su
aseguradora prueba medica basándose en el informe remitido y que su ingreso
hospitalario no estaba autorizado por lo que se iba a solicitar el reingreso del importe
abonado y recalcular el importe de la prima de la póliza de seguro.
SEGUNDO. La reclamante ha aportado copia de su DNI nº ***NIF.1.
TERCERO. En el documento Solicitud de Ingreso Urgente aportado por la reclamante
donde se recogieron sus datos personales consta la siguiente clausula informativa:
“De conformidad con la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter
Personal, le informamos que los datos aquí suministrados van a ser incorporados en un conjunto de
ficheros debidamente inscritos en la Agencia Española de Protección de Datos por HM Hospitales, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
comprende las siguientes entidades: HM Hospitales 1989, S.A., Sanatorio Quirúrgico Modelo, S.L.,
Universal Médico Quirúrgica, Unmequi, S.A., Gabinete Médico Velázquez S.L., Centro Médico La
Moraleja, S.L.
Cada una de estas entidades cuenta con ficheros cuya finalidad es la asistencia y gestión sanitaria, así
como la gestión administrativa de los servicios.
Le comunicamos que sus datos serán tratados con la confidencialidad exigida en la normativa en materia
de protección de datos y con las medidas de seguridad exigidas en la misma.
Podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición a través del Servicio de
Atención al Paciente de cualquiera de los Hospitales de la Sociedades o remitiendo escrito a HM
Hospitales Plaza conde Valle de Suchil nº 2, 28015 Madrid.
Si no desea que se facilite esta información a terceros, marque esta casilla
Asimismo y salvo indicación expresa, autorizo al responsable del fichero HM HOSTALES 1989, S.A., a la
utilización de los datos personales del paciente para el envío de información de sus productos y servicios,
pudiendo revocar dicho consentimiento en cualquier momento.
Si no desea autorizar el envío de publicidad, maque esta casilla
CUARTO. Consta que la afectada formuló denuncia el 26/11/2018 ante la Comisaria
de Policía de ***LOCALIDAD.1, posteriormente ampliadas en la Comisaría de Policía
de ***LOCALIDAD.2, así como reclamación ante la Consejería de Sanidad de la
Comunidad de Madrid el 26/11/2018 por los mismos hechos. También consta escrito
dirigido a HM solicitando las copias de los documentos firmados en relación con su
ingreso hospitalario.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
El RGPD en su artículo 5, Principios relativos al tratamiento de datos
personales, señala que:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales («limitación de la finalidad»);
(…)
Por otra parte, el artículo 6 del RGPD, Licitud del tratamiento, señala que:
“1. El tratamiento solo será licito si se cumplen al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)
El artículo 4 del RGPD, Definiciones, en su apartado 11 señala que:
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”
Y el artículo 7 del citado Reglamento, Condiciones para el consentimiento,
señala que:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el
responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus
datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración
escrita que también se refiera a otros asuntos, la solicitud de consentimiento se
presentará de tal forma que se distinga claramente de los demás asuntos, de forma
inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante
ninguna parte de la declaración que constituya infracción del presente Reglamento.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier
momento. La retirada del consentimiento no afectará a la licitud del tratamiento
basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el
interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta
en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un
contrato, incluida la prestación de un servicio, se supedita al consentimiento al
tratamiento de datos personales que no son necesarios para la ejecución de dicho
contrato”.
También el artículo 6, Tratamiento basado en el consentimiento del afectado,
de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), señala
que:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE)
2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad
libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento
del afectado para una pluralidad de finalidades será preciso que conste de manera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.
III
Hay que señalar que el tratamiento de datos requiere la existencia de una base
legal que lo legitime, como el consentimiento del interesado para el tratamiento de los
datos personales para uno o varios fines específicos.
En el presente caso, se imputa a HM la vulneración del artículo 6.1.a) del
RGPD al evidenciarse la ilicitud del tratamiento en la obtención del consentimiento por
parte del reclamado; procedimiento que se instruye además de por la falta de
adaptación de la normativa de protección de datos al nuevo RGPD, por las cláusulas
incluidas en el documento Solicitud de Ingreso Urgente aportado por la reclamante y
que fue expedido por HM.
