STS 1039/2022, 19 de Julio de 2022

La Sala de lo Contencioso-Administrativo del Tribunal Superior de Justicia del País Vasco, dictó sentencia el 17 de diciembre de 2020, con los siguientes pronunciamientos en su parte dispositiva:

"Que estimando el recurso de apelación presentado por la AGENCIA VASCA DE PROTECCIÓN DE DATOS contra la sentencia dictada el 31-06-2020 por el Juzgado de lo Contencioso-Administrativo Nº 2 de Vitoria en el procedimiento ordinario 611/2019 , que estimó el recurso interpuesto por Osakidetza-Servicio Vasco de Salud contra la Resolución de 21-10-2019 del Director de la Agencia Vasca de Protección de Datos que apercibió a la recurrente por la comisión de una infracción muy grave de la legislación sobre protección de datos de carácter personal, y con revocación de dicha resolución, debemos desestimar y desestimamos el recurso contencioso-administrativo interpuesto por Osakidetza contra la mencionada Resolución de la Agencia Vasca de Protección de Datos; imponiendo las costas de la primera instancia al demandado y sin hacer pronunciamiento respecto a las causadas en esta segunda."

Notificada la sentencia, se presentó escrito por la representación procesal de Osakidetza-Servicio Vasco de Salud, manifestando su intención de interponer recurso de casación, y la Sala de instancia, por auto de 25 de febrero 2021 tuvo por preparado el recurso, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.

Recibidas las actuaciones en este Tribunal, por auto de 22 de septiembre de 2021, dictado por la Sección de Admisión se acordó:

"1.º) Admitir el recurso de casación n.º 1765/2021 preparado por la representación de Osakidetza-Servicio Vasco de Salud contra la sentencia n.º 401/2020, de 17 de diciembre, dictada por la Sección Primera de la Sala de lo Contencioso- administrativo del Tribunal Superior de Justicia del País Vasco en el recurso de apelación n.º 748/2020.

2. ) Declarar que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en determinar si se ha producido la falta de motivación e incongruencia denunciadas y, subsiguientemente, interpretar los artículos 5.1.c ) y 18 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE , a los efectos de lo establecido en el Razonamiento Jurídico tercero de la presente resolución.

Y ello sin perjuicio de que la sentencia haya de extenderse a otras cuestiones o normas si así lo exigiere el debate finalmente trabado en el recurso."

A su vez, en el razonamiento jurídico tercero del auto de admisión a trámite, al que se remite su pronunciamiento nº 2, se plantea la siguiente cuestión:

"En consecuencia y de acuerdo con lo dispuesto en el artículo 88.1 LJCA , en relación con el artículo 90.4 de la misma, procede admitir este recurso de casación, precisando que la cuestión que se entiende que tiene interés casacional objetivo para la formación de jurisprudencia consiste en determinar si, ante un supuesto en el que un responsable de tratamientos de datos personales realiza un tratamiento, que el interesado considera excesivo, con los datos lícitamente ya recogidos, resulta aplicable únicamente el principio de "Minimización de datos" del artículo 5.1.c) del RGPD, o debió ejercer el interesado el "Derecho a la limitación del tratamiento" previsto en el artículo 18 del citado Reglamento."

La representación de Osakidetza-Servicio Vasco de Salud presentó, con fecha 3 de noviembre de 2021, escrito de interposición del recurso de casación, en el que formuló los motivos de impugnación que seguidamente se resumen: i) motivo primero, en relación con la configuración normativa sobre el principio de minimización de datos y su alcance, ii) motivo segundo, en relación con la configuración normativa sobre el derecho a la limitación del tratamiento y su alcance, iii) motivo tercero, en relación con la conjugación del principio de minimización de datos y el derecho de limitación de datos en el fichero de historia clínica y iv) motivo cuarto, sobre impugnación de la sanción impuesta a Osakidetza-Servicio Vasco de Salud por la Agencia Vasca de Protección de Datos.

Finalizó su escrito de interposición del recurso la parte recurrente solicitando a la Sala que tenga por formalizado el recurso de casación contra la sentencia 401/2020 dictada por la Sala de lo Contencioso Administrativo del Tribunal Superior de Justicia del País Vasco el 17 de diciembre de 2020 y anule la misma con los siguientes pronunciamientos:

1. - Se revoque la sentencia 401/2020 dictada por la Sala de lo Contencioso Administrativo del Tribunal Superior de Justicia del País Vasco.

