1/11
gabardi
Procedimiento Nº: PS/00269/2019
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 18/02/2019 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra SERVICIO DE SALUD DE CASTILLA-LA MANCHA con NIF Q4500146H
(en adelante, SSCM). Los motivos en que basa la reclamación son, en síntesis:
- Que el 25/01/2019 presenta solicitud para optar a una plaza de Coordinador Médico
para el Centro de Salud La Solana, convocada por la Gerencia de Atención Integrada
del Área Sanitaria de Talavera de la Reina (Toledo), dependiente del Servicio de Salud
de Castilla La Mancha.
- Que mediante correo electrónico la Subdirectora Médica de dicha Gerencia le adjunta
el informe realizado por los Servicios Jurídicos en el que se indica que no reúne las
condiciones fijadas en la convocatoria en base a que tengo una adscripción temporal
en dicho centro de salud por motivos de salud laboral.
- Que posteriormente se remite un correo idéntico a los correos corporativos de los
centros de salud La Solana y Río Tajo, para que siguiendo el protocolo establecido se
reenvíe a todos los integrantes de los equipos, de manera que todos los trabajadores
del Centro de Salud (45 personas, entre las cuales me encuentro), reciben un correo
electrónico procedente de la Gerencia de Atención Integrada de Talavera de la Reina
(Subdirección Médica), en el que se traslada dicha información y se informa a todos
ellos de su situación laboral y que la misma está condicionada por motivos de salud.
Consta aportado por el reclamante:
- Copia de su DNI
- Copia del Correo electrónico remitido por la Gerencia de Atención Integrada del
Área Sanitaria de Talavera de la Reina (Toledo), dependiente del Servicio de
Salud de Castilla La Mancha.
- Copia del correo electrónico remitido por centro de salud Río Tajo a las
direcciones de sus trabajadores.
SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de
Inspección de Datos procedió a realizar las siguientes actuaciones:
El 18/02/2019, reiterada el 12/04/2019, fue trasladada al SSCM la reclamación
presentada para su análisis y comunicación al reclamante de la decisión adoptada al
respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la
Agencia determinada información:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/11
- Copia de las comunicaciones, de la decisión adoptada que haya remitido al
reclamante a propósito del traslado de esta reclamación, y acreditación de que
el reclamante ha recibido la comunicación de esa decisión.
- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
- Informe sobre las medidas adoptadas para evitar que se produzcan
incidencias similares.
- Cualquier otra que considere relevante.
En la misma fecha se le comunicaba a la reclamante la recepción de la
reclamación y su traslado a la entidad reclamada.
El 23/05/2019 SSCM remitió escrito en el que manifestaba entre otras cuestiones que
en el correo electrónico de 29/01/2019, se informaba y motivaba a los profesionales
del Equipo de Atención Primaria de Talavera 3 Rio Tajo de la situación administrativa
actual y de la causa de exclusión o no admisión que concurría en el candidato, el
reclamante, en el proceso reglado para la provisión y selección del puesto de
Coordinador Médico del citado Equipo, a los efectos de determinar su causa de
exclusión.
TERCERO: El 18/06/2019, de conformidad con el artículo 65 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación presentada por el reclamante contra el reclamado.
CUARTO: Con fecha 22/11/2019, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 5.1.f) del RGPD, sancionada conforme
a lo dispuesto en el artículo 77.2 de la LOPDGDD.
