1/13 AP/00003/2017 RESOLUCIÓN: R/02006/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00003/2017, iniciado de oficio por la Agencia Española de Protección de Datos a la CONSEJERÍA DE EDUCACIÓN Y UNIVERSIDADES DE LA COMUNIDAD AUTÓNOMA DE MURCIA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 3/11/2016 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación a la noticia de prensa aparecida en la página web de la opinión de Murcia: “Educación pública en su web el DNI y número de cuenta de profesores”. Se informa que en la página web de la Consejería de Educación y Universidades, EDUCARM figura el DNI y número de cuenta de casi 400 profesores que han conseguido un plus de 400 euros por estar en posesión del título de Ingles B2. La Federación de Empleados de los Servicio Públicos de UGT ha anunciado una nueva denuncia ante la AEPD al considerar que la difusión de los datos personales de los funcionarios “que también fueron remitidos por e mail entre 20.000 docentes…”.La Consejería respondió que se debió a un error administrativo y apuntó que el listado fue retirado del portal oficial de Educación cuando tuvo conocimiento de lo ocurrido, algo más de dos horas después de la publicación” ”La lista de beneficiarios se colgó hacia las 14:33 horas de la tarde”. SEGUNDO: Con posterioridad, entre el 07/11/2016 y el 29/11/2016, se reciben 8 denuncias, identificadas en ANEXO GENERAL que se acompaña. Según DENUNCIANTES 1 y 2, el documento se publicó en la web EDUCARM el 2/11/2016 y también se envió a los mails corporativos de todos los docentes en activo en la región de Murcia, cifrado en unos 20.000 docentes. DENUNCIANTE 1 aporta copia de un correo electrónico, lista de correos de la carm.es (Comunidad autónoma Región de Murcia de 2/11/2016, 14:33 que bajo el título de la Orden de Consejería lleva un link que indica: “Haga click aquí para ver el documento”. En el pie de firma figura la dirección de listas de la Consejería de Educación. DENUNCIANTE 2 aporta copia de la Orden de 2/11/2016 de la Consejería de Educación y Universidades por la que se conceden subvenciones por la acreditación en una competencia idiomática del profesorado no universitario de centros docentes sostenidos con fondos públicos de la Comunidad Autónoma de la región de Murcia, de la que destaca:
- a)Por Orden 13/04/2016 se convocaron las subvenciones BORM 20/04, teniendo en cuenta las Instrucciones establecidas en la Orden 7/03/2016 por la que se aprueban las bases reguladoras de concesión de subvenciones por la acreditación de una competencia idiomática del profesorado no universitario. La concesión se contiene en el ANEXO I, mientras que los anexos II y III contienen los denegados.
- b)Se indica “Mediante su publicación en el tablón de anuncios de la Consejería de Educación y Universidades se notifica a los interesados la presente Orden, según lo exigido en el artículo 58.2 de la Ley 30/1992 y conforme a lo expresado en el artículo 8.2 de la Orden de 13/04/2016 BOE 20/04., siguiendo las instrucciones establecidas en el artículo 9.2 de la Orden de 7/03/2016-BORM C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 13/03.”
- c)Aporta ANEXO I que contiene los beneficiarios con nombre y apellidos, NIF, cuantía y dígitos completos de sus cuentas bancarias, por orden alfabético en listado de 374 beneficiarios. También se aporta copia de listado de ANEXO II “no subvencionados” con nombre y apellidos y NIF con el código numérico que remite al motivo y en ANEXO III aporta copia de “Denegados” conteniéndose en todos el mismo contenido de datos personales: nombre y apellidos y NIF, acompañado del código de denegación que remite a los motivos que acompaña la Orden, entre otras: “No se encuentra al corriente de sus obligaciones tributarias con Hacienda”, “Es beneficiario de otra ayuda, beca o premio”, o “no se encuentra en activo y no ha prestado servicios efectivos al menos durante 30 días entre 1/09/2015 y 5/03/2016.· En el ANEXO 1 se contienen además números de cuentas bancarias completas.
