1/9 Procedimiento Nº: A/00293/2014 RESOLUCIÓN: R/02706/2014 En el procedimiento A/00293/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por D. C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de octubre de 2013 tiene entrada en esta Agencia un escrito de D. C.C.C. en el que declara que el doctor D. A.A.A. ha dejado en la acera, junto al cubo de la basura diversa documentación, figurando entre ella informes médicos. Aporta el denunciante la documentación encontrada, en la que se observa que consta: Diversa documentación del denunciado - Escritos de respuesta al denunciado respecto de solicitudes de colaboración en congresos internacionales. - Notificaciones bancarias de cargos en cuentas del denunciado, de diversas entidades. - Extracto de movimientos de una cuenta bancaria a nombre del denunciado y una tercera persona. - Facturas del consumo eléctrico del denunciado. - Factura de un servicio de cerrajero a nombre del denunciado. Documentación de carácter médico: - Diversos documentos con anotaciones manuales, en los que se identifica a otros médicos, enfermos, teléfonos, números de historia clínica, tratamientos, fechas y horas, análisis prescritos, valores analíticos obtenidos, etc. - Diversos documentos hospitalarios, entre ellas, etiquetas identificativas de los pacientes, informes de alta, impresiones de pantalla (en la que consta el denunciado como especialista), informes clínicos, informes de evolución, etc. La documentación de carácter médico son unas 30 páginas. Otra documentación. - Documentación de la comunidad de propietarios. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Solicitada información a D. A.A.A., este manifiesta: a. Respecto al motivo por el que, entre los documentos encontrados, aparecen diversos centros médicos (Hospital Universitario La Paz, clínicas La Luz y Moncloa), informa que ha sido por ser facultativo especialista de área del Hospital Universitario La Paz, y por sustituir en periodo vacacional a dos colegas en las Clínicas de La Luz y de La Moncloa. b. Respecto a la forma en que llegaron los documentos médicos a su poder y motivo por el que los mantenía, informa que fue por razones estrictamente profesionales y para informar a los colegas que sustituía. c. Respecto al motivo por el que ha aparecido dicha documentación médica en la vía pública sin ser destruidos previamente, manifiesta que: <<La indicada documentación se encontraba en una carpeta junto a otros efectos personales y me fue sustraída con ocasión de un altercado habido con el conserje de mi domicilio. Al echar en falta dicha documentación requerí al conserje para que me la devolviera y me manifestó que no la tenía en su poder… solamente puedo pensar que la documentación, ahora supuestamente encontrada, ha sido entregada a la Agencia por la persona con la que tuve el referido altercado. >> d. Solicitada copia del Documento de Seguridad, manifiesta no disponer de dicho documento. TERCERO: Con fecha 21 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00293/2014. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Con fecha 18 de noviembre de 2014 se recibe en esta Agencia escrito del denunciado en el que comunica: “Entre la documentación que aporta el denunciante, figuran diversos documentos que no son en modo alguno, de su incumbencia, ni tampoco de esa agencia, ya que solamente se refieren a mi persona: extractos bancarios, facturas de electricidad, etc. Solamente podrían tener consideración de datos protegidos por la Ley Orgánica de 15/1999, de 13 Diciembre, de Protección de Datos de Carácter Personal, la documentación de carácter médico a la que se refiere el Hecho Primero de la resolución, ya que se tratan de documentos que obran en mi poder dada mi profesión de MÉDICO ESPECIALISTA. (…) Y el motivo por el que los documentos, todos ellos, aparecieron, según manifiesta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 denunciante, y solamente el denunciante, en la vía pública (y esto, al parecer, ya que no tenemos por qué fiarnos de lo que diga el denunciante) puede obedecer, y podemos afirmarlo, a un altercado que mantuve con el denunciante en la puerta del edificio de B.B.B., mi domicilio, y del que es conserje el Sr. C.C.C.. Toda la documentación se encontraba dentro de una carpeta que, durante el altercado con este señor, debió caer al suelo. Al echar en falta la documentación requerí al conserje para que me la devolviera, manifestándome que no la tenía en su poder. Ahora, a la vista de los hechos que contiene el Acuerdo contra el que formulo las presentes alegaciones, es evidente que la documentación fue entregada a esa Agencia por el Sr. C.C.C., quien la tenía en su poder desde el día del altercado. En relación con dicho altercado, el que suscribe se vio obligado a formular la oportuna denuncia, cuya copia acompañamos como doc 1. (…) Para terminar, poner de manifiesto a la Agencia que mi