1/15 Procedimiento Nº AP/00021/2017 RESOLUCIÓN: R/00084/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00021/2017, instruido por la Agencia Española de Protección de Datos a la DIPUTACION PROVINCIAL DE TOLEDO, vista la denuncia presentada por DOS DENUNCIANTES, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9/01/2017, tiene entrada en esta Agencia un escrito remitido por la Adjunta Segunda del DEFENSOR DEL PUEBLO, en el que ante la queja planteada por los denunciantes en su sede, y su admisión, se solicitó información a la DIPUTACION DE TOLEDO acerca de “las causas por las que dicho escrito fue publicado en los tablones de anuncios de dos pabellones y en fechas distintas, así como sobre las investigaciones que se hubieran realizado para averiguar quién lo ordenó y quien lo llevó a cabo, y en su caso, sobre las medidas que se hubieran adoptado para corregir las conductas”. Se indica por la Diputación en su respuesta que: “realizada una labor de investigación a través de la Gerencia del Centro Residencial dependiente de esa Diputación y transmitidas las órdenes de retirada del documento expuesto en los tablones de anuncios en el que , con los datos personales de los promotores de la queja, se detallaba la controversia surgida entre estos trabajadores del Centro y la Dirección de enfermería, no se habrían podido determinar los medios a través de los cuales habría llegado esa comunicación interior a ese Centro ni los autores de su colocación en el tablón de anuncios de uno de los pabellones residenciales”. La Adjunta Segunda del DEFENSOR DEL PUEBLO remite el escrito a efectos de que la A.E.P.D. valore la posibilidad de realizar de oficio actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen en su caso la iniciación de un procedimiento en relación con la actuación de la Diputación. Al tener conocimiento a través de la DIPUTACIÓN que la hoja expuesta objeto de la denuncia no había sido notificada a persona alguna, sino que había discurrido por la cadena de tramitación y era de carácter interno, se considera que es preciso investigar el ámbito por el que circuló dicho documento, las personas y Unidades relacionadas con su tramitación y modalidad de envío. Así, iniciadas actuaciones previas con la propuesta de la DEFENSORA DEL PUEBLO, el 17/02/2017, el Servicio de Inspección de la A.E.P.D. solicita información a la DIPUTACIÓN PROVINCIAL DE TOLEDO respecto a la exposición en tablones de anuncios de la Residencia Asistida A.A.A.de un escrito que relativa la controversia entre dos empleados de ese Centro y la dirección, escrito que propone se inicie procedimiento disciplinario y va dirigido al Vicepresidente Delegado del Área de Servicios Generales y Empleo. Esta contesta el 9/03/2017: “Tras haber realizado las averiguaciones pertinentes y transmitido órdenes expresas de retirar el documento expuesto en los tablones de anuncios, no se ha podido constatar los medios por los cuales pudo llegar hasta ese Centro el escrito objeto de controversia entre la Dirección de enfermería y dos trabajadores y aún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 menos el autor o autores de la colocación del escrito en el tablón de anuncios de uno de los pabellones residenciales.” SEGUNDO: Con fecha 27/04/2017 se recibe escrito de la DEFENSORA DEL PUEBLO acusando recibo de la comunicación de la AEPD de 9/01/2017 y solicitando información “una vez practicadas y finalizadas las actuaciones previas iniciadas”. TERCERO: Con fecha 4/08/2017 la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a la DIPUTACIÓN PROVINCIAL DE TOLEDO, por la comisión de una infracción del artículo 10 de la LOPD tipificada como grave en el artículo 44.3.
