AAPP-00004-2015

1/9 Procedimiento Nº AP/00004/2015 RESOLUCIÓN: R/00928/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00004/2015, instruido por la Agencia Española de Protección de Datos a la entidad EMPRESA MUNICIPAL DEL SUELO Y VIVIENDA DE BOADILLA DEL MONTE vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 8 de mayo de 2014, tuvo entrada en esta Agencia escrito de Don B.B.B. (en lo sucesivo el denunciante) en el que denuncia que la EMPRESA MUNICIPAL DEL SUELO Y VIVIENDA DE BOADILLA DEL MONTE (en lo sucesivo EMSV o la denunciada) ha publicado los datos personales del adjudicatario de las viviendas en la web “” haciendo referencia expresa a la condición de Guardia Civil en activo y destino. SEGUNDO: A la vista de los hechos denunciados, consta que las bases de la convocatoria pública de viviendas se publicaron en enero de 2014 con el siguiente enunciado: “Bases, reglamento y normativa para la adjudicación de viviendas de protección pública, en régimen de alquiler, propiedad de la empresa municipal del suelo y vivienda de Boadilla del Monte, S.A.U. a miembros activos de la Guardia Civil destinados en el puesto principal de Boadilla del Monte (Madrid)” (el subrayado es de la AEPD). El artículo 1 señala que las viviendas se encuentran situadas en la “calle C.C.C., de Boadilla del Monte”. El artículo 7, de la misma norma, hace referencia a la “publicidad del proceso de adjudicación” en el siguiente sentido: ”El proceso de adjudicación que regula la presente Normativa se publicará en el Tablón de Anuncios de la EMSV y del Puesto Principal de la Guardia Civil de Boadilla del Monte. Igualmente, en la página web de la EMSV y del Ayuntamiento de Boadilla del Monte : / , E.E.E.”. Por otro lado, en la resolución de las adjudicaciones publicada, se acuerda : “Adjudicar una vivienda de protección pública en régimen de alquiler a D. B.B.B., miembro activo de la Guardia Civil destinado en el Puesto de Boadilla del Monte, toda vez que, presentada y revisada la documentación requerida en las Bases que rigen la adjudicación de estas viviendas, se confirme que cumple con los requisitos exigidos”. TERCERO: Con fecha 27 de enero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Empresa Municipal del Suelo y Vivienda de Boadilla del Monte por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 CUARTO: Con fecha 23 de febrero de 2015, se procedió al intento de notificación del acuerdo de inicio al denunciado en la dirección de la entidad que consta en las Bases de la convocatoria objeto de la denuncia, que fue devuelto como “Desconocido” por el Servicio de Correos Con fecha 9 de marzo de 2015, se remitió al Ayuntamiento de Boadilla del Monte para su publicación en el Tablón de Edictos del Ayuntamiento y con fecha 14 de marzo de 2015, se procedió a su publicación en el BOE. Finalmente, con fecha 18 de marzo de 2015, se personó en esta AEPD un representante autorizado por la entidad, que fue notificado del inicio del expediente. QUINTO: Con fecha 10 de abril de 2015, la EMSV realizó alegaciones en las que, básicamente, manifestó lo siguiente: - Que con fecha 7 de noviembre de 2013, el denunciante inició ante esa entidad los trámites para poder optar a una vivienda en régimen de alguiler dentro de la Promoción de viviendas de alquiler destinadas a “Miembros de la Guardia Civil del Puesto de Boadilla del Monte”. Para poder participar en dicha promoción de la EMSV, era obligatorio cumplir con los requisitos expuestos en las “Bases, Reglamento y Normativa que regían tal promoción. - En el artículo 7 de las citadas Bases se especifica de forma clara “…el proceso de adjudicación que regula la presente Normativa se publicará en el Tablón de Anuncios de la EMSV y del Puesto Principal de la Guardia Civil de Boadilla del Monte. A.A.A. : / , E.E.E.”. - Al tratarse de una Promoción Pública de viviendas, por la transparencia del proceso y para evitar posibles irregularidades en la adjudicación, se debían publicar las listas de postulantes/adjudicatarios, que conocían de antemano y aceptaron las Bases de la citada Promoción pública, se les informó de los derechos ARCO. - No incumplimiento del artículo 10 ya que el proceso de adjudicación debe ser público y así lo aceptan los postulantes al participar. - La dirección del inmueble se especificaba ya en las Bases y los destinatarios “Guardias Civiles del Puesto de Boadilla del Monte, también. Por tanto, lo único que faltaban eran los nombres de los postulantes/adjudicatarios. - No consta que en ningún momento el denunciante haya hecho valer sus derechos ARCO antes esta entidad, previo a la denuncia de la AEPD. - El denunciante ha manifestado por escrito ante esa entidad que actuó conforme a las Bases y Normativa, procediendo a retirar la denuncia ante la AEPD. Por todo ello, solicitó que se proceda al archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 SEXTO: Con fecha 17 de abril de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03709/2014, así como la documental aportada por la EMSV. