AAPP-00013-2018

1/7 Procedimiento Nº AP/00013/2018 RESOLUCIÓN: R/01214/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00013/2018, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE MADRID. CONCEJALIA DE GOB. DE SEG. Y SERVICIOS A LA COMUNIDAD, vista la denuncia presentada por D. C.C.C., y en virtud de los siguientes, ANTECEDENTES PRIMERO: El 21/06/2017 tiene entrada en esta Agencia escrito de D. C.C.C. (en lo sucesivo el denunciante), en el que denuncia al AYUNTAMIENTO DE MADRID. CONCEJALIA DE GOB. DE SEG. Y SERVICIOS A LA COMUNIDAD (en lo sucesivo AYUNTAMIENTO DE MADRID), por los siguientes hechos: Ha recibido un correo electrónico de A.A.A. perteneciente al Cuerpo de Voluntarios de SAMURPROTECCION CIVIL del AYUNTAMIENTO DE MADRID, en el que su dirección de correo electrónico estaba visible junto a otra centena de ellos. Que según el denunciante tuvieron lugar a fecha de: 21 de junio de 2017 Y, entre otra, anexa la siguiente documentación:  Copia del correo electrónico recibido. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al AYUNTAMIENTO DE MADRID, 1. EL correo electrónico aportado por el denunciante consta que ha sido enviado el día 21/06/2017 desde la dirección A.A.A. a una lista de distribución de más de 100 direcciones de correo electrónico, entre la que se encuentra la del denunciante B.B.B.. El contenido del correo es referente a una solicitud que se realiza al denunciante de la devolución de la uniformidad por haber causado baja en el cuerpo de voluntarios. 2. Como respuesta al requerimiento de la Inspección de Datos de fecha de salida 05/09/2017, se recibe en fecha 15/11/2017 un correo electrónico de la Jefa del Departamento de Recursos SAMUR-PROTECCIÓN CIVIL en el que pone de manifiesto lo siguiente: 1. El correo electrónico A.A.A. es un correo genérico que sirve de herramienta de comunicación entre los mandos intermedios del Cuerpo de voluntarios y los propios voluntarios para la gestión de las incidencias en materia de uniformidad. Puede ser en consecuencia, utilizado indistintamente por cada uno de los tres mandos intermedios referidos, bajo la supervisión del responsable funcionario del almacén de voluntarios 2. Manifiesta que se ha cometido un error puntual al enviar el correo masivo, utilizando la opción “correo abierto” en lugar de “copia oculta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 3. Se ha realizado en GOOGLE una búsqueda de la dirección de correo electrónico “ B.B.B.” no encontrando resultados que contengan dicho literal. TERCERO: Con fecha 20/02/2018, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a AYUNTAMIENTO DE MADRID por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el apartado 44.3.

1. d)de dicha norma. CUARTO: Notificado el acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 12/03/2018 el AYUNTAMIENTO DE MADRID presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que el correo electrónico A.A.A. se trata de un correo genérico que sirve de herramienta de comunicación entre los mandos intermedios del Cuerpo de voluntarios y los propios voluntarios; que estos cuando ingresan en el cuerpo firman un documento de consentimiento para la cesión de datos y uso de la imagen; que el denunciante firmó un documento el 20/09/2014 en este sentido; que la remisión del correo masivo se trató de un error que en ningún caso presupone que sea la práctica habitual del servicio; que el motivo del uso del correo tras haber causado baja es que procediera a la devolución del uniforme. QUINTO: Con fecha 15/03/2018, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose: Dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/04094/2017. Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00013/2018 presentadas por AYUNTAMIENTO DE MADRID (Dirección General de Emergencias y Protección Civil). Todo ello con su correspondiente documentación adjunta. SÉXTO: En fecha 25/05/2015, fue emitida Propuesta de Resolución en el sentido de que por las Directora de la Agencia Española de Protección de Datos se requiriera al AYUNTAMIENTO de MADRID a la adopción de medidas que garantizaran que en el futuro no se vuelva a producir infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. h)de dicha norma. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de AYUNTAMIENTO DE MADRID transcurrido el plazo establecido no presento alegación alguna a la Propuesta de Resolución. HECHOS PROBADOS PRIMERO. El 21/06/2017 tiene entrada en esta Agencia escrito del denunciante, en el que denuncia al AYUNTAMIENTO DE MADRID, como consecuencia de la recepción de un correo electrónico de A.A.A. perteneciente al Cuerpo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Voluntarios de SAMUR-PROTECCION CIVIL del AYUNTAMIENTO DE MADRID, en el que su dirección de correo electrónico estaba visible junto a otro centenar de ellas. SEGUNDO. El denunciante aporta copia del correo y la cabecera correspondiente, enviado el 21/06/2017 desde la dirección A.A.A. a una lista de más de 100 direcciones de correo, entre