- d)de dicha LOPD. Aunque con el acuerdo de inicio era fácil predeterminar y colegir de que denunciantes se trataba, pues se conocía por la denunciada ya con el Defensor del Pueblo ya con las actuaciones previas, que eran de la Residencia A.A.A. y relacionados con un contencioso de una orden de trabajo, se indicaba en la notificación junto con el acuerdo de inicio que se enviaba un ANEXO 1 en el que se identificaban los denunciantes, si bien en ese primer momento no se anexó la cita de los denunciantes. CUARTO: Con fecha 31/08/2017 se recibe escrito de alegaciones de la denunciada que indica: 1) Los hechos por los que se inicia el procedimiento se refieren a un “presunto escrito” “sin que tengamos constancia de cuál es el contenido del mismo que fue publicado en los tablones de anuncios de los dos pabellones en fechas distintas” Son hechos inconcretos y genéricos pues no se tiene conocimiento del citado escrito. Añade que de la inexistencia de documento que justifique el inicio del expediente queda constancia a través de correos electrónicos intercambiados con el Instructor los días 18 y 23/08/2017. Solicita el archivo del procedimiento por no quedar acreditado el documento administrativo en base al cual se inició el procedimiento. Añade que “Si se pudiese acreditar la existencia de dicho documento, se deberá poner de manifiesto a esta Diputación el contenido del mismo para ejercer el derecho a la legitima defensa”. 2) No se ha acreditado la exposición del mencionado escrito. 3) En el tablón de anuncios “oficial” de la Residencia Social Asistida “A.A.A.” no se ha publicado ningún documento, porque el responsable de la publicación en dicho tablón de anuncios es el Secretario General de la Diputación y por delegación, el Gerente del Centro. Los tablones de anuncios de todos los centros de la Diputación son cerrados con un cristal transparente para poder leer “los anuncios oficiales”. “Otra cosa distinta son las informaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 cualquier empleado público de ese Centro, incluidos los propios denunciantes pueden colgar con una chincheta en un simple tablón de comunicaciones e información entre compañeros” “que existe en cada uno de los pabellones de los residentes, que no tienen la condición de tablón de edictos oficiales” pudiéndose por tanto manipular el contenido de lo “allí expuesto” que en ningún momento tiene la condición de documento público administrativo. QUINTO: Con fecha 6/09/2017 se inicia el periodo de pruebas incorporando la propuesta razonada del Defensor del Pueblo, y toda la documentación generada en actuaciones previas E/0948/2017. Además, se incorpora: 1) Copia de escrito de B.B.B. (DENUNCIANTE 1) registrado en la AEPD el 27/05/2016, 10:03 y de C.C.C. (DENUNCIANTE 2) de 27/05/2016, 10:42. Estas copias se envían a la denunciada. Los escritos de ambos son similares. Los denunciantes ponen de manifiesto en relación con una orden de trabajo encomendada por la dirección que un escrito con fecha entrada en Registro General de la Diputación de 4/04/2016, y de un órgano de la Diputación a otro, en el que se habla del tema, de sus personas, apareció expuesto en la Residencia Social Asistida “A.A.A.” que depende de la Diputación los días 18 y 21/04/2016. El escrito interno recomendaba abrir investigación previa a los denunciantes por si procediera un disciplinario. Aportaban fotografía en la que se podía ver el citado escrito colgado en un tablón, abierto, sin cristales ni llave, y al lado se ve otro escrito distinto con fecha 20/04/2016 que puede remitir a la fecha en que el citado escrito interno figuraba, a modo de fecha de referencia. 2) Copia del escrito del Defensor del Pueblo de 9/01/2017 (folios 1, 2) se envía a la denunciada.) 3) Se incorpora la fotografía en color en la que se ve el citado escrito interno expuesto en tablón a que se refieren los denunciantes, (documento 7, folio 31) para una más clara visualización que la mera fotocopia. 4) Se le envía a la denunciada copia del documento que aparecía expuesto en un tablón del Centro (pabellón 2), folios 29 a 31, así como la fotografía del mismo en el tablón (también en color, folio31 (se envían a la denunciada). Se trata de un escrito con fecha de salida 4/04/2016 número 279, desde la Diputación Provincial-Sanidad y Bienestar Social, firmado por el Vicepresidente y del área de Salud y Bienestar Social y entrada 4/04/2016 a la misma Diputación, Registro General, dirigido a Vicepresidente Delegado del Área de Servicios Generales y Empleo. En dicho escrito se pide, dados los antecedentes que se narran (concretando nombre y apellidos de los dos denunciantes y un trabajo que no cumplieron) que se inicien actuaciones reservadas o expediente disciplinario. 5) En el mismo escrito de comunicación pruebas a la denunciada se pedía a la denunciada:
- a)En sus alegaciones indican que el escrito expuesto en el tablón pudo ser expuesto por algún trabajador compañero o por los propios denunciantes. Para ello debería haber sido entregado a los mismos denunciantes. Se solicita a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 denunciada que informe si desde la fecha de entrada del escrito: 4/04/2016 a 21/04/2016, el citado escrito de carácter interno fue entregado a denunciantes, empleados o terceros, acreditándolo.
- b)Se solicita a la denunciada que informe en que unidad, edificio y dirección se sitúan la Unidad de salida y la Unidad de entrada del escrito expuesto en el tablón fechado a 4/04/2016. Modalidad por la que se registra el documento y que personas llevan a cabo la entrega y la recepción del escrito.