- d)Copia de diario “La Verdad” extraída de la web www.laverdad.es con el título “Un error pone al descubierto los DNI y las cuentas bancarias de casi 400 profesores” en el que además se indica que se envió a 20.000 funcionarios en un correo electrónico masivo. DENUNCIANTES 3, 4, 7 y 8 (que declaran ser funcionarios interinos de la Consejería de Educación) aportan copias de impresión del portal educarm.es, con la Orden de concesión de la subvención, en la que en el hipervínculo se pincha y se accede a la Orden y los ANEXOS con los listados de los beneficiarios, aportando alguna página del listado en la que figuran sus datos. DENUNCIANTES 5 y 6 indican que la Consejería facilitó un enlace dirigido a los 20.000 profesores con cuenta en el correo electrónico corporativo de la Administración, entre los que figuran sus datos. No aportan copia de dicho enlace y accesos. TERCERO: En fase de actuaciones previas, los Servicios de Inspección de la AEPD obtienen acceso a la URL de la opinión de Murcia en la que el 2/11/2016 figura la noticia “Educación pública en su web el DNI y número de cuenta de profesores” y de su lectura destaca: -En la web EDUCARM de la Consejería denunciada se han expuesto datos de casi 400 profesores que han conseguido un plus de 400 euros de ese Departamento por estar en posesión del título de Inglés B2. La noticia informa que según la Consejería, el acceso no fue posible por haber sido retirado a partir de las 17 horas, y lo considera un error administrativo. Según el representante de UGT en la Junta de Personal, la lista de beneficiarios se colgó a las 14,33 de la tarde. El sector de Enseñanza de UGT ha manifestado que entre los datos figuran los dígitos completos de cuentas bancarias de los beneficiarios. CUARTO: Con fecha 14/11/2016 se solicita a la denunciada que informe de los motivos por los que se expusieron en abierto los datos de los profesores no universitarios de Centros Docentes sostenidos con fondos públicos de la CCAA de Murcia en la web EDUCARM. 1. Con fechas 15/11 y 12/12/2016, tienen entrada dos escritos de la Consejería de Educación y Universidades de la Región de Murcia, en la que se pone de manifiesto: o C/ Jorge Juan, 6 28001 – Madrid La difusión de los datos aparecidos en la página web de esa Consejería, www.agpd.es sedeagpd.gob.es 3/13 no obedeció a ninguna orden expresa de la misma y tampoco a criterio general de publicaciones. Se trató de un error humano, que estrictamente perduró hasta su detección y corrección. Una vez firmados los documentos necesarios para el ingreso de la subvención en las cuentas de los funcionarios, se subió al servidor un archivo erróneo, no destinado a la publicación, con los datos de: Nombre y apellidos, DNI, cantidad concedida y número de cuenta bancaria o El 6/10/2011 se efectuó la propuesta de resolución definitiva por el órgano competente, y el 2/11 se dictó la Orden de concesión, compromiso del gasto y propuesta de pago por la Secretaria General. La publicación errónea se produjo el 2/11/2016 a las 14:35. A las 16:30 quedó inactivo el enlace ubicado en el portal y a las 17 el enlace contenido en los correos electrónicos a través de los cuales se accedía a dicha información o El mencionado archivo estuvo visible desde las 14:35 del día 2/11/2016 hasta las 16:30 del mismo día, eliminándose a las 18:23 del servidor al que apuntaban los enlaces de los correos electrónicos. Una vez estudiados los logs del fichero, se concluye que fueron 22 los accesos al mismo, varios de ellos de la propia Consejería. o En cuanto a las medidas adoptadas pueden especificarse los siguientes: Análisis de accesos con los técnicos del Servicio de Informática. Análisis del Procedimiento de parte del Servicio de Innovación y Formación del Profesorado y establecimiento de medidas de coordinación con el Servicio de Informática. Información a los órganos competentes de la Consejería y toma de decisiones. Eliminación del enlace ubicado en la sección “Información al ciudadano” (tablón de anuncios de la página web educarm.es). Eliminación del archivo del servidor. Revisión de