AAPP-00015-2018

1/10 Procedimiento Nº AP/00015/2018 RESOLUCIÓN: R/01441/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00015/2018, instruido por la Agencia Española de Protección de Datos al SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/07/2017 se recibe denuncia de A.A.A. (en lo sucesivo el denunciante) contra el SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO, por haber accedido a sus datos de modo no justificado y sin su consentimiento. Aporta: 1. Copia del escrito de la TGSS de 7/07/2017, en el que dan contestación a la reclamación del denunciante, sobre el acceso, sin su consentimiento a sus datos personales y laborales. En el escrito se le informa de que han detectado que con fecha 17/01/2017, se realizó un acceso a sus datos personales desde la Gerencia Provincial de Cáceres del Servicio Extremeño Público de Empleo, y que el citado organismo no ha aportado justificación del acceso realizado. En relación con los hechos denunciados, con fecha 31/07/2017, a requerimiento de la Agencia, el denunciante aporta 1. Copia del correo electrónico remitido, con fecha 17/01/2017, 13,42 desde ***EMAIL.1 (B.B.B.) a ***EMAIL.2, en el que se facilita información sobre la situación laboral del denunciante y del reenvío del correo por parte de ***EMAIL.2 a ***EMAIL.3, en la misma fecha, 13,49. En la cabecera, a la derecha del correo, figura la dirección del titular del correo desde el que se imprime, en este caso consta “C.C.C. y la dirección del correo. El literal que constaba era: “Está a media jornada desde 7/09/2016 en ***EMPRESA.1, y desde 16/01/2017 en ***EMPRESA.2 tb con un contrato temporal, pero a jornada completa”. Con fecha 29/08/2017, a petición de la Agencia, sobre la identificación de los titulares de las direcciones de correo electrónico que figuran en la documentación aportada, remite la siguiente información: 1. ***EMAIL.1: Su titular es B.B.B. y es hermana de un funcionario que trabaja en el Servicio Extremeño Público de Empleo, a su vez es pareja de D.D.D., titular de la dirección ***EMAIL.2. 2. Respecto a la dirección ***EMAIL.3, entiende que es otra dirección corporativa de D.D.D.. 3. También manifiesta que D.D.D. es familiar suyo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, obteniendo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 A) Con fecha 4/01/2018, la TGSS ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. No existe dependencia jerárquica ni funcional entre el Servicio Extremeño Público de Empleo (SEXPE) y la Tesorería General de la Seguridad Social (TGSS). El intercambio de información entre ambos se realiza en virtud de un convenio de colaboración suscrito con la Junta de Extremadura el 13/12/2010. Con fecha 3/11/2014, se añadió una Adenda al convenio para actualizar determinados aspectos para adecuarlo a las competencias de las Consejerías que conforman la Administración de la Junta de Extremadura. El SEXPE, es un organismo autónomo adscrito a la Consejería de Empleo, Mujer y Policitas Sociales de la Junta de Extremadura y se encarga de gestionar la oferta y demanda de trabajo y facilitar apoyo a los desempleados en la búsqueda de empleo. Entre sus funciones se encuentra la gestión de las funciones y servicios traspasados de la gestión del Instituto Nacional de Empleo. Según lo dispuesto en el citado convenio, la TGSS facilita a la Junta de Extremadura el acceso a la base de datos del fichero de afiliación. En el caso de la citada Consejería, dicho acceso se restringe a dos transacciones: a. Consulta General de Trabajadores b. Consulta de cuenta de cotización. Dichos accesos cumplen con los principios de confidencialidad, la información solo está disponible para aquellos usuarios debidamente autorizados dados sus cometidos concretos de gestión, por lo que se ha designado un número reducido de usuarios en el citado Organismo. El convenio recoge que el “usuario administrador” de la Junta de Extremadura es responsable de la asignación de perfiles de usuarios que deben corresponderse con las necesidades de gestión y vigilará la correcta utilización de las autorizaciones concedidas. Así mismo, cada usuario es responsable de los accesos que se realicen con su identificador y contraseña, de los que se les informa en el momento de darles de alta, mediante un documento que deben firmar, del que aportan modelo. La TGSS, dentro de sus funciones, realiza auditorías mensuales de los organismos que se seleccionan por el sistema informático configurado con arreglo a unos parámetros de riesgo. También realiza auditorias especificas cuando se producen denuncias, como en este caso, por este motivo han requerido a la Gerencia Provincial de Cáceres del SEXPE para que justifiquen el acceso a los datos del denunciante. 