AAPP-00008-2013

1/8 Procedimiento Nº AP/00008/2013 RESOLUCIÓN: R/01985/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00008/2013, instruido por la Agencia Española de Protección de Datos a la entidad COMUNIDAD DE MADRID- CONSEJERIA DE EDUCACION, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28/01/2013 tiene entrada en el Registro de documentos de esta Agencia Española de Protección de Datos, el expediente remitido por la Subdirección General de Régimen Jurídico y Desarrollo Normativo de la Consejería de Presidencia, Justicia y Portavocía del Gobierno de la Comunidad de Madrid, en el que se contiene la denuncia presentada el 24/02/2012 en el Registro General de la CAM, y el 27 en el de la Agencia de Protección de Datos de la CAM, por Dª A.A.A., contra la Consejería de Educación y Empleo de la Comunidad de Madrid, por la “notificación de un recurso administrativo, incorporando un anexo en el que figura su nombre y apellidos y el de otros recurrentes”. El expediente de referencia, que se tramitaba en la Agencia de Protección de Datos de la Comunidad de Madrid, con el número E/055/2012, ha tenido entrada en esta Agencia Española de Protección de Datos, como consecuencia de la extinción de Ente de Derecho Público AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID, prevista en artículo 61 la Ley 8/2012, de 28/12, de Medidas Fiscales y Administrativas de la Comunidad de Madrid para el año 2013 (B.O.C.M. de 29 de diciembre), y de acuerdo con lo dispuesto en su Disposición transitoria tercera. SEGUNDO: Según se comprueba, a su escrito de denuncia, la denunciante acompaña la siguiente documentación:  Escrito de la Secretaría General Técnica de la Consejería de Educación y Empleo de la Comunidad de Madrid, al que se adjunta copia compulsada de la Resolución de la Viceconsejería de Organización Educativa, como interesado que figura en el Anexo de la Resolución.  Copia de resolución de recurso de alzada, dictada por la Viceconsejera de Organización Educativa, por la que se resuelve “recursos de alzada” interpuestos por los interesados RELACIONADOS EN EL ANEXO A de dicha Resolución, como consecuencia de la deducción de haberes practicada por la participación en jornada de Huelga.  Copia del citado ANEXO de la referida Resolución, comprensiva de los nombres y apellidos de un total de 239 personas, a las que se notifica la misma. TERCERO: Analizada la documentación obrante en el expediente, se comprueba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 que, por parte de la extinta Agencia de Protección de Datos de la Comunidad de Madrid, se llevaron a cabo diferentes actuaciones en orden a la comprobación de los hechos denunciados, habiéndose procedido a requerir a la Consejería de Educación y Empleo de la Comunidad de Madrid, el 20/09/2012 en orden a la emisión de informe en relación con las siguientes cuestiones: “1.- Se pronuncien sobre los hechos denunciados y si resulta ser cierto que en la notificación de la resolución del recurso administrativo al que hace referencia la denuncia se envió con un anexo de cada unos de los trabajadores reclamantes. 2.- De contestar afirmativamente a la anterior cuestión, deberán indicarnos si los interesados relacionados en el anexo que acompaña a la Resolución del recurso han manifestado su conformidad para ser notificados conjuntamente. 3.- Si todos los trabajadores relacionados en el anexo que se cita en el escrito de denuncia, presentaron la reclamación previa a la resolución del recurso que se notifica, de una manera conjunta, o esta se realizó de manera individualizada por cada uno de los recurrentes. 4.- Cualquier otra información de utilidad para la resolución del presente expediente.” Según consta en el expediente, con fecha 05/10/2012, tuvo entrada en el registro de la extinta Agencia de Protección de Datos de la Comunidad de Madrid, informe suscrito por el Secretario General Técnico de la Consejería de Educación y Empleo del la Comunidad de Madrid, poniendo de manifiesto lo que a continuación se resume: .- El volumen de recursos presentados en relación con reclamaciones económicas interpuestas por personal docente, ha hecho necesario un cambio en la tramitación de los expedientes de forma individualizada, (…) evitando las excesivas dilaciones en la tramitación de los expedientes (…) con el fin de cumplir con este principio de eficacia que debe regir la actuación de todas las Administraciones Públicas. .- En el presente procedimiento, de índole masiva, se consideró que la notificación de la Resolución del recurso de alzada en el domicilio indicado por cada interesado con el Anexo que incluye la totalidad de recurrentes como parte integrante de la propia Resolución –sin más identificación que nombre y apellidos- no vulneraba el derecho a la intimidad, en tanto que no se contienen datos identificativos oficiales (nº DNI), ni domicilio particular, ni centro docente en el que se encontraran prestando servicios. .- Se informa que los interesados no han manifestado opción alguna respecto de esta modalidad de notificación. La Ley 30/1992, de 26/11, RJAP y PAC, prevé en su artículo 59 la obligación de que quede constancia de la recepción de la notificación (…) sin que se prevea la obligación de recabar la conformidad del interesado con el modo de notificación a practicar. .