1/14 Procedimiento Nº AP/00015/2013 RESOLUCIÓN: R/01731/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00015/2013, instruido por la Agencia Española de Protección de Datos a la GERENCIA MADRID SALUD (AYUNTAMIENTO MADRID), vistas las denuncias presentadas por tres denunciantes, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de enero de 2013, tuvieron entrada en el Registro de documentos de esta Agencia Española de Protección de Datos, los expedientes remitidos por la Subdirección General de Régimen Jurídico y Desarrollo Normativo de la Consejería de Presidencia, Justicia y Portavocía del Gobierno de la Comunidad de Madrid, en los que se contienen las denuncias presentadas por tres denunciantes, de fechas comprendidas entre el 26 de octubre y el 13 de noviembre de 2012, en las que denuncian al Área de Gobierno de Medio Ambiente, Seguridad y Movilidad del Ayuntamiento de Madrid (Gerencia Madrid-Salud), con base en la responsabilidad en que dicho Ayuntamiento pudiera haber incurrido al remitir a sus domicilios –a través del servicio de correos- una resolución con una nota informativa en la que, junto a los datos personales del afectado, se reseña la referencia “sanción consumo alcohol”. Según exponen en sus escritos de denuncia, los denunciantes alegan que: Los datos contenidos en la “nota informativa” que le fue remitida a su domicilio, quedaron a la vista de cualquiera, lo que supone una intromisión ilegítima y una vulneración de sus derechos fundamentales. Los datos contenidos en la “nota informativa” que le fue remitida a su domicilio, quedaron a la vista de cualquiera, siendo accesibles por terceras personas, consistiendo el aviso en una tarjeta completamente abierta, no introducida en ningún sobre, ni con ningún tipo de envoltorio, que fue depositada por el cartero en su buzón. Los datos contenidos en la “nota informativa” que le fue remitida a su domicilio, quedaron a la vista de los funcionarios de correos y de la persona que recogió la notificación, que no tenía por qué ser el interesado. Los expedientes de referencia, que se tramitaban en la Agencia de Protección de Datos de la Comunidad de Madrid, con los números E/235/2012, E/242/2012 y E/255/2012, tuvieron entrada en esta Agencia Española de Protección de Datos, como consecuencia de la extinción de Ente de Derecho Público AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID (APDCM), prevista en artículo 61 la Ley 8/2012, de 28 de diciembre, de Medidas Fiscales y Administrativas de la Comunidad de Madrid para el año 2013 (B.O.C.M. de 29 de diciembre), y de acuerdo con lo dispuesto en su Disposición transitoria tercera. SEGUNDO: A la vista de los citados hechos, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 realización de las actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos: 1) Analizada la documentación obrante en los expedientes, acumulados en las presentes actuaciones, seguidas bajo el número E/01355/2013, de esta Agencia Española de Protección de Datos, se comprueba que, por parte de los denunciantes se acompaña, entre otra, la siguiente documentación: Copia del volante de “aviso de depósito en buzón”, en el que se aprecia, junto con la mención del nombre, apellidos y domicilio del denunciante, la referencia “Notif.: SANCIÓN CONSUMO ALCOHOL V.P”. Copia del volante de “aviso de depósito en buzón”, en cuyo anverso se aprecia, junto con la mención del nombre, apellidos y domicilio del afectado, la referencia “Notif.: SANCIÓN CONSUMO ALCOHOL V.P”. A su vez, según se observa, en el reverso, bajo el título “Nota Informativa”, se comunica que “Intentada en dos repartos la entrega del certificado postal que contiene el documento referenciado y no habiendo resultado posible por AUSENCIA del destinatario o su representante, podrá hacerse cargo del mismo durante el plazo de siete días naturales contados a partir del siguiente a la fecha de este aviso directamente o mediante persona debidamente autorizada, previa cumplimentación de los datos que figuran al dorso de la presente Nota Informativa, en la Oficina de Correos indicada”. 