A-00185-2013

1/9 Procedimiento Nº: A/00185/2013 RESOLUCIÓN: R/00163/2014 En el procedimiento A/00185/2013, instruido por la Agencia Española de Protección de Datos a Dª. A.A.A., vista la denuncia presentada por Dª. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16 de noviembre de 2012 tiene entrada en esta Agencia Española de Protección de Datos un escrito de la Agencia Vasca de Protección de Datos (AVPD), por el que se da traslado a esta Agencia de la denuncia presentada por doña B.B.B., participante en una encuesta epidemiológica sobre legionelosis, cuyos datos fueron indexados por el buscador Google a través del sitio web http://sameens.dia.uned.es, donde figuraba a disposición pública un formulario en el que, debido a la funcionalidad de revisión de cambios del procesador de textos MSWord, todavía figuraban almacenados los datos de la afectada, aun habiendo sido previamente suprimidos. Junto a la denuncia se aporta copia impresa del mensaje electrónico remitido por la AVPD el 5 de octubre de 2012 a un profesor de la Universidad Nacional de Educación a Distancia (UNED), solicitando la cancelación e inmovilización de los datos publicados. De las actuaciones realizadas por la AVPD se desprende que el mencionado formulario, elaborado y utilizado por la Subdirección de Salud Pública de Bizkaia, había sido incorporado por una empleada de este órgano a un trabajo que presentó, en su calidad de alumna, al denominado “Curso de Experto Universitario en Epidemiología y nuevas tecnologías aplicadas” organizado por esa Universidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En respuesta al requerimiento de la Inspección, la UNED ha confirmado a esta Agencia que los datos fueron recabados e incorporados, por una estudiante, en el trabajo que presentó del citado curso. La UNED entiende que es la propia estudiante quien estaría obligada a recabar el consentimiento de la afectada cuyos datos se incluyeron en el trabajo presentado. 2. La UNED ha declarado que “los estudiantes, en relación a sus trabajos, pueden elegir entre las siguientes opciones sobre la publicidad de los mismos: A.- Hacer totalmente público su trabajo. B.- Hacer público su trabajo únicamente al resto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 alumnos del curso. C.- No hacer público su trabajo (acceso sólo a los profesores). En el caso que nos ocupa la estudiante eligió la opción A.” 3. La UNED ha declarado que en su sitio web se publican indicaciones sobre la corrección de los trabajos presentados. En particular se indica: “Al mismo tiempo que al alumno se le envían los materiales de la primera parte del curso, recibirá una comunicación desde el Departamento de Informática y Automática de la UNED de su tutor informático. Este tutor se encargará de supervisar y corregir los aspectos relacionados con el diseño de la página Web. […] La evaluación se llevará a cabo mediante la realización de varios trabajos que se diseñarán en páginas Web y que se pondrán en el servidor del curso. Los estudiantes tendrán dos tutores, uno que le asesorará en informáticos de diseños de páginas y otro que le orientará sobre los contenidos de los trabajos.” Según aclara la UNED, “la revisión del contenido de este trabajo en particular se realizó por el Profesor del Instituto de Salud Carlos III y no por el Profesor de la UNED”. 4. En su respuesta al requerimiento de la Inspección, doña A.A.A. ha manifestado que presta servicios como Técnico de Salud Pública en el Departamento de Salud del Gobierno Vasco y que una de las funciones de su puesto de trabajo es “controlar actividades nocivas en Protección de la Salud”. Según ha declarado, “cuando se detectan casos de legionelosis, nos corresponde a los Técnicos de Salud Pública realizar la investigación ambiental para determinar y controlar la fuente de infección que ha originado esos casos. La legionelosis es una enfermedad de declaración obligatoria, lo que significa que cuando en un hospital se detecta un caso, lo tiene que informar al servicio de Epidemiología del Departamento de Salud. Este servicio realiza la encuesta epidemiológica al paciente. En las encuestas epidemiológicas se recoge la información necesaria para la realización de la investigación ambiental de cada caso y puede ser necesario contactar con ellos y tomar muestras de agua en sus domicilios para la detección de Legionella. Como Técnicos de Salud Pública tenemos el deber de guardar la debida confidencialidad de todos los datos de carácter personal a los que tenemos acceso.” 5. Según expone en su escrito, “el acceso a las encuestas epidemiológicas del Sistema de Vigilancia Epidemiológica del País Vasco (Decreto 312/1996 del 24 de diciembre) se enmarca en la actuación de los técnicos de salud pública del Gobierno Vasco en otorgar a la ciudadanía la prestación de salud pública reconocida por el apartado 2 del artículo 11 de la Ley 16/2003, de 28 de mayo, de Cohesión y Calidad del Sistema Nacional de Salud. […] El acceso se realiza al amparo del apartado 3 del artículo 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, de modo que cuando es preciso para la prevención de un riesgo o peligro grave para la salud de la población, los técnicos de salud pública accedemos a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública.” 