2. - En su lugar se dicte otra por la Sala de lo Contencioso Administrativo del Tribunal Supremo, conforme a la cual se fije una doctrina por la que se declare que ante un supuesto en que una Responsable/Encargada de Tratamiento ya tenga lícitamente recogida información (datos personales) y deba decidir qué concreta información debe emplear en un nuevo tratamiento que corresponda efectuar, deba realizarse una ponderación del tratamiento basada en el manejo de aquellos datos que sean adecuados, pertinentes y limitados a lo necesario respecto a los fines para los que se realice el nuevo tratamiento. En caso de discrepancia con la aplicación que la Responsable/Encargada de Tratamiento pudiera hacer sobre el alcance de los datos incluidos en el tratamiento en cuestión, deberá considerarse como previo y necesario que la persona interesada ejerza el derecho de limitación del tratamiento contemplado en el artículo 18 del RGPD.

Se dio traslado a la parte recurrida, para que manifestara su oposición, lo que verificó la representación de la Administración de la Comunidad Autónoma del País Vasco, por escrito de 27 de diciembre de 2021, en el que se opuso a las alegaciones de la parte recurrente y solicitó a la Sala que desestime íntegramente el recurso de casación interpuesto, confirmándose íntegramente la sentencia recurrida, con la consiguiente condena en costas a la parte recurrente.

Conclusas las actuaciones, se señaló para votación y fallo el día 5 de julio de 2022, fecha en que tal diligencia ha tenido lugar.

La sentencia impugnada.

1. - Se interpone recurso de casación por la representación de Osakidetza-Servicio Vasco de Salud contra la sentencia 401/2020, de 17 de diciembre de 2020, dictada por la Sala de lo Contencioso-Administrativo del Tribunal Superior de Justicia del País Vasco, que estimó el recurso de apelación interpuesto por la representación de la Agencia Vasca de Protección de Datos contra la sentencia dictada el 30 de junio de 2020 por el Juzgado de lo Contencioso Administrativo nº 2 de Vitoria- Gasteiz, en el procedimiento ordinario 611/2019, que estimó el recurso interpuesto por Osakidetza-Servicio Vasco de Salud contra la resolución de 21 de octubre de 2019 del Director de la Agencia Vasca de Protección de Datos, que apercibió a la recurrente por la comisión de una infracción muy grave de la legislación de protección de datos, y con revocación de dicha sentencia desestimó el recurso interpuesto por Osakidetza-Servicio Vasco de Salud contra la mencionada resolución de la Agencia Vasca de Protección de Datos, imponiendo las costas de la primera instancia al demandado y sin hacer pronunciamiento respecto de las causadas en la apelación.

2. - La sentencia impugnada resume los hechos objeto de la resolución sancionadora de la Agencia Vasca de Protección de Datos en la forma siguiente:

   "...los hechos que motivaron la resolución sancionadora dictada por la AVPD consistieron en la reseña de datos sobre el cambio de sexo de la denunciante en un informe relacionado con la asistencia prestada a la misma a causa de la lesión sufrida en un pié."

3. - Los motivos de la estimación del recurso de apelación de la Agencia Vasca de Protección de Datos contra la sentencia del Juzgado que anuló la resolución sancionadora, se exponen en el fundamento de derecho quinto de la sentencia impugnada, que dice lo siguiente:

   "La sentencia apelada incurre de forma manifiesta en las infracciones alegadas por el apelante, aunque no se tenga por incongruente con los motivos en que se fundaron el recurso contencioso y la oposición al mismo de entenderse que sus conclusiones (salvo las referidas a la sanción de la infracción imputada al demandado) están amparadas por el "Curia novit iura".

   Y es que, en primer lugar, el principio de limitación de datos plasmado en el artículo 5.1 c del Reglamento (UE) 2016/ 679 no puede restringirse a una fase (la de recogida o almacenamiento) del tratamiento sin limitar el concepto de esta operación, mejor dicho, conjunto de operaciones, definido por el mismo Reglamento (artículo 25.2), amén de contradecir el enunciado de dicho principio ("datos adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que sean tratados") y su propia finalidad de protección de los datos personales, cualquiera que sea su uso o tratamiento específico; al punto, de dejar indemnes los posteriores al procesamiento inicial, por muy innecesarios o impertinentes que fuesen a los fines del tratamiento o por mucho que excedieren de los adecuados con el mismo objeto.

