1/15 Procedimiento Nº AP/00009/2016 RESOLUCIÓN: R/02395/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00009/2016, instruido por la Agencia Española de Protección de Datos a la entidad UNIVERSIDAD POLITECNICA DE MADRID, vistas las denuncias presentadas, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Durante el período comprendido entre el 27/11/2014 y el 03/07/2015, tuvieron entrada en esta Agencia Española de Protección de Datos ocho escritos de denuncia presentados por los denunciantes cuya identidad consta reseñada en los Anexos, en los que formulan denuncia contra la entidad UNIVERSIDAD POLITECNICA DE MADRID por divulgar diversa documentación relativa al proceso electoral sindical desarrollado en diciembre de 2014 a través de la web www.upm.es, en la URL A.A.A., entre otros, Candidaturas de varios sindicatos y Actas de las Mesas Electorales, que contienen los siguientes datos personales: nombre, apellidos, NIF, sexo, fecha de nacimiento, firma, poder notarial de representación del sindicato y certificación de apoderamiento. Con sus denuncias aportaron copia de la documentación publicada. SEGUNDO: En fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. En fecha de 20/11/2015 se practicó diligencia sobre el resultado del acceso a la página web A.A.A.. Se constató la existencia diferentes ficheros en formato PDF descargables, en los que se recogen datos de carácter personal: nombre y apellidos, nif, sexo, fecha de nacimiento, antigüedad, sindicato y firma del candidato, y en algún caso incluido poder notarial de representación del Sindicato de la Administración Pública (SAP), así como en algún caso certificación de apoderamiento del SAP y fotocopia del DNI. Los ficheros conteniendo la información son los siguientes: 1.1. CANDIDATURA CCOO - PDI FUNC. Y PDI LAB.PDF, 1.2. CANDIDATURA SAP - PDI FUNC. Y PDI LAB.PDF, 1.3. CANDIDATURA UGT - PDI FUNC. Y PDI LAB.PDF, 1.4. CANDIDATURAS PAS CC.OO.PDF, 1.5. CANDIDATURAS PAS CGT.PDF, 1.6. CANDIDATURAS PAS CSIF.PDF, 1.7. CANDIDATURAS PAS SAP.PDF, 1.8. CANDIDATURAS PAS UGT.PDF. Incluye los documentos de remisión de candidaturas a la Mesa Electoral Central (personal funcionario o laboral), suscritos por la Secretaría General de las Secciones Sindicales de las distintas organizaciones y registrados de entrada en el Rectorado de la Universidad, acompañadas de la relación de candidatos recogidas en los formularios oficiales dispuestos por la Comunidad de Madrid, con detalle del nombre y apellidos de los candidatos, NIF, sexo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 antigüedad expresada en meses, fecha de nacimiento, número de registro de personal y firma de la aceptación por los candidatos y de la representante legal del sindicato, así como la organización o coalición y unidad electoral a las que pertenecen (enseñanza, personal docente e investigador. Alguno de estos oficios de remisión de candidaturas acompaña, asimismo, el poder de representación otorgado notarialmente por el sindicato que corresponda a favor de la persona que suscribe el “modelo de presentación de candidaturas” (la denunciante 8), con detalle de la persona que interviene en dicho acto en nombre del sindicato (la denunciante 7, con detalle de su nombre, apellidos, dirección y número de DNI), copia del DNI de la persona que presenta la candidatura (la denunciante 8). 2. En fecha de 20/11/2015 se solicitó información a la Universidad Politécnica de Madrid, que informó lo siguiente: 2.1. Reconoce la Universidad la publicación efectuada y la justifica en el artículo 3 de la Ley de Transparencia, afirmando que dicha Ley incluye en su ámbito subjetivo de aplicación, entre otros, a las organizaciones sindicales. Añade la Universidad que, en los procesos electorales de representación sindical se incluyen los datos con fines de propaganda electoral de las personas que ejercen dicha representación, a los efectos de mantener la relación con candidatos y delegados. 2.2. Argumenta también la Universidad que la publicidad que exige el proceso electoral no conculca los principios rectores de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal (en lo sucesivo LOPD), y añade que el correcto o incorrecto uso que de la información obrante en dichas candidaturas pudiera hacerse no sería imputable a la Universidad ni a la Mesa, sino a quien lo hiciera. 2.3. Incluye la Universidad, en defensa de sus argumentos, que incluso los tribunales, aunque de manera tangencial, han analizado el conflicto entre derecho de información de los procesos electorales y el derecho a la Protección de Datos, señalando, en este sentido, la sentencia de la Sala de lo Contencioso-Administrativo del Tribunal Superior de Justicia de Andalucía de 29 de abril de 2004 o del Tribunal Constitucional de 24 de julio de 2006, relativas al censo electoral, en las que se concluyen que la publicidad de los datos en él contenidos no infringen dicha norma, según interpreta la Universidad, que a su vez considera sería aplicable a la publicidad de los datos contenidos en las candidaturas, sin el previo consentimiento de los afectados a que se refiere el art. 7.2 de la citada Ley Orgánica 15/1999. 