AAPP-00010-2014

1/8 Procedimiento Nº AP/00010/2014 RESOLUCIÓN: R/01393/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00010/2014, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE TUDELA, vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de febrero de 2013, tuvo entrada en esta Agencia escrito de Don B.B.B. (en lo sucesivo el denunciante) en el que denuncia al Ayuntamiento de Tudela por haberle remitido una Resolución, de fecha 29 de noviembre de 2012, en relación con un procedimiento de “ A.A.A.” en la que figura una relación con los datos personales de aquellos que han solicitado la devolución: nombre y apellidos, domicilio, DNI y cuenta bancaria. Adjunto a la denuncia, se aportó copia de la mencionada Resolución. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, con fecha 24 de junio de 2013 se remitió escrito de solicitud de información al Ayuntamiento de Tudela y de la respuesta recibida con fecha de registro de entrada a esta Agencia 11 de julio de 2007 se desprende lo siguiente: 1. El Ayuntamiento de Tudela manifiesta que por un error humano se tramitó una única resolución para proceder a la devolución de las fianzas depositadas por el interesado y otros, una vez habían causado baja como socios de una instalación deportiva, en lugar de tramitar una resolución por cada interesado, tal y como establece el procedimiento debidamente establecido por el Ayuntamiento. El Ayuntamiento de Tudela manifiesta que dicha resolución fue remitida al domicilio de todos y cada uno de los que figuran en la relación incluida en la Resolución, todos ellos solicitantes de la devolución. 2. El Ayuntamiento de Tudela manifiesta que el denunciante tenía un abono en instalaciones deportivas desde el 20 de septiembre de 2011, y en dicho abono el denunciante aporta los datos personales que después figuran en la Resolución. 3. El Ayuntamiento de Tudela manifiesta que se trata de una incidencia puntual y aislada que no se había dado con anterioridad y que obedece a un “lapsus humano” e indica que remitirán una carta de disculpas al interesado y resto de personas que se les ha trasladado una información que no deberían haber recibido y como hemos expuesto elaboraremos el registro de incidencia y plan corrector. TERCERO: Con fecha 5 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Administraciones Públicas al AYUNTAMIENTO DE TUDELA por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 28 de febrero de 2014, el Ayuntamiento de Tudela presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: - - - - Que el Ayuntamiento de Tudela es consciente de la importancia de las medidas de índole técnica y organizativa que debe adoptar el responsable del fichero y/o del tratamiento, respecto de la seguridad de los datos. Por ello, ha adoptado una serie de medidas y mejoras en cuanto a la corrección de errores, respecto de los ficheros de datos de carácter personal. También ha establecido medidas de seguridad respecto al acceso a la información. En cuanto a los datos personales del denunciante contenidos en la Resolución controvertida, el Ayuntamiento dispone del consentimiento del interesado para usar estos datos personales para la prestación del servicio. El error humano fue el tramitar una única resolución para proceder a la devolución de las fianzas, en lugar de tramitar una resolución por cada interesado, tal y como establece el procedimiento debidamente establecido por el Ayuntamiento. Ante el error detectado se ha puesto en marcha un procedimiento de correcciones mediante un sistema que permite identificar cualquier aspecto no conforme con la LOPD, garantizando el resultado. El procedimiento de no conformidades iniciado por el Ayuntamiento, incluye la presentación de disculpas al denunciante, que ya se ha realizado mediante una carta personal de fecha 17 de febrero de 2014. Asimismo, incluye una serie de acciones preventivas, la generación del procedimiento de no conformidades, una auditoría interna y la generación de un correo informativo recordando el cuidado de la protección de datos de carácter personal. Reitera que lo ocurrido fue un error humano puntual, destacando la falta de intencionalidad y la falta de reiteración o reincidencia. Por todo ello considera que no ha incumplido el deber de secreto y solicita el archivo del presente procedimiento. QUINTO: Con fecha 4 de marzo de 2014, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03134/2013, así como la documental aportada por el Ayuntamiento de Tudela. Asimismo, se dieron por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio AP/00010/2014 presentadas por el Ayuntamiento de Tudela, y la documentación que a ellas acompaña. SEXTO: Con fecha 8 de abril de 2014, la Instructora del procedimiento emitió Propuesta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el Ayuntamiento de Tudela ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma. SÉPTIMO: Con fecha de entrada en la Agencia el 19 de mayo de 2014, el Ayuntamiento de Tudela realizó alegaciones frente a la citada propuesta de resolución en las que se ratificó en lo alegado en el transcurso del procedimiento y solicitó que se proceda al archivo del expediente. HECHOS PROBADOS PRIMERO: Consta acreditado que el Ayuntamiento de Tudela remitió al denunciante, la notificación de una Resolución, de fecha 29 de noviembre de 2012, en relación con un procedimiento de “ A.A.A.” en la que figura una relación con los datos personales de aquellos que han solicitado la devolución. Los datos personales, que fueron remitidos a todas las personas que constan en la relación, son los siguientes: nombre, apellidos, domicilio, DNI y cuenta bancaria, relativos a once afectados (folios 2-5). SEGUNDO: El Ayuntamiento de Tudela ha reconocido que dicha resolución fue remitida a todos y cada uno de los que figuran en la relación incluida en la Resolución y ha manifestado que se debió a un error puntual (folios 14-15 y 28, entre otros). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
4. a)que define C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
5. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” IV Se imputa al Ayuntamiento de Tudela la infracción del artículo 10 de la LOPD que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 comporta con la diligencia exigible. El Tribunal Superior de Justicia de Madrid, en su sentencia de 16 de octubre de 2001, reitera que “el TC en su Sentencia 76/1990, de 26 de abril, nos recuerda que, aún sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho; manifestando la STC 246/1991, de 19 de diciembre, que es inadmisible en el ámbito del derecho administrativo sancionador una responsabilidad sin culpa. La Ley 30/92 ha pretendido regular la cuestión en su artículo 130.1 al consagrar el principio de responsabilidad como uno de los informadores del ejercicio de la potestad sancionadora, estableciendo que “sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia”; el último inciso “aún a título de simple inobservancia” no es muy preciso puesto que pudiera pensarse que consagra una responsabilidad objetiva sin dolo o culpa del sujeto, por lo que deberá interpretarse conforme a la doctrina aludida, así como señala la más reciente jurisprudencia del Tribunal Supremo (SS 16 y 22 de abril de 1991 y 5 de febrero de 1992) uno de los principales componentes de la infracción administrativa es el elemento culpabilista, del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.- Probablemente, el legislador de la Ley 30/92 haya pretendido aludir a que serán sancionables las infracciones meramente formales, aunque no produzcan un resultado dañosos al interés público e, igualmente, que será incriminable la culpa inconsciente o sin representación, atendiendo al aspecto normativo de la culpabilidad según el cual puede reprocharse no haber previsto lo que se podía y debía prever.” Consiguientemente, aún en el supuesto en que se hubiera padecido algún tipo de error, el mismo constituiría una falta de diligencia plenamente imputable a la entidad sancionada, con claro incumplimiento del artículo 10 (...) tipificado correctamente y sancionado como falta grave (...).” En el presente caso, el Ayuntamiento de Tudela remitió al denunciante, la notificación de una Resolución, de fecha 29 de noviembre de 2012, en relación con un procedimiento de “Constitución y Devolución de Garantías” en la que figura una relación con los datos personales de aquellos que han solicitado la devolución. Los datos personales, que fueron remitidos a todas las personas que constan en la relación, son los siguientes: nombre, apellidos, domicilio, DNI y cuenta bancaria, relativos a once afectados (folios 2-5). Y así lo ha reconocido el propio Ayuntamiento que ha reconocido los hechos y ha manifestado que se debió a un error puntual. Sin embargo, la publicación de los datos personales relativos al nombre, apellidos, domicilio, DNI y cuenta bancaria, de cada uno de los once afectados, resulta innecesario, toda vez que hubiera sido necesario que la resolución hubiera contenido estrictamente los datos personales de cada afectado, o que dichos datos personales hubiesen figurado en un Anexo al que no hubieran podido tener acceso más que cada afectado a su Anexo correspondiente junto a la resolución. Por otra parte, el Ayuntamiento de Tudela no ha acreditado ante esta Agencia que contara con el consentimiento del denunciante para la publicación que se detalla más arriba. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En consecuencia, el Ayuntamiento de Tudela al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir los datos personales de los afectados en un procedimiento de “ A.A.A.”. Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la divulgación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales de varias personas entre los que figuran los del denunciante en poder del Ayuntamiento de Tudela fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. V El artículo 44.3.
8. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, hay que entender que por parte del Ayuntamiento de Tudela se ha producido una vulneración del deber de secreto, dado que la información difundida contiene datos de carácter personal concerniente al denunciante y otras personas, y que procede calificar la infracción como infracción grave. VI Expone la entidad imputada que no ha existido culpabilidad en la comisión de los hechos y que todo ha sido debido a un error humano. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
9. d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Conforme a esta doctrina jurisprudencial, es evidente la existencia, en este caso de, al menos, una falta de diligencia plenamente imputable al Ayuntamiento de Tudela por la divulgación de los datos personales de sus administrados al entregar a uno de los once afectados información que contiene datos personales relativos al nombre, apellidos, DNI, domicilio y cuenta bancaria de los otros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 El hecho constatado de la difusión de datos personales especialmente protegidos fuera del ámbito del denunciado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso no se propone que se requiera al Ayuntamiento la adopción de medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la Ley Orgánica 15/1999, puesto que, en el transcurso del procedimiento, ya ha comunicado las medidas adoptadas que se estiman correctas. Por último, y respecto de los datos de terceros que fueron remitidos a Don B.B.B., se recuerda al denunciante que, según el artículo 4.2 de la Ley Orgánica 15/1999 los datos “no podrán utilizarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos”. Por ello, su utilización se limitará al ejercicio de los derechos inherentes a su función de interesado. En consecuencia, no pueden emplearse para fines distintos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE TUDELA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
10. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE TUDELA y a Don B.B.B.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es