   En lo que hace al caso, además, no puede apreciarse, ni por asomo, ninguna razón objetiva que justifique la incorporación de los datos clínicos en cuestión al informe asistencial de referencia, por su relación con el evento que motivó esa prestación o en aras del diagnóstico, tratamiento o prevención sanitarios.

   Así, hay que entender bien tipificada la infracción- no susceptible de graduación- imputada al demandado, sancionable con apercibimiento, según convienen las partes y es conforme a las previsiones de la Ley Orgánica 3/2018.

   E impuesta tal sanción malamente puede estimarse desproporcionada sin plantear como alternativa (aparte el órgano competente para su imposición) la de menor entidad en la escala normativa de aplicación que se considere adecuada a las circunstancias del caso; y menos, atendida la naturaleza pública del titular y responsable de los datos en cuyo tratamiento (uso inadecuado) se ha producido la vulneración del principio de minimización de datos.

Planteamiento del debate casacional.

1. - La parte recurrente Osakidetxa-Servicio Vasco de Salud divide su recurso de casación en cuatro motivos, relativos a: i) la configuración del principio de minimización de datos, ii) la configuración del derecho a la limitación del tratamiento, iii) conjugación del principio de minimización de datos y el derecho a la limitación de datos en el fichero de historia clínica y iv) impugnación de la sanción impuesta a Osakidetxa-Servicio Vasco de la Salud por la Agencia Vasca de Protección de Datos.

2. - La parte recurrente y recurridas coindicen en lo relativo al significado del principio de minimización de datos y su aplicación en el presente caso.

   Así, la parte recurrente indica que el principio de minimización de datos, recogido en el artículo 5.1.c) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), exige utilizar la menor cantidad de datos personales que permitan, ello no obstante, cumplir la finalidad que motiva el tratamiento, lo que en una actuación sanitario asistencial debe tener la aplicación práctica siguiente: i) solo debiera recogerse y almacenarse, en consecuencia, aquella información que se considere trascendental para un conocimiento veraz y actualizado del estado de salud de la persona paciente, con el objetivo de facilitar una adecuada asistencia sanitaria, que es la finalidad principal a la que obedece, en sí, el fichero de la historia clínica, y ii) en la redacción última de un informe de urgencias, que ya está en buena medida prefigurado como modelo, "se debería únicamente insertar la información que corresponda a la predeterminación establecida y, dentro de aquella otra, de "apreciación" o selección más valorativa por el profesional sanitario, únicamente la información que responda a las concretas cuestiones de "interés" del episodio asistencial."

   La parte recurrida, la Agencia Vasca de Protección de Datos, manifiesta sobre este punto, en su escrito de oposición al recurso de casación, que "no se puede estar sino completamente de acuerdo" con la exposición de la configuración normativa realizada por Osakidetza-Servicio Vasco de Salud del principio de minimización de datos.

3. - La cuestión sobre la que surge la discrepancia y el debate casacional entre las partes se refiere a la relación que Osakidetza-Servicio Vasco de Salud aprecia entre el principio de minimización de datos y el derecho de limitación del tratamiento.

   En los motivos segundo, tercero y, especialmente, cuarto de su recurso, Osakidetza-Servicio Vasco de Salud alega que una potencial consideración del incumplimiento del principio de minimización de datos por la responsable o encargada del tratamiento, debería conllevar necesariamente un previo ejercicio del derecho de limitación del tratamiento por parte de la persona interesada.

   Añade la parte recurrente que antes de proceder a la instrucción de un procedimiento de infracción por la Agencia Vasca de Protección de Datos y antes de la imposición de la sanción de apercibimiento por falta muy grave a Osakidetxa-Servicio Vasco de Salud por el incumplimiento del principio de minimización de datos del artículo 5.1.c) del RGPD, ante la circunstancia de que se estaba en presencia de una información (el dato del sexo) lícitamente recogida y ya existente en la historia clínica, hubiera debido seguirse un procedimiento para el ejercicio del derecho de limitación de tratamiento entre la persona interesada y Osakidetxa-Servicio Vasco de Salud. Ese ejercicio del derecho de limitación de tratamiento, según el criterio de la parte recurrente, debiera haber comenzado con una previa -en este caso inexistente- solicitud de la persona dirigido a la responsable o encargada del tratamiento, exponiendo su desacuerdo con el tratamiento concretamente realizado, con las razones que al efecto tuviera por convenientes.