2) Con fecha 5 de marzo de 2013, por parte de la Inspección de Datos de ésta Agencia, se procede a requerir al Gerente de Madrid-Salud, del AREA DE GOBIERNO DE MEDIO AMBIENTE, SEGURIDAD Y MOVILIDAD, DEL AYUNTAMIENTO DE MADRID, la siguiente información: 1. Indicación detallada del procedimiento utilizado en la notificación de denuncias derivadas de expedientes notificados con la referencia “sanción consumo alcohol”, con especificación de la información exacta que se contienen en el documento-volante “aviso de depósito en buzón”. 2. Especificación de si en los supuestos concretos denunciados ante esta Agencia (se acompaña copia), se ha procedido a notificar el correspondiente “aviso de notificación” a los afectados que se encontraban ausentes de su domicilio a través de dicho modelo, que se adjunta. 3. Especificación de la denominación del fichero con datos de carácter personal, así como de sus características, usos y finalidades, que se utiliza por ese Organismo para la realización de los tratamientos de datos relativos a los expedientes por “consumo de alcohol” en la vía pública. 4. Descripción de las medidas de seguridad (artículo 9 LOPD) implantadas en relación con dicho fichero, con especial mención al régimen de acceso a los datos personales incorporados al mismo. Deberá describirse cualquier singularidad que –en su caso- dichas medidas establezcan en relación con la realización de notificaciones a los afectados por los tratamientos de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 5. Remisión del documento de seguridad referido al fichero en el que se traten los datos de carácter personal que pasan a formar parte de los expedientes incoados por consumo de alcohol en la vía pública. 6. En su caso, justificación jurídica en virtud de la cual ése Organismo ha procedido a realizar las notificaciones de “aviso de depósito en buzón” con expresión de la referencia “sanción consumo alcohol”. 7. Cualquier otra información que pueda resultar de utilidad para la resolución del presente expediente. 3) Con fecha de entrada en esta Agencia de 21/03/2013, se recibe informe remitido por el Subdirector General de Recursos Humanos de Madrid-Salud, que, a su vez, contiene informe suscrito por el Gerente de Madrid Salud (firma por delegación del Subdirector General de Prevención y Promoción de la Salud), en el que se responden las cuestiones planteadas en relación con nuestra petición de información, cuyo contenido se transcribe a continuación: “En relación al asunto de referencia se informa que las denuncias a las que se refieren, afectan al fichero denominado “Sanción consumo bebidas alcohólicas” inscrito en la extinguida Agencia de Protección de Datos de la Comunidad de Madrid con el código *** COD.1. El procedimiento utilizado en la notificación de los expedientes sancionadores por consumo de alcohol en la vía pública, es el establecido en los artículos 58 y 59 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común; si intentada la notificación no se hubiese podido practicar se procede a la publicación de anuncio en el Boletín Oficial de la Comunidad de Madrid y en el tablón de edictos del Ayuntamiento del denunciado. Debido al elevado número de expedientes sancionadores tramitados por la citada infracción, se realiza una notificación “masiva” desde el IAM (Informática del Ayuntamiento de Madrid), a excepción de algunos supuestos cuya notificación se emite desde Madrid Salud. A raíz de la modificación de la Ley 5/2002, de 27 de junio, de Drogodependencias y otros Trastornos Adictivos de la Comunidad de Madrid, que entró en vigor el 15/07/2012, se inició la tramitación de este tipo de expediente aplicando un nuevo procedimiento abreviado que incorpora la modificación legal. Las primeras notificaciones se realizaron a partir del 5 de septiembre de 2012. A últimos de octubre ya se hicieron las modificaciones oportunas para corregir los errores detectados en el “aviso de recibo” y en la ventanilla del sobre, el dato que figuraba y que ha sido denunciado (en los documentos 1 ,2 y 3 relación nº **** se puede comprobar que notificaciones con fecha de emisión 30/10/2012 ya estaban corregidos). El objeto de la denuncia fue objeto de subsanación, y actualmente figura como concepto para identificar el aviso de recibo “Madrid Salud”. En el documento 4 que se acompaña, se especifica la información exacta que contiene en la actualidad el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 “aviso