1/11 Procedimiento Nº AP/00012/2018 RESOLUCIÓN: R/00637/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00012/2018, instruido por la Agencia Española de Protección de Datos al Ministerio de Asuntos Exteriores y Cooperación, vistas las denuncias presentadas, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 27 de noviembre de 2017, mediante NOTA INTERIOR, la Directora de la Agencia insta a la Subdirección General de Inspección de Datos el inicio de las presentes actuaciones con objeto de acreditar la posible filtración de datos personales de los españoles residentes en Suecia. Por otra parte, entre el 25 de noviembre y el 30 de diciembre de 2017, se han recibido 8 escritos de ciudadanos españoles residentes en Suecia en los que comunican que con fecha 24 de noviembre de 2017, han recibido un correo de la Embajada de España en Suecia, con el que les remiten una encuesta del CRE (Consejo de residentes españoles), sobre la creación de Aulas de Lengua y Cultura Españolas (ALCE). El correo contiene un fichero adjunto, en formato PDF, de 690 páginas, que contiene los datos personales: nombre y apellidos, dirección de correo electrónico, dirección postal, nº de pasaporte, estado civil, fecha de inscripción en la Embajada… de ciudadanos españoles residentes en Suecia. Y, entre otra, anexan la siguiente documentación: Copia del correo recibido de la Embajada de España en Suecia de fecha 24 de noviembre de 2017, al que se adjunta el citado fichero. Copias parciales del fichero recibido. Uno de los denunciantes aporta un dispositivo USB que contiene el fichero recibido. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se accede al contenido del fichero aportado por uno de los denunciantes, verificando que consta de 690 páginas. El texto que figura en la cabecera del listado es: “Ministerio de Asuntos Exteriores y Cooperación. CONSULADO DE ESPAÑA EN ESTOCOLMO. Listado variable de nacionales”. Se comprueba que el listado contiene los datos de: fecha inscripción, nombre y apellidos, fecha de nacimiento, pasaporte, dirección en el país, dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 electrónico y número de teléfono, y en cada página constan los datos de cuatro o cinco personas, lo que hace un total aproximado de datos de 3000 personas. Con fecha 22 de diciembre de 2017, el Ministerio de Asuntos Exteriores y Cooperación ha remitido a esta Agencia la siguiente información sobre el envío por parte de la Embajada de España en Suecia de un correo electrónico a los residentes Españoles en Suecia, al que se acompañaba un fichero con los datos de todos ellos. 1. El fichero en cuestión, es el denominado SIGECO MATRICULA (Libro de Matrícula Consular), cuya Orden de Creación se publicó en el BOE de 19 de octubre de 2010. 2. El fichero correspondiente a la Embajada de Suecia figura inscrito en el Registro General de Protección de Datos. 3. Los datos que se tratan en el fichero son los proporcionados por los Españoles residentes cuando se dan de alta en el Registro de Matrícula Consular. 4. El fichero, por tanto, contiene los datos de los ciudadanos españoles residentes en la circunscripción consultar de Suecia y tiene como finalidad informarles, protegerlos y asistirlos. También se utilizan los datos para la expedición de pasaportes y salvoconductos. Los datos que contiene son: Código de la representación y del País Número de registro de la matrícula y Datos de carácter identificativo Nivel de Estudios Lugar de inscripción Domicilio postal Lugar de procedencia Representación de procedencia (para procedentes de un lugar distinto a España) 5. Estos datos se ceden a la Oficina del Censo Electoral (Instituto Nacional de Estadística) para la elaboración del Padrón de Españoles Residentes en el Extranjero (PERE) y del Censo de Electores Residentes Ausentes (CERA). 6. La dirección de correo electrónico la facilitan los interesados con carácter voluntario y se utiliza para la elaboración de una lista de distribución en el sistema de correo electrónico OUTLOOK, a la que se envía por parte de la Embajada información de interés general, como por ejemplo convocatoria de procesos electorales, alertas de seguridad y emergencia, así como información procedentes de consejerías sectoriales de las Embajadas y otros organismos públicos como el Consejo de Residentes Españoles (CRE). 7. Al fichero tienen acceso los siguientes usuarios como administradores: El Ministro Consejero, el Consejero encargado de asuntos Consulares, el Canciller y dos oficiales administrativos. Además tienen acceso cuatro usuarios. Respecto a las causas por las que se remitió el fichero adjunto al correo objeto de las denuncias: 1. Con fecha 24 de noviembre de 2017, se recibe en la Embajada un correo electrónico del CRE, en el que les solicitan que remitan a los residentes Españoles una encuesta sobre la creación de aulas ALCE (Agrupación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 Lengua y Cultura Españolas), en el propio correo se indica el texto del correo a remitir. Adjuntan copia del mismo. 