documentación y del proceso seguido hasta la publicación errónea. Nueva publicación del resultado de la convocatoria eliminando los datos confidenciales. Se han modificado los protocolos de publicación para evitar que en el futuro se produzcan situaciones similares. QUINTO: Con fecha 22/02/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a CONSEJERÍA DE EDUCACIÓN Y UNIVERSIDADES DE LA COMUNIDAD AUTÓNOMA DE MURCIA por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma. SEXTO: Notificado el acuerdo de inicio, mediante escrito de fecha 22/03/2017 la denunciada alega: 1) Informan que lo remitido al correo corporativo no fue ningún tipo de dato sino una nota acerca de la publicación de la Orden que contenía un hipervínculo que llevaba al archivo que se hallaba alojado en los servidores del Servicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Gestión Informática de la CCAA de Murcia. 2) Aportan copia de un correo electrónico de 2/11/2016 a 17:37 en el que se inicia “Por un error hemos enviado al tablón el ANEXO I de la subvención correspondiente al documento contable, y no al de la publicación. Hemos contactado con Informatica para eliminarlo…”. También un correo de 25/11/2016 asunto “estadísticas de acceso del día 2/11 a la página de información al ciudadano + accesos al pdf firmado-importancia alta.” Se refiere a los accesos a la página de información al ciudadano el 2/11, SIN QUE CONCRETE LOS ACCESOS A TRAVES DEL HIPERVINCULO que constaba en la lista de Correos remitida por la Consejería. Se indica que la hora de subida del documento es desconocida y se eliminó el 2/11/2013 a 18: 23 h. Se indica que se ha podido sabe cuántas descargas tuvo el documento pdf. Indicando que fueron 22. Indica que varios de estos accesos lo fueron desde la propia Consejería, y que DENUNCIANTES 5 y 6 no aportaron el listado de enlace y los accesos. 3) Además de las medidas adoptadas ya indicadas en actuaciones previas, añaden que en todos los documentos de firma electrónica se revisará su contenido para ser autorizado por dos personas. 4) Solicita que se archive el procedimiento pues fue un error estuvieron accesibles poco tiempo. y los datos SÉPTIMO: Con fecha 4/04 /2017 se reciben unas segundas alegaciones de la denunciada. Reitera lo manifestado y añade: 1) Cuestiona la rigurosidad del contenido de la noticia aparecida sobre que los datos fueron enviados por e mail a 20 mil docentes o las declaraciones del Sindicato de que cuando los datos fueron eliminados “ya estaban en poder de todos los profesores de la plantilla y de organizaciones que habían dado a conocer los enlaces al listado.” 2) Indica que DENUNCIANTE 1 que dice representar a un Sindicato, no aportó acreditación de la misma y que la denuncia no incide en los intereses de la organización sindical. Igual circunstancia considera que se da con DENUNCIANTE 2. 3) DENUNCIANTES 3 y 4 solo adjuntan una captura de pantalla, no se incorpora archivo que demuestra la difusión de datos personales. El resto de los denunciantes tampoco aportan pruebas decisivas. OCTAVO: Con fecha 9/06/2017 se emite propuesta resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare la infracción del artículo 10 de la LOPD por parte de la CONSEJERÍA DE EDUCACIÓN Y UNIVERSIDADES DE LA COMUNIDAD AUTÓNOMA DE MURCIA, tipificada como grave en el artículo 44.3.
- d)dicha norma.” Frente a la misma, se recibe el 5/07/2017 alegaciones, reiterando lo manifestado con especial énfasis en que la comisión de la infracción se produjo en el último eslabón C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 del proceso, fue un caso aislado y fortuito, no existiendo culpabilidad para declarar la infracción. También alega que se tenía que haber aplicado el procedimiento de apercibimiento. Además se manifiesta:
- a)No se han practicado las pruebas propuestas ni se ha motivado su no realización lo que causa indefensión a la vista de los resultados favorables a su tesis que las mismas arrojarían. No detalla cuál de las pruebas no practicada le causa indefensión ni el resultado que se podría obtener de la misma.