de recibo”. En relación a los supuestos concretos que han sido denunciados, se adjuntan los correspondientes AVISOS DE RECIBO, de las notificaciones enviadas (documentos 5, 6 y 7, tal y como se solicita en el punto 2 del escrito recibido). Las especificaciones del fichero son las siguientes: Nombre fichero: Sanción consumo bebidas alcohólicas. Finalidad: tramitar expedientes sancionadores por el consumo de bebidas alcohólicas en la vía pública. Características: Procedimiento administrado, gestión sancionadora. Estructura básica y descripción: • Datos infracciones • Datos identificativos • Datos características personales (fecha nacimiento) El fichero es tratado con un sistema de gestión llamado SIGSA. El documento de seguridad detalla su configuración. Documento que se adjunta en formato CD debido a su extensión. No obstante, como ya se explica más arriba, la referencia a “sanción consumo alcohol v.p.” que se podía leer a través de la ventanilla del sobre por un error de cálculo de los espacios y que figuraba en el aviso que se deposita en el buzón, fue corregido inmediatamente tras su detección.” TERCERO: Con fecha 19 de abril de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la GERENCIA MADRID SALUD (AYUNTAMIENTO MADRID) por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 9 de mayo de 2013, Gerencia Madrid Salud presentó escrito de alegaciones en el que, básicamente, manifestaba lo siguiente: - - - El procedimiento utilizado en la notificación de los expedientes sancionadores por consumo de alcohol en vía pública, es lo establecido en los artículos 58 y 59 de la Ley 30/1992 de RJAP y PAC. Debido al elevado número de expedientes sancionadores tramitados por la citada infracción, se realiza una notificación de forma “masiva” desde el IAM (Informática Ayuntamiento de Madrid), a excepción de algunos supuestos que cuya notificación se emite desde Madrid Salud. A raíz de la modificación de la Ley 5/2012, de 27 de junio, de Drogodependencias y otros Trastornos Adictivos de la Comunidad de Madrid, se inició la tramitación de este tipo de expedientes aplicando un nuevo procedimiento abreviado que incorpora la modificación legal. Las primeras notificaciones ser realizaron a partir del 5 de septiembre de 2012. A finales de octubre ya se hicieron las modificaciones oportunas para corregir los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 - - errores detectados en el “aviso de recibo” y en la ventanilla del sobre, el dato que figuraba y que ha sido denunciado y se puede comprobar (en los documentos aportados a la Agencia el 21 de marzo de 2013) que las notificaciones con fecha de emisión 30/10/2012, ya estaban corregidos. El objeto de la denuncia fue objeto de subsanación y actualmente figura como concepto para identificar el aviso de recibo “Madrid Salud”. Documento rectificado que ya obra en poder de la Agencia en el informe mencionado. La referencia a “sanción consumo de alcohol v.p.” que se podía leer a través de la ventanilla del sobre por un error de cálculo de los espacios que figuraba en el aviso que se deposita en el buzón, fue corregido inmediatamente tras su detección. Alega actuación diligente una vez detectado el error y manifiesta que la Agencia ha procedido al archivo de actuaciones por considerar la actuación diligente cuando tuvo conocimiento de la reclamación administrativa. En base a todo ello, solicitó el archivo de las actuaciones seguidas en el presente procedimiento. QUINTO: Con fecha 13 de mayo de 2013, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por tres denunciantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la Gerencia Madrid-Salud (Ayuntamiento de Madrid), y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01355/2013. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00015/2013 presentadas por la Gerencia Madrid-Salud, y la documentación que a ellas acompaña SEXTO: Con fecha 18 de junio de 2013, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la Gerencia Madrid-Salud (Ayuntamiento de Madrid) ha infringido lo dispuesto en el artículo 9.