6. Respecto de los hechos objeto de la denuncia, la Técnico de Salud Pública ha declarado: <<En una de esas encuestas epidemiológicas enviadas desde la sede central de la Subdirección de Salud Pública en Bilbao a mi cuenta de correo electrónico, en el entorno del Gobierno Vasco, aparecían los datos de la persona denunciante, al parecer en la modalidad de “revisión de cambios” sin que los mismos fueran visibles. […] Yo adjunté al trabajo entregado en la UNED el modelo de plantilla de encuesta epidemiológica teóricamente vacío (en blanco). No fui C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 consciente, en ningún momento, de que por trabajar con Microsoft WORD 2003 con la característica de control de cambios activada esos datos estuvieran allí. Por tanto, el envío de los datos fue totalmente involuntario, no tenía conocimiento de que la plantilla, una vez borrados los datos, tuviera vinculados los mismos. Desconocía las condiciones en que debía reutilizarse. Esa es la razón, por tanto, por la que no disocié los datos de la denunciante cuando entregué el trabajo de la UNED: No tenía visibles los datos, es más, estaba convencida de que los había eliminado, aparentemente los campos estaban vacíos. Se trató de una acción involuntaria, un error invencible, al desconocer las características del documento que recibíamos y sus condiciones de reutilización.>> 7. La Técnico de Salud Pública ha aclarado: “Como consecuencia de la denuncia, de la que fui informada por la Agencia Vasca de Protección de Datos, puse este hecho en conocimiento de mis superiores y la Directora Territorial de Sanidad de Bizkaia envió una circular a todos los trabajadores de la misma, dando instrucciones precisas de cómo evitar que este episodio pudiera volver a repetirse.” 8. Se ha aportado a la Inspección de Datos copia de la circular, emitida el 27 de noviembre de 2012, con el siguiente contenido: “Con el fin de evitar que vuelva a ocurrir, os informo de un incidente que hemos tenido y que ha derivado en una denuncia ante la Agencia de Protección de Datos. No es infrecuente que utilicemos en el ordenador plantillas cumplimentadas anteriormente con datos de una persona, borremos esos datos y cumplimentemos de nuevo con datos de otra persona. En esta ocasión, tras borrar los datos personales, la plantilla se colgó vacía en Internet, para fines que no vienen al caso. El problema es que los datos estaban borrados solo aparentemente, y a través de Internet se ha podido acceder a la información confidencial que inicialmente se había incluido en la plantilla […] ha colgado en la intranet explicaciones de por qué ha pasado esto e instrucciones sobre cómo evitarlo.” TERCERO: Con fecha 21 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00185/2013. Dicho acuerdo fue notificado a la denunciante y a la denunciada. CUARTO: Con fecha 21 de noviembre de 2013 se recibe en esta Agencia escrito de la denunciada en el que comunica: Que el hecho motivo de denuncia fue un hecho involuntario derivado del desconocimiento de la característica de control de cambios de Microsoft Word 2003. Que la Dirección Territorial de Bizkaia en la que trabaja tomó medidas para evitar que volviera a suceder un hecho de iguales características y que ofrece en su nombre y en el de la institución sus más sinceras disculpas por el perjuicio que su acción haya podido ocasionar. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 PRIMERO: Los datos personales de la denunciante, participante en una encuesta epidemiológica sobre legionelosis, fueron indexados por el buscador Google a través del sitio web http://sameens.dia.uned.es, donde figuraba a disposición pública un formulario en el que, debido a la funcionalidad de revisión de cambios del procesador de textos MS-Word, continuaban almacenados los datos de la afectada, aun habiendo sido previamente suprimidos. De las actuaciones realizadas por la Agencia Vasca de Protección de Datos se desprende que el mencionado formulario, elaborado y utilizado por la Subdirección de Salud Pública de Bizkaia, había sido incorporado por una empleada de este órgano a un trabajo que presentó, en su calidad de alumna, al denominado “Curso de Experto Universitario en Epidemiología y nuevas tecnologías aplicadas” organizado por la Universidad Nacional de Educación a Distancia. SEGUNDO: La imputada ha manifestado que presta servicios como Técnico de Salud Pública en el Departamento de Salud del Gobierno Vasco y que una de las funciones de su puesto de trabajo es la de “controlar actividades nocivas en Protección de la Salud”. Según ha declarado, lleva a cabo la investigación ambiental para determinar y controlar la fuente de infección que origina los casos de legionelosis. Para ello realiza la encuesta epidemiológica al paciente y, como Técnico de Salud Pública, tiene el deber de guardar la debida confidencialidad de todos los datos de carácter personal a los que tiene acceso. TERCERO: Respecto de los hechos objeto de denuncia la imputada ha declarado: <<En una de esas encuestas epidemiológicas enviadas desde la sede central