   En definitiva, considera la parte recurrente que, con su actuación, la Autoridad de Protección de Datos hurtó el procedimiento exigible para el ejercicio del derecho, en el que cabría la posibilidad de verificar si concurría algún motivo en la responsable del tratamiento que aconsejara que prevaleciera su opinión sobre la de la persona interesada, así como la posibilidad de una posible solución sujeta al procedimiento expresamente contemplado al efecto, motivo que la parte califica como fundamental para sustentar la argumentación y presentación del recurso de casación.

4. - Como argumento que califica como secundario, alega también la parte recurrente que la Autoridad de Protección de Datos desatendió la circunstancia de que todo documento contenido en la historia clínica no tuvo otro destinatario que la propia persona paciente, sin ningún conocimiento para terceros, salvo que la propia persona paciente se lo haya querido revelar a esos terceros.

La cuestión de interés casacional que plantea el recurso de casación acuerdo con el auto que decidió su admisión a trámite.

A la vista del planteamiento del escrito de preparación del recurso de casación, el auto de admisión del recurso identificó como cuestión de interés casacional la de determinar si se ha producido la falta de motivación e incongruencia denunciadas y, subsiguientemente, interpretar los artículos 5.1.c) y 18 del Reglamento (UE) 2016/679, antes citado, a los efectos determinados en el razonamiento jurídico tercero de la resolución.

En dicho razonamiento jurídico se planteaba si, en un supuesto en el que el responsable de tratamiento de datos personales realiza un tratamiento que el interesado considera excesivo, con los datos lícitamente ya recogidos, resulta aplicable únicamente el principio de minimización de datos del artículo 5.1.c) del RGPD, o debió ejercer el interesado el derecho a la limitación del tratamiento datos previsto en el artículo 18 del RGPD.

Sobre el motivo de impugnación relativo a la exigencia, para acordar el inicio del expediente sancionador, de seguir previamente el interesado un procedimiento para el ejercicio del derecho de limitación del tratamiento.

1. - En el origen del presente recurso se encuentra la resolución de la Agencia Vasca de Protección de Datos, de 21 de octubre de 2019, que en su parte dispositiva acordó apercibir a Osakidetxa-Servicio Vasco de Salud, por la infracción muy grave tipificada en el artículo 72.1.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDP), en relación con los artículos 5.1.c) y 83.5.a) del RGPD.

   Dice el artículo 72.1.a) de la LOPDP sobre las infracciones consideradas muy graves:

   "1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

   1. El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 ."

2. - Entre los principios establecidos por el articulo 5 del RGPD, al que se remite el articulo 72.1.a) LOPDP que acabamos de transcribir, figura en la letra c) el principio de minimización de datos, que se define por el propio precepto al señalar que los datos personales serán: "...c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados ("minimización de datos")."

   Este principio ya estaba recogido en la normativa de protección de datos anterior a la hoy vigente.

   Así, el articulo 6.1.c) de la Directiva 95/46/CE, derogada por el vigente RGPD, indicaba que los Estados miembros dispondrán que los datos personales sean:

   "...adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente"

   A su vez, el artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, derogada parcialmente por la LOPDP, bajo la rúbrica de "calidad de los datos" disponía que:

   "Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido."

3. - Ya se ha dicho que las partes están de acuerdo en la significación del citado principio, y que la cuestión que plantean tanto el auto de admisión a trámite como el escrito de interposición del recurso no hace referencia al incumplimiento del principio de minimización de datos en este caso, sino a la exigencia de que la declaración del incumplimiento del principio de minimización de datos debe conllevar necesariamente -en criterio de la parte recurrente- un previo ejercicio del derecho de limitación del tratamiento por parte de la persona interesada.

4. - Se hace necesaria, en este punto, una referencia al derecho de limitación del tratamiento, a cuyo ejercicio por el interesado condiciona la parte recurrente la procedencia de la denuncia por infracción del principio de minimización de datos.

