1/7 Procedimiento Nº AP/00008/2014 RESOLUCIÓN: R/00608/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00008/2014, instruido por la Agencia Española de Protección de Datos a la entidad MINISTERIO DE DEFENSA. SECRETARÍA GENERAL TÉCNICA , vista la denuncia presentada por A.A.A. , y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 26 de noviembre de 2013 tiene entrada en esta Agencia un escrito de doña A.A.A. en el que expone que al buscar su nombre en el buscador Google obtiene, como primer resultado, un enlace a un documento con detalles personales e íntimos de una declaración que realizó en su día en un proceso judicial en calidad de testigo. Solicita el amparo de la Agencia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron diligencias de investigación, teniendo conocimiento de que: 1. En fecha 3 de diciembre de 2013 por la Inspección de Datos se realizó una búsqueda a través de internet, mediante el buscador Google, del nombre y apellidos de la denunciante, verificándose que el primer resultado obtenido está enlazado con un documento denominado Jurisprudencia.............., accesible en la carpeta “XXXXXXXXXXX” del sitio web http://www.portal.......... y que lleva el título “Revista XXXXXXXXXX. Jurisprudencia ................Al analizar en particular las páginas páginas *** a la *** se comprueba que reproducen el texto íntegro de la Sentencia nº ** de DD de MM de AA, por la que se desestimó el recurso planteado por un brigada del Ejército del Aire, en relación con una sanción disciplinaria de separación del servicio. En estas páginas se incluye el nombre y apellidos del recurrente, los de su pareja (la ahora denunciante), y los de otras personas, junto con un detallado relato de su vida privada, que incluye detalles sobre el consumo de sustancias estupefacientes y sobre las circunstancias sanitarias del recurrente. 2. En fecha 26 de diciembre de 2013 se realizó una nueva búsqueda en internet con el buscador Google de las palabras “Jurisprudencia ..................” asociadas exclusivamente al dominio MDE.ES, obteniéndose diversos resultados, siendo el primero de ellos el referido en el apartado anterior. Se verifica que otros de los resultados están vinculados con otras ediciones de la Revista XXXXXXXXXX, que reproducen íntegramente sentencias de órganos contenciosos, incluyendo los nombres y apellidos de los militares recurrentes y de otras personas vinculadas. TERCERO: Con fecha 28 de enero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a MINISTERIO DE DEFENSA. SECRETARÍA GENERAL TÉCNICA con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción de los artículos 6 y 10 de dicha norma, tipificadas como grave en los artículos 44.3
- b)y 44.3
- d)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 06/03/2014 el MINISTERIO DE DEFENSA a través de la ESCUELA MILITAR DE ESTUDIOS JURIDICOS presentó escrito en el que reconocía los hechos y señalaba que en el día de la fecha, ha sido suprimido el tomo de jurisprudencia correspondiente al año AA dónde aparecían los datos personales de la denunciante. QUINTO: Con fecha 07/03/2014 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/07928/2013, así como la documental aportada por MINISTERIO DE DEFENSA, ESCUELA MILITAR DE ESTUDIOS JURIDICOS, la copia impresa del resultado de la búsqueda realizada esa fecha con el buscador Google, de las palabras “Jurisprudencia ..................” asociadas exclusivamente al dominio mde.es y la copia impresa del resultado de la búsqueda realizada en esa fecha con el buscador Google, de las palabras “A.A.A.” SÉXTO: Al haber reconocido el denunciado los hechos que se le imputan y la responsabilidad que se deriva de los mismos, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. SEPTIMO: De las actuaciones practicadas en el procedimiento de Infracción de Administraciones Públicas han quedado acreditados los siguientes: HECHOS PROBADOS Uno.- En fecha de 03/12/2013 tras introducir en el buscador Google, el nombre y apellidos de la denunciante, se obtenía como primer resultado de la búsqueda un documento denominado Jurisprudencia.............., accesible en la carpeta “XXXXXXXXXXX” del sitio web http://www.portal.......... y que lleva el título “Revista XXXXXXXXXX. Jurisprudencia ................... Sala Quinta de lo Militar del Tribunal Supremo. Año AA.” Dos.- En las páginas páginas *** a la ***, del citado documento, se comprueba que reproducen el texto íntegro de la Sentencia nº ** de DD de MM de AA, donde aparecen el nombre y apellidos de la denunciante, y los de otras personas, junto con un detallado relato de su vida privada. Tres.- En fecha de 26/12/2013 2013 tras introducir en el buscador Google las palabras “Jurisprudencia ..................” asociadas exclusivamente al dominio MDE.ES se obtenía como primer resultado de la búsqueda un documento denominado Jurisprudencia.............., accesible en la carpeta “XXXXXXXXXXX” con el título “Revista XXXXXXXXXX. Jurisprudencia ................con los mismos datos personales obtenidos en la búsqueda antes referida. Cuatro.