de la Subdirección de Salud Pública en Bilbao a mi cuenta de correo electrónico, en el entorno del Gobierno Vasco, aparecían los datos de la persona denunciante, al parecer en la modalidad de “revisión de cambios” sin que los mismos fueran visibles. […] Yo adjunté al trabajo entregado en la UNED el modelo de plantilla de encuesta epidemiológica teóricamente vacío (en blanco). No fui consciente, en ningún momento, de que por trabajar con Microsoft WORD 2003 con la característica de control de cambios activada esos datos estuvieran allí. Por tanto, el envío de los datos fue totalmente involuntario, no tenía conocimiento de que la plantilla, una vez borrados los datos, tuviera vinculados los mismos. Desconocía las condiciones en que debía reutilizarse. Esa es la razón, por tanto, por la que no disocié los datos de la denunciante cuando entregué el trabajo de la UNED: No tenía visibles los datos, es más, estaba convencida de que los había eliminado, aparentemente los campos estaban vacíos. Se trató de una acción involuntaria, un error invencible, al desconocer las características del documento que recibíamos y sus condiciones de reutilización.>> CUARTO: La imputada ha declarado: “Como consecuencia de la denuncia, de la que fui informada por la Agencia Vasca de Protección de Datos, puse este hecho en conocimiento de mis superiores y la Directora Territorial de Sanidad de Bizkaia envió una circular a todos los trabajadores de la misma, dando instrucciones precisas de cómo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 evitar que este episodio pudiera volver a repetirse.” Se ha aportado a la Inspección de Datos copia de esta circular, emitida el 27 de noviembre de 2012. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, un formulario, elaborado y utilizado por la Subdirección de Salud Pública de Bizkaia, se incorporó por una empleada de este órgano a un trabajo que presentó, en su calidad de alumna, al denominado “Curso de Experto Universitario en Epidemiología y nuevas tecnologías aplicadas” organizado por la Universidad Nacional de Educación a Distancia. El formulario figuraba a disposición pública en el sitio web http://sameens.dia.uned.es y, debido a la funcionalidad de revisión de cambios del procesador de textos MS-Word, el buscador Google indexó los datos personales de la denunciante, participante en una encuesta epidemiológica sobre legionelosis, aun habiendo sido previamente suprimidos del formulario. La imputada ha manifestado respecto de los hechos denunciados que: “No fui consciente, en ningún momento, de que por trabajar con Microsoft WORD 2003 con la característica de control de cambios activada esos datos estuvieran allí. Por tanto, el envío de los datos fue totalmente involuntario, no tenía conocimiento de que la plantilla, una vez borrados los datos, tuviera vinculados los mismos. Desconocía las condiciones en que debía reutilizarse. Esa es la razón, por tanto, por la que no disocié los datos de la denunciante cuando entregué el trabajo de la UNED”. La imputada ha comunicado a esta Agencia que puso este hecho en conocimiento de sus superiores y que la Directora Territorial de Sanidad de Bizkaia envió una circular a todos los trabajadores dando instrucciones precisas de cómo evitar que este episodio volviera a repetirse. Aporta copia de esta circular, emitida el 27 de noviembre de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En este procedimiento ha quedado acreditado que se han revelado los datos personales de la denunciante en este procedimiento al permitir que el buscador Google los indexara en el formulario que los contenía aun habiendo sido previamente suprimidos del formulario, debido a la funcionalidad de revisión de cambios del procesador de textos MS-Word. Se considera por tanto que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. III La LOPD califica la vulneración del deber de secreto como infracción grave. El artículo 44.3.
2. d)de dicha Ley califica como grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley” En el presente caso, la difusión de los datos personales de la denunciante, sin su consentimiento, es subsumible en el tipo de infracción calificada como grave. Por ello, se considera que Dª. A.A.A. ha incurrido en la infracción grave tipificada en el artículo 44.3.
3. d)de la LOPD. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
6. a)y
7. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. En el presente caso, ha quedado acreditado que la denunciada ha comunicado a esta Agencia las medidas correctoras adoptadas. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00185/2013) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
8. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NO REQUERIR a Dª. A.A.A. la adopción de las medidas correctoras pertinentes a la infracción denunciada, toda vez que ha quedado constatado que ya se han adoptado las medidas que impidan que en el futuro pueda producirse una nueva infracción como la declarada, en cumplimiento de lo previsto en el artículo 10 de la LOPD. 3.- NOTIFICAR el presente Acuerdo a Dª. A.A.A.. 4.- NOTIFICAR el presente Acuerdo a Dª. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es