A-00409-2017

1/6 Procedimiento Nº: A/00409/2017 RESOLUCIÓN: R/00021/2018 En el procedimiento A/00409/2017, instruido por la Agencia Española de Protección de Datos al ARZOBISPADO DE D.D.D., vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de mayo de 2017 tiene entrada en esta Agencia una denuncia presentada por Doña A.A.A. en la que manifiesta lo siguiente: que en fecha 25 de abril de 2016, el Vicario Judicial del Arzobispado de D.D.D., remitió a su cliente carta, certificada y con acuse de recibo, en la que indicaba: <<D. B.B.B., Excmo. Y Rvdmo. Sr. Arzobispo de D.D.D. y Moderador de este Tribunal Eclesiástico, en escrito del día de la fecha, ha denegado de manera cautelar la aprobación solicitada basándose en que “en la actualidad Dª A.A.A. tiene abierto un proceso penal, en el que está afectada (Decreto de 7 de abril de 2016) y una querella criminal presentada contra la misma ante el Juzgado de Instrucción de D.D.D. que corresponda ( D.D.D., 14 de abril de 2016. Devuélvase la demanda presentada y notifíquese este decreto a Dª A.A.A. y a D. C.C.C.>> Continúa la denunciante exponiendo que ni siquiera sabía que habían interpuesto una querella criminal contra ella, siendo su cliente D. C.C.C. quien se lo dijo ya que recibió la carta antes que ella. Considera que el hacer publica esa información, sin su consentimiento, perjudica su intimidad y sus derechos fundamentales y libertades públicas. Por último, añade que podía haberse obtenido el mismo resultado indicando que no se admitía de momento ninguna actuación suya en ese foro. SEGUNDO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado/a/ la entidad, no le constan registros previos. TERCERO: Con fecha 24 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00409/2017. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 28 de diciembre de 2017, se recibe en esta Agencia escrito del denunciado en el que indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1. Que no son ciertos los hechos relatados por la denunciante. 2. La denunciante trabajó en el Arzobispado desde 1999 hasta el 30 de junio de 2015 en que fue despedida. La denunciante hizo pública esta información en una asamblea en el Centro X.X.X. de D.D.D. y el ***PERIODICO.1 se hizo eco de ello el 18 de abril de 2016. El día 12 de abril de 2016, el Arzobispado de D.D.D. presenta una querella criminal contra la denunciante por estafa y apropiación indebida. Esta demanda se notificó a la demandante el día 27 de abril de 2016. Al cliente de la denunciante al que se le informó que estaba incursa en una querella se le notificó el día 4 de mayo de 2016, fecha en que la Sra. A.A.A. ya lo conocía. 3. De estos hechos se infiere que la denunciante falta a la verdad al señalar: “…ni siquiera sabía que habían interpuesto una querella criminal contra ella, siendo su cliente D. C.C.C. quien se lo dijo ya que recibió la carta antes que ella”. 4. De lo expuesto en modo alguno puede deducirse que el Arzobispado de D.D.D. ha vulnerado el deber de informar a un tercero de los datos de carácter personal de la denunciante. 5. La denunciante conoce las normas de Derecho Canónico que establece la sumisión total al Tribunal Eclesiástico y a sus normas de todos los profesionales que pueden actuar en él. El Arzobispado de D.D.D. nunca ha informado a un tercero, antes que a la denunciante, la interposición de las denuncias y querellas interpuestas contra ella, más bien lo contrario, ha sido ella misma la que informó de dicha situación a su cliente, D. C.C.C., a través de comunicación oral y escrita. HECHOS PROBADOS PRIMERO: Dª A.A.A. ha trabajado como Notaría del Tribunal Interdiocesano de Primera Instancia de D.D.D. desde el año 1999 hasta el día 30 de junio de 2015. SEGUNDO: Don C.C.C. era cliente de Dª A.A.A., en una demanda de nulidad matrimonial tramitada por el Tribunal Interdiocesano de D.D.D.. TERCERO: En fecha 25 de abril de 2016, el Vicario Judicial del Arzobispado de D.D.D., remitió a Don C.C.C. carta, certificada y con acuse de recibo, en la que indicaba: <<D. B.B.B., Excmo. Y Rvdmo. Sr. Arzobispo de D.D.D. y Moderador de este Tribunal Eclesiástico, en escrito del día de la fecha, ha denegado de manera cautelar la aprobación solicitada basándose en que “en la actualidad Dª A.A.A. tiene abierto un proceso penal, en el que está afectada (Decreto de 7 de abril de 2016) y una querella criminal presentada contra la misma ante el Juzgado de Instrucción de D.D.D. que corresponda ( D.D.D., 14 de abril de 2016. Devuélvase la demanda presentada y notifíquese este decreto a Dª A.A.A. y a D. C.C.C.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 CUARTO: El ***PERIODICO.1 de 18 de abril de 2016, se hacía eco de la denuncia interpuesta contra el Arzobispado por tres personas, entre ellas la denunciante, por delitos presuntamente cometidos en la diócesis y no abordados por la jerarquía eclesiástica. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, el Tribunal Interdiocesano de 1ª Instancia, dependiente del Arzobispado de D.D.D., informó a una persona que había solicitado la nulidad matrimonial de que Dª A.A.A., la notaria que llevaba su asunto, no podía representarle al tener abierto un proceso penal y una querella criminal. El Arzobispado de D.D.D. alega que la propia denunciante había hecho pública la polémica con el Arzobispado, reseñando como prueba un artículo publicado en el ***PERIODICO.1, de fecha 18 de abril de 2016. En ese periódico se hacían eco de la denuncia presentada por la denunciante y otras dos personas contra la Iglesia aragonesa, pero no se recoge la querella interpuesta contra ella. El hecho sancionable es que el responsable del fichero o del tratamiento de datos personales (el Arzobispado de D.D.D.) informe a un tercero de que la notaria que lleva su caso tiene abierto un proceso penal y una querella criminal. Podían haberle informado de la imposibilidad de la Sra. A.A.A. de continuar con el procedimiento de nulidad iniciado, pero sin indicar los motivos. El Arzobispado de D.D.D. informó de la situación jurídica de la denunciante a una persona que tramitaba un proceso de nulidad matrimonial, vulnerando lo dispuesto en el artículo 10 de la LOPD, siendo responsable de ello el Arzobispado s, sobre la que recae el deber de secreto que impone dicho precepto como entidad responsable de la custodia de los datos personales en cuestión. Por tanto, en este caso, procede apercibir al Arzobispado de D.D.D., en la medida en que ha quedado acreditado el incumplimiento del art. 10 de la LOPD. La infracción se tipifica como grave en el artículo 44.3.
2. d)de dicha LOPD como “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” III El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
3. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la denunciada es una infracción “grave”; que la entidad denunciada no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. APERCIBIR (A/00409/2017) a la denunciada, el Arzobispado de D.D.D., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como infracción grave en el artículo 44.3
5. d)de la citada Ley Orgánica. 2.- REQUERIR a la parte denunciada, el Arzobispado de D.D.D., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 10 de la LOPD. Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar sin que quepa realizar valoración alguna por parte de esta institución al no existir medidas específicas cuya adopción garantice que en el futuro no se vuelva a producir infracción como la declarada. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en los que se ponga de manifiesto el cumplimiento de lo requerido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 en el apartado anterior. 3.- NOTIFICAR el presente Acuerdo al ARZOBISPADO DE D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es