- c)Se solicita a la denunciada explique qué personas tienen acceso a dicho documento una vez registrado de entrada el 4/04/2016 y si dicho documento se escanea y se almacena electrónicamente en ese momento o con posterioridad en algún ordenador.
- d)Se solicita a la denunciada que aporte fotografía de los tablones oficiales cerrados de que dispone en la Residencia Social Asistida “A.A.A.” y fotografías de los que no son cerrados y los usos para los que han sido autorizados los abiertos. Se ruega aporten un croquis donde se hallan colocados todos, indicando el número de pabellón en que se hallan, que personas pueden transitar por dichos espacios y si el tablón es abierto o cerrado, y quien dispone de llaves para exponer anuncios.
- e)Se observa también en el fotografía aportada por DENUNCIANTE 1 del tablón del Pabellón 2 de la residencia, que constan una especie de cuadrantes con nombres de empleados y a la derecha un listado con datos personales de empleados, se solicita a la denunciada que informen que tipos de documentos son, procedencia se conocen y quien decide exponerlos. En el escrito de petición de pruebas se indicaba también “En cuanto a que no conocían el contenido del escrito expuesto en el tablón de la Residencia de Asistencia A.A.A. ni la identidad de los datos expuestos, se le indica que aunque no se identifica plenamente en el Acuerdo de inicio dichos extremos, el escrito y el tablón, el Defensor del Pueblo en la petición de información a la Diputación identificaba el conflicto con los empleados de Enfermería (los denunciantes) de la Residencia Social Asistida A.A.A., y se describe el escrito. Por otro lado, también respondieron el 4/10/2016 en actuaciones previas del presente procedimiento sobre la colocación del documento en el tablón (folio 5).” A la petición de pruebas, la denunciada no se contestó, recibiendo el comunicado el 12/09/2017. SEXTO: Con fecha 3/10/2017, la denunciada presenta escrito indicando que “Sin la remisión completa del expediente no se han podido formular alegaciones, produciéndose indefensión. Al no haber podido formular alegaciones al inicio del expediente se vulneran sus derechos considerando anulado el periodo de apertura de prueba”. Solicita la copia completa del expediente. Se envía copia del mismo que aparece recibido el 13/10/2017. SÉPTIMO: Con fecha 30/10/2017 presenta la denunciada nuevo escrito en el que reitera que se le ha causado indefensión al no disponer del expediente administrativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 completo, solicitando la nulidad del procedimiento. Acompaña informe en el que señala: 1) La incorporación de la denuncia de B.B.B. de 24/05/2016 ante la AEPD, en el periodo de pruebas, con posterioridad al inicio del mismo, tras la primera solicitud del expediente completo por parte de la denunciada, es una acción de obstrucción por parte del Instructor por no poner a disposición de la denunciada todos los hechos y documentos que obraban en poder de la AEPD. Considera que la primera petición de “expediente completo” se hizo en escrito de 30/08/2017, refiriéndose posiblemente a su escrito de entrada 31 del mismo mes, alegaciones al acuerdo de inicio. Reitera que los actos del procedimiento son nulos de pleno derecho. 2) Reitera que no procede iniciación del periodo de prueba. 3) Manifiesta la denunciada indica en alegaciones al acuerdo que los hechos “no han sido constatados por ningún funcionario público que acredite el desarrollo de los hechos de los que se imputa a la Diputación”. OCTAVO: Al hacer referencia la denunciada en alegaciones a los correos intercambiados con el Instructor, para aclarar los términos, se incorpora la impresión de los mismos. -En el primero, de 18/08/2017 (el acuerdo de inicio consta recibido por la denunciada el día anterior) el Instructor remite a la Diputación un correo en el que le informa que en el acuerdo de inicio falta el ANEXO 1, que contiene los nombres de los denunciantes que interpusieron la queja ante el Defensor del Pueblo. Estas personas habían interpuesto también sendas denuncias en la Agencia, que se incorporan en pruebas dado que el procedimiento se inició por petición razonada del Defensor del Pueblo. La incorporación guarda relación con los hechos acontecidos y ese fue el motivo por el que se incorporaron. Ello no quiere decir que los hechos no estuvieran predeterminados y no fueran conocidos por la denunciada con la mera lectura del acuerdo de inicio. -En el segundo, enviado desde la Diputación, el 23/08/2017, 11h 01, se indica “Necesito saber a qué escrito se están refiriendo en el expediente de