1/6 Procedimiento Nº AP/00005/2017 RESOLUCIÓN: R/01912/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00005/2017, instruido por la Agencia Española de Protección de Datos a la entidad TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, vista la denuncia presentada por B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/11/2016 se recibe denuncia de B.B.B. (en lo sucesivo el denunciante) en la que manifiesta que ha recibido informe de 4/11/2016 cuya copia aporta. En el mismo, la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL da respuesta a una petición que registró el 7/10/2016 sobre accesos a sus datos personales en la Administración ***** de Sabadell. En el informe se indica que el denunciante presentó su solicitud el 29/09/2016 y:
- a)Los accesos en dicha sede han consistido en consulta general de afiliado los días 24 y 17/06/2016.
- b)Se solicitó a dicha Administración que informara sobre las causas de dichos accesos, no aportando justificante o documentos que amparasen la consulta, considerándose injustificados “al realizarse por un tramitador o empleado público cuya unidad de gestión no se corresponde a priori con la competente por razón de su domicilio sito en ***LOCALIDAD.1 –Administración ****1) ni el de su actual empresa “ A.A.A.-Administración 08/08)”. El denunciante formuló una denuncia originaria ante esta AEPD el 2/02/2016 en la que indicaba que tenía sospechas de que el Abogado de “mi antigua empresa” “me comentó al finalizar el acto de conciliación por despido de mi antigua empresa- D.D.D. que informaría a mi antiguo empresario- C.C.C. de la ubicación y denominación de la empresa donde presto actualmente mis servicios, a pesar de mi negativa expresa y del apercibimiento” de la LOPD. Indica que tras el archivo por no aportar documentación alguna consiguió la documentación que aporta a la presente denuncia. SEGUNDO: Con fecha 14/02/2017, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), relacionada con el artículo 91 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); tipificada como grave en el artículo 44.3.
- h)de dicha LOPD. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 2/03/2017 se reciben alegaciones de la denunciada que indica: -Sus ficheros tienen las medidas de seguridad adecuadas y previstas adaptándose C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 en cuanto a medidas de seguridad a las previstas en los artículos 74 a 104 del RLOPD. No consideran que infringen el artículo 9.1 de la LOPD, siendo cuestión distinta que un usuario concreto y autorizado de una Unidad pudiese realizar un uso ilícito suministrando la información a personas ajenas a la Seguridad Social o para un fin distinto del que fue autorizado, circunstancia que queda para que la propia Tesorería en su caso sea la que ejerza la potestad disciplinaria si lo considera oportuno. CUARTO: Con fecha 2/06/2017 se emite propuesta de resolución del literal: “Declarar que la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL ha infringido lo dispuesto en el artículo 9 de la LOPD, en relación con el 91 del RLOPD tipificada como grave en el artículo 44.3.h de dicha norma. Requerir a TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD. “ Frente a dicha propuesta se recibe escrito de entrada 28/06/2016 en el que informa que por los hechos denunciados se incoó expediente disciplinario al usuario con destino en la Administración de Sabadell que prestó declaración ante la Instructora del mismo el 18/05/2017, elaborándose pliego de cargos que se ha notificado al interesado el 12/06/2017. HECHOS PROBADOS 1) A instancia del denunciante, el Jefe de Inspección de la TGSS le remitió un escrito de 4/11/2016 relacionado con accesos no justificados a sus datos hechos en la Administración de la TGSS de SABADELL (09/19) en los que también se pedía los accesos concretos realizados. En la respuesta se indica que se produjeron dos consultas, el 24/02 y el 1/06/2016 a la base de afiliados. 2) Además, el escrito de 4/11/2016, indicaba que no había justificante o documento que de soporte tales consultas. Indicaba que la consulta la había efectuado “un tramitador o empleado público”, y que además, esta persona se hallaba encuadrado en una Unidad de gestión que no se corresponde con la gestión que se corresponde a priori con la competente por razón del domicilio del denunciante ni por la sede en la que se situaba su empresa en esos momentos. 3) La denunciada informó en alegaciones a propuesta que al empleado que accedió a los datos del denunciante de manera injustificada se le ha abierto expediente disciplinario comunicándole el pliego de cargos el 12/06/2017. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter previo procede señalar que la LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” El artículo 3.