2. El correo electrónico de fecha 24 de noviembre de 2017, se envía a 2.360 destinatarios, de los cuales lo reciben 2.057. Del total de destinatarios, 144 había marcado la opción correspondiente a “en caso de que NO desee recibir información de la Oficina Consular por correo electrónico marque X”. 3. El primer error se produce por la elaboración de un fichero con datos de carácter personal innecesarios para el propósito perseguido: dar difusión, entre los residentes españoles en Suecia que desean recibir información de la Embajada, a una encuesta sobre la creación de aulas de español para niños a petición del Consejo de Residentes Españoles (CRE). 4. La aplicación SIGECO permite obtener un listado solo con las direcciones de correo electrónico, único dato necesario para el envío de la información que se quería realizar. No obstante desde la Oficina Consular se elaboró un documento en formato “PDF” con todos los datos del fichero. 5. El segundo error se produjo al adjuntar el fichero que se había elaborado desde SIGECO en formato PDF (***FICH.1) en el correo electrónico remitido a los destinatarios, sin comprobar el contenido del correo antes de su envío. 6. El envío del fichero se debió al hecho de que el Encargado de la Sección Consular remitió un correo electrónico a tres destinatarios (correo institucional de la Embajada y las dos encargadas del mismo). El correo tenía el siguiente asunto: RV: “encuesta del CRE sobre Aulas de Lengua y Cultura Españolas (Alce)” adjuntando el fichero PDF con todos los datos del Registro de Matricula Consular. Aportan copia del correo de fecha 24 de noviembre, en el que además de adjuntar el fichero PDF se indica el texto del correo a remitir, que irá firmado por la Consejera de relaciones institucionales del CRE. 7. El correo contenía dos instrucciones: La primera: enviar el mensaje de parte del CRE a toda la colonia española en Suecia y la segunda: actualizar el listado de destinatarios a partir del fichero que se adjuntaba. El fichero adjunto se había elaborado, con fecha 2 de diciembre de 2016, para convocar las elecciones al CRE. Respecto a las gestiones realizadas al detectarse el error: 1. El envío del correo adjuntando el fichero tiene lugar el 24 de noviembre de 2017 a las 13:04. Ese mismo día, a las 13:37 se remite un segundo mensaje a los mismos destinatarios informándoles del error en el mensaje anterior y rogando que se elimine el fichero. Aportan copia del segundo correo remitido a las 13:37. 2. Se realiza una llamada informando al Vocal Asesor de la Oficina de Información y Transparencia, quien a su vez pasa la llamada a la Inspectora General Jefe de Servicios. También se informó al Embajador que se encontraba en España. 3. La inspectora General Jefe informa a la Agencia Española de Protección de Datos, mediante llamada telefónica el 24 de noviembre de 2017. 4. El 25 de noviembre de 2017, la Embajada envía a los mismos destinatarios del correo, C/ Jorge Juan, 6 28001 – Madrid un nuevo mensaje desde el buzón institucional de la Embajada, www.agpd.es sedeagpd.gob.es 4/11 pidiendo disculpas, asumiendo la responsabilidad por el error y aclarando que ni el CRE ni su consejera tenían responsabilidad alguna en el error. Aportan copia del correo. 5. Se producen varias reuniones para analizar lo sucedido y se ordena una Inspección extraordinaria a la Embajada en Estocolmo, así mismo se requieren informes a la Subdirección General de Informática y a la Embajada. 6. Con fecha 4 de diciembre de 2017, se mantiene una reunión del Embajador y otros responsables de la Embajada con representantes de la asociación de ayuda a españoles en Suecia. 7. Del 13 al 16 de diciembre de 2017, la Inspección del MAEC realiza una Inspección extraordinaria a la Embajada de España en Suecia. 8. El 16 de diciembre se mantiene una reunión con los afectados en la que participan, entre otros, el Embajador y la Inspectora General de Servicios del MAEC. Aportan copia del correo de fecha 7 de diciembre de 2017, remitido a los residentes en el que se les convoca a la citada reunión con objeto de dar explicaciones sobre lo sucedido. Respecto a las medidas adoptadas por el MAEC como consecuencia del incidente: 1. Con fecha 27 de noviembre de 2017, la Embajada solicita al Centro de Atención al Usuario de la Subdirección de Informática del MAEC, que habiliten el programa ADOBE que permite crear ficheros PDF con una clave. La clave solo la tienen el Ministro Consejero, el Consejero encargado de asuntos consulares y la Administrativa que gestiona el Registro de Matrícula Consular. También se reduce el número de usuarios y administradores de SIGECO. 