QUINTO: Notificado el citado acuerdo de inicio, en escrito de 10/12/2019 el reclamado
presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que
SSCM no había vulnerado el deber de confidencialidad de los datos y que todos los
destinatarios del correo electrónico eran empleados públicos del SESCAM; que la
información contenida en el correo electrónico ha sido utilizada dentro del limitado
ámbito de vinculación estatutaria de dichos profesionales por lo que no puede
considerarse excesiva información facilitada; que la gestión y acceso a la cuenta de
correo se realiza por el personal administrativo del centro de salud y se accede
siempre con un perfil específico y, de la misma forma, el resto de profesionales reciben
dicha información sujeta a un sistema codificado donde únicamente pueden acceder
mediante contraseña; que el correo que reclama el reclamante se informa dentro del
ámbito del Equipo de Atención Primaria de Talavera 3 Rio Tajo a los profesionales
adscritos a dicho equipo de la causa de exclusión y no admisión del candidato en
cuestión dentro del procedimiento reglado convocado el 14/01/2019; que los
profesionales del dicho equipo son los únicos destinatarios del correo electrónico; que
analizada la documentación disponible en la tramitación de esta reclamación, el
tratamiento de la misma se adecua al soporte normativo en el ejercicio de las
funciones de participación de los profesionales y empleados públicos del citado equipo
de atención primaria; que no ha habido vulneración de la normativa de protección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/11
datos personales, puesto que no se ha facilitado información sobre aspectos clínicos
del estado de salud del reclamante, el dato de que esa persona estaba destinada de
manera provisional por motivos de salud era adecuado y relevante dentro del citado
procedimiento de provisión por cuanto su adscripción en el Centro de Salud Talavera
Río Tajo quedaba supeditado a las revisiones programadas de salud laboral y los
destinatarios de la información fueron los profesionales implicados en la participación y
propuesta de resolución del procedimiento de provisión.
SEXTO: Con fecha 11/02/2020 se inició la apertura de un período de práctica de
pruebas, acordándose las siguientes:
Dar por reproducidos a efectos probatorios la reclamación interpuesta por la
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente E/02128/2019.
Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio
presentadas por el reclamado y la documentación que a ellas acompaña.
Solicitar a la reclamante copia de toda la documentación que obrara en su
poder relativa al procedimiento sancionador que por cualquier motivo no
hubieran sido aportadas en el momento de la denuncia ó, cualquier otra
manifestación en relación con los hechos denunciados.
SEPTIMO: En fecha 04/06/2020 fue dictada Propuesta de Resolución en el sentido de
que se sancionara con apercibimiento al reclamado por vulneración del artículo 5.1.f)
del RGPD, tipificada en el artículo 85.5.a) del citado RGPD, de conformidad con el
artículo 77.2 de la LOPDGDD.
Transcurrido el plazo establecido para ello el reclamado no presentó escrito de
alegaciones al tiempo de dictar la presente resolución.
OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes,
HECHOS PROBADOS
PRIMERO. El 12/02/2019 tiene entrada en la AEPD escrito del reclamante
manifestando que el 25/01/2019 presento solicitud para optar a una plaza de
Coordinador Médico en el Centro de Salud de La Solana y Rio Tajo, convocada por la
Gerencia de Atención Integrada del Área Sanitaria de Talavera de la Reina (Toledo),
dependiente del Servicio de Salud de Castilla La Mancha; mediante correo electrónico
la Subdirectora Médica de dicha Gerencia adjuntó informe realizado por los Servicios
Jurídicos en el que se indicaba que no reunía las condiciones fijadas en la
convocatoria motivado por su situación de adscripción temporal en dicho centro de
salud por motivos de salud laboral; posteriormente se le ha remitido correo idéntico al
resto de los profesionales integrantes del centro de salud, en el que se traslada dicha
información y se informa a todos ellos de su situación laboral y que la misma está
condicionada por motivos de salud.
SEGUNDO. El reclamante aporta copia de su DNI en ***NIF.1.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/11
TERCERO. Consta aportada copia del correo electrónico remitido el 29/01/2019 al
reclamante por la Subdirectora Médica de la Gerencia de Atención Integrada del Área
Sanitaria de Talavera de la Reina (Toledo), y de contenido idéntico al que ha recibido el
resto de los profesionales del Centro de Salud:
De: “B.B.B.” <***EMAIL.1>
Para: “A.A.A.” ***EMAIL.2
CC: “C.C.C.” ***EMAIL.3
Enviado: martes, 29 de enero de 2019 11:45
Adjuntar: Resolución ADECUACION A.A.A..pdf; A.A.A. - REVISION ***FECHA.1-
NOTA INTEROR. PDF
Asunto: RV: PROCEDIMIENTO COORDINACION RIO TAJO
“Respecto a la solicitud presentada el día 25 de enero por el reclamante, para
participar en el procedimiento para elección de coordinador médico, paso a informar:
El citado profesional se encuentra adscrito al centro de salud de Talavera Rio Tajo por
motivos de salud laboral (acompaño copia de resolución) con fecha de efectos de 26
de enero de 2018. La adscripción de el reclamante es temporal, siendo su plaza de
origen la correspondiente al CIAS XXXXXXXXXXX, plaza del Equipo de Talavera-La
Algodonera, en la que mantiene su derecho a reserva.