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- h)de la citada norma. SÉPTIMO: Con fecha 3 de julio de 2013, la Gerencia Madrid-Salud realizó alegaciones frente a la citada propuesta de resolución en las que reiteró lo ya alegado en el transcurso del procedimiento y añadió, básicamente, lo siguiente: - - - Que esa entidad está legitimada para el tratamiento de los datos personales objeto del presente procedimiento en virtud del artículo 6.2 de la LOPD, que no requiere el consentimiento inequívoco del afectado para los datos que se recojan en el ejercicio de las funciones propias de las Administraciones Públicas. Que el artículo 9.1 de la LOPD dispone que el responsable del fichero y en su caso el encargado del tratamiento de los datos deberá adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal. Por otro lado, el artículo 12 de la LOPD no considera cesión de datos el acceso de un tercero a los datos, cuando dicho acceso sea necesario para la prestación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 - - de un servicio al responsable del tratamiento. El artículo 10 de la LOPD regula el deber de secreto que corresponde al responsable del fichero, al encargado del tratamiento y a todos los que intervienen en cualquier fase del tratamiento de los datos. Por tanto, en el caso que nos ocupa, la notificación se realizó siguiendo el procedimiento fijado en la Ley 30/1992, por lo que no debe bastar decir que los datos personales sobre los que se debe guardar respeto se han mostrado a personas no autorizadas, sino que se deberá demostrar que, efectivamente, se ha producido tal revelación de datos. Que esa Administración Local ha adoptado de forma inmediata y diligente las medidas tendentes a rectificar el error material de defecto de forma en la notificación. Que no se puede apreciar mal fe ni intencionalidad alguna. Que no consta que terceros no autorizados hayan podido tener acceso a los datos de carácter personal contenidos en la notificación. Que, en cualquier caso, habría que distinguir entre la protección de los datos y la esfera del honor e intimidad personal y familiar e imagen en cuanto a derecho fundamental recogido en el artículo 18.1 de la CE. Discrepa de la calificación de la infracción como grave, puesto que no afecta a datos especialmente protegidos. Insiste en que esa entidad ha adoptado de forma inmediata y con la máxima diligencia posible todas aquellas medidas tendentes a corregir la posible infracción, cometida debido a un error material de forma en la notificación de la sanción, que se hace mediante volante o recibo de aviso que los Servicios de Correos depositan en el buzón particular del afectado o entregan en el domicilio del mismo, con la única finalidad lícita y legítima de hacerle llegar dicha comunicación en el ejercicio de las funciones propias de las Corporaciones Locales, sin que pueda considerarse que se hayan visto afectos aquellos datos personales que corresponden a la esfera de la intimidad de las personas. Por todo ello, solicitó que se proceda al archivo de las actuaciones seguidas en el presente procedimiento, respecto de la infracción del artículo 9.1 de la LOPD. HECHOS PROBADOS PRIMERO: Con fechas comprendidas entre el 26 de octubre y el 13 de noviembre de 2012, se presentaron tres denuncias contra al Área de Gobierno de Medio Ambiente, Seguridad y Movilidad del Ayuntamiento de Madrid (Gerencia Madrid-Salud), en las que exponen que el Ayuntamiento remitió a sus domicilios –a través del servicio de correosuna resolución con una nota informativa en la que, junto a los datos personales del afectado, se reseña la referencia “sanción consumo alcohol”. Los datos contenidos en la “nota informativa” quedaron a la vista de cualquiera, siendo accesibles por terceras personas, consistiendo el aviso en una tarjeta completamente abierta, no introducida en ningún sobre, ni con ningún tipo de envoltorio, que fue depositada por el cartero en su buzón (folios 1-9, 11-18 y 24-43) SEGUNDO: Consta acreditado que los datos personales quedaban asociados a la referencia “sanción consumo alcohol v.p.” en los siguientes documentos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 - Tarjeta de acuse de notificación (anverso), que contiene los siguientes datos personales: nombre, apellidos y domicilio (folio 15 y 33, entre otros). - Notificación: nombre, apellidos y domicilio (reverso). Objeto: “Sanción por consumo de alcohol en la vía pública” (folio 16, entre otros). - Ejemplar