- En el supuesto que nos ocupa, el texto íntegro de la resolución a notificar está compuesto por los antecedentes de hecho, los fundamentos de derecho, el “resuelvo” y el anexo de interesados cuyos expedientes de recursos han sido acumulados por guardar una identidad sustancial entre ellos, con indicación única y exclusiva de sus nombres y apellidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 .- Consultados los antecedentes, se comprueba que se presentaron los recursos de alzada de forma individualizada, si bien dicha circunstancia es perfectamente compatible con la resolución conjunta de los recursos (…). CUARTO: Con fecha 28/02/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas a la CONSEJERÍA DE EDUCCIÓN DE LA COMUNIDAD DE MADRID por una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d). QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 2/04/2013 la denunciada reitera lo ya manifestado previamente sobre tramitación de recursos de forma acumulada por concurrir los requisitos del artículo 73 de la Ley 30/1992, que señala la acumulación de procedimientos con otros, y dado que los interesados del Anexo se encontraban en idéntica situación, y que se cumple el requisito de actuación de acuerdo con el principio de eficiencia. Añade que esta actuación es usual en el actuar de las Administraciones en los que afectando a un colectivo se tramitan de forma acumulada y se notifica mediante la publicación de actos colectivos en “tablones de edictos”. Como ejemplo, las diligencias de embargo. En el caso de la denunciante se contenían en la resolución los datos mínimos necesarios e indispensables y se notificó individualmente a cada recurrente, practicándose en el domicilio indicado por cada interesado. La resolución no da a conocer ninguna circunstancia personal acerca de cada recurrente como DNI o Centro en el que presta sus servicios, domicilio. Los Anexos forman parte de la resolución, y esta se ha de notificar íntegramente. SEXTO: Con fecha 15/07/2013, el Instructor del procedimiento emitió Propuesta de Resolución, con el literal: “PRIMERO: Declarar que la CONSEJERIA DE EDUCACION DE LA COMUNIDAD AUTONOMA DE MADRID, ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.

1. d)de dicha norma. SEGUNDO: Requerir a COMUNIDAD DE MADRID- CONSEJERIA DE EDUCACION, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD.” SÉPTIMO: La propuesta de resolución fue notificada a la CONSEJERIA DE EDUCACION DE LA COMUNIDAD AUTONOMA DE MADRID en fecha 18/07/2013 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 HECHOS PROBADOS 1) Con fecha 27/02/2012 tuvo entrada en el Registro de la Agencia de Protección de Datos de la Comunidad de Madrid (CAM) una denuncia de una Profesora del Cuerpo de Profesores de Enseñanza Secundaria contra la Consejería de Educación de la CAM. La denuncia se interpone por haberle notificado un recurso de alzada que interpuso individualmente contra la deducción de la nómina de octubre 2011 por su participación en una jornada de huelga. La resolución de 26/12/2011, lleva fecha de salida de 17/02/2012. El hecho concreto que motiva la denuncia es que en la desestimación del recurso, figura un ANEXO con otros recurrentes dando a conocer sus datos de apellidos y nombre (1 a 3, 12, 25 a 38). 2) El envió consta de 9 folios mas la caratula. Del folio 5 al 9 constan apellidos y nombres de interesados a los que igualmente se les ha desestimado el recurso. En la caratula figura como destinataria solo el nombre y apellidos de la denunciante y dirección. En asunto:” Remisión copia cotejada y compulsada de resolución del recurso, y VER ANEXO ADJUNTO. La resolución se titula “De la Viceconsejería de Organización educativa por la que se resuelven los recursos de alzada interpuestos por los interesados relacionados en el ANEXO a la presente resolución, contra la nómina del mes de octubre 2011, como consecuencia de la deducción de haberse practicada por la participación en jornada de huelga”. Los ANEXOS se titulan “Relación de interesados cuyos escritos calificados de recurso de alzada se desestiman” y va seguido de más de 200 interesados ordenados por apellidos y nombre, figurando la denunciante en el folio 8.(15 a 2429 a 38 3) En la resolución del recurso, en su Fundamento de Derecho segundo consta que “Procede la acumulación de los recursos relacionados en el ANEXO a la presente resolución, dada la identidad sustancial existente entre ellos, de conformidad con lo dispuesto en el artículo 73 de la ya citada Ley 30/1992, de 26/11 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC) /1992 de 26/11. En el fundamento de Derecho tercero y como base común para todos los recursos se contiene la ratio decidendi por la que se desestiman todos los recursos contra la nómina del mes de octubre de 2011, como consecuencia de la deducción de haberes practicada por la participación en jornada de huelga (31-32). 4) La Consejería aduce que ello es consecuencia de la agilización en la resolución y notificación de los recursos para lo que en la resolución se contenía la mención a acumulación de procedimientos, pero ello no justifica que la notificación individual producida en este caso contenga los datos de nombres y apellidos de otros Profesores, recurrentes por la misma cuestión. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOD determina: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia n. 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este mismo sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/2002, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: <<El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados – en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto>>. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso, la Consejería, responsable del fichero que contenía los datos de los recurrentes resolvió con el mismo fundamento jurídico una serie masiva de recursos de alzada presentados individualizadamente, ajustándose a la acumulación de procedimientos con el siguiente tenor “El órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer su acumulación a otros con los que guarde identidad sustancial o íntima conexión.”. Debe señalarse que la acumulación de procedimientos no implica que recaiga se notifique individualmente a todos conteniendo la resolución no solo los mismos fundamentos del procedimiento, si también como en este caso, todos los datos de nombre y apellidos de todos. Si se trata de notificación, esta ha de ser por regla general y como se deduce de este procedimiento que se analiza, de modo individual como prescribe el artículo 58 de la Ley 30/1992, de 26/11 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC) /1992, “a los interesados las resoluciones y actos administrativos que afecten a sus derechos e intereses, en los términos previstos en el artículo siguiente. Además, el lugar se precisa en el 59.2”procedimientos iniciados a solicitud del interesado, la notificación se practicará en el lugar que éste haya señalado a tal efecto en la solicitud.” En el presente supuesto, la Consejería deseaba lograr la notificación a los interesados en el procedimiento de forma eficaz y rápida, para lo que a todos los recurrentes remitió el listado de todos, dando a conocer a todos sus nombres y apellidos. Sin embargo esta finalidad pudo haber sido obtenida de otro modo haciendo una eliminación del listado ANEXO del resto de datos de los otros interesados, o simplemente sin envío de ANEXO alguno La Ley 30/1992 de 26/11, Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC) determina en el artículo 59 que “Las notificaciones se practicarán por cualquier medio que permita tener constancia de la recepción por el interesado o su representante, así como de la fecha, la identidad y el contenido del acto notificado.”. Si bien se deja como medio cualquiera, siempre que quede fehaciencia de su entrega, su contenido no debe contener datos de otros notificados, pues en este caso, una vez se han tramitado internamente todos conjuntos, no se precisa para la finalidad de notificar, el de hacerlo todo conjunto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Por otro lado, para ello, la Ley 3/1992 prevé unos supuestos en que se pueden dar a conocer la notificación mediante publicación, de modo que todos conocen los datos de todos, supuestos del 59.6 de la Ley 39/02 que no se dan en el presente caso. Para notificar la resolución desestimatoria del recurso a todos los recurrentes no se precisa notificar a cada recurrente individualmente los datos de los demás. Se podría haber hecho una notificación individualizada sin ANEXO, o bien notificaciones individualizadas con ANEXO anonimizadas para cada interesado, en las que en el ANEXO solo figuren sus datos. La Consejería por medio de dicho acto de notificación, participa en el tratamiento de unos datos que obran en sus ficheros, y lo exterioriza dando cuenta de dichos datos a todos los recurrentes para conseguir notificar una resolución. Dicha finalidad podría haber sido conseguida, produciendo los efectos de la notificación, sin aludir directamente a todos y cada uno de los recurrentes, acreditándose la infracción del deber de secreto y a no revelar sus datos a otros, aunque participen de su condición de recurrente y dentro del procedimiento acumulado, no se deriva la notificación individualizada con los datos de todos. Respecto a que los datos no pueden calificarse de personales al no contener los DNIS, y no quedan identificados, si que contienen el nombre y apellidos junto a que participaron en la jornada de huelga, se hallan en desacuerdo por el mismo motivo que la recurrente, se les ha desestimado el recurso, junto a que tienen una relación orgánica con la Consejería. A partir de dichos datos y junto a tal información, no solo se da a conocer datos que los interesados no han consentido en querer dar a conocer, sino que resultan identificables. III El artículo 44.2.
3. d)de la LOPD determina la conducta de la Consejería como: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la COMUNIDAD DE MADRID- CONSEJERIA DE EDUCACION ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
4. d)de de la citada Ley Orgánica. SEGUNDO: Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora debido a que es consecuencia de la notificación de un acto administrativo que agota su eficacia con su recepción. TERCERO: NOTIFICAR la presente resolución a CONSEJERIA DE EDUCACION y a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid la COMUNIDAD DE MADRID- www.agpd.es sedeagpd.gob.es 8/8 CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es