La adscripción por motivos de salud laboral es de carácter temporal, en tanto se
mantengan las recomendaciones de adaptación establecidas por el servicio de
Prevención de Riesgos Laborales en virtud de las revisiones procedentes (o en aso de
incorporación de personal fijo a la plaza).
La última revisión se realizó el día 25 de septiembre de 2018, estableciendo la
siguiente revisión a los seis meses, sin que conste que se haya efectuado la revisión.
En las bases de selección se indica lo siguiente:
(…)
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
Los hechos denunciados se concretan en el envío por el reclamado de correos
electrónicos desde la cuenta ***EMAIL.4 a las direcciones de correo de los
profesionales del citado Centro de Salud conteniendo las causas de exclusión y no
admisión del reclamante dentro del procedimiento convocado el 14/01/2019 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/11
selección y provisión de Coordinador/a Medico de su Equipo, vulnerando el deber de
confidencialidad.
Dicho tratamiento podría ser constitutivo de una infracción del artículo 5,
Principios relativos al tratamiento, del RGPD que establece que:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y
contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas
técnicas u organizativas apropiadas («integridad y confidencialidad»).
(…)”
El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5
de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en lo sucesivo LOPDGDD), señala que:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria
de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán
aun cuando hubiese finalizado la relación del obligado con el responsable o encargado
del tratamiento”.
III
La documentación obrante en el expediente ofrece evidencias de que el
reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en
relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar los
motivos de la adscripción laboral así como las causas de exclusión y no admisión del
reclamante en el procedimiento para elección de coordinador médico, considerándose
excesivos.
Este deber de confidencialidad, con anterioridad deber de secreto, debe
entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no
consentidas por los titulares de los mismos.
Por tanto, ese deber de confidencialidad es una obligación que incumbe no
sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en
cualquier fase del tratamiento y complementaria del deber de secreto profesional.
De conformidad con lo expresado con anterioridad, el tratamiento de datos
requiere la existencia de una base legal que lo legitime, como garantía de seguridad
adecuada para la integridad y confidencialidad de los datos mediante medidas
adecuadas.
La reclamación que examinamos viene causada por el contenido del correo
electrónico que informaba a los profesionales del Equipo de Atención Primaria de
Talavera 3 Rio Tajo de la situación administrativa y causa de exclusión o no admisión
que concurría en el reclamante, en el proceso reglado para la provisión y selección del
puesto de Coordinador Médico del citado Equipo, de fecha 29/01/2019 que reproduce
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/11
algunos fragmentos en el hecho probado tercero. El citado correo fue enviado por la
Subdirectora Médica quien en un principio le adjunta el informe realizado por los
Servicios Jurídicos indicando que no reúne las condiciones fijadas en la convocatoria
motivado por una adscripción temporal en dicho centro de salud por motivos de salud
laboral. Posteriormente se remite correo idéntico al resto de correos corporativos de
manera que todos los trabajadores del Centro de Salud (45 personas, entre las cuales
me encuentro), reciben un correo electrónico procedente de la Gerencia de Atención
Integrada de Talavera de la Reina (Subdirección Médica), en el que se traslada dicha
información y se informa a todos ellos de su situación laboral y que la misma está
condicionada por motivos de salud.
A tenor del artículo 5.1.f) el tratamiento de datos personales ha de garantizar
una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no
autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la
aplicación de medidas técnicas u organizativas apropiadas.
En definitiva, el tratamiento de datos personales del reclamante que se realiza
por la Subdirección Medica mediante el envío del email que fue reenviado a todos los
profesionales del centro el 29/01/2019, será lícito si existe base legal que lo legitime.
En primer término, que el tratamiento sea necesario para satisfacer un interés
legítimo perseguido por el responsable del tratamiento; lo que trasladado al supuesto
que nos ocupa implica que el tratamiento de los datos personales efectuado a través
del email del 29/01/2019 persiguiera satisfacer el interés legítimo del responsable del
tratamiento, si bien tal tratamiento exigiría que “los intereses perseguidos no
prevalezcan sobre los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales”.
