A-00272-2015

1/8 Procedimiento Nº: A/00272/2015 RESOLUCIÓN: R/03221/2015 En el procedimiento A/00272/2015, instruido por la Agencia Española de Protección de Datos a la entidad SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ), vista la denuncia presentada por Dª A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 20 de noviembre de 2014 tuvo en el Registro de esta AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS escrito de Dª A.A.A. (en adelante la denunciante) en el que denuncia al SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ) por haber remitido mediante correo electrónico a todos los Juzgados de la provincia de Alicante, la Convocatoria para la celebración de un Comité de Seguridad y Salud, adjuntando todos los escritos aportados por los sindicatos con representación en dicho Comité, en los que figuran datos personales de varios trabajadores, firma y DNI, incluyendo a su vez el informe médico de una trabajadora que solicitaba la adaptación del puesto de trabajo. Según la denunciante, al citado correo electrónico tuvieron acceso todos los trabajadores de justicia de la provincia de Alicante ya que hay una única dirección de correo general para cada juzgado, en el que se recibe tanto los correos informativos de los sindicatos como los correos de los procedimientos tramitados en el órgano judicial La denunciante aporta junto a su escrito de denuncia impresión de un correo electrónico remitido el 11 de noviembre de 2014, desde la dirección <....@gmail.com> a una lista de distribución con el Subject: Fw: Fw: Convocatoria comité seguridad y salud Alicante, mediante el que se reenvía la convocatoria recibida, en la parte superior figuran las siglas STAJ y el siguiente texto: “Buenos días: Adjunto os remito convocatoria del Comité de Seguridad (…) Fecha: 10 de noviembre de 2014, 15:39 Asunto: Fw: Convocatoria Comité Seguridad y Salud Alicante Para: ....@gmail.com Os adjunto la convocatoria Comité de Seguridad y Salud para el próximo 13 de noviembre a las 12 horas (…) 9 archivos adjuntos, “ Entre los archivos adjuntos se encuentran tres denominados Informe de diagnóstico por imagen, de fecha 24 de abril, 9 y 18 de septiembre de 2014, en los que consta la siguiente información de una persona física: nombre, apellidos, edad, genero, entidad aseguradora, nº póliza, servicio y médico solicitante, técnica, datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 clínicos, comentarios y hallazgos. También, se remitió un documento en el que constan “22” nombres, apellidos, NIF y firmas. SEGUNDO: Solicitada información al denunciado por parte de la Subdirección General de Inspección de Datos, la Delegada Sindical del Sindicato de Trabajadores de la Administración de Justicia en la provincia de Alicante ha informado, el día 8 de septiembre de 2015, en relación con la difusión de los datos de salud de un tercero lo siguiente:

1. a)Que representa a un sindicato formado únicamente por funcionarios de Justicia, sin subvenciones que se mantiene únicamente por las cuotas de sus afiliados, siendo la segunda fuerza sindical de la Comunidad Autónoma de la Comunidad Valenciana, y teniendo representación en el Comité de Salud Laboral a través de dos Delegados de Salud Laboral.
2. b)La normativa en base a la cual se remitió la documentación por correo electrónico es la Ley de Prevención de Riesgos Laborales, que establece como obligación el “derecho de información, consulta y participación” en la condición de delegados de prevención de riesgos laborales. El trabajo consiste en ir recogiendo quejas y problemas “generales y comunes” de todos los funcionarios de Justicia de la Provincia de Alicante en cuanto a salud laboral, exponerlos en la Mesa e intentar llegar a acuerdos y soluciones con la Administración. También se puede dar las circunstancias de problemas personales para tramitar una adaptación al puesto de trabajo o de funciones.
3. c)El sindicato tiene por norma hacer un resumen de lo acaecido en la Mesa y exponer las soluciones a las que se ha llegado con la Administración, nunca hacen resumenes ni exponen, ni comunican problemas personales.
4. d)La citación y los documentos fueron cursados vía interna por la Administración a todos los sindicatos que tienen representación en la Mesa a través de los Delegados de Prevención. La dirección de correo electrónico inicial desde la que se envió el mensaje, el día 10 de noviembre de 2014, con “9” archivos adjuntos fue <...@....> a la dirección <....@gmail.com>. La titularidad de dicha dirección de correo electrónico es del Sindicato de Trabajadores de la Administración de Justicia en Alicante.
5. e)Las direcciones de correo electrónico (lista de distribución) a las cuales se remitió la Convocatoria comité seguridad y salud Alicante desde la dirección <....@gmail.com>, el día 11 de noviembre de 2014, fueron a “356“ direcciones.
