A-00289-2017

1/7 Procedimiento Nº: A/00289/2017 RESOLUCIÓN: R/02729/2017 En el procedimiento A/00289/2017, instruido por la Agencia Española de Protección de Datos a la FEDERACIÓN DE SINDICATOS INDEPENDIENTES DE ENSEÑANZA DE LA RIOJA (FSIE-LA RIOJA), vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de mayo de 2017, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en la que manifiesta lo siguiente: “Desde la página web del sindicato FSIE en La Rioja, ***WEB.1 te puedes descargar del apartado "Calcula tu nómina" una excel con la que puedes ver en las dos pestañas existentes los datos de la última persona que la ha utilizado, con lo que puedes saber cuántos euros mensuales gana esa persona, a la que se identifica con nombre y apellidos.” Aporta copia de los datos referentes a la nómina de otra persona. SEGUNDO: Con fecha 9 de mayo de 2017, figura Diligencia de Inspección en la que se hace constar que ese día se ha obtenido a través de internet copia impresa de varias informaciones relacionadas con la denuncia reflejada. Se adjunta el cálculo de nómina de una persona, con sus datos personales. TERCERO: Consultada el 9 de mayo de 2017, la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado/a/ la entidad, no le constan registros previos. CUARTO: Con fecha 11 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00289/2017. Dicho acuerdo fue notificado al denunciado. QUINTO: Con fecha 29 de septiembre de 2017, se recibe en esta Agencia escrito del denunciado en el que comunica que los datos que pueden visualizarse en el archivo “170428-Calculadora-Retribuciones-Rioja-2016-V3” no corresponde al trabajador que ha accedido con anterioridad ya que es un formulario on line que se aloja en el servidor de la web del Sindicato, en el que se incluyen los datos que solicita y devuelve la información. Los nombres que aparecen: “B.B.B.” y “C.C.C.” son ficticios. No figuran datos de afiliados, delegados ni de personas reales. Por ello no se ha producido ninguna infracción al no tratarse de datos personales. Solicita que se realicen pruebas consistentes en acreditar que B.B.B. no es administrativo ni C.C.C. es docente. Se ha modificado el archivo descargable poniendo solo “Nombre”, “Apellido1” y “Apellido 2”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Solicitan el archivo del procedimiento o declarar el apercibimiento. Acompañan certificación referida a que el Sindicato denunciado carece de datos personales en sus ficheros de “B.B.B.” y “C.C.C.”. HECHOS PROBADOS PRIMERO: Don A.A.A. presentó un escrito de denuncia en esta Agencia indicando que desde la página web del sindicato FSIE en La Rioja, ***WEB.1, se puede descargar del apartado "Calcula tu nómina" una excel con la que puedes ver en las dos pestañas existentes los datos de la última persona que la ha utilizado, con lo que puedes saber cuántos euros mensuales gana esa persona, a la que se identifica con nombre y apellidos. Aporta copia de los datos referentes a la nómina de Don D.D.D.. SEGUNDO: Con fecha 9 de mayo de 2017, un Inspector de Datos accedió a la página web del sindicato denunciado, accediendo al apartado "Calcula tu nómina" accediendo al cálculo de nómina de Doña E.E.E., con sus datos personales. TERCERO: Doña E.E.E. aparece en el listado del profesorado del CEIP X.X.X. en el curso 2016-2017, como profesora de Educación Primaria; información accesible a través de internet. CUARTO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al sindicato denunciado no le constan registros previos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con el acceso de las personas que entraban en la página web del sindicato FSIE de la Rioja para calcular su nómina, a los datos personales de la persona que accedió con anterioridad, podría suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 sucesivo LOPD), según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
2. h)de la LOPD, que considera como tal, “ Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. III Por otra parte, los hechos expuestos, en relación con el acceso por parte de un tercero a los datos personales de quien accedió al cálculo de su nómina, podría suponer la comisión por el mismo, de una infracción del artículo 10 de la LOPD, según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo” , que aparece tipificada como grave en el artículo 44.3.
3. d)de dicha norma, que califica como tal “la vulneración del deber de guardar secreto acerca del tratamiento de sus datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con lo expuesto, los hechos que podrían fundamentar ambas infracciones son los mismos, por lo que nos encontraríamos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, al no impedir que las personas que accediesen al cálculo de su nómina viesen los datos personales de quien accedió con anterioridad, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, procedería subsumir ambas infracciones en una. En este caso las dos infracciones se tipifican como graves, por lo que corresponde considerar únicamente la infracción del artículo 9 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. IV De acuerdo con lo expuesto, se iniciaron actuaciones contra el denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
4. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, e infracción del artículo 10 de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.
5. d)de la misma norma. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. Alega el sindicato denunciado que “B.B.B.” y “C.C.C.” son nombres ficticios que pusieron como ejemplo. La Inspección de Datos, al acceder a la aplicación de calcular la nómina encontró datos de Doña E.E.E. que, tras buscar su nombre en internet a través del buscador google, aparece en el listado del profesorado del CEIP X.X.X. en el curso 2016-2017, como profesora de Educación Primaria. Si bien los ejemplos podrían incluir los datos personales ficticios que el Sindicato indica, en la búsqueda efectuada por Inspectores de la Agencia si se encontraron datos personales de una profesora; quedando patente que al iniciar el cálculo se podía ver el nombre, apellidos y antigüedad de la persona que lo había hecho con anterioridad, vulnerando lo establecido en el artículo 9 de la LOPD. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
7. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
8. a)y
9. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad, y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. VI La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo como se deduce del fundamento de derecho SEXTO: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
10. c)de la misma Ley.” En el presente caso, el Sindicato independiente de Enseñanza de La Rioja ha sustituido el modelo que aparece al acceder a calcular la nómina y no aparece ningún dato personal. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la persona denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00289/2015 seguido contra la FEDERACIÓN DE SINDICATOS INDEPENDIENTES DE ENSEÑANZA DE LA RIOJA (FSIE-LA RIOJA), con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a la la FEDERACIÓN DE SINDICATOS INDEPENDIENTES DE ENSEÑANZA DE LA RIOJA (FSIE-LA RIOJA), De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es