   El derecho a limitación del tratamiento a que se refiere la parte recurrente es el enunciado por el articulo 18.1.d) del RGPD, a cuyo tenor el interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando cumpla alguna de las condiciones siguientes:

   "d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado."

   Se trata de un derecho a la limitación del tratamiento de duración temporal, "mientras se verifica si los motivos legítimos de responsable prevalecen sobre los del interesado" y de carácter provisional o cautelar, pues opera cuando el interesado se haya opuesto al tratamiento en virtud del artículo 21.1 RGPD, que regula el derecho del interesado a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f) del RGPD.

   El derecho de limitación del tratamiento del artículo 18.1.d) del RGPD que invoca la parte recurrente está vinculado, por tanto, al ejercicio del derecho de oposición al tratamiento del artículo 21.1 del RGPD, y permite una limitación del tratamiento de carácter temporal, por el tiempo del que dispone el responsable del tratamiento para contestar el derecho de oposición, de acuerdo con el artículo 12, apartados 2 y 3 del RGPD, y de carácter también cautelar o provisional, a la espera de que se determine si de debe producir o no la supresión de los datos en cuestión.

   En este caso no hay ninguna constancia de que el interesado haya ejercitado el derecho de oposición del articulo 21.1 del RGPD al que el artículo 18.1.d) RGPD vincula el derecho de limitación al tratamiento a que se refiere la parte recurrente.

5. - En todo caso, el recurso de casación se sustenta en la exigencia por la parte recurrente de una suerte de requisito de procedibilidad o de perseguibilidad, que condiciona el inicio por la Agencia Vasca de Protección de Datos del procedimiento para el ejercicio de la potestad sancionadora al ejercicio por el interesado del derecho a la limitación del tratamiento a que se refiere el artículo 18.1.d) del RGPD que acabamos de examinar.

   La Sala no comparte los argumentos de la parte recurrente, pues ni el RGPD, ni la LOPDP, ni el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, contienen norma alguna que establezca el requisito de la exigibilidad del ejercicio del derecho a la limitación de tratamiento del artículo 18.1.d) del RGPD para iniciar un procedimiento sancionador por la infracción muy grave descrita en el artículo 72.1.a) de la LOPDP, por tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del RGPD, ni la parte recurrente cita norma alguna que ampare el requisito de procedibilidad que invoca en su recurso.

6. - El artículo 63 de la LOPDP diferencia entre dos tipos de procedimientos por posible vulneración de la normativa de protección de datos, aquellos en los que un afectado reclame que no ha sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 15 a 22 del RGPD y aquellos otros de investigación de la existencia de una posible infracción de lo dispuesto en el RGPD y en la propia LOPDP.

   En este caso es claro que no nos encontramos ante un procedimiento que se refiera a la falta de atención de una solicitud de los derechos establecidos por los artículos 15 a 22 del RGPD, puesto que la denunciante no ha ejercitado ni el derecho de limitación del tratamiento del artículo 18.1.d) del RGPD, al que se refiere la parte recurrente en su escrito de interposición, ni el derecho de oposición del artículo 21.1 del RGPD a que el anterior está vinculado, ni ninguna de los restantes derechos contemplados en los artículos 18 a 22 del RGPG, como resulta con claridad del propio escrito de denuncia que obra en el expediente administrativo (folios 1 y 2 del expediente administrativo), en el que no se hace alusión a la falta de atención de una solicitud de ejercicio de cualquiera de los derechos reconocidos en los artículos 18 a 22 del RGPD.

   También la lectura del escrito de denuncia pone de manifiesto que lo que se interesa por la denunciante de la Agencia Vasca de Protección de Datos es la investigación de una posible infracción de las disposiciones del RGPD y de la LOPDP. En efecto, la denunciante manifiesta en su escrito de denuncia que "el motivo de mi reclamación/denuncia es el contenido del informe realizado en el servicio de urgencias, ya que revela varios datos personales especialmente protegidos y que son totalmente irrelevantes desde el punto de vista clínico/médico respecto al motivo para acudir a urgencias y el tratamiento recibido (radiografía y vendaje en un dedo de un pie)".