6. f)C/ Jorge Juan, 6 28001 – Madrid En el sindicato se cree en la transparencia, que la información pertenece a todos, en base a eso, se da publicidad a todos los compañeros de la convocatoria por si ellos quieren aportar ideas o problemas para www.agpd.es sedeagpd.gob.es 3/8 exponerlo ante la mesa del comité de salud laboral. El motivo de adjuntar un informe médico fue un error material e involuntario, porque se intercaló entre los documentos sobre los que iba a tratar la reunión.
7. g)Sabiendo el error que se cometió, al haber remitido información médica de una persona, se procedió a pedirle disculpas personalmente que ni siquiera se había dado cuenta. En todo momento supo reconocer la falta de intencionalidad y el error involuntario, prueba de lo cual no cursó la afectada nunca ninguna denuncia. También se solicitó a informática a fin de que se pudiese borrar ese archivo y enmendar el problema. Dichas circunstancias constan en el escrito remitido mediante correo electrónico el día 17 de noviembre de 2014, cuya copia adjuntan.
8. h)La denuncia ha sido interpuesta por la Secretaria General de Comisiones Obreras con domicilio en Valencia, los hechos ocurren en la provincia de Alicante, motivada por cuestiones sindicales ajenas a la voluntad de la propia afectada y ajenas al posible daño efectuado en la gestión de los datos personales.
9. i)No, es habitual que el STAJ remita la Convocatoria para el Comité de Seguridad y Salud a todos los trabajadores de los Juzgados de la Provincia de Alicante, con firmas y NIF de las personas que suscriben documentos, de hecho han remitido en la última reunión del Comité sólo la solicitud, donde se exponen los puntos que van a tratar, siempre por si algún trabajador quiere aportar propuestas para el comité de salud.
10. j)Añaden que desean manifestar la falta de voluntad que hubo por parte del STAJ al publicar la documentación médica y que han hecho lo posible para enmendar el error, pidiendo disculpas personales a la afectada y habiendo tratado de borrar el email remitido. TERCERO: Con fecha 2 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00272/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 5 de noviembre de 2015 se recibe en esta Agencia escrito de la entidad denunciada en el que presenta alegaciones al acuerdo de audiencia previa al apercibimiento, y en el que manifiestan, en primer lugar, que los hechos se produjeron por causa de un error involuntario, por el que presentaron disculpas a la titular de los datos médicos exhibidos, quien aceptó las mismas; así como que solicitaron al Departamento de Informática que eliminara el archivo controvertido. Manifiestan asimismo que el responsable orgánico del envío controvertido presentó su renuncia, siendo sustituido por una nueva representante, habiendo dado las instrucciones oportunas para que las informaciones que pudieran recabarse por su entidad en las reuniones del Comité de Salud Laboral en las que el sindicato y sus representantes participen, se comuniquen a los trabajadores a través de hojas informativas genéricas, sin incluir datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 HECHOS PROBADOS PRIMERO: Consta que en fecha 11 de noviembre de 2014, el SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ), desde la dirección de correo electrónico ....@gmail.com, remitió a 356 direcciones pertenecientes a funcionarios de la Administración de Justicia, un correo electrónico con 9 archivos adjuntos, entre los que se encontraba un archivo que contenía datos de una persona física, tales como nombre, apellidos, edad, género, entidad aseguradora, nº de póliza, servicio y médico solicitante, técnica, datos clínicos, comentarios y hallazgos; así como un documento en el que constan 22 nombres, apellidos, NIF y firmas. SEGUNDO: Constan manifestaciones del SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ) según las cuales, la remisión del citado documento a funcionarios de justicia se llevó a cabo en ejercicio de sus funciones sindicales y representativas, para informar a los trabajadores de los temas tratados en el Comité de Salud Laboral en el que participan a través de dos Delegados de Salud Laboral, cuyo contenido proviene de la información facilitada vía interna por la Administración a todos los Sindicatos que tienen representación en el citado Comité de Salud Laboral. De igual forma, manifiestan que la inclusión del informe médico que acompañó el correo electrónico se debió a un error material e involuntario y que no es habitual que la STAJ adjunte en sus comunicaciones la Convocatoria para el Comité de Seguridad y Salud en la que constan los datos de los trabajadores y representantes que suscriben documentos. TERCERO: Consta que el STAJ se puso en comunicación con la afectada pidiéndole disculpas por los hechos, así como con el Departamento de Informática solicitando, en la medida de lo posible, el borrado de la documentación controvertida. CUARTO: Consta documentalmente que el responsable del envío del correo electrónico ha presentado su renuncia a sus funciones como Delegado de Prevención y que se ha nombrado una nueva representante. QUINTO: El STAJ ha acreditado la existencia de una Circular Interna de fecha 9 de noviembre de 2015, en la que se solicita a sus representantes especial cuidado en sus comunicaciones, para evitar hechos como los denunciados, instándolos a realizar