2. Aportan copia del informe que han recibido sobre el citado acceso, en el que se pone de manifiesto que por parte de la mencionada Gerencia se ha solicitado informe al funcionario que realizó el acceso a los datos del denunciante en el fichero de Afiliación, el cual ha enumerado sus funciones como Técnico de Empleo y la necesidad de acceder al fichero de Afiliación para el cumplimiento de las mismas, el funcionario expone en el informe la imposibilidad de conocer el motivo concreto de acceso a los datos del funcionario y apunta la posibilidad de que se trate de un acceso erróneo al introducir el DNI de búsqueda. 3. Por último, manifiestan que por parte de la TGSS se ha informado al denunciante del organismo y la fecha que realizó la consulta de sus datos para que pueda interponer la correspondiente denuncia si considera injustificado el acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 B) Por su parte el SEXPE, ha remitido a esta Agencia, en su escrito de fecha 22/01/2018, la siguiente información en relación con los hechos denunciados (acceso a los datos del denunciante en el fichero de afiliación por parte de un funcionario con fecha 17/01/2017) 1. Con fecha 1/06/2017 remitieron informe a la TGSS, que ya consta en el presente expediente, en el que se transcribe la información proporcionada por el funcionario que realizó el acceso objeto de la denuncia, en la que describe las funciones que desempeña para las que realiza los accesos al fichero de Afiliación, indicando en el caso concreto del acceso a los datos del denunciante que se puede tratar de un error en el identificador D.N.I. del acceso. 2. El SEXPE no dispone de la posibilidad de consultar los accesos al citado fichero con objeto de comprobar la posible similitud del D.N.I. del denunciante con un tercero, no obstante, han solicitado la información a la TGSS. 3. Se ha solicitado de nuevo información al trabajador que realizó el acceso, el cual manifiesta que “habiendo realizado una búsqueda por la fecha indicada-sin aparecer ese DNI-lo más que se aproxima es una oferta que entró el 17/01/2017 de chofer de trailes, número de oferta XX/2017/XXXXX. Entre los candidatos que envié, pero esto ya con fecha 18/01, según consta-había dos que pudieran parecerse y estaban uno junto al otro como era ***DNI.1 y ***DNI.2 y el de esta persona en cuestión es ***DNI.3”. 4. Según manifiestan, todos los empleados públicos con acceso al fichero de Afiliación suscriben un documento en el que se les informa de su responsabilidad en los accesos que se realicen con su usuario y contraseña. Aportan copia del documento denominado, que es un comunicado, firmado el 5/10/2011 por el funcionario que accedió a los datos del denunciante. Dicho documento indica que los trabajos que desarrolle como usuario del sistema informático se han de tener a los fines de gestión para los que está autorizado, y que la asignación de procesos o transacciones no necesarios para la función encomendada puede dar lugar a exigencias de responsabilidad administrativa. 5. Por último, adjuntan modelo del justificante de “demanda de empleo” que se facilita a los demandantes en el que autorizan al SEXPE a que recaben de la TGSS los datos de su vida laboral. (No han aportado ningún documento relativo a alguna solicitud por parte del denunciante.) TERCERO: Con fecha 14/03/2018, la directora de la AEPD acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO, por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 20/04/2018 la denunciada presenta alegaciones pidiendo copia del expediente que le es remitido, y añade; La comprobación de la legitimidad de los accesos es realizada por la TGSS, ellos no disponen de posibilidad de consultar los accesos al fichero de afiliación realizados por los usuarios autorizados, por ello los accesos públicos realizados el 17/01/2017 por E.E.E. no pudieron ser