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00004/2015 presentadas la EMSV, y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 8 de mayo de 2015, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la Empresa Municipal del Suelo y Vivienda de Boadilla del Monte ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma. La entidad denunciada no formuló alegaciones frente a la citada propuesta de resolución dentro del plazo establecido. HECHOS PROBADOS PRIMERO: Don B.B.B. denunció ante la AEPD la Empresa Municipal del Suelo y Vivienda de Boadilla del Monte publicó los datos personales del adjudicatario de las viviendas en la web “” haciendo referencia expresa a la condición de Guardia Civil en activo y destino (folios 1-5) SEGUNDO: Consta que las bases de la convocatoria pública de viviendas se publicaron en enero de 2014 con el siguiente enunciado: “Bases, reglamento y normativa para la adjudicación de viviendas de protección pública, en régimen de alquiler, propiedad de la empresa municipal del suelo y vivienda de Boadilla del Monte, S.A.U. a miembros activos de la Guardia Civil destinados en el puesto principal de Boadilla del Monte (Madrid)” El artículo 1 señala que las viviendas se encuentran situadas en la “calle C.C.C., de Boadilla del Monte”. El artículo 7, de la misma norma, hace referencia a la “publicidad del proceso de adjudicación” en el siguiente sentido: “El proceso de adjudicación que regula la presente Normativa se publicará en el Tablón de Anuncios de la EMSV y del Puesto Principal de la Guardia Civil de Boadilla del Monte. Igualmente, en la página web de la EMSV y del Ayuntamiento de Boadilla del Monte : / , E.E.E.”. (folios 7-13) TERCERO: En la resolución de las adjudicaciones publicada, se acuerda : “Adjudicar una vivienda de protección pública en régimen de alquiler a D. B.B.B., miembro activo de la Guardia Civil destinado en el Puesto de Boadilla del Monte, toda vez que, presentada y revisada la documentación requerida en las Bases que rigen la adjudicación de estas viviendas, se confirme que cumple con los requisitos exigidos” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 (folios 6-14, en concreto folio 14). CUARTO: Los datos personales publicados en la página web / , en abierto y a la vista de cualquiera son los siguientes: nombre y apellidos del denunciante asociados a la condición de “miembro activo de la Guardia Civil”, con expresión del Puesto de destino y domicilio de la vivienda que le ha sido adjudicada. QUINTO: Con fecha 30 de abril de 2015 (sic), el denunciante ha manifestado mediante escrito ante la EMSV que actuó conforme a las Bases y Normativa, procediendo a retirar la denuncia ante la AEPD (folios 59-60). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
4. a)que define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
5. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” IV Se imputa a la Empresa Municipal del Suelo y Vivienda de Boadilla del Monte la infracción del artículo 10 de la LOPD que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. El Tribunal Superior de Justicia de Madrid, en su sentencia de 16 de octubre de 2001, reitera que “el TC en su Sentencia 76/1990, de 26 de abril, nos recuerda que, aún sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho; manifestando la STC 246/1991, de 19 de diciembre, que es inadmisible en el ámbito del derecho administrativo sancionador una responsabilidad sin culpa. La Ley 30/92 ha pretendido regular la cuestión en su artículo 130.1 al consagrar el principio de responsabilidad como uno de los informadores del ejercicio de la potestad sancionadora, estableciendo que “sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia”; el último C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 inciso “aún a título de simple inobservancia” no es muy preciso puesto que pudiera pensarse que consagra una responsabilidad objetiva sin dolo o culpa del sujeto, por lo que deberá interpretarse conforme a la doctrina aludida, así como señala la más reciente jurisprudencia del Tribunal Supremo (SS 16 y 22 de abril de 1991 y 5 de febrero de 1992) uno de los principales componentes de la infracción administrativa es el elemento culpabilista, del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.