comunicar lo acordado en las reuniones del Comité de Salud Laboral en el que participan, a través de hojas informativas genéricas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD referido al Deber de secreto en el tratamiento de datos nos dice que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. De tal forma, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. III En el expediente que nos ocupa, Dª A.A.A. denunciaba que el SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ) había remitido mediante correo electrónico a todos los Juzgados de la provincia de Alicante, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Convocatoria para la celebración de un Comité de Seguridad y Salud, adjuntando todos los escritos aportados por los sindicatos con representación en dicho Comité, en los que figuran datos personales de varios trabajadores, firma y DNI, incluyendo a su vez el informe médico de una trabajadora que solicitaba la adaptación del puesto de trabajo. Tras tenerse conocimiento de estos hechos, por parte de la Subdirección General de Inspección se realizaron las correspondientes actuaciones de inspección, y como resultado, se tuvo conocimiento de que SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ) envió correo electrónico informativo referente a la celebración de una reunión del Comité de Seguridad y Salud en la que ostentaban representación, al personal funcionario de los Juzgados de Alicante, en ejercicio de sus funciones sindicales, si bien adjuntaron documentos en los que se contenían datos personales de terceros, tales como un informe médico y de una solicitud realizada por trabajadores, manifestando que dicho hecho se debió a un error no intencionado. Como consecuencia de estos hechos, por parte del Director de esta Agencia se acordó la apertura de un procedimiento de apercibimiento, por una infracción del art. 10 LOPD, otorgándose a la entidad denunciada un plazo de quince días para presentar alegaciones. Por ello, con fecha 5 de noviembre de 2015, tuvo entrada en esta Agencia escrito del SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ), mediante el que viene a formular alegaciones al acuerdo de audiencia previa al apercibimiento, reconociendo los hechos y manifestando nuevamente que, tras la remisión del correo electrónico controvertido que ha motivado la apertura de este procedimiento, fruto de un error involuntario, han procedido a solicitar disculpas a la afectada por la difusión de su informe médico, han solicitado el borrado de los correos electrónicos al Departamento de Informática y han procedido a tomar medidas correctoras a dicho respecto, recordando a sus miembros que tienen que cumplir con la normativa en materia de protección de datos, instándoles a realizar comunicaciones genéricas, que no incluyan datos personales, en ejercicio de sus funciones de información sindical. Asimismo, manifiesta que la práctica desarrollada por el STAJ en sus comunicaciones referidas a las reuniones y convocatorias del Comité de Salud Laboral en el que participan, por norma, no incluyen datos personales, habiéndose tratado de un error, por el que se han depurado responsabilidades, habiendo dimitido en sus funciones a dicho respecto el responsable del envío y siendo nombrada una nueva representante. Por último, manifiestan que el STAJ actuó de buena fe, porque únicamente querían actuar ejerciendo su derecho a la información sindical a los trabajadores de la Administración de Justicia Por tanto, en este caso concreto ha quedado acreditado que, con el envío por parte del STAJ de sendos archivos adjuntos a un correo electrónico remitido a 356 direcciones de trabajadores de la Administración de Justicia, en los que se exponen datos personales de terceros, se ha producido una vulneración del deber de secreto, reconocido en el art. 10 de la LOPD. IV En el presente caso, a partir de lo anterior, sin embargo, debemos tener en cuenta lo dispuesto en el artículo 45.6 de la LOPD, introducido a través de la reforma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
12. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justificaba que la AEPD no acordara la apertura de un procedimiento sancionador y que optara por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, como así se ha producido en el presente supuesto, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos el denunciado adoptó con diligencia las medidas correctoras necesarias para adecuar su conducta a las exigencias de la LOPD, incluso antes de la interposición de la denuncia de la que trae cuenta el presente procedimiento, trasladando las directrices oportunas a sus representantes para evitar la difusión de datos de terceros en el desarrollo de su actividad de información sindical. En este sentido, y a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 denunciada ha adoptado las medidas correctoras oportunas, se ha tratado de un hecho puntual y ha puesto en marcha una seria de actuaciones que tienen por objeto evitar que se repitan situaciones como la denunciada, de acuerdo con lo señalado se debe proceder al archivo de las presentes actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- Proceder al ARCHIVO del presente procedimiento. 2.- NOTIFICAR el presente Acuerdo a SINDICATO DE TRABAJADORES DE LA ADMINISTRACIÓN DE JUSTICIA (STAJ) y a Dª. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es