2. El embajador da instrucciones a los usuarios y administradores de SIGEGO para que la información que contiene el fichero, no pueda ser en ningún caso, ni en su totalidad ni parcialmente, impresa o remitida en un documento PDF u otro soporte a ningún destinatario. 3. Se decide reforzar la formación de los trabajadores de la Embajada en protección de datos personales, con atenta lectura de toda la legislación al respecto y se celebra una reunión específica sobre el tema, con objeto de dar contestación a dudas y preguntas. 4. En la reunión mantenida con los afectados el 16 de diciembre, se contesta a todas las quejas y sugerencias formuladas por los asistentes y se decide hacer un estudio de las peticiones formuladas por los afectados. 5. Con fecha 21 de diciembre, se envía un telegrama a todas las representaciones diplomáticas y consulados generales con actualizaciones e instrucciones sobre protección de datos personales. 6. Se acuerda por parte de la Subsecretaría acelerar la puesta en marcha del sistema SIGECO II. 7. El MAEC ha previsto realizar una nueva inspección en la Embajada de España en Estocolmo en el primer semestre de 2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 TERCERO: Con fecha 19 de febrero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ministerio de Asuntos Exteriores y Cooperación, por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el Ministerio de Asuntos Exteriores y Cooperación presentó escrito de alegaciones en el que, en síntesis, manifestaba que: Las medidas expuestas ponen de manifiesto que la respuesta de este Departamento y, particularmente, de la Embajada de España en Suecia, para mitigar las consecuencias del error consistente en el envío del fichero con los datos personales de los residentes en Suecia, fue inmediata y diligente. Por otro lado, este Departamento ha adoptado una serie de medidas correctivas destinadas a impedir que en el futuro pueda producirse de nuevo incidente similar al que ha motivado la incoación de este expediente sancionador. Dichas medidas son, a juicio de este Departamento, suficientes y proporcionadas. Se habilitó el acceso al programa ADOBE, que permite crear ficheros PDF, por medio de una clave que se limitó a un número mínimo de usuarios. También se ha reducido el número de usuarios y administradores de la aplicación SIGECO. Se ha decidido reforzar la formación de los trabajadores de la Embajada en materia de protección de datos personales, y se ha celebrado una reunión específica sobre el tema con el fin de contestar las dudas y preguntas planteadas. En la reunión mantenida con los afectados el 16 de diciembre de 2017 se contestaron todas las quejas y sugerencias formuladas por los asistentes, y se decidió hacer un estudio de las peticiones formuladas. Con fecha 21 de diciembre de 2017 se envió un telegrama a todas las representaciones diplomáticas y consulados generales con instrucciones sobre protección de datos personales. QUINTO: Al haberse reconocido la responsabilidad por la entidad denunciada, procede la aplicación de lo dispuesto en el artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva a la Directora de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: Con fecha 24 de noviembre de 2017, la Embajada de España en Suecia ha enviado a los ciudadanos españoles residentes en Suecia un correo electrónico en el que les remiten una encuesta del CRE (Consejo de residentes españoles), sobre la creación de Aulas de Lengua y Cultura Españolas (ALCE). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 El correo contiene un fichero adjunto en formato PDF de 690 páginas, que contiene los datos personales: nombre y apellidos, dirección de correo electrónico, dirección postal, nº de pasaporte, estado civil, fecha de inscripción en la Embajada…, de ciudadanos españoles residentes en Suecia. El texto que figura en la cabecera del listado es: “MINISTERIO DE ASUNTOS EXTERIORES Y DE COOPERACION. CONSULADO DE ESPAÑA EN ESTOCOLMO. Listado variable de nacionales” SEGUNDO: El Ministerio de Asuntos Exteriores y Cooperación ha informado a esta Agencia de que el 24 de noviembre de 2017, en la embajada de Suecia, se recibió una solicitud del Consejo de residentes españoles para el envío de una encuesta sobre la creación de Aulas de Lengua y Cultura Españolas. Expone que por error se incluyó un fichero PDF con los datos del fichero SIGECO MATRICULA (Libro de matrícula consular), en el mensaje que se envió a los residentes. TERCERO: El Ministerio expone que al detectarse el error, el mismo día se envió un nuevo correo informando del mismo y rogando que se elimine el fichero remitido. Exponen que se informó al Vocal Asesor de la Oficina de Información y Transparencia, a la Inspectora General Jefe de Servicios, quien a su vez informó a la Agencia Española de Protección de Datos, y al Embajador. El día siguiente se envió un nuevo correo desde el buzón institucional de la embajada pidiendo disculpas y asumiendo la responsabilidad. Se analizó lo sucedido, se