- En fecha de 06/03/2014, el Ministerio de Defensa a través de la Escuela Militar de Estudios Jurídicos, informo que “el tomo de jurisprudencia correspondiente al año AA, ha sido suprimido de la colección digitalizada de la REDEM y con él la referencia al nombre de la denunciante” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Cinco.- En fecha de 07/03/2014 tras realizar las búsquedas referenciadas anteriormente, se comprueba que los resultados obtenidos no contienen la referencia a la Revista XXXXXXXXXX. Jurisprudencia ................... Sala Quinta de lo Militar del Tribunal Supremo. Año AA. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso estamos ante el tratamiento de datos personales de la denunciante cuyo responsable es MINISTERIO DE DEFENSA, ESCUELA MILITAR DE ESTUDIOS JURIDICOS, ostentando así una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. IV Dispone el artículo 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. V El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. VI En el presente caso ha resultado probado que los datos personales de la denunciante estuvieron accesibles por cualquier usuario de la red internet en la publicación que el organismo denunciado editaba como “Revista XXXXXXXXXX. Jurisprudencia ................... Sala Quinta de lo Militar del Tribunal Supremo. Año AA”, en concreto en las páginas *** a *** se reproducía el texto íntegro de la Sentencia nº ** de DD/MM/AA, y la razón por la que aparecían los datos de la denunciante era porque actúo en el proceso como testigo. Dicha circunstancia vulnera los arts. 6 y 10 de la LOPD, en tanto que debe diferenciarse el tratamiento de datos personales que traigan causa en un juicio, y que estaría amparado en el propio apartado 2 del citado artículo, pues con carácter general las leyes procesales de los distintos órdenes jurisdiccionales prevén tal circunstancia y otra bien distinta es su tratamiento consistente en la publicación en un medio de difusión exponencial como es la red internet y cuya finalidad no puede estar amparada en las citadas leyes procesales. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, y negado por la interesado, dicho consentimiento inequívoco, corresponde a la parte que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En este sentido, en atención al juego de la prueba en el procedimiento sancionador, es decir, a la parte que acusa o imputa, le compete probar el hecho constitutivo de la infracción, esto es, el tratamiento de datos (que probó la Agencia), y a la parte imputada, el hecho extintivo o impeditivo, esto es, que contaba con el consentimiento o que concurrían alguno de los supuestos del art. 6.2 de la LOPD. En conclusión, la administración denunciada no tenía el consentimiento de la denunciante para el tratamiento de datos personales realizado. VII Dispone el artículo 44.3.
- b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. Dispone el artículo 44.3.
- d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 que se refiere el artículo 10 de la presente Ley” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado una exposición pública de los datos personales de la denunciante, la entidad denunciada incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando los datos personales del denunciante. No obstante lo anterior, y puesto que se da la circunstancia que la comisión de una infracción implica necesariamente la comisión de la otra, se establece un concurso medial procediendo subsumir ambas infracciones en una. Sin perjuicio de que dada la naturaleza del procedimiento de declaración de infracción de Administración Pública establecido en el art. 46 LOPD, no se prevé sanción económica. Asimismo, en atención a la adopción de medias ya tomadas por la Administración denunciada (y acreditadas por esta Agencia Española de Protección de Datos) consistente en suprimir de la red internet la publicación de la Revista XXXXXXXXXX. Jurisprudencia .................. dónde aparecían los datos personales de la denunciante, no se realiza requerimiento alguno. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar que el MIISTERIO DE DEFENSA a través de la ESCUELA MILITAR DE ESTUDIOS JURIDICOS. DIRECCION GENERAL DE RECLUTAMIENTO Y ENSEÑANZA MILITAR ha infringido lo dispuesto en los artículos 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución la ESCUELA MILITAR DE ESTUDIOS JURIDICOS. DIRECCION GENERAL DE RECLUTAMIENTO Y ENSEÑANZA MILITAR, al superior jerárquico MINISTERIO DE DEFENSA y a A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 El responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es