comprobados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 Cada usuario con autorización a los accesos es responsable de los accesos que se realicen con su usuario y contraseña. Tras la recepción de la copia del expediente no se añadieron nuevas alegaciones. QUINTO: Con fecha 5/07/2018, se emite propuesta de resolución con el literal: “Declarar que el SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO, ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. h)de dicha norma.” SEXTO: Con fecha de 2/08/2018 se reciben alegaciones de la denunciada que reitera lo manifestado, añadiendo: - La denunciada no dispone de la posibilidad de consultar los accesos al fichero de afiliación realizados por los usuarios autorizados, por ello tuvo que requerirse a los servicios de la TGSS. Las posibilidades de editar los accesos no son de SEXPE, según el Convenio suscrito. - El acceso a los datos se produjo según el empleado público E.E.E., de modo accidental al introducir el número de identificador del denunciante “sin que haya transmitido esa información a su hermana”. Acompaña un escrito firmado el 25/07/2018 por dicho empleado en el que afirma que desconoce cómo le ha llegado esa información a su hermana B.B.B.. Asimismo, acompaña escrito de esta, de 25/07/2018 en el que expresa que “en ningún momento su hermano le ha facilitado ninguna información referente a la vida laboral o nada que tenga relación” con el denunciante. Concluye que no queda acreditado que el empleado del SEXPE comunicara información obtenida en el fichero de afiliación, no pudiéndose deducir solo de la copia del correo que aporta. Indica que no existe prueba de que el acceso realizado al fichero de afiliación haya sido comunicado por correo electrónico o por otro tipo de soporte, añadiendo que los correos son entre personas que no forman parte del SEXPE, ni está encartado el empleado E.E.E.. - No existe imputabilidad en el SEXPE. HECHOS PROBADOS 1) La TGSS dio respuesta al acceso de datos solicitado por denunciante, y el 7/07/2017 le indica que se había producido un acceso a sus datos el 17/01/2017 por parte de un usuario de la Gerencia Provincial de Cáceres, del Servicio Extremeño Público de Empleo, y que dicha entidad no aportó justificación del acceso a sus datos, “indicando que ha podido tratarse de un error al acceder a los mismos”. 2) Consta un correo electrónico en el que el denunciante se dirige el 27/03/2017 a la Dirección Provincial de la TGSS para poner en su conocimiento el acceso a sus datos de forma no consentida. 3) El denunciante aporta junto a su denuncia un correo electrónico en el que el 17/01/2017 desde la dirección de B.B.B. se envía a C.C.C. un correo sobre situación laboral, sin citar su identidad, indicando que “Está a media jornada desde 7/09/2016 en EME CIA de SEGURIDAD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 E INGENIERIA Y MANTENIMIENTO, Y desde 1 6/01/2017 en ***EMPRESA.2 tv con un contrato temporal, pero a jornada completa”. El mensaje, momentos después se reenvía por C.C.C. a D.D.D. ***EMAIL.3. Según el denunciante, B.B.B. es hermana del funcionario que trabaja en el Servicio Extremeño Público de Empleo, E.E.E., y además pareja de la persona a la que envía el correo, C.C.C. de la dirección ***EMAIL.2. 4) En el Servicio Extremeño Público de Empleo, dependiente de la Consejería de Empleo, Mujer y Políticas Sociales, de la Junta de Extremadura, existe desde 2010, un convenio de colaboración que permite los accesos a bases de datos de la TGSS (afiliación-consulta general de trabajadores INEM y consulta de cuenta de cotización). En ese convenio se prevé que el responsable de la asignación de perfiles de autorización a usuarios es la Junta de Extremadura, realizando la TGSS control y supervisión de acceso a los datos. 5) De conformidad con Convenio, la TGSS puede verificar la persona que efectúa las consultas de los empleados del Servicio Extremeño Público de Empleo que este autoriza para acceder. La TGSS envió una petición de información a la Junta el 5/05/2017 (folio 28) para que le informase de los posibles accesos a las bases de datos de E.E.E., sobre datos del denunciante que se cumplimentó el 7/06/2017. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Con carácter previo procede señalar que la LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” El artículo 3.
4. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
5. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 El derecho fundamental a la protección de datos prosigue la argumentación, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. La infracción imputada del artículo 9.1 de la LOPD, señala que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberá adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, Se produce en este caso un tratamiento al consultar E.E.E., empleado del SEXPE, los datos de un Registro Público como es el procedente de la TGSS al que tenía acceso, sin un motivo aparente y legítimo como es el relacionado con una tarea asignada, y existiendo un correo electrónico de la misma fecha de acceso, que su hermana B.B.B. envía a un tercero, que resulta ser un familiar del denunciante según el denunciante. El artículo 81.2.e del RLOPD indica en cuanto a ficheros, que se aplican los de nivel de seguridad medio a los ficheros o tratamientos: “de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las Mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.” Sobre la naturaleza de las medidas de seguridad, la Audiencia Nacional en sus sentencias, entre otras la de 09/10/2006, Recurso Nº 271/2005 precisa: “…conviene recordar que no basta con adoptar cualquier medida sino aquellas que sean necesarias para garantizar aquellos objetivos que marcan los preceptos trascritos y que, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva para impedir en un caso como el enjuiciado acceso indebidos, aunque sean de los propios empleados de la empresa. En el caso que nos ocupa ha quedado acreditado que la entidad crediticia ahora demandante no prestó la diligencia necesaria en orden a la efectiva observancia de aquellas medidas de seguridad. Ello es así porque si hubiera sido diligente el acceso indebido no se hubiera realizado con tanta facilidad, ni se hubieran podido realizar copias del fichero reservado ni los datos hubieran salido del entorno de la organización. En el caso de haber sido diligentes también habría detectado de forma inmediata las infracciones a las medidas de seguridad implantadas, algo que tampoco ocurrió ya que XXXXXX tuvo conocimiento de los hechos por agentes externos y ajenos a su propia organización...”. Asimismo, la Sentencia de 23/03/2006, Recurso no 478/2004, al hablar de las medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 de seguridad, señala: “…Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva, y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualesquiera otros datos de carácter personal puedan llegar a manos de terceras personas…” El artículo 91.1 del RLOPD señala “Control de acceso” “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.” Consta acreditado que un empleado del SEXPE autorizado con clave de usuario y contraseña accedió a la base de datos de AFILIACION, consultando los datos del denunciante. El acceso a la información y a los datos personales asociados no queda justificado con algún tipo de soporte documental ni con la tramitación de algún tipo de expediente. De tal modo, es imposible acreditar el tratamiento que tiene lugar, al producirse la posibilidad y la realización de accesos a datos que pueden ser arbitrarios o interesados. Sobre el comunicado que firman los empleados referido al compromiso de uso de las transacciones a las que tienen acceso por el desempeño de sus funciones, se concretan en: -Compromiso de utilizar las transacciones con los fines exclusivos de gestión para los que sea autorizado. -Guardar secreto profesional sobre los datos que tenga conocimiento. -Responsable de todos los accesos que se realicen en los ficheros mediante su contraseña y código de acceso. El incumplimiento de las obligaciones indicadas, así como
6. a)el acceso a información por usuario no autorizado.
7. b)asignación del proceso o transacciones no necesarios para la función encomendada.