Determinar si el tratamiento que hizo el reclamado de los datos del reclamante
a través del correo electrónico que envió a los profesionales del centro de salud es o
no ajustado a Derecho exige ponderar los intereses en juego para concluir si debe
prevalecer o no sobre el derecho a la libertad sindical el derecho del reclamante a su
privacidad.
A propósito del interés legítimo como base jurídica del tratamiento de datos
personales de terceros, el Considerando 47 del RGPD dice:
<<El interés legítimo de un responsable del tratamiento, incluso el de un
responsable al que se puedan comunicar datos personales, o de un tercero, puede
constituir una base jurídica para el tratamiento, siempre que no prevalezcan los
intereses o los derechos y libertades del interesado, teniendo en cuenta las
expectativas razonables de los interesados basadas en su relación con el
responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación
pertinente y apropiada entre el interesado y el responsable, como en situaciones en
las que el interesado es cliente o está al servicio del responsable. En cualquier caso,
la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si
un interesado puede prever de forma razonable, en el momento y en el contexto de la
recogida de datos personales, que pueda producirse el tratamiento con tal fin. En
particular, los intereses y los derechos fundamentales del interesado podrían
prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al
tratamiento de los datos personales en circunstancias en las que el interesado no
espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde
al legislador establecer por ley la base jurídica para el tratamiento de datos personales
por parte de las autoridades públicas, esta base jurídica no debe aplicarse al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/11
tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El
tratamiento de datos de carácter personal estrictamente necesario para la prevención
del fraude constituye también un interés legítimo del responsable del tratamiento de
que se trate. El tratamiento de datos personales con fines de mercadotecnia directa
puede considerarse realizado por interés legítimo.>>
Trasladado a los hechos que nos ocupan debe concluirse que, la Subdirectora
Médica, a través del email que envió a cuarenta y cinco profesionales del Centro de
Salud, facilitó información que no era pertinente a los fines perseguidos sino que, por
el contrario, los datos proporcionados deben calificarse de excesivos en relación con
dicha finalidad como era la de informar del resultado de la convocatoria. El tratamiento
de algunos datos concernientes al reclamante no resulta lícito pues no encontraba
amparo en el artículo 6.1.f del RGPD.
Este tratamiento constituye una vulneración del principio de confidencialidad
que preside el tratamiento de datos personales de terceros (artículo 5.1.f, del RGPD)
El debate en el que acontecen los hechos examinados justifica que se participe
e intercambie información entre los profesionales, y así se establece en las bases de
la convocatoria.
Y si bien es cierto que en la convocatoria se establecía que el conjunto de
profesionales del equipo a quien iba dirigida, Equipo de Atención Primaria, tienen
derecho a participar y a ser oídos en el procedimiento de selección y provisión de
Coordinador Médico de su equipo, otorgándoseles un determinado peso o valoración a
la propuesta que pueda hacerse por los profesionales adscritos al Equipo, siendo
oídos antes de proceder al nombramiento del Coordinador, no es menos cierto, que
esto no implica que se deban revelar los motivos por los cuales se excluye un
candidato, máxime si dichos motivos están relacionados con la salud.
Además, en el desarrollo del proceso selectivo se señala que la Comisión
elevara a la Gerencia la propuesta de la persona que estime más adecuada una vez
realizado el procedimiento y que la Dirección de la Gerencia dictara resolución que se
publicara en la intranet de la Gerencia en la que figuraran las puntuaciones obtenidas
por los candidatos y en su caso, los excluidos.
Ahora bien, lo que si se considera relevante es que se revele información que
puede considerarse excesiva a la luz de las citadas bases como que el
participante/aspirante se encuentra adscrito al centro por motivos de salud laboral, que
su adscripción sea temporal en tanto se mantengan las recomendaciones de
adaptación establecidas por el servicio de Prevención de Riesgos Laborales en virtud
de las revisiones procedentes, etc.
En consideración a lo expuesto, habida cuenta de que en el email se trató
ilícitamente determinados datos personales del reclamante que eran ajenos a los
intereses en juego y los reveló a cuarenta y cinco personas, destinatarias del correo
electrónico enviado el 29/01/2019, se concluye que el reclamado es responsable de
una infracción del artículo 5.1.f), en relación con el artículo 6.1, del RGPD.