   Añade dicho escrito de denuncia lo siguiente: "Considero que el hecho de revelar y exponer esos datos personales de carácter especialmente protegido (hecho de ser mujer transexual) y la terminología utilizada, vulnera mi derecho a la protección de mis datos personales, mi derecho a la intimidad, [...] Exijo igualmente que se investigue esa vulneración de mis derechos, se determinen responsabilidades [...] y se apliquen las sanciones correspondientes".

7. - Dispone el artículo 64.2 de la LOPD que cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el RGPD y en la LOPD, como es ahora el caso, " se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de una reclamación."

   No exige, por tanto, este precepto, ni ningún otro que el inicio del procedimiento sancionador en materia de protección de datos se condicione al requisito previo del ejercicio del derecho a la limitación del tratamiento del artículo 18.1.d) del RGPD, como sostiene la parte recurrente, ni al ejercicio de ninguno otro de los derechos establecidos por el RGPD.

8. - El ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD (derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición) es una vía distinta e independiente de la interposición de reclamaciones ante la Agencia Española de Protección de Datos o ante la Agencia Vasca de Protección de Datos, conforme a lo dispuesto respectivamente en los artículos 64.2 y 65 de la LOPDP y el artículo 9.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos.

   Puede por tanto el interesado ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD y simultánea o alternativamente formular una reclamación o denuncia ante la Autoridad de Protección de Datos competente por actuaciones que estime contrarias a la normativa de protección de datos, pero no existe exigencia legal alguna para que la reclamación o denuncia sea precedida necesariamente del ejercicio de limitación del tratamiento, como pretende la parte recurrente, o de cualquier otro de los derechos regulados por los artículos 15 a 22 del RGPD.

Sobre el motivo secundario de impugnación de no tener el documento derivado de la historia clínica otro destinatario que el propio interesado.

Alega la parte recurrente, como motivo secundario de impugnación, que la Agencia Vasca de Protección de Datos no tuvo en cuenta la circunstancia de que el documento contenido en la historia clínica no ha tenido otro destinatario que la propia paciente, sin conocimiento para terceros, salvo que la paciente lo haya querido revelar.

La alegación no puede prosperar, pues si bien es cierto que, como alega la parte recurrente, los datos de la historia clínica y los datos que se hicieron constar en el informe de alta de urgencias han sido comunicados únicamente a la persona titular de dichos datos y no han sido revelados por Osakidetxa-Servicio Vasco de Salud a ninguna otra persona, debe sin embargo tenerse en cuenta que en este caso la resolución sancionadora no aprecia una infracción del deber de confidencialidad garantizado por los artículos 5.1.f) del RGPD y 5.1 de la LOPD, o una vulneración del deber de guardar secreto sobre los datos de carácter personal del artículo 22.4.h) de la Ley 2/2004, de 25 de febrero, de la Comunidad Autónoma del País Vasco, sino que el procedimiento sancionador se siguió, desde el acuerdo de inicio, para la investigación de una conducta que podría ser constitutiva de una vulneración del principio de minimización de datos establecido en el artículo 5.1.c) del RGPD y, en el mismo sentido, la resolución sancionadora no hace alusión alguna a la vulneración de los deberes de confidencialidad o de guardar secreto sobre los datos de carácter personal, sino que apreció una infracción muy grave por infracción del citado artículo 5.1.c) del RGPD (principio de minimización), al realizarse un tratamiento de datos consistente en la consignación en el informe de alta emitido por el servicio de urgencias de un gran número de datos de salud de la denunciante, sin observancia del indicado principio de minimización de datos en los términos definidos en esta sentencia.

Sobre la cuestión planteada por auto de admisión en relación con la falta de motivación de la sentencia recurrida.

El auto de admisión también plantea como cuestión de interés casacional en este recurso si se ha producido la falta de motivación e incongruencia denunciados por la parte recurrente.

Sobre esta cuestión ha de decirse, en primer lugar, que efectivamente la parte recurrente denunció en su escrito de preparación del recurso que la sentencia impugnada infringió los artículos 24.1 y 120.3 CE, en relación con la doctrina del Tribunal Constitucional sobre la tutela judicial efectiva y la motivación de las sentencia, y el auto de admisión a trámite del recurso incluyó en su parte dispositiva, entre las cuestiones de interés casacional, si se había producido la falta de motivación e incongruencia denunciada, si bien señalo también (FD 2º) que "el interés casacional ha de entenderse referido no tanto a la incongruencia o falta de motivación sino a la interpretación y aplicación de la norma sustantiva que ha sido desconocida por la sentencia", cuestión ésta última que también se incluyó en la parte dispositiva del auto de admisión por remisión al razonamiento jurídico tercero de la resolución.

