Primeras sanciones en virtud del RGPD

A finales del año 2018, y pasados seis meses desde la entrada en vigor del Reglamento General de Protección de Datos 2016/679, llegaron las primeras sanciones en la materia. Durante el 2018 se ha escuchado mucho acerca de la protección de datos, nueva normativa europea y más recientemente la nueva normativa estatal Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Con todo, el 2018 ha marcado un antes y un después en la protección de datos, en el que destaca la manifiesta intención de las autoridades de garantizar la protección efectiva de los datos personales del individuo.

En primer lugar, cabe destacar la sanción impuesta por la Autoridad de Protección de Datos Austríaca (“Österreichische Datenschutzbehörde” o “DSB”) a una casa de apuestas.

La motivación de tal sanción ha sido la ausencia de notificación sobre la existencia de un sistema de videovigilancia. En concreto, la empresa tenía una videocámara de seguridad en su local, la cual grababa la actividad de la mayor parte de la acera. La cuantía impuesta ha sido de 4.800 euros, cuantía que, aún pareciendo baja, ha sido justificada por la Autoridad de Protección de Datos Austríaca como acorde al principio de proporcionalidad.

Resulta interesante apuntar aquí que, para facilitar el cumplimiento normativo, la Agencia Española de Protección de Datos tiene publicada una “Guía sobre el uso de videocámaras para seguridad y otras finalidades”, además de ello, cuenta con un apartado específico dedicado a la videovigilancia en su web, donde se pueden consultar diversos materiales al respecto, incluyendo fichas prácticas así como informes jurídicos que analizan supuestos específicos del uso de videocámaras tanto con fines de seguridad como para otros propósitos.

En segundo lugar, apuntar a la sanción impuesta a un hospital de Portugal por la Comisión Nacional de Protección de Datos en Portugal (Comissão Nacional de Proteção de Dados).

La Comisión apuntó tres importantes infracciones. La violación del principio de integridad y confidencialidad, la violación del principio de minimización de datos, que debería impedir el acceso indiscriminado a datos clínicos de los pacientes y la incapacidad del responsable del tratamiento de datos para garantizar la confidencialidad y la integridad de los datos. La cuantía de la multa se eleva a 400.000 euros, 150.000 euros por cada una de las dos primeras infracciones y 100.000 euros por la tercera.

El hospital mantenía activo el acceso a los historiales médicos a 985 facultativos a pesar de que su plantilla médica actual está formada por solo 296 médicos. Por ello, la Comisión Portuguesa concluye que el hospital carecía de los controles de autenticación necesarios y de normas internas de regulación de cuentas en función de los distintos niveles de acceso a datos clínicos.

Destaca pues de esta sanción, la gran importancia de la incorporación de normas internas en seguridad y protección de datos de carácter personal en las entidades. Así como indica el artículo 24 del RGPD, Los Responsables del tratamiento deben aplicar las medidas técnicas y organizativas adecuadas a fin de garantizar que el tratamiento es conforme con el RGPD.

Además de ello, al tratar aquí datos relativos a salud, y ser estos considerados por el RGPD en su artículo 9 como de categoría especial, se requiere una mayor protección, como es, por ejemplo, el consentimiento expreso de los pacientes o la realización de evaluaciones de impacto (artículo 35, apartado 3.b).

En España aún no ha tenido lugar ninguna sanción desde la entrada del RGPD ni de la nueva LOPD.

En conclusión, las multas administrativas a las que hace referencia el RGPD se impondrán en función de las circunstancias de cada caso individual y para la decisión de su cuantía se tendrá debidamente en cuenta la intencionalidad o negligencia en la infracción.

Irene Rossello

Abogada

irossello@binauramonlex.com