las que se encuentra la del denunciante B.B.B.. En el citado correo consta el siguiente mensaje: “Hemos tenido conocimiento de tu baja en el cuerpo de Voluntarios de Samur Protección Civil, y tenemos constancia de que tienen uniformidad que pertenece al servicio (uniformidad de voluntario, o de equipos especiales, o galones de jefatura). Ruego procedas a la devolución de la misma a la mayor brevedad posible”. A continuación le señalan los trámites para llevar a cabo la devolución. TERCERO. En escrito de 15/11/2017, reiterado el 12/03/2018 la entidad denunciada ha manifestado: “Que la remisión del correo masivo se trató de un error, que en ningún caso presupone que sea la práctica habitual del servicio. Que la norma habitual, como no puede ser de otra manera, es el envío de correos masivos con copia oculta”. CUARTO. Consta diligencia del inspector actuante de fecha 16/11/2017 en la que se hace constar que realizada en Google una búsqueda de la dirección de correo electrónico del denunciante no se han encontrado resultados que contengan dicho literal. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales como consecuencia del envío de un e-mail al denunciante por parte del AYUNTAMIENTO DE MADRID. Por tanto, se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En el presente caso, se han difundido datos personales como consecuencia del envío de un e-mail al denunciante por parte del AYUNTAMIENTO DE MADRID; que el e-mail fue recibido por el denunciante según consta en los hechos probados y que en el citado e-mail recibido por el denunciante, sin copia oculta, figuran más de 100 direcciones de correo, por lo que estamos ante la comisión de la vulneración de un deber de secreto. La inobservancia de las medidas de seguridad implantadas o la implantación de medidas de seguridad que devienen ineficaces, trae consecuencias que van en detrimento del derecho fundamental ex artículo 18.4 de la Constitución Española, a la protección de datos personales que limita al uso de la informática para salvaguardar la privacidad de los datos de las personas física. Cuya traducción deviene, entre otros, y como en el presente supuesto, en el incumplimiento del deber de secreto recogido en el artículo 10 de la LOPD. Los hechos anteriormente expuestos son contrarios al deber de secreto y, por tanto, contravienen lo dispuesto en el artículo 10 de la LOPD. III AYUNTAMIENTO DE MADRID, ha presentado las alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción de Administraciones Públicas, indicando que se ha tratado de un error humano y que en ningún caso puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 presuponer que constituya una práctica habitual del servicio afectado. Manifiesta igualmente que la manera habitual en este tipo de comunicaciones es el envío de correos masivos con copia oculta. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
4. d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En definitiva, se ha producido por parte del AYUNTAMIENTO DE MADRID una difusión de los datos personales, como consecuencia del envío de un e-mail al denunciante, sin copia oculta, donde figura una lista con más de cien direcciones de correo, por lo que se entiende se ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en numerosas sentencias, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados, atribuible plenamente al AYUNTAMIENTO DE MADRID. IV La conducta de la denunciada se incardina en el artículo 44.3.
5. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del AYUNTAMIENTO DE MADRID, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En este supuesto concreto, el infractor es una administración pública, cuyo régimen sancionador se establece en el artículo 46 de la LOPD, precepto en el que se establece que la declaración de infracción no lleva aparejada la imposición de una sanción económica. Todo ello, justifica que la AEPD no haya acordado la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. En el presente supuesto, se estima que procede requerir al AYUNTAMIENTO de MADRID a la adopción de medidas que garantice que en el futuro no se vuelva a producir infracción como la declarada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE MADRID (CONCEJALIA DE GOB. DE SEG. Y SERVICIOS A LA COMUNIDAD), ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
6. d)de la citada Ley Orgánica. SEGUNDO: Requerir al AYUNTAMIENTO DE MADRID (CONCEJALIA DE GOB. DE SEG. Y SERVICIOS A LA COMUNIDAD), para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la Ley Orgánica 15/1999. En concreto se insta a la entidad denunciada a adoptar, de manera efectiva, las medidas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, comprometiéndose expresamente a no remitir correos electrónicos en los que las direcciones de correos figuren visibles para todos los destinatarios. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE MADRID (CONCEJALIA DE GOB. DE SEG. Y SERVICIOS A LA COMUNIDAD). CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es