La AEPD archiva el procedimiento por prescripción al superar el plazo legal para sancionar al Servicio Canario de Salud por revelar datos identificativos de testigos en una resolución pública.

Resumen de la decisión:

Dos personas (reclamantes 1 y 2) denunciaron al Servicio Canario de Salud ante la autoridad de protección de datos, alegando que su identidad como testigos en un procedimiento interno había sido revelada en una resolución pública, incumpliendo así el principio de confidencialidad y minimización de datos (artículo 5.1.c del RGPD). Ambas reclamantes afirmaron que se les había garantizado confidencialidad por escrito y verbalmente, pero sus nombres, apellidos y categoría profesional aparecieron en la resolución final, publicada el 2 de diciembre de 2022, lo que les causó perjuicios laborales.

El Servicio Canario de Salud argumentó que siguió el protocolo interno vigente (Resolución de 8 de mayo de 2019), que permitía incluir datos identificativos de los intervinientes en el informe final, y que las reclamantes habían prestado consentimiento explícito para el tratamiento de sus datos, según el Anexo IV del protocolo. Además, aseguró que estaba evaluando medidas como la pseudonimización de datos en futuros procedimientos para reforzar la privacidad.

La autoridad de protección de datos inició un procedimiento sancionador el 1 de diciembre de 2025, pero la notificación a la entidad no se produjo hasta el 9 de diciembre de 2025. Dado que los hechos ocurrieron el 2 de diciembre de 2022, la presunta infracción había prescrito (plazo de 3 años según el artículo 72.1 de la LOPDGDD). Por ello, la resolución archiva el procedimiento y declara prescrita la infracción, sin imponer sanción alguna, al haberse superado el plazo legal para actuar.