8. c)falta de custodia o secreto de la identificación personal de acceso. Dará lugar a la exigencia de responsabilidades administrativas “en concreto, las establecidas en el título VII de la LOPD, así como a responsabilidades de cualquier otra naturaleza, incluso penales”. A este respecto se debe señalar: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 1) El empleado no está sujeto a procedimiento sancionador por dichas acciones, pues el artículo 43 de la LOPD, dentro del título VII precisa: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.”, no ostentando el empleado ninguna de estas dos posiciones. 2) No se añaden en el comunicado, facultades o protocolos para la investigación de posibles usos particulares o desviados de los accesos a los datos que revelen o conduzcan a averiguar cuando se tenga noticia por cualquier medio, los accesos producidos. 2) Procedería poner en práctica si no se lleva a efecto, la prohibición de introducir dispositivos para almacenar datos (discos duros o USB) como medio adicional de control 3) Procedería reforzar el régimen disciplinario en cuanto a accesos indebidos y dotar de facultades a la entidad para poder verificar las desviaciones de usos. A tal efecto en este supuesto, no se observa que la denunciada, en el momento de conocer los hechos haya iniciado un procedimiento con intervención de las partes, para esclarecer los hechos, No se aprecia una actitud proactiva para el esclarecimiento de los hechos por parte de la denunciada, considerando que tuvo conocimiento antes de la entrada de la denuncia en esta AEPD. La denunciada ha dado traslado del correo electrónico al empleado, que declara que él no había remitido dicho correo, sin que haya por ejemplo procedido a introducir sobre las consultas no autorizadas y su uso personal, elementos adicionales de control y verificación en varios niveles que realmente sean disuasorios, teniendo en cuenta la tecnología, y respetando los derechos del empleado, como por ejemplo rastreos en los correos electrónicos. Con independencia del alcance del Convenio suscrito con la TGSS que permite el acceso a los datos por parte de los empleados, si se pueden establecer cauces de comunicación instantánea y compartir documentos para que en tiempo real se conozcan las circunstancias de los hechos y se proceda inmediatamente al tener conocimiento al análisis del hecho, y con audiencia del afectado. Esta audiencia habría añadido el hecho de que los datos de alta en las empresas del denunciante estaban en conocimiento de terceros cualificados como es la hermana del empleado, debiéndose haber llevado a cabo una verificación sobre posibles envíos a través del correo electrónico del empleado, circunstancia que es posible con ciertos requisitos, como señala la Sentencia del Tribunal Constitucional 170/2013 de 7/10 que analiza el acceso al correo electrónico de un empleado en relación con las obligaciones contractuales y su relación con el derecho a la intimidad y al secreto de las comunicaciones. En este caso, se podría haber buscado si se produjo el día 17 algún correo electrónico a su hermana, sin acceso a ningún otro correo distinto, algo que no invade la intimidad del empleado En cuanto a la manifestación de que el acceso a los datos se produjo de manera accidental, al enviar el denunciante dos candidatos a una oferta de empleo, se aprecia que los números de los DNIS son muy distintos al del denunciante. En otro sentido, la denunciada no ha investigado la razonabilidad de lo que el empleado alega sobre el citado error ni nada manifiesta sobre la coincidencia de que el mismo día exista una información sobre dichos datos en el correo de su hermana. Se ha de apreciar igualmente que la denunciada, al menos en junio 2017, antes de la entrada de esta denuncia, conocía las circunstancias, y no consta que hubiera aplicado ningún protocolo El denunciante había puesto en conocimiento o ya era conocido por la Admón. de la TGSS y del INSS, al menos antes, de 27/03/2017, según se deduce del folio 5 en que figura un correo en tal sentido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 III La infracción cometida por el SEXPE se tipifica como grave en el artículo 44.3.
9. h)de dicha norma, que considera como tal:” Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” IV El artículo 46 de la LOPD indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones que aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” La cláusula de información de responsabilidad de control de accesos supone un compromiso que debe tener herramientas para verificar su cumplimiento, y el desarrollo de tal medida podría ser adecuada. Las eventuales medidas a considerar tendrían que tener en cuenta los nuevos principios que ha supuesto el RGPD a la luz del que se han de implantar las medidas de seguridad, motivo por el que no se insta una concreta medida a tomar. Vistos los preceptos citados y demás de general aplicación, La directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO, ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
10. h)de la citada Ley Orgánica. SEGUNDO: PROPONER al SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO, la iniciación de actuaciones disciplinarias frente a E.E.E., de conformidad con el artículo 46.2 de la LOPD. TERCERO: NOTIFICAR la presente resolución al SERVICIO EXTREMEÑO PÚBLICO DE EMPLEO. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Si el responsable del fichero es de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es