- b)Han transcurrido más de tres meses desde que se dictó el acuerdo de inicio y no se ha resuelto, lo que lleva a la caducidad de actuaciones previas, según el artículo 128 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que indica:” Plazo máximo para resolver”: 1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones.” Aunque el artículo 48.3 de la LOPD establece un plazo de duración del procedimiento sancionador de 6 meses, es un error de interpretación, pues el punto 1 de dicho artículo señala que el procedimiento sancionador se remitirá a la vía reglamentaria y debe ser este el que lo establezca, siendo tal el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que en materia de procedimientos remite como de aplicación supletoria a la Ley de Procedimiento Administrativo, en la actualidad la Ley 39/2015 y en concreto el artículo 21.2 que establece que “El plazo máximo en el que debe notificarse la resolución expresa será el fijado por la norma reguladora del correspondiente procedimiento.”, “de donde se deduce claramente que la referencia a los seis meses citada en el documento de incoación es improcedente, por estar referida a la Ley Orgánica y no al Reglamento que regula el procedimiento”, teniendo en cuenta que el 21.3 de la Ley 39 indica que:” Cuando las normas reguladoras de los procedimientos no fijen el plazo máximo, éste será de tres meses”, pues el mencionado artículo 48.1 de la LOPD precisa: “Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título.” HECHOS PROBADOS 1) Con fecha de 3/11/2016 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación a la noticia de prensa aparecida en la página web de la opinión de Murcia con titular “Educación pública en su web el DNI y número de cuenta de profesores”. 2) Mediante Orden de 2/11/2016 de la Consejería de Educación y Universidades por la que se conceden subvenciones por la acreditación en una competencia idiomática del profesorado no universitario de centros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 docentes sostenidos con fondos públicos de la Comunidad Autónoma de la región de Murcia, se publicó en la web de la denunciada (43, 15 y ss.) la relación de los beneficiarios en la que se contenían ordenados por apellido y nombre, DNI, y cuenta bancaria de cada docente, las cantidades otorgadas (17 y ss., 43). 3) Entre el 07 y el 29/11/2016, se reciben 8 denuncias en las que ponen de manifiesto que recibieron mails corporativos de la denunciada informando de la publicación de la Orden de concesión de subvenciones y que sus datos figuran en el listado. En dichos correos se contenía el link que llevaba a la resolución completa. La denunciada admite que se enviaron a los correos corporativos de los docentes la información de la publicación de la Orden con un hipervínculo que dirigía al archivo (10, 40, 46, 59, 67, 85-86). Por otro lado, también aportan copia íntegra de los archivos pdf descargados de la web de la denunciada los DENUNCIANTES 2 (15 a 36), y copias parciales los DENUNCIANTES 7 (60-62), y DENUNCIANTE 8 (65-68) cuyos datos precisamente aparecen en el listado. El listado lo componen un total de 374 afectados (16 a 25) según el orden del listado que envió DENUNCIANTE 2. El listado estaba en pdf, se podía descargar y guardar. De la consulta del listado completo aportado por DENUNCIANTE 2, y parcial de DENUNCIANTES 7 y 8 se acredita que están en el mismo los datos de DENUNCIANTES 3, 4, siendo fácilmente comprobable pues figuran en orden alfabético por primeros apellidos y DNI. 4) La denunciada admite que en el envío al servidor del listado se cometió el error, pues esa lista iba destinada a Contabilidad
(93). Según la denunciada el listado y enlaces se publicó a las 14: 35 del 2/11/2016 (44. La denunciada procedió a desactivar la posibilidad de acceder en los enlaces de los correos electrónicos que había enviado A las 17 horas, y en la web EDUCARM hasta las 16,30 (71, 74) eliminándose el archivo del servidor a las 18:23
(71)y del enlace existente en la sección “información al ciudadano
(88). Según la denunciada, a la página del ciudadano de la Consejería que contenía el listado se produjeron 22 accesos. Se desconoce cuántos accesos se produjeron en el LINK de la lista de correos enviada por la Consejería a las direcciones de correos electrónicos de los profesores. 5) La denunciada puso en práctica tras conocer los hechos un análisis que incluía la coordinación con el servicio de informatica, revisión de documentos y procesos seguidos hasta la publicación y modificación de protocolos de publicación sobre flujos de documentos (72, 88). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En cuanto a la aplicación del procedimiento de apercibimiento, su inicio corresponde cuando no se estima procedente el inicio de un procedimiento sancionador, por lo que no es aplicable a las Administraciones Públicas pues este expediente no es sancionador. (artículo 45.6 LOPD). En el presente supuesto, el procedimiento fue iniciado de oficio por nota de la Directora de la AEPD el 3/11/2016, a resultas de la noticia aparecida en prensa el día anterior. El artículo 122 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); indica: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.” La Ley 39/2015 en sus artículos 58 y 59 precisan: “58-Los procedimientos se iniciarán de oficio por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, a petición razonada de otros órganos o por denuncia.” “59: Se entiende por propia iniciativa, la actuación derivada del conocimiento directo o indirecto de las circunstancias, conductas o hechos objeto del procedimiento por el órgano que tiene atribuida la competencia de iniciación.” Los denunciantes presentaron sus denuncias en fechas posteriores al acuerdo de inicio de actuaciones previas. El reflejo de que se recibieron las denuncias en el acuerdo de inicio es necesario sin que ello implique ser interesado en el procedimiento, cuestión que no se analiza en el mismo. La falta de presentación de acreditación del Sindicato que representa a los Profesores, no supone impedimento para la tramitación del procedimiento que se sigue de oficio por parte de la AEPD sin que suponga tampoco indefensión. Sobre la duración del procedimiento, la LOPD señala en su artículo 48.3 “Procedimiento sancionador” “Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3/11 General de Telecomunicaciones, tendrán una duración máxima de seis meses.” Su alegación no puede ser estimada pues el procedimiento se inicia el 22/02/2017 cumpliendo los seis meses el 22/08/2017, y lo especifica la Ley Orgánica de Protección de Datos dejando al desarrollo reglamentario otros aspectos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 III En cuanto a las pruebas a practicar, la Ley 39/2015 indica que se podrán practicar, no siendo obligatorias. En el presente supuesto no se abrió dicho trámite. Pero además, analizando las mismas, se ve ahora que las propuestas no son tales pruebas en sentido jurídico. El acuerdo de iniciación del procedimiento ya incluye que el denunciado puede aportar cuantas alegaciones, documentos o información estime conveniente a su derecho. Por tanto, no es una prueba el documento o acto que puede ser aportado por la misma, no se precisa abrir un plazo expreso para que la denunciada aporte cuanto y cuando a su interés pueda convenir. Por otro lado, el Instructor no ha abierto período de prueba pues de acuerdo con la Ley 39/2015 en su artículo 77.2:” Cuando la Administración no tenga por ciertos los hechos alegados por los interesados o la naturaleza del procedimiento lo exija, el instructor del mismo acordará la apertura de un período de prueba por un plazo no superior a treinta días ni inferior a diez, a fin de que puedan practicarse cuantas juzgue pertinentes. Asimismo, cuando lo considere necesario, el instructor, a petición de los interesados, podrá decidir la apertura de un período extraordinario de prueba por un plazo no superior a diez días.” Las razones para no abrir prueba, han sido:
- a)Reconocimiento pleno por la denunciada en actuaciones previas de la conducta que supone la infracción que se imputa a la misma. Se dice por la misma el literal: “Durante la tramitación del mismo se ha procedido a publicar datos confidenciales de algunos profesores participantes en la convocatoria en los términos que a continuación se exponen…Por un error humano en el momento de dar publicidad a dicha orden no se trató la información contenida en la misma según exige la LOPD…difundiéndose los números de las cuentas bancarias de las personas a las que se concedió la subvención…”
- b)Reconocimiento pleno por la denunciada del periodo que estuvieron publicados los documentos: ”Dicha publicación así como la de los enlaces vinculados con la misma se produjo a las 14: 35 del 2/11/2016 en el tablón de anuncios de la Consejería…Una vez advertido el error se procedió a eliminar…A las 16,30 quedó inactivo el enlace ubicado en el portal y a las 17 en enlace contenido en los correos electrónicos a través de los cuales se accedía a dicha información” Esto último supone también que el link de acceso se envió a través de dicho correo corporativo.
- c)Las consecuencias que se desprenden es que aunque estuvieran poco tiempo expuestos los listados, fue suficiente para acceder a los datos, descargarlos y guardarlos aunque solo sea por una persona, con el efecto multiplicador que todo documento pdf descargable supone. Se ha de tener en cuenta que también el acceso se produjo en el link de las noticias enviados por la Consejería, envío masivo que reconocer haber efectuado la denunciada sin concretarse extremos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 sobre el mismo, pero sobre el cual varios denunciantes aportaron la impresión de dicho correo, no la impresión de la pantalla. Hay que insistir que todos los denunciantes figuraban en el listado según se verificó con el aportado que figura por DENUNCIANTE 2, así como en las copias parciales aportadas por otros.