- d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El derecho fundamental a la protección de datos, prosigue la argumentación, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. La infracción imputada del artículo 9.1 de la LOPD, señala que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, Se produce en este caso un tratamiento al consultar los datos de un Registro Público como es la base de datos de AFILIACION, Púbico en el sentido que figura creado para el ejercicio de las competencias asignadas a dicha Administración. El artículo 81.2.e del RLOPD indica que han de ser de nivel de seguridad medio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 los ficheros o tratamientos: “de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las Mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.” Sobre la naturaleza de las medidas, la Audiencia Nacional en sus sentencias, entre otras la de 09/10/2006, Recurso Nº 271/2005 precisa: “…conviene recordar que no basta con adoptar cualquier medida sino aquellas que sean necesarias para garantizar aquellos objetivos que marcan los preceptos trascritos y que, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva para impedir en un caso como el enjuiciado accesos indebidos aunque sean de los propios empleados de la empresa. En el caso que nos ocupa ha quedado acreditado que la entidad crediticia ahora demandante no prestó la diligencia necesaria en orden a la efectiva observancia de aquellas medidas de seguridad. Ello es así porque si hubiera sido diligente el acceso indebido no se hubiera realizado con tanta facilidad, ni se hubieran podido realizar copias del fichero reservado ni los datos hubieran salido del entorno de la organización. En el caso de haber sido diligentes también habría detectado de forma inmediata las infracciones a las medidas de seguridad implantadas, algo que tampoco ocurrió ya que XXXXXX tuvo conocimiento de los hechos por agentes externos y ajenos a su propia organización...”. Asimismo, la Sentencia de 23/03/2006, Recurso nº 478/2004, al hablar de las medidas de seguridad, señala: “…Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva, y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualesquiera otros datos de carácter personal puedan llegar a manos de terceras personas…” El artículo 91.1 del RLOPD señala “Control de acceso” “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.” Consta acreditado que un empleado de la TGSS, Agencia de Sabadell autorizado con clave de usuario y contraseña accedió a la base de datos de AFILIACION, consultando los datos del denunciante. El acceso a la información y a los datos personales asociados no queda justificado con algún tipo de soporte documental ni con la tramitación de algún tipo de expediente. De tal modo, es imposible acreditar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 tratamiento que tiene lugar, al producirse la posibilidad y la realización de accesos a datos que pueden ser arbitrarios o interesados. Además, abona este acceso o tratamiento para fines inconcretos, sin el cumplimiento de la medida de seguridad, que la consulta no se produjo en el área territorial de gestión competente a la residencia del denunciante ni tampoco por la empresa para la que en esos momentos (meses de 2 y 6/2016) prestaba servicios, a la que identifica. Ello se ha producido ya que no se justifica que el concreto acceso esté causado o motivado por una circunstancia legalmente admisible como pueda ser una autorización del propio interesado o la tramitación de algún tipo de prestación que efectuó. III La infracción cometida por el responsable del fichero, la TGSS, se tipifica como grave en el artículo 44.3.
- h)de dicha norma, que considera como tal:”Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” No justifica la denunciada que tenga normativa interna establecida sobre controles operativos de acceso al fichero de AFILIACION o el sistema de información que lo gestione, que garanticen que el acceso se realice únicamente por los usuarios previamente identificados, autenticados, y que sea necesarios para el cumplimiento de sus cometidos, a fin de usar dichos datos con la finalidad prevista y no sean usados con fines personales o de otro tipo. IV El artículo 46 de la LOPD indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL ha infringido lo dispuesto en el artículo 9 de la LOPD, en relación con el artículo 91 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 RLOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, en relación con el 91 del RLOPD para lo que se abre expediente de actuaciones previas E/04103/2017. TERCERO: NOTIFICAR la presente resolución a la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL. CUARTO: COMUNICAR la presente resolución a la DEFENSORA DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es