1. Identificación de la resolución
- Referencia: PS/00505/2025; expediente n.º EXP202408291.
- Fecha: el texto no recoge fecha de firma; figura únicamente la firma del Presidente de la Agencia, Lorenzo Cotino Hueso. El acuerdo de inicio es de 18 de noviembre de 2025.
- Tipo de procedimiento: procedimiento sancionador, precedido de actuaciones previas de investigación (artículo 67 LOPDGDD).
- Responsable del tratamiento: Servicio de Salud del Principado de Asturias (SESPA).
- Sentido: declaración de infracción de los artículos 32 y 35 del RGPD, tipificadas en el artículo 83.4 del RGPD.
- Sanción: no se impone multa, por aplicación del régimen del artículo 77 de la LOPDGDD; en consecuencia, no hay reducciones del artículo 85 de la LPACAP.
- Medidas: orden, al amparo del artículo 58.2.d) del RGPD, de acreditar en el plazo máximo de 3 meses la implantación de medidas técnicas y organizativas adecuadas al riesgo y la realización de la EIPD del tratamiento vinculado a la Comisión. Se acuerda además comunicar la resolución al Defensor del Pueblo (artículo 77.5 LOPDGDD).
2. Hechos y objeto del procedimiento
La denuncia, presentada el 23 de mayo de 2024, describía el circuito de autorización de tratamientos individualizados que valora la Comisión de Uso Racional de los Medicamentos y Productos Sanitarios (CURMP): informes clínicos impresos que circulaban en papel por el Servicio de Farmacia y se remitían después escaneados por correo electrónico sin pseudonimizar, con riesgo de pérdidas y accesos sin rastro.
En las actuaciones previas, el SESPA reconoció que no existe un procedimiento normalizado para elaborar los informes de farmacia hospitalaria y que, en el hospital afectado, la tramitación se hacía en papel y por mensajería interna hasta el escaneado para su envío por correo corporativo. Un informe interno de febrero de 2024 recogía 1.755 valoraciones en 2023 y señalaba problemas como «solicitudes que se pierden» y «solicitudes que se traspapelan». No se aportó EIPD, y el análisis de riesgos presentado no mencionaba el tratamiento de la CURMP ni las categorías de datos. Sin alegaciones, el acuerdo de inicio se consideró propuesta de resolución (artículo 64.2.f LPACAP).
3. Doctrina de la Agencia
La Agencia presenta el artículo 32 del RGPD como expresión de la responsabilidad proactiva (artículos 5.2 y 24.1) y del enfoque de riesgos; sus medidas no son un numerus clausus y deben cubrir todo el ciclo de vida de los datos.
La falta de un protocolo uniforme para tramitar informes con datos de salud constituye una carencia de medidas organizativas. La circulación continuada de originales en papel facilita pérdidas y accesos no autorizados y dificulta la trazabilidad, cuando existen alternativas electrónicas; de hecho, el hospital disponía desde 2020 de un sistema de compartición de ficheros con autenticación y trazas, sin instrucción alguna que impusiera su uso.
Con cita de la STJUE de 14 de diciembre de 2023, asunto C-340/21, la resolución subraya que no basta aprobar formalmente las medidas: deben implantarse de forma efectiva. Tampoco sirve un análisis de riesgos que enumera controles genéricos sin acreditar su adopción ni aludir a los datos de categoría especial.
La EIPD se configura como instrumento previo, propio de la fase de diseño y de revisión continua (artículo 35.11). La Agencia invoca su lista del artículo 35.4, que incluye los tratamientos de categorías especiales del artículo 9.1. La conclusión del SESPA de que el riesgo era bajo no se sostiene, porque el análisis omitía la categoría de los datos, determinante para valorar la necesidad de la evaluación.
4. Fundamentos jurídicos relevantes
El SESPA es responsable del tratamiento (artículo 4.7 RGPD). Ambas infracciones se tipifican en el artículo 83.4.a) del RGPD y son graves a efectos de prescripción, a los dos años, por el artículo 73.f) (artículo 32) y 73.t) (artículo 35) de la LOPDGDD.
Como entidad de Derecho público vinculada a una Administración (artículo 77.1.d LOPDGDD, en relación con el artículo 83.7 RGPD), la resolución solo declara las infracciones, sin multa ni graduación. El responsable elige los instrumentos de las medidas correctivas; su incumplimiento podría constituir infracción del artículo 83.5 y 83.6 del RGPD.
5. Valoración técnica
La resolución afecta a los servicios de salud y a los órganos colegiados que valoran casos clínicos con documentación procedente de varios centros. Pone el foco en los circuitos intermedios previos al envío electrónico: el cifrado del correo corporativo no compensa la falta de protocolos uniformes ni la circulación de papel sin trazabilidad, y disponer de herramientas seguras no basta si no se impone su uso. La decisión de no realizar una EIPD exige un análisis de riesgos específico que considere la categoría de los datos.
Referencias
- Texto íntegro (AEPD): https://www.aepd.es/documento/ps-00505-2025.pdf
- Normativa aplicada: RGPD, artículos 4.1, 4.2, 4.7, 4.8, 5.2, 24.1, 32, 35, 57.1, 58.1, 58.2.d), 58.2.i), 83.4.a), 83.5, 83.6 y 83.7, y considerandos 74, 75, 84 y 90; LOPDGDD, artículos 47, 48.1, 48.6, 50, 63.2, 64.2, 67, 68.1, 71, 73.f), 73.t) y 77; LPACAP, artículos 64.2.f), 90.3.a) y 123; Ley 29/1998, artículos 25, 46.1 y disposición adicional cuarta.5; Decreto 51/2019 del Principado de Asturias, artículo 14.3; Lista AEPD de tipos de tratamientos que requieren EIPD (art. 35.4 RGPD); STJUE de 14 de diciembre de 2023, C-340/21.