- d)Se ratifica dicho reconocimiento de la comisión de la infracción también de lo aportado en alegaciones por la misma denunciada, copias de correos electrónicos del día de la infracción folios 93 y ss. que se refieren al asunto como: “Por un gran error hemos enviado al tablón….””el documento contable”, es decir el documento con el que contabilidad ingresaría las cantidades a los profesores, entre el que parece necesario la cuenta bancaria.
- e)Se ratifica que estuvieron investigando sobre cuantos accesos “en la web del ciudadano” se pudieron haber producido tras la comisión de la infracción según los correos aportados en alegaciones al acuerdo como el de 26/11 (folio 94). Difícilmente se ha podido producir indefensión por falta de práctica de pruebas pues queda suficientemente acreditada la comisión de la infracción que no precisa de más elementos probatorios que no incidirían sino en lo mismo. Subsidiariamente, las pruebas alegadas en el segundo ramo de alegaciones de 4/04/2017, una vez reconocida la responsabilidad en actuaciones previas y en las primeras alegaciones al acuerdo, escrito de 22/03/2017, no se refieren a pruebas a practicar sino que precisa primero una serie de impugnaciones que se resumen en: -1(folio 107) Impugnación de pruebas aportadas por DENUNCIANTE 2, pues no se le emitió acuse de recibo ni se expresa que se incorporaría a las actuaciones previas, y no se ve ningún registro o dirección URL que demuestre que la copia dela Orden aportada con los anexos haya sido obtenida de la página web de la Consejería. En tal sentido se debe indicar que la no expresión escrita de incorporación como actuaciones previas de los documentos no es precisa pues de hecho forman parte del mismo todos los documentos aportados durante dicha fase. -2 Impugnación de las noticias de prensa como medio probatorio. En tal sentido, no se ha considerado como tal medio probatorio prevalente sino unas circunstancias que son necesarias relatar en la denuncia y en los hechos probados, por guardar relación o ser un efecto de lo denunciado, lo que no quiere decir que sea considerado probatorio. -3 Impugnación de todas las pruebas consistentes en capturas de pantallas de la publicación de la orden de concesión de las subvenciones tanto del tablón de anuncios de la web EDUCARM como en el correo corporativo aportadas por los denunciantes, pues no se demuestra que dichos enlaces condujeran a un archivo que contuviese los datos que se denuncian. Dichas capturas pueden haberse realizado en cualquier momento y no acreditan en r elación con los hechos si su simultaneidad. En tal sentido, se debe indicar que no son capturas de pantalla lo que se aporta sino impresión de listados que conducen directamente a lo publicado, ya que se trata de un documento interno elaborado destinado a Contabilidad para hacer el ingreso, ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 puede entenderse que el sindicato lo filtrara pues no lo tenía ni cualquier otra consideración que deje sin resp0nsabilidad a la denunciada. -4 Impugnación de cualquier prueba documental o denuncia donde no quede claramente determinada la identidad del denunciante. En segundo lugar tampoco son pruebas propuestas unas consideraciones subjetivas como las de que se “elimine del expediente los documentos y las denuncias” por no considerar a los denunciantes legitimados. En tal sentido, en el expediente ha de constar toda la documentación presentada que pueda servir para, de oficio como en el presente caso iniciar el procedimiento. En tercer lugar que se incorporen “informes técnicos y jurídicos“ que orientaron las decisiones del órgano sancionador, y “el acta de sesión donde fue oído el Consejo Consultivo con las propuestas formuladas a su Directora” relativas a los hechos, citando el artículo 36.2 de la LOPD. Subsidiariamente se certifique las razones que motivan “la ausencia de justificaciones técnicas y consultas” En tal sentido, las propuestas del Consejo a la Directora son sobre sus funciones, sin recibir instrucción alguna sobre un expediente específico. No existe tal informe y no se precisa para cada expediente sancionador que se inicia. Así, se desvela que la denunciada reconociendo los hechos que originan la infracción, así como esta, y explicando la conducta que se llevó a cabo y que condujo a la comisión de la misma pretende desconocer sus actos propios de reconocimiento de los hechos y el alcance de la misma. No se ha producido la indefensión alegada pues la denunciada no ha propuesto prueba alguna, motivos que llevan a desestimar sus alegaciones en tal sentido. IV El art. 10 de la LOPD establece “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia n. 