La vulneración del artículo 5.1.f) del RGPD está tipificada en el artículo 83.5.a)
del RGPD. La LOPDGDD, a efectos de prescripción, en su artículo 72.1.a) califica esta
infracción de muy grave.
IV
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/11
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios
básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor
de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del
mencionado artículo 83 del citado RGPD.
Por otro lado, la LOPDGDD en su artículo 71, Infracciones, establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que
resulten contrarias a la presente ley orgánica”.
La LOPDGDD en su artículo 72 indica, a efectos de prescripción: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”
No obstante, la LOPDGDD en su artículo 77, Régimen aplicable a
determinadas categorías de responsables o encargados del tratamiento, establece lo
siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos
de los que sean responsables o encargados:
a) Los órganos constitucionales o con relevancia constitucional y las
instituciones de las comunidades autónomas análogas a los mismos.
b) Los órganos jurisdiccionales.
c) La Administración General del Estado, las Administraciones de las
comunidades autónomas y las entidades que integran la Administración Local.
d) Los organismos públicos y entidades de Derecho público vinculadas o
dependientes de las Administraciones Públicas.
e) Las autoridades administrativas independientes.
f) El Banco de España.
g) Las corporaciones de Derecho público cuando las finalidades del tratamiento
se relacionen con el ejercicio de potestades de derecho público.
h) Las fundaciones del sector público.
i) Las Universidades Públicas.
j) Los consorcios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/11
k) Los grupos parlamentarios de las Cortes Generales y las Asambleas
Legislativas autonómicas, así como los grupos políticos de las Corporaciones
Locales.
2. Cuando los responsables o encargados enumerados en el apartado 1
cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de
esta ley orgánica, la autoridad de protección de datos que resulte competente dictará
resolución sancionando a las mismas con apercibimiento. La resolución establecerá
asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan
los efectos de la infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al
órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran
la condición de interesado, en su caso.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de
protección de datos propondrá también la iniciación de actuaciones disciplinarias
cuando existan indicios suficientes para ello. En este caso, el procedimiento y las
sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario
o sancionador que resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos,
y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento
que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que
corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las
resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren
los apartados anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones
análogas de las comunidades autónomas las actuaciones realizadas y las
resoluciones dictadas al amparo de este artículo.
6. Cuando la autoridad competente sea la Agencia Española de Protección de
Datos, esta publicará en su página web con la debida separación las resoluciones
referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la
identidad del responsable o encargado del tratamiento que hubiera cometido la
infracción.
Cuando la competencia corresponda a una autoridad autonómica de protección
de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga
su normativa específica”.
La conducta del reclamado constituye infracción a lo dispuesto en el artículo
5.1.f) del RGPD.
No obstante, el RGPD, sin perjuicio de lo establecido en su artículo 83,
contempla en el artículo transcrito la posibilidad de acudir a la sanción de
apercibimiento para corregir los tratamientos de datos personales que no se adecúen
a sus previsiones, cuando los responsables o encargados enumerados en el apartado
1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de
esta ley orgánica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/11
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER al SERVICIO DE SALUD DE CASTILLA LA MANCHA.
GERENCIA ATENCION INTEGRADA DE TALAVERA DE REINA, con NIF Q4500146H,
por una infracción del aartículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del
RGPD, una sanción de apercibimiento.
SEGUNDO: REQUERIR al SERVICIO DE SALUD DE CASTILLA LA MANCHA.
GERENCIA ATENCION INTEGRADA DE TALAVERA DE REINA, con NIF Q4500146H,
para que en el plazo de un mes desde la notificación de esta resolución, acredite: la
adopción de las medidas técnicas y organizativas apropiadas para garantizar el
tratamiento de los datos a la normativa en materia de protección de datos de carácter
personal a fin de evitar que en el futuro vuelvan a producirse incidencias como las que
han dado lugar a la formulación de la reclamación objeto del procedimiento y su
adecuación a las exigencias contempladas en el artículo 5.1.f) del RGPD.
TERCERO: NOTIFICAR la presente resolución al SERVICIO DE SALUD DE
CASTILLA LA MANCHA. GERENCIA ATENCION INTEGRADA DE TALAVERA DE
REINA, con NIF Q4500146H.
CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/11
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es