2.4. Finalmente aporta la Universidad una nota interior de la Vicegerencia de Personal, de fecha 10/12/2015 en la que pone de manifiesto que se ha procedido a eliminar de la página web los listados objeto de las presentes actuaciones, añadiendo que los listados publicados se correspondían con el Modelo Oficial de la Comunidad de Madrid en el que los sindicatos presentan sus candidaturas, con detalle de los datos de los candidatos, y que se procedió a su publicación por un “exceso de celo, publicidad y transparencia, y obrando de buena fe”, ya que “había personas que no tenían correo electrónico para recibir la documentación y propaganda de las Secciones Sindicales”. TERCERO: Con fecha 13/04/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad UNIVERSIDAD POLITECNICA DE MADRID, por la presunta infracción de los artículos de los artículos 6 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.
- b)y 44.3.d), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, se recibe escrito de la entidad UNIVERSIDAD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 POLITECNICA DE MADRID en el que solicita el archivo del procedimiento conforme a las consideraciones siguientes: . El artículo 2.3.
- a)de la LOPD excluye de su ámbito de aplicación los ficheros regulados por la legislación electoral, incluida la de ámbito laboral, que se rigen por su normativa específica. Su finalidad, vinculada al artículo 28 de la Constitución, sobre el derecho a la libertad sindical, elimina la posible injerencia en la intimidad de los trabajadores. . En virtud de lo dispuesto en el artículo 74 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (BOE de 24 de octubre), el empresario deberá entregar el censo a la mesa electoral para su exposición pública a efectos de que se puedan depurar los errores que se detecten; generando inclusiones, exclusiones o variación de datos incorrectos. Los detalles relativos a la exposición pública del censo y los datos que se deben incluir vienen previstos en el artículo 6 del Real Decreto 1844/1 994, de 9 de septiembre, por el que se aprueba el Reglamento de elecciones a órganos de representación de los trabajadores en la empresa (BOE de 13 de septiembre). En el apartado segundo de dicho artículo se establece que, si bien en cualquier caso se debe hacer público el censo entre los electores, en el supuesto de ser elecciones a comité de empresa la fórmula de comunicación es la exposición del censo electoral en el tablón de anuncios por un período mínimo de setenta y dos horas. No obstante, en la actualidad, es usual su colocación en un tablón de anuncios on line o virtual, opción que parece lógica por otra parte, en un mundo donde el propio BOE ya no existe en soporte papel. Por ello, entendemos que el mandato reglamentario de exposición del censo en un tablón de anuncios constituye un mínimo mejorable con su exposición virtual, que en ningún caso dañe la intimidad de los trabajadores al tratarse de un proceso electoral donde existen unos requisitos para ser elector y elegible. . El artículo 6.3 del Reglamento precitado especifica los datos que debe contener el censo electoral cuando se trate de un empresa con cincuenta o más trabajadores: nombre, dos apellidos, sexo, fecha de nacimiento, documento nacional de identidad, categoría o grupo profesional y antigüedad en la empresa de todos los trabajadores, distribuyéndose en un colegio de técnicos y administrativos y otro de especialistas y no cualificados, y un tercer colegio si así se hubiese pactado en convenio colectivo. . Al regular la normativa específica de los procesos electorales sindicales la exposición de estos datos, no se vulnera ni la regulación de protección de datos ni, en el fondo, el derecho a la intimidad, pues un objetivo público electoral justifica su utilización y obvia la necesidad de consentimiento personal para su inclusión. . El artículo 25 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, establece que el procedimiento para ejercitar los derechos de acceso, rectificación, cancelación y oposición deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero. Los denunciantes en ningún momento se han dirigido ni de forma verbal ni por escrito a esta Universidad, lo que, por un lado, se salta el procedimiento reglamentariamente establecido y, por otro, pone de manifiesto una intención clara de colocarnos en una situación de indefensión, recurriendo directamente a la denuncia a la Agencia Española de Protección de Datos. . Tanto el censo electoral, como la presentación de candidaturas suponen un tratamiento de datos, establecidos en normas con rango legal, necesarios para la participación en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 procedimientos democráticos. Por ello, entiende esta parte que nos encontramos ante uno de los casos exceptuados de exigencia de consentimiento inequívoco del artículo 6 LOPD. QUINTO: Los denunciantes 1 a 4 y 6 a 8 presentaron