- Probablemente, el legislador de la Ley 30/92 haya pretendido aludir a que serán sancionables las infracciones meramente formales, aunque no produzcan un resultado dañosos al interés público e, igualmente, que será incriminable la culpa inconsciente o sin representación, atendiendo al aspecto normativo de la culpabilidad según el cual puede reprocharse no haber previsto lo que se podía y debía prever.” Consiguientemente, aún en el supuesto en que se hubiera padecido algún tipo de error, el mismo constituiría una falta de diligencia plenamente imputable a la entidad sancionada, con claro incumplimiento del artículo 10 (...) tipificado correctamente y sancionado como falta grave (...).” En el presente caso, la Empresa Municipal del Suelo y Vivienda de Boadilla del Monte había publicado en su página web, en abierto y a la vista de cualquiera, la resolución de la adjudicación de viviendas de protección pública, en régimen de alquiler, propiedad de la empresa municipal del suelo y vivienda de Boadilla del Monte, S.A.U. a miembros activos de la Guardia Civil destinados en el puesto principal de Boadilla del Monte (Madrid). Asimismo consta acreditado que la resolución publicada comprenden los siguientes datos: nombre y apellidos del denunciante asociados a la condición de “miembro activo de la Guardia Civil”, con expresión del Puesto de destino y domicilio de la vivienda que le ha sido adjudicada (folios 6-14). Sin embargo, la publicación en la página web de la empresa municipal del suelo y vivienda de Boadilla del Monte, de los datos personales del denunciante asociados a la condición de “miembro activo de la Guardia Civil”, con expresión del Puesto de destino y domicilio de la vivienda que le ha sido adjudicada se deduce información sensible que no debería constar en abierto y a la vista de cualquiera que visite la página web de la entidad. Por otra parte, el Empresa Municipal del Suelo y Vivienda de Boadilla del Monte no ha acreditado ante esta Agencia que contara con el consentimiento del denunciante para la publicación que se detalla más arriba. En consecuencia, el Empresa Municipal del Suelo y Vivienda de Boadilla del Monte al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir los datos personales de los adjudicatarios de viviendas relativos a su condición de “miembro activo de la Guardia Civil”, con expresión del Puesto de destino y domicilio de la vivienda que le ha sido adjudicada. Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales del denunciante en poder de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Empresa Municipal del Suelo y Vivienda de Boadilla del Monte fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. V En las alegaciones de la EMSV al Acuerdo de Inicio del presente procedimiento manifiesta que, con fecha 30 de abril de 2015, el denunciante ha manifestado mediante escrito ante la EMSV que actuó conforme a las Bases y Normativa, procediendo a retirar la denuncia ante la AEPD (folios 59-60). A este respecto hay que señalar que cuando se acuerda el inicio de un procedimiento de Declaración de Infracción de las Administraciones Públicas el procedimiento se inicia de oficio por el Director de la AEPD, que es quien determina la responsabilidad de los hechos constatados, independientemente de la intencionalidad del denunciante al presentar su escrito de denuncia. Por tanto, y dado que ha quedado acreditado que la entidad denunciada incumplió el deber de secreto con la revelación de datos personales a terceros mediante la publicación en la página web de la EMSV de Boadilla del Monte de los datos personales del denunciante, asociados a la condición de “miembro activo de la Guardia Civil”, con expresión del Puesto de destino y domicilio de la vivienda que le ha sido adjudicada se deduce información sensible que no debería constar en abierto y a la vista de cualquiera que visite la página web de la entidad. Por lo tanto, dichas alegaciones deben ser desestimadas. VI El artículo 44.3.
8. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, hay que entender que por parte de la Empresa Municipal del Suelo y Vivienda de Boadilla del Monte se ha producido una vulneración del deber de secreto, dado que la información difundida contiene datos de carácter personal concerniente al denunciante y que procede calificar la infracción como infracción grave. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso no se propone ninguna medida correctora dado que en la actualidad no consta que la información objeto de la denuncia, aparecida en la web de entidad continúe publicada en la misma. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad EMPRESA MUNICIPAL DEL SUELO Y VIVIENDA DE BOADILLA DEL MONTE ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
9. d)de la citada Ley Orgánica. SEGUNDO: En el presente caso no se propone ninguna medida correctora dado que en la actualidad no consta que la información objeto de la denuncia, aparecida en la web de entidad continúe publicada en la misma. TERCERO: NOTIFICAR la presente resolución a la entidad EMPRESA MUNICIPAL DEL SUELO Y VIVIENDA DE BOADILLA DEL MONTE y a Don B.B.B.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es