No obstante lo anterior, la parte recurrente, en su escrito de interposición del recurso, en el que de acuerdo con el artículo 92.3.a) de la Ley de la Jurisdicción, ha de "exponer razonadamente por qué han sido infringidas las normas o la jurisprudencia que como tales se identificaron en el escrito de preparación", omitió cualquier referencia a la falta de motivación e incongruencia de la sentencia impugnada que había denunciado en el escrito de preparación, y dedicó los razonamientos del escrito de interposición a desarrollar, como argumento principal, su criterio sobre la exigencia del ejercicio por el interesado del derecho de limitación del tratamiento establecido por artículo 18.1.d) RGPD como requisito previo para acordar el inicio del procedimiento sancionador, así como a sostener, como motivo secundario, que la Agencia Vasca de Protección de Datos desatendió la circunstancia de que los datos no tuvieron otro destinatario que la propia paciente titular de los mismos.

Sin perjuicio de la falta de exposición razonada por la parte recurrente en su escrito de interposición sobre la falta de motivación e incongruencia denunciadas en el escrito de preparación, la Sala considera que no cabe apreciar tales defectos en este caso, pues la sentencia impugnada ha exteriorizado de forma suficiente el razonamiento jurídico que sirve de fundamento a su decisión, siendo criterio reiterado de esta Sala que la motivación de la sentencias no demanda un razonamiento exhaustivo y pormenorizado de todos los aspectos y perspectivas que las partes puedan tener de la cuestión a decidir, si el ajuste entre el fallo y las peticiones de las partes es sustancial y se resuelven las pretensiones válidamente deducidas en juicio.

Estimamos que la sentencia impugnada dio una respuesta suficiente a los argumentos de la Osakidetza-Servicio Vasco de Salud que intervino como parte recurrida en el recurso de apelación de la instancia. En su condición de parte recurrida expuso en su escrito de oposición a la apelación que se adhería en parte al recurso, lo que fue rechazado motivadamente por la sentencia impugnada, y alegó también que la sentencia apelada del Juzgado de lo Contencioso Administrativo de Vitoria-Gasteiz se inclinaba con claridad a favor de sus tesis y pretensiones, siendo así que la sentencia impugnada exteriorizó, especialmente en su FD 5º, las razones jurídicas por las que consideró que la fundamentación de la sentencia apelada resultaba disconforme con la normativa de protección de datos.

A mayor abundamiento sobre este punto, el planteamiento de la hoy recurrente en su oposición al recurso de apelación consistió en sostener que la cuestión objeto de debate no estaba relacionada con el principio de minimización de datos, sino con el derecho de limitación del tratamiento, y la sentencia impugnada rechazo implícitamente tal argumentación al apreciar el incumplimiento del principio de minimización de datos invocado por la parte recurrente.

La respuesta a las cuestiones de interés casacional.

La Sala, en respuesta a las cuestiones de interés casacional formuladas en el auto de admisión, considera que la sentencia impugnada no incurre en falta de motivación o en incongruencia y que en un supuesto como el examinado en este recurso, en el que un responsable de tratamiento de datos personales realiza un tratamiento que el interesado considera excesivo, cabe la denuncia ante la agencia de protección de datos competente y, en su caso, el inicio por esta de un expediente sancionador por la infracción del principio de minimización de datos del artículo 5.1.c) del RGPD, sin que sea exigible como requisito de procedibilidad que el interesado ejerza el derecho a la limitación del tratamiento previsto en el artículo 18.1.d) del indicado Reglamento.

Conclusiones y costas.

De acuerdo con lo hasta aquí razonado, procede la desestimación del recurso de casación interpuesto por la representación de Osakidetza-Servicio Vasco de Salud contra la sentencia 401/2020, de fecha 17 de diciembre de 2020, de la Sección 1ª de la Sala de lo Contencioso Administrativo del Tribunal Superior de Justicia del País Vasco.

En atención a lo dispuesto en el artículo 93.4 de la Ley de la Jurisdicción, acordamos que cada parte abone las costas del recurso de casación ocasionadas a su instancia y las comunes por mitad.