Hay que destacar que en el citado documento se evidencia la ausencia de
adaptación a la nueva normativa en materia de protección de datos y la obsolescencia
de las cláusulas incluidas en el mismo para la obtención del consentimiento.
En primer lugar, hace referencia a la Ley Orgánica 15/1999, de 13 de
Diciembre, de Protección de Datos de Carácter Personal, que no se encontraba en
vigor en el momento en el que se recabaron los datos de carácter personal, noviembre
de 2018, de lo que se deduce que su contenido no se encontraba adaptado a lo
establecido en la normativa vigente en el momento de recoger la información relativa a
los datos de carácter personal, pues el RGPD es de plena aplicabilidad a partir del
25/05/2018, tras un periodo de dos años desde su aprobación que se estimó suficiente
para adecuarse a las obligaciones recogidas en el mismo.
En segundo lugar, la fórmula para obtener el consentimiento de la reclamante
en el momento de su ingreso hospitalario, tanto para información a terceros como para
el envío de publicidad, es inadecuada no cumpliendo los requisitos del RGPD.
El reclamado contempla la utilización de los datos personales de la reclamante
con finalidades distintas del mero cumplimiento de la relación negocial. En concreto,
en la cláusula del documento Solicitud de Ingreso Urgente, HM limita las opciones del
interesado en la marcación de las casillas a través de las cuales deja constancia de su
oposición a los indicados tratamientos de datos, tanto en relación con la información a
terceros como en el envío de publicidad. El formulario de recogida de datos y
prestación del consentimiento dice así:
Si no desea que se facilite esta información a terceros, marque esta casilla
Asimismo, y salvo indicación expresa, autorizo al responsable del fichero HM
HOSTALES 1989, S.A., a la utilización de los datos personales del paciente para el
envío de información de sus productos y servicios, pudiendo revocar dicho
consentimiento en cualquier momento.
Si no desea autorizar el envío de publicidad, marque esta casilla
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
Con este mecanismo el consentimiento se recaba mediante la inacción del
interesado (Si no desea…, marque esta casilla), en contra de lo establecido en el
RGPD. No se trata de una acción afirmativa, sino de una pura inacción que no asegura
que el interesado otorgue inequívocamente el consentimiento (normalmente cuando
marcas algo es porque lo quieres, no porque no lo quieres; puede no haber entendido
la doble negación; puede no haber prestado la atención debida al leer rápidamente las
indicaciones en cuestión). Se trata, en definitiva, de un consentimiento tácito (el
consentimiento se deduce de la inacción) y por tanto contrario al RGPD.
Por tanto, no se cumple el requisito según el cual “el consentimiento debe
darse mediante un acto afirmativo claro que refleje una manifestación de voluntad
libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de
datos de carácter personal que le conciernen”, entendiéndose que “la inacción no
debe constituir consentimiento” (Considerando 32).
El RGPD excluye el consentimiento tácito y exige que sea explícito. Con la
entrada en vigor del RGPD y la nueva LOPDGDD, solo será válido el consentimiento
expreso. La novedad más importante respecto al consentimiento que incorpora el
RGPD se basa es que debe otorgarse a través de un acto afirmativo claro que
evidencie una declaración de voluntad libre, específica, informada e inequívoca del
interesado de admitir el tratamiento de datos de carácter personal que le afectan; que
no exista la más mínima duda de que ha habido voluntad manifiesta por parte del
cliente, dando su consentimiento expreso para poder tratar sus datos personales con
los fines específicos detallados en el formulario.
El RGPD no acepta la inactividad; la petición de consentimiento ha de ser clara
y concreta, que no altere inútilmente el uso del servicio para el que se presta. Todo ello
no hace sino insistir en la necesidad de que el interesado consienta expresamente el
tratamiento, no siendo un medio adecuado el establecimiento de fórmulas como las
señaladas en el impreso-formulario de ingreso de HM.