escrito por el que se personan en el procedimiento. En el caso de los denunciantes 3 y 4, presentaron sendos escritos de contenido similar, en el que declaran que la publicación de sus datos en Internet sin restricción les ha generado un perjuicio evidente que puede afectar a sus posibilidades para encontrar empleo, que ninguna publicidad electoral incluye datos privados de los candidatos, que la Universidad tiene obligación de proporcionar medios como el correo electrónico a todos sus empleados. SEXTO: Con fecha 07/07/2016, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos que integran el expediente de investigación previa E/02913/2015, incluido el Informe de Actuaciones Previas de Inspección emitido, y por presentadas las alegaciones al acuerdo de inicio formuladas por UNIVERSIDAD POLITECNICA DE MADRID. Por otra parte, el instructor del procedimiento acordó incorporar a las actuaciones y el resultado del acceso a las URLs señaladas en las denuncias que han dado lugar al expediente y el resultado de las búsquedas realizadas en Internet con el nombre y apellidos de los denunciantes como criterio, vinculadas al sitio web www.upm.es. La búsqueda mediante Google de las las URLs señaladas en las denuncias no ofrece resultados. Las búsquedas realizadas con fecha 07/07/2016 mediante el buscador de Internet Google con el nombre y apellidos de los denunciantes como criterio, vinculadas al sitio web www.upm.es, ofrece en la primera página de resultados un enlace a la documentación que ha motivado las denuncias, en todos los casos excepto en la búsqueda correspondiente al denunciante 2. SEPTIMO: Con fecha 31/08/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se declare que la entidad UNIVERSIDAD POLITECNICA DE MADRID ha infringido lo dispuesto en el artículo 6 de la LOPD y se acuerde requerir a la misma para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 6 y 10 de la citada Ley Orgánica, así como para que cese en el tratamiento y divulgación de los datos de carácter que constituyen el objeto de las presentes actuaciones. Se propuso, asimismo, que se comunique la Resolución que se adopte al Defensor del Pueblo. Notificada la citada propuesta, se recibe escrito de alegaciones de la UNIVERSIDAD POLITECNICA DE MADRID en el que confirma que los datos que son objeto de controversia forman parte del Registro de Personal de la UPM, y advierte que ha realizado las actuaciones correspondientes en orden a lograr que desaparezca el enlace a los documentos que se ofrecen en la página de resultados en las búsquedas por nombre, así como a adoptar medidas para impedir que en el futuro pueda producirse de nuevo una infracción de este tipo. En concreto, señala que procederá a modificar la estructura de la web para separar la información de interés general de la información de interés exclusivo para la comunidad universitaria (se publicará en la intranet y únicamente la información necesaria para la convocatoria de que se trate), con lo que se imposibilitaría la indexación de documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 incorporados a dicha web por motores de búsqueda en Internet; y a poner en marcha una comisión para la realización de una normativa sobre gestión y publicación de los datos en la Universidad, que incluirá las acciones formativas necesarias para su personal. Añade que solicitará el asesoramiento de la AEPD. En relación con las acciones realizadas para eliminar el enlace a los documentos objeto de las denuncias, aporta los detalles siguientes: . Con fecha 15/09/2016 se ha borrado del gestor de contenidos el artículo “Elecciones Sindicales 2014” que podía verse en el apartado “UPM/CanalUPM/Noticias”, así como los documentos a los que enlazaba, y también documentos relacionados que pudieran ser encontrados por un buscador aunque no estuviesen enlazados. . En la misma fecha se ha solicitado al Google que no ofrezca como resultado la URL denunciada, habiéndose confirmado su eliminación. OCTAVO: Con fecha 22/09/2016, por la Subdirección General de Inspección de Datos se realiza una búsqueda mediante el buscador de Internet Google con el nombre y apellidos de los denunciantes como criterio, vinculadas al sitio web www.upm.es, comprobando que únicamente en el caso de las denunciantes 7 y 8 se ofrece en la primera página de resultados un enlace a la URL que conducía a la documentación que motivó las denuncias. Se acciona dicho enlace y se comprueba que conduce a una página con el mensaje “Error. La página solicitada no fue encontrada”. NOVENO: Con fecha 23 y 27/09/2016, se recibieron sendos escritos de los denunciantes 6, 7 y 8 de la LOPD, en los que señalan que persisten las circunstancias que motivaron sus denuncias y solicitan que cese el tratamiento y divulgación de sus datos personales, que no fue debidamente informada ni consentida, y se verifique que dicha información ha desaparecido en los principales buscadores. Estos escritos no aportan documentación alguna acreditativa de las manifestaciones contenidas en los mismos. HECHOS PROBADOS 1. Durante el período comprendido entre el 27/11/2014 y el 03/07/2015, esta Agencia recibió ocho escritos de denuncia contra la entidad UNIVERSIDAD POLITECNICA DE MADRID, por divulgar diversa documentación relativa al proceso electoral sindical desarrollado en diciembre de 2014 a través de la web www.upm.es, en la URL A.A.A., entre otros, Candidaturas de varios sindicatos y Actas de las Mesas Electorales, que contienen los siguientes datos personales: nombre, apellidos, NIF, sexo, fecha de nacimiento, firma, poder notarial de representación del sindicato y certificación de apoderamiento. 