para el interesado de Notificación de Resolución de Procedimiento sancionador: nombre, apellidos y domicilio. Objeto: “Sanción por consumo de alcohol en la vía pública. Lugar de la infracción. Según Acta de Policía nº y fecha de la infracción” (folio 17 y 35 entre otros). TERCERO: Según consta en la documentación remitida a la Agencia Española de Protección de Datos por Madrid Salud, las notificaciones se enviaron de forma “masiva” desde el 5 de septiembre hasta finales de octubre de 2012 (folios 55 y 97) CUARTO: Madrid Salud ha remitido a esta AEPD el documento de seguridad del fichero denominado “Consumo Alcohol Vía Pública” (CD foliado con el nº 53) y los nuevos modelos de notificaciones rectificados (folios 57-63) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter previo al análisis de la infracción imputada procede señalar que el artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” IV Se imputa a la Gerencia Madrid-Salud del Ayuntamiento de Madrid el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88.3, referido al documento de seguridad, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 “El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Igualmente el citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 92. Gestión de soportes y documentos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Así, la Gerencia Madrid-Salud del Ayuntamiento de Madrid está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer un sistema de notificaciones de sus resoluciones de sanción por consumo de alcohol que no impidió de manera fidedigna que los datos personales de los sancionados nombre, apellidos y domicilio completo, pudieran ser accesibles por terceros, asociados a su situación de infractores por consumo de alcohol en vía pública. En este sentido se pronuncia la Audiencia Nacional, en Sentencia de 07/05/2009, en la que se declara lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
- g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corrientese hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividad- pero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V La Gerencia Madrid-Salud alegó a la propuesta de resolución que la notificación se realizó siguiendo el procedimiento fijado en la Ley 30/1992, por lo que no debe bastar decir que los datos personales sobre los que se debe guardar respeto se han mostrado a personas no autorizadas, sino que se deberá demostrar que, efectivamente, se ha producido tal revelación de datos. A este respecto hay que señalar que la infracción imputada no es la revelación del deber de secreto que, efectivamente, es una infracción de resultados, sino la vulneración de las medidas de seguridad en la notificación de “sanción por consumo de alcohol”, que el propio Ayuntamiento ha reconocido que se enviaba de forma “masiva”, dando lugar a que dicha notificación pudiera ser visualizada por personas no autorizadas como, por ejemplo, porteros de fincas u otros terceros no autorizados. Por lo tanto, dicha alegación debe ser desestimada. VI El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que la Gerencia Madrid-Salud del Ayuntamiento de Madrid ha incurrido en la infracción grave descrita. VII A este respecto el artículo 46 de la LOPD indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” En el presente caso no procede requerir la adopción de medidas de orden interno al organismo imputado, toda vez que en el transcurso del procedimiento la Gerencia Madrid-Salud del Ayuntamiento de Madrid ha comunicado a esta Agencia las medidas adoptadas para impedir que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la Ley Orgánica 15/1999. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la GERENCIA MADRID SALUD (AYUNTAMIENTO MADRID) ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente Resolución y el Anexo I a la GERENCIA MADRID SALUD (AYUNTAMIENTO MADRID) y la presente Resolución y el Anexo que le corresponda a Denunciante 1, Denunciante 2 y Denunciante 3 de conformidad con lo estipulado en el artículo 13.2 del mencionado Real Decreto 1398/1993, advirtiéndole la posibilidad de actuar como interesado en el caso de cumplir los requisitos previstos en el artículo 31.1.
- c)de la LRJPAC. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es