Se trata de un actuación de oficio que se ha iniciado como paso previo a una actuación posterior, y a raíz de conocer el hecho a través de los medios de comunicación.

Las actuaciones previas de investigación pueden alargarse hasta durante un año. En el caso que se confirmen los hechos, el siguiente paso es la apertura de un procedimiento o investigación.

Al haber ocurrido el caso en un centro sanitario de carácter público, se llevaría a cabo una "declaración de infracción de administraciones públicas" en el caso que el asunto no sea archivado.

Si llegase a confirmar que ha existido una vulneración de protección de datos, al estar involucrada una administración pública la sanción no sería económica, como sucede cuando se trata de empresas privadas las responsables, sino que se ordenaría el "mandato de corregir de manera inmediata" la situación para evitar que volviera a repetirse un caso así.

Defensor del Pueblo

Ante un hecho de este tipo, la agencia también podría trasladar el asunto al Defensor del Pueblo y derivar en sanciones de tipo disciplinario.

La Agencia Española de Protección de Datos (AEPD) es la autoridad estatal de control independiente responsable de velar porque se cumpla la normativa sobre protección de datos, y que garantiza y tutela el derecho fundamental a la protección de datos de carácter personal de los ciudadanos.

Con personalidad jurídica, la agencia actúa con independencia de las Administraciones públicas en el ejercicio de sus funciones.