2. Con 20/11/2015, por los Servicios de Inspección de la AEPD se accedió al sitio web B.B.B. A.A.A., comprobando que figuran en el mismo los siguientes diferentes ficheros en formato PDF, descargables: 2.5. CANDIDATURA CCOO - PDI FUNC. Y PDI LAB.PDF, 2.6. CANDIDATURA SAP - PDI FUNC. Y PDI LAB.PDF, 2.7. CANDIDATURA UGT - PDI FUNC. Y PDI LAB.PDF, 2.8. CANDIDATURAS PAS CC.OO.PDF, 2.9. CANDIDATURAS PAS CGT.PDF, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 2.10.CANDIDATURAS PAS CSIF.PDF, 2.11.CANDIDATURAS PAS SAP.PDF, 2.12.CANDIDATURAS PAS UGT.PDF. Se posibilita el acceso sin restricción a documentos de remisión de candidaturas a la Mesa Electoral Central (personal funcionario o laboral), suscritos por la Secretaría General de las Secciones Sindicales de las distintas organizaciones y registrados de entrada en el Rectorado de la Universidad, acompañadas de la relación de candidatos recogidas en los formularios oficiales dispuestos por la Comunidad de Madrid, con detalle del nombre y apellidos de los candidatos, NIF, sexo, antigüedad expresada en meses, fecha de nacimiento, número de registro de personal y firma de la aceptación por los candidatos y de la representante legal del sindicato, así como la organización o coalición y unidad electoral a las que pertenecen (enseñanza, personal docente e investigador,…). Alguno de estos oficios de remisión de candidaturas acompaña, asimismo, el poder de representación otorgado notarialmente por el sindicato que corresponda a favor de la persona que suscribe el “modelo de presentación de candidaturas” (la denunciante 8), con detalle de la persona que interviene en dicho acto en nombre del sindicato (la denunciante 7, con indicación de su nombre, apellidos, dirección y número de DNI), copia del DNI de la persona que presenta la candidatura (la denunciante 8). 3. En respuesta al requerimiento que le fue formulado por los Servicios de Inspección de la AEPD, la UNIVERSIDAD POLITECNICA DE MADRID reconoció la publicación de los documentos reseñados en los Hechos anteriores. 4. Con fecha 10/12/2015, la Vicegerencia de Personal de la UNIVERSIDAD POLITECNICA DE MADRID informó que había procedido a eliminar de la página web los listados objeto de las denuncias. 5. Las búsquedas realizadas por el Instructor del procedimiento con fecha 07/07/2016 mediante el buscador de Internet Google, con el nombre y apellidos de los denunciantes como criterio, vinculadas al sitio web www.upm.es, ofrece en la primera página de resultados un enlace a la documentación que ha motivado las denuncias, en todos los casos excepto en la búsqueda correspondiente al denunciante 2. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
- a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
- f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la incorporación a una página web de un archivo en el que se contienen datos personales puede considerarse un tratamiento incluido en el ámbito de aplicación de la normativa citada, debiendo analizarse en cada caso si este tratamiento se efectúa sobre información concerniente a personas físicas identificadas o identificables. En el presente supuesto, considerando que los documentos incorporados a la web www.upm.es contienen datos de los afectados, según los casos, relativos a nombre y apellidos de los candidatos, NIF, sexo, antigüedad expresada en meses, fecha de nacimiento, número de registro de personal, según el detalle que consta en los hechos probados, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 III El tratamiento que realiza la UNIVERSIDAD POLITECNICA DE MADRID de los datos personales de los afectados, incorporando a la web www.upm.es documentación perteneciente a las elecciones sindicales celebradas en el año 2014 (los correspondientes a la presentación de candidaturas), en las que intervinieron los denunciantes, constituye un tratamiento de datos de carácter personal que ha de contar con el consentimiento expreso de dichos afectados. Por ello, procede analizar el marco normativo aplicable al tratamiento de los datos de carácter personal, considerando la naturaleza de los datos sometidos a tratamiento. En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la LOPD, referido a todo tipo de datos personales, cuyo apartado 1 dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que la entidad UNIVERSIDAD POLITECNICA DE MADRID es responsable de la web www.upm.es y responsable, asimismo, de haber incorporado a la misma