La referencia a manifestar la negativa al tratamiento permite redactar el texto
en sentido negativo. Esto es, se puede señalar como se hace en el formulario “si no
desea que se facilite esta información marque esta casilla” ó “si no desea autorizar el
envió de publicidad marque esta casilla”, en lugar de una marcación positiva “marque
esta casilla si desea que se facilite o ceda esta información” ó “marque esta casilla si
desea recibir publicidad”, ya que la diferencia entre un texto y otro es importante
puesto que se suele utilizar el primero porque crea confusión y la tendencia a no
marcar la casilla.
Por tanto, HM vulneró el artículo 6.1 del RGPD, no al obtener el consentimiento
de la reclamante, sino al incluir en el documento Solicitud de Ingreso Urgente, como se
señala anteriormente, una forma de obtener el consentimiento en el momento de su
ingreso hospitalario, tanto para información a terceros como para el envío de
publicidad, inadecuada no cumpliendo los requisitos del RGPD.
IV
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales personales sin que concurra alguna de
las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679.
(…)”
V
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
La representación de la denunciada ha alegado que la infracción no puede
tipificarse como muy grave y que se tengan en cuenta las medidas adoptadas con
posteriormente durante el procedimiento iniciado por la Agencia, evidenciando la
implantación de medidas de seguridad para subsanar cualquier error que se pudiese
producir.
En el presente caso, ha quedado acreditado que HM vulneró el artículo 6.1.a)
como consecuencia de la formula inadecuada y obsoleta de obtener el consentimiento
incluido en la cláusula del documento Solicitud de Ingreso Urgente en el momento del
ingreso hospitalario tanto para información a terceros como para el envío de publicidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
al no cumplir los requisitos del RGPD y la falta de adaptación del documento al citado
Reglamento.
Por otra parte, de acuerdo con los preceptos transcritos, a efectos de fijar el
importe de la sanción de multa a imponer en el presente caso por la infracción
tipificada en el artículo 83.5 del RGPD de la que se responsabiliza a HM, en una
valoración inicial, se estiman concurrentes los siguientes factores:
- El alcance meramente local del tratamiento llevado a cabo por la entidad
reclamada.
- La duración de la infracción puesto que la adaptación a la nueva normativa de
protección de datos debió haberse realizado a partir del 25/05/2018, fecha de entrada
en vigor del RGPD.
- El daño y perjuicio causado a la reclamante, puesto que como consecuencia
de la incidencia producido tuvo que dirigirse a la entidad interponiendo reclamación,
ante la Consejería de Sanidad y denuncia ante la policía.
- La vinculación de la actividad del infractor con la realización de tratamientos
de datos de carácter personal, puesto que debido a su actividad trata habitualmente
datos de clientes y de terceros.
- La entidad reclamada tiene la consideración de una gran empresa.
- No se tiene constancia de que la entidad hubiera obrado dolosamente,
aunque se observa una actuación negligente.
- Solo se ha visto afectada una persona por la conducta infractora.
- También es digno de destacar que la entidad ha aportado documentación que
acredita haber adoptado medidas para evitar que se vuelvan a producir incidencias
como la reclamada.
Por tanto, de conformidad con los criterios de graduación establecidos, tanto
adversos como favorables, se propone una sanción de 60.000 euros de la que HM
debe responder.
No obstante, HM ha reconocido en el escrito de alegaciones al acuerdo de
inicio del presente procedimiento que el 08/11/2018 el documento Solicitud de ingreso
urgente no se encontraba adaptado a la nueva normativa de protección de datos, en
concreto al RGPD, reconociendo su responsabilidad en los hechos, por lo que de
conformidad con el artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP), lleva aparejada
una reducción de un 20% de la sanción que proceda imponer, equivalente en este
caso a 12.000 euros, por lo que con la aplicación de esta reducción, la sanción
quedaría establecida en 48.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a HM HOSPITALES 1989, S.A., con NIF A79325858, por una
infracción del Artículo 5.1.a) del RGPD, tipificada en el Artículo 83.5 del RGPD, una
multa de 48.000 € (cuarenta y ocho mil euros).
SEGUNDO: NOTIFICAR la presente resolución a HM HOSPITALES 1989, S.A.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario,
se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es