A-00001-2015

1/8 Procedimiento Nº: A/00001/2015 RESOLUCIÓN: R/00635/2015 En el procedimiento A/00001/2015, instruido por la Agencia Española de Protección de Datos a la entidad C.F.P. JUAN XXIII, vista la denuncia presentada por tres denunciantes y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de febrero de 2014, tuvieron entrada en esta Agencia escritos de los denunciantes 1 y 3 en los que denuncian que, con fecha 19 de septiembre de 2012, el Centro de Formación Profesional Juan XXIII remitió por correo electrónico y con copia a todo el personal del centro un documento en el que se anexaba un Listado de Usuarios de Educa Madrid en el que constan sus datos personales. Con fecha 28 de febrero de 2014, el denunciante 2 presentó denuncia en el sentido de que, con fecha 8 de mayo de 2013, desde la dirección D.D.D. se remitió correo electrónico a todos@ E.E.E. en el que se anexaba un Listado de Usuarios de Educa Madrid en el que constan los nombres, apellidos y DNI de 39 profesores. SEGUNDO: Con fecha 21 de enero de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a la entidad C.F.P. JUAN XXIII a trámite de audiencia previa el presente procedimiento de apercibimiento A/00001/2015, en relación con la denuncia por infracción del artículo 10 de la citada LOPD. Con tal motivo, se concedió a la entidad C.F.P. JUAN XXIII plazo para formular alegaciones, que presentó escrito de alegaciones en el que, básicamente, manifestó lo siguiente: - Que ambos correos fueron remitidos al personal del Centro en el marco de la realización de cursos de formación de la Consejería de Educación de Madrid, con la intención de que el citado profesorado pudiera solicitarlo. - Dicho envío fue remitido ciertamente a todo el personal del Centro por un error humano cuando la intención real era mandarlo únicamente a la persona interesada en solicitar los cursos. En todo caso, este acto no fue intencionado, ni generó beneficio alguno para el Centro ni puso en riesgo una gran cantidad de datos, ni tuvo carácter continuado ni generó perjuicio alguno a las personas afectadas. - Los datos personales que se pusieran en conocimiento del resto de los profesores, son datos que la normativa de protección de datos clasifica como de “Nivel básico” y son plenamente accesibles por otras vías. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - El Centro ha dado instrucciones al personal en materia de protección de datos, habiendo firmado una declaración en la que, entre otras cláusulas incluye: “El trabajador está obligado a adoptar las medidas necesarias para evitar la visualización por parte de terceros de los datos a los que tiene acceso por razón de su puesto”. - Sin pretender poner en duda que cualquier persona física tiene derecho a la protección de datos que atañen a sí mismos, señala que los tras denunciantes son antiguos trabajadores del Centro que por diversos motivos vieron interrumpida su relación laboral con el Centro, meses antes de la interposición de las denuncias, por lo que las denuncias parecen responderá más a un acto de represalia que por un interés real en ejercitar los citados derechos. - Medidas correctoras: En aras de prevenir posibles situaciones similares en el futuro del Centro, se ha procedido a revisar todo el protocolo de protección de datos, así como a formar de nuevo a sus empleados a través de una empresa externa especialista en protección de datos y en el propio sector educativo. En definitiva, solicitan que se proceda al Archivo de las actuaciones, reiteran el esfuerzo para que no se vuelva a producir y están preparando nuevas sesiones formativas y de trabajo sobre el tratamiento de los datos personales. Por último, reconocen la culpa y han hecho todo lo posible para que no vuelva a suceder. HECHOS PROBADOS PRIMERO: Con fecha 8 de mayo de 2013, desde la dirección D.D.D. se remitió un correo electrónico a todos@ E.E.E. en el que se anexaba un Listado de Usuarios de Educa Madrid en el que constan los nombres, apellidos y DNI de 39 profesores. SEGUNDO. La entidad denunciada ha reconocido que el correo fue remitido ciertamente a todo el personal del Centro por un error humano cuando finalidad de enviarlo únicamente a la persona interesada en solicitar los cursos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 se derivan de la revelación de datos efectuada por el Centro de Formación Profesional Juan XXIII que remitió por correo electrónico y con copia a todo el personal del centro un documento en el que se anexaba un Listado de Usuarios de Educa Madrid en el que constaban los datos personales de 39 profesores relativos a nombres, apellidos y DNI. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar una Sentencia dictada por la Audiencia Nacional, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
2. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el caso que nos ocupa, ha quedado acreditado que el Centro de Formación Profesional Juan XXIII que remitió por correo electrónico y con copia a todo el personal del centro un documento en el que se anexaba un Listado de Usuarios de Educa Madrid en el que constaban los datos personales de 39 profesores relativos a nombres, apellidos y DNI. Esta información no puede ser facilitada a terceros, salvo consentimiento del afectado o que exista una habilitación legal que permita su comunicación. No consta que la entidad C.F.P. JUAN XXIII hubiese obtenido el consentimiento de los terceros afectados para ello. Al contrario, dicha entidad ha reconocido que esta revelación de datos tuvo lugar y que la misma se produjo ocasionalmente por un error puntual y humano. El Tribunal Supremo considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible por los hechos denunciados, atribuible plenamente al C.F.P. JUAN XXIII de acuerdo con las circunstancias antes expresadas. Por tanto, queda acreditado que dicha entidad vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceros, los denunciantes, tuviese acceso a datos personales correspondientes a otros profesores del Centro educativo. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
3. d)de la LOPD. En este precepto se establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “
4. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los terceros afectados fueron divulgados a los denunciantes por la entidad C.F.P. JUAN XXIII, no habiéndose acreditado que aquellos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
5. d)de la LOPD. IV De acuerdo con lo expuesto, se iniciaron actuaciones contra por la presunta vulneración del deber de secreto recogido en los artículos señalados. Por otra parte, se tuvo en cuenta que la entidad imputada, C.F.P. JUAN XXIII, no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
7. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
8. a)y
9. b)del citado artículo 45.6 de la LOPD. Sin embargo, en el presente caso, la entidad C.F.P. JUAN XXIII ha detallado los protocolos y cursos implementados entre sus trabajadores para que no se vulnere la confidencialidad en el tratamiento de los datos personales. Ha de añadirse el hecho de que se trata de una actuación puntual. En consecuencia, no resulta necesario formular requerimiento alguno de adopción de medidas, toda vez que se estiman adoptadas ya las medidas correctoras pertinentes, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno, en aplicación de lo establecido en el artículo 45.6 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de la LOPD, atendida su interpretación sistemática y teleológica. V La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo como se deduce del fundamento de derecho SEXTO: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
10. c)de la misma Ley.” Al haberse retirado los citados documentos, cumpliendo la finalidad del apercibimiento, procede el archivo del presente procedimiento, dada la naturaleza del mismo. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00001/2015 seguido contra la entidad C.F.P. JUAN XXIII, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 10 de la LOPD. 2.- NOTIFICAR el presente Acuerdo y el Anexo 1 a la entidad C.F.P. JUAN XXIII. 3.- NOTIFICAR el presente Acuerdo a cada uno el Anexo que les corresponda a los tres denunciantes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es