profesionalidad me impide, aunque solamente sea por educación, tirar documentos propios de mi actividad, o de cualquier otro tipo, a la vía pública. Insisto: el denunciante ha aprovechado el altercado que mantuve con él para hacer suya la documentación a la que nos venimos refiriendo y decir ahora “que se la ha encontrado en la calle”. Concluyen las alegaciones solicitando que se acuerde el archivo del presente expediente. HECHOS PROBADOS PRIMERO: Se ha presentado en esta Agencia un escrito en el que se denuncia que una persona física ha dejado en la acera, junto al cubo de la basura, diversa documentación, que incluye informes médicos. SEGUNDO: El denunciante aporta la documentación encontrada, en la que consta documentación propia del denunciado, documentación de la comunidad de propietarios de su domicilio y otra documentación de carácter médico con datos personales de otras personas. TERCERO: El denunciado ha manifestado que el motivo por el que los documentos aparecieron, según manifiesta el denunciante, en la vía pública, puede obedecer a un altercado que mantuvo con él en la puerta de su domicilio, del que es conserje el denunciante. Que la documentación se encontraba dentro de una carpeta que durante el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 altercado debió caer al suelo. Que pidió al conserje que se la devolviera, y él dijo que no la tenía en su poder. Aporta el denunciado en este procedimiento, copia de la denuncia presentada por el altercado con el portero de su domicilio, denunciante en este procedimiento, de fecha 13 de noviembre de 2011. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 acceso al mismo. Por su parte la letra
- c)del mismo artículo permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
- h)de la LOPD tipifica como infracción grave el “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Entre las medidas de seguridad de nivel básico, el Reglamento expone en su artículo 92, respecto de la gestión de soportes y documentos, que: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” En el presente caso, el denunciante, portero de la finca, ha manifestado que un vecino ha dejado en la acera, junto al cubo de basura, una carpeta conteniendo documentos entre los que hay documentación de carácter médico con datos personales. El denunciado ha manifestado que el motivo por el que los documentos aparecieron, según manifiesta el denunciante, en la vía pública, puede obedecer a un altercado que mantuvo con él en la puerta de su domicilio, del que es conserje el denunciante. Que la documentación se encontraba dentro de una carpeta que durante el altercado debió caer al suelo. Que pidió al conserje que se la devolviera, y él dijo que no la tenía en su poder. Aporta el denunciado en este procedimiento, copia de la denuncia presentada por el altercado con el portero de su domicilio, denunciante en este procedimiento, de fecha 13 de noviembre de 2011. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18 de enero de 2002, recoge en su Fundamento de Derecho Segundo, y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” En el presente caso, un particular denuncia el abandono de documentación conteniendo datos de carácter personal relacionados con la salud, en la acera junto al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 cubo de basura. El denunciado ha manifestado que “el denunciante ha aprovechado el altercado que mantuve con él para hacer suya la documentación a la que nos venimos refiriendo y decir ahora que se la ha encontrado en la calle”. Aporta el denunciado en este procedimiento, copia de la denuncia presentada por el altercado con el portero de su domicilio, denunciante en este procedimiento, de fecha 13 de noviembre de 2011. En el presente supuesto no ha podido acreditarse fehacientemente que la carpeta conteniendo la documentación denunciada se hubiera encontrado abandonada en la acera junto a los cubos de basura del domicilio del denunciado y en el que es portero el denunciante. Por tanto, existe una duda razonable de que se hayan vulnerado los artículos 9.1 y 10 de la LOPD. No obstante, el denunciado deberá tener presente que, aunque en este procedimiento se proceda al archivo de la infracción imputada, por los motivos ya expuestos, deberá adoptar las medidas de índole técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal de sus ficheros, de manera que se evite el acceso no autorizado a los datos de los mismos. En el presente supuesto, no ha sido posible acreditar los términos de la denuncia presentada. El Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA, 1.- ARCHIVAR (A/00293/2014) las actuaciones practicadas a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción de los artículos 9.1 y 10 de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a D. A.A.A.. 3.- NOTIFICAR el presente Acuerdo a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es