numerosos archivos con datos personales de los denunciantes y otros afectados, según el detalle reseñado en los Hechos Probados, los cuales resultaron accesibles a terceros sin restricción alguna durante todo el tiempo en el que permanecieron en dicha web. En concreto, se refieren los denunciantes a los documentos formalizados por las distintas organizaciones sindicales a las que pertenecen para la presentación de candidaturas (personal funcionario y laboral) a las elecciones sindicales celebradas en el año 2014 y su remisión a la Mesa Electoral Central mediante escrito presentado en el Registro del Rectorado de la Universidad. En estos documentos consta el detalle, según ha quedado expuesto, de los datos personales relativos a nombre y apellidos de los candidatos, NIF, sexo, antigüedad expresada en meses, fecha de nacimiento, número de registro de personal y firma de la aceptación por los candidatos y de la representante legal del sindicato, así como la organización o coalición y unidad electoral a las que pertenecen. Alguno de aquellos oficios de remisión de candidaturas acompañan, además, el poder de representación otorgado notarialmente por el sindicato que corresponda a favor de la persona que suscribe el “modelo de presentación de candidaturas” (la denunciante 8), con detalle de la persona que interviene en dicho acto en nombre del sindicato (la denunciante 7, con indicación de su nombre, apellidos, dirección y número de DNI), copia del DNI de la persona que presenta la candidatura (la denunciante 8). La publicación de estos documentos en formato pdf accesible a cualquier tercero no interesado nada tiene que ver con la transparencia del proceso electoral ni con el censo o la exposición pública del mismo. Además, la UNIVERSIDAD POLITECNICA DE MADRID no estableció ningún protocolo que evitara la indexación de dichos documentos por motores de búsqueda en Internet, lo que posibilitó que, utilizando como criterio para esas búsquedas el nombre y apellidos de los denunciantes y afectados, se obtuvieran enlaces a dicha web y, consecuentemente, a la documentación e información reseñada. Por el instructor del procedimiento, mediante el buscador de Internet Google, se realizaron sendas búsquedas utilizando como criterio el nombre y apellidos de los denunciantes, vinculadas al sitio web www.upm.es, obteniendo en la primera página de resultados un enlace a la documentación que ha motivado las denuncias, en todos los casos excepto en la búsqueda correspondiente al denunciante 2. Por tanto, aunque los documentos en cuestión se retiraron de la web, continúan accesibles a través de internet al haber sido indexados por buscadores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 UNIVERSIDAD POLITECNICA DE MADRID no ha acreditado que los afectados hubieran consentido con anterioridad dicho tratamiento de datos personales. Por tanto, resulta que dicha entidad no disponía del consentimiento de los mismos para los tratamientos de datos realizados, resultando, por tanto, evidente la existencia de responsabilidad en los hechos analizados plenamente imputable a dicha Universidad, que trató los datos de los afectados sin su consentimiento. La propia entidad UNIVERSIDAD POLITECNICA DE MADRID, en su respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección de la AEPD, admitió la publicación de documentos reseñados. En el presente procedimiento, por tanto, no hay ninguna constancia de consentimiento para el tratamiento de datos personales realizado y, en cambio, si constan acreditados los tratamientos de datos realizados. Por tanto, se concluye que por parte de la entidad UNIVERSIDAD POLITECNICA DE MADRID se han realizado tratamientos de datos personales que no respetan lo previsto en el artículo 6 de la LOPD, que ha resultado infringido por la citada entidad. Estas conclusiones coinciden con las expresadas por el Tribunal de Justicia de las Comunidades Europeas en sentencia de 6 de noviembre de 2003, dictada en el asunto C-101/01, Caso Lindqvist, en el que se examina la aplicación de la Directiva 95/46/CE a un tratamiento consistente en publicar datos personales en Internet. Esta Sentencia, en sus apartados 24 y siguientes, señala: “24. El concepto de “datos personales” que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva “toda información sobre una persona física identificada o identificable”. Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. 25. En cuanto al concepto de “tratamiento” de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, “cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales”. Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. 26. Queda por determinar si dicho tratamiento está “parcial o totalmente automatizado”. A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. 27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Y la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004, señala en su Fundamento de Derecho Cuarto lo siguiente: “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, antes reseñada. IV El artículo 44.3.