realizó una inspección extraordinaria en la embajada española en Suecia y se mantuvo una reunión con los afectados para explicarles lo sucedido. CUARTO: El MAEC ha informado sobre las medidas adoptadas como consecuencia del incidente. Se habilitó el acceso por medio de una clave al programa ADOBE, que permite crear ficheros PDF, y se limitó a un número mínimo de usuarios. También se ha reducido el número de usuarios y administradores de la aplicación SIGECO. Se ha decidido reforzar la formación de los trabajadores de la Embajada en materia de protección de datos personales, y se ha celebrado una reunión específica sobre el tema con el fin de contestar las dudas y preguntas planteadas. En la reunión mantenida con los afectados el 16 de diciembre de 2017 se contestaron todas las quejas y sugerencias formuladas por los asistentes, y se decidió hacer un estudio de las peticiones formuladas. Con fecha 21 de diciembre de 2017 se envió un telegrama a todas las representaciones diplomáticas y consulados generales con instrucciones sobre protección de datos personales. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
- c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
- b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se difundieron los datos de carácter personal de los residentes españoles en Suecia, sin su consentimiento. III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales de los españoles residentes en Suecia por parte del Ministerio de Asuntos Exteriores y Cooperación. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en el correo electrónico enviado el 24 de noviembre de 2017 por la Embajada española en Suecia a los españoles allí residentes, se adjuntó un documento PDF con los datos personales de todos ellos. El Ministerio de Asuntos Exteriores y Cooperacion, ha reconocido la responsabilidad de los actos denunciados y manifiesta que los hechos se produjeron por error. Informa el Ministerio que el mismo día se envió un nuevo correo informando del error y rogando que se elimine el fichero remitido. El día siguiente se envió un nuevo correo desde el buzón institucional de la embajada pidiendo disculpas y asumiendo la responsabilidad. Se analizó lo sucedido, se realizó una inspección extraordinaria en la embajada española en Suecia y se mantuvo una reunión con los afectados para explicarles lo sucedido. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente basada en el mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
- d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 En definitiva se ha producido, por parte del Ministerio de Asuntos Exteriores y Cooperación, una difusión de los datos personales de los españoles residentes en Suecia, al incluir un documento PDF en un correo electrónico que se les envió, de manera que no actuó con la diligencia debida, por ello debe considerarse que se ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados, atribuible plenamente al Ministerio de Asuntos Exteriores y Cooperación, de acuerdo con las circunstancias antes expresadas. Expone en sus alegaciones el Ministerio, que se han adoptado medidas de orden interno para evitar futuras infracciones del deber de secreto. Se habilitó el acceso por medio de una clave, al programa ADOBE, y se limitó a un número mínimo de usuarios. También se ha reducido el número de usuarios y administradores de la aplicación SIGECO. Se decidió reforzar la formación de los trabajadores de la Embajada en materia de protección de datos personales, y se celebró una reunión específica sobre el tema con el fin de contestar las dudas y preguntas planteadas. En la reunión mantenida con los afectados el 16 de diciembre de 2017 se contestaron todas las quejas y sugerencias formuladas por los asistentes, y se decidió hacer un estudio de las peticiones formuladas. Con fecha 21 de diciembre de 2017 se envió un telegrama a todas las representaciones diplomáticas y consulados generales con instrucciones sobre protección de datos personales. IV La conducta de la denunciada se incardina en el artículo 44.3.
- d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del Ministerio de Asuntos Exteriores y Cooperación, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal de los españoles residentes en Suecia, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 del artículo 10 de la LOPD. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el Ministerio de Asuntos Exteriores y Cooperación ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR al Ministerio de Asuntos Exteriores y Cooperación la adopción de medidas correctoras, toda vez que se ha constatado que ya se han adoptado medidas correctoras adecuadas para evitar en el futuro una nueva infracción del artículo 10 de la LOPD. TERCERO: NOTIFICAR la presente resolución al Ministerio de Asuntos Exteriores y Cooperación. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es