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este mismo sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/2002, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: <<El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados – en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto>>. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” Una vez vista la noticia, se recibe una primera denuncia de DENUNCIANTE 1 el 7/11/2016. Con fecha 14/11/2016 se preguntó a la denunciada sobre la exposición en abierto de los datos. Con fecha 15 del mismo mes, la denunciada indica que “se han publicado datos confidenciales” “por un error humano “en el momento de dar publicidad a dicha orden no se trató la información contenida en la misma según exige la LOPD…”También aluden a las medidas llevadas a cabo para que dichos hechos no se repitieran en el futuro. Con posterioridad, siguen llegando denuncias a la AEPD. La recibida de DENUNCIANTE 2, independientemente de su representación, incorpora todas las hojas que eran visibles en el pdf con los datos objeto de la denuncia. La denunciada también confirma que en un número indeterminado de correos denominados corporativos, que ella envió, se contenía el link al documento que era igualmente descargable. Hay que señalar que la infracción del deber de secreto es una infracción de resultado y así lo estableció la Audiencia Nacional, entre otras en la sentencia recaída en el recurso 205/2008 donde expresamente se señala: “Esta Sala tiene establecido como la infracción del deber de secreto es una infracción de resultado en la que lo relevante es que se llegue a producir la divulgación de un secreto”, Además de que la denunciada en actuaciones previas, y en unas primeras alegaciones reconoce la infracción y toma medidas, luego en unas segundas alegaciones niega que los datos fuesen revelados a terceros porque los denunciantes no los aportan. Sin embargo, en este procedimiento seguido de oficio, se acredita el efectivo conocimiento de los datos por parte de un tercero, sea o no afectado y actúe o no en nombre de una persona que figurara en la lista. En eso consiste el secreto, en que los datos no puedan ser conocidos por ninguna persona o entidad distinta de su titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 No existía ninguna norma que habilitara la exposición en la web de la cuenta bancaria de los afectados junto a su nombre y apellidos y DNI. Producida la infracción por posibilitar el acceso en la web del documento en pdf, que es descargable y se puede guardar para poder fácilmente ser enviado, es indiferente que se produjeran solo 22 accesos según manifiesta la denunciada. Se acredita que el listado era accesible y se podía guardar, enviar, elementos que amplían la gravedad de los hechos. V La infracción cometida por la denunciada aparece tipificada en el artículo 44.3.
- d)de la LOPD que indica: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” VI Con independencia de que las infracciones puedan causarse con dolo o por falta de diligencia, lo que la denunciada llama error humano no es sino falta de diligencia o de previsión de las circunstancias que desencadenaron la acción. El manejo masivo de datos por parte de una Administración Pública ha de implementar un control en tal sentido, máxime teniendo en cuenta que el acceso a la web es universal, que se puede producir en cualquier momento y en cualquier lugar. Por ello, se deben establecer procedimientos que tengan en cuenta los datos de carácter personal tanto en la gestión interna como en la publicación en web o diarios oficiales. Se debe comprobar qué se envía, si se envía lo estrictamente necesario, a quien, y que medios técnicos o modalidad se utilizan para el envío y para el visionado por los afectados. VII El artículo 46 de la LOPD en los supuestos de declaración de infracción de las Administraciones Públicas indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” Teniendo en cuenta la naturaleza de la comisión de la infracción y el modo en que se cometió, se estima que las medidas relatadas en actuaciones previas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 alegaciones son adecuadas para que no se vuelva a producir una infracción en el medio y forma como se produjo. Además, se advierte que el formato en que se ven los listados, pdf que permite guardar la totalidad del mismo podría ser reconsiderado en cuanto a su necesidad, proporcionalidad y finalidad. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE EDUCACIÓN Y UNIVERSIDADES DE LA COMUNIDAD AUTÓNOMA DE MURCIA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE EDUCACIÓN Y UNIVERSIDADES DE LA COMUNIDAD AUTÓNOMA DE MURCIA. TERCERO: COMUNICAR la presente resolución a la DEFENSORA DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12 . Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es