- b)de la LOPD considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se imputa a UNIVERSIDAD POLITECNICA DE MADRID, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, UNIVERSIDAD POLITECNICA DE MADRID ha incurrido en la infracción descrita ya que ha vulnerado el principio citado, consagrado en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
- b)de la citada Ley Orgánica. V Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación a través de Internet de los documentos señalados en las denuncias. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
- g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, la entidad UNIVERSIDAD POLITECNICA DE MADRID, con la incorporación de las documentos citados a su web www.upm.es permitió el acceso por parte de terceros a datos personales relativos a los afectados, según el detalle que conste en los hechos probados, sin que los mismos hubiesen prestado su consentimiento para ello. Por tanto, queda acreditado que por parte de UNIVERSIDAD POLITECNICA DE MADRID se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso no restringido por terceros no autorizados a datos personales sin contar con el consentimiento de los titulares de tales datos personales. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
- d)de la LOPD. En este precepto se establece lo siguiente: “
- d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 En el presente caso, consta acreditado que los datos personales de los denunciantes fueron divulgados a terceros por la UNIVERSIDAD POLITECNICA DE MADRID a través de Internet, sin que dispusiera del consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
- d)de la LOPD. VI Los hechos constatados, consistentes en tratar los datos personales de los denunciantes, insertando unos documentos que los contienen en una web sin el consentimiento de sus titulares, constituye la base fáctica para fundamentar la imputación a UNIVERSIDAD POLITECNICA DE MADRID de las infracciones de los artículos 6 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos que supone incorporar unos documentos a la web deriva, a su vez, en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado Real Decreto 1398/1993, de 4 de agosto, procede subsumir ambas infracciones en una, procediendo imponer únicamente declarar la infracción más grave que, en este caso, corresponde a la prevista para la infracción del artículo 6 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. VII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. VIII En el presente caso, la entidad UNIVERSIDAD POLITECNICA DE MADRID retiró de su web los documentos a los que se refieren las presentes actuaciones y ha solicitado al Google que no ofrezca como resultado la URL denunciada, habiéndose confirmado su eliminación. Asimismo, ha informado sobre las medidas que adoptará para impedir que en el futuro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 pueda producirse de nuevo una infracción de este tipo. En concreto, ha señalado separará en su web la información de interés general de la información de interés exclusivo para la comunidad universitaria, que se publicará en la intranet y únicamente la información necesaria para la convocatoria de que se trate; y que pondrá en marcha una comisión para la realización de una normativa sobre gestión y publicación de los datos en la Universidad, que incluirá las acciones formativas necesarias para su personal. Por tanto, se entiende que la UNIVERSIDAD POLITECNICA DE MADRID ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en los artículos 6 y 10 de la LOPD similar a la examinada en el presente procedimiento. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares, aunque debería verificar si a través de buscadores de internet es posible acceder a información relativa a los denunciantes vinculada al sitio web upm.es, distinta a la accedida mediante la URL señalada en las denuncias que han motivado el procedimiento, y disponer su desindexación o eliminación de la caché de los buscadores si dicha información no es de relevancia pública. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad UNIVERSIDAD POLITECNICA DE MADRID ha infringido lo dispuesto en el artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. SEGUNDO: DECLARAR que la entidad UNIVERSIDAD POLITECNICA DE MADRID ha adoptado medidas de orden interno para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en los artículos 6 y 10 de la LOPD similar a la examinada en el presente procedimiento, por lo que no procede instar la adopción de medidas correctoras. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución y el Anexo 0 a la entidad a UNIVERSIDAD POLITECNICA DE MADRID. CUARTO: NOTIFICAR a cada uno de los denunciantes personas físicas la presente resolución y exclusivamente el Anexo que les corresponda, en el que se incluye su identificación. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es