denuncia”, a lo que el instructor respondió el 23/08/2017 “En cuanto a lo de “escrito” no se a cuál se refiere, si me dice donde figura esa expresión verá la relación en la que se menciona y le podré aclarar”. Se respondió por correo de la Diputación de 23/08/2017 a 11h 32: “El tema es muy sencillo, en base a qué documento se inicia el expediente sancionador, o es por libre criterio de alguien”. El escrito que motiva la aclaración de este correo de 23/08/2017 parece evidente que es el mismo escrito sobre el que el Defensor del Pueblo pidió explicaciones a la Diputación, el que figuraba colgado en un pabellón de la residencia. Este escrito también le fue puesto a disposición de la denunciada junto con el resto del expediente el 13/10/2017, que fue cuando solicitó la copia completa del mismo. Asimismo, de este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 documento, tenía conocimiento la Diputación, por la petición que se hizo desde esta Agencia en actuaciones previas. En ambos casos, la denunciada respondió que no supo el motivo por el que el documento figuraba expuesto al público, añadiendo en ambas sedes que “había sido retirado”. La falta de mención en el acuerdo de inicio no causa indefensión considerando además que el acuerdo de inicio contiene lo mínimo imprescindible para fundamentar una imputación sobre la que la denunciada solo ha alegado la citada indefensión Tampoco se asume la alegación de que es nulo el pase a la fase de pruebas o las pruebas en sí que abrió y solicitó el Instructor del procedimiento por el hecho de entender que previamente se ha causado una indefensión irreparable que da lugar a la nulidad de actuaciones al no ser dicha razón primigenia atendida. Siendo las pruebas razonables para explicar lo sucedido y determinar que pudo fallar en la custodia del documento y establecer medidas para que no se repitan los mismos hechos, la denunciada no dio razón alguna para comprender lo acontecido. NOVENO: Con fecha 23/11/2017 se incorpora al procedimiento: 1) Las denuncias de los denunciantes se articularon en el expediente número E/03733/2016. Se incorpora copia de la resolución del mismo, firmada el 14/11/2016. En la resolución de “inadmisión a trámite” se acuerda “no incoar actuaciones inspectoras y no iniciar procedimiento sancionador o de infracción de las Administraciones Públicas”. En la misma se indicaba que siendo un tablón de anuncios abierto, no era posible atribuir la autoría de los hechos. También, como se indica, en la misma no se realizó investigación alguna, ni se determinó que el documento expuesto era o podía ser interno. Estas resoluciones de inadmisión solo se notifican a los denunciantes. 2) Copia de las resoluciones de los recursos de reposición interpuestos por los denunciantes: RR/00863/2016 y RR/00864/2016, de 23/01/2017, que desestiman los recursos contra el E/03733/2016. En la misma fecha, se comunica a la denunciada dicha incorporación, figurando el escrito recibido el 24/11/2017. Con fecha 5/12/2017 el Instructor envía copia de dichos documentos a la denunciada, teniendo en cuenta que hacía poco había pedido para que completara el mismo, y a los efectos de que eventualmente alegara lo que considerara oportuno. Se recibió escrito de la denunciada de 12/12/2017 en el que se ratifica en el remitido el 27/10/2017. DÉCIMO: Con fecha 20/12/2017 se emite propuesta de resolución del literal: “PRIMERO: Declarar que la DIPUTACION PROVINCIAL DE TOLEDO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 SEGUNDO: Requerir a la DIPUTACION PROVINCIAL DE TOLEDO, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD. TERCERO: Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. CUARTO: Comunicar la Resolución que se adopte al DEFENSOR DEL PUEBLO de conformidad con lo establecido en el artículo 46.4 de la LOPD.” Frente a la propuesta, no se recibieron alegaciones. HECHOS PROBADOS 1) Con fecha 27/05/2016, B.B.B., y C.C.C., enfermera/o en la Residencia Social asistida “A.A.A.”, dependiente de la Diputación Provincial de Toledo, presentaron denuncia ante la AEPD por la exposición de un documento de 4/04/2016 en dos ocasiones y en dos tablones de anuncios distintos de su centro de trabajo (pabellón 5, el día 18/04/2016 y en el pabellón 2 el 21/04/2016). Por dicho espacio pueden deambular los empleados de la Residencia. Originariamente las denuncias de los denunciantes de 27/05/2016 (expediente E/3733/2016), fueron resueltas el 14/11/2016 en el sentido de “no iniciar actuaciones inspectoras y no iniciar procedimiento sancionador”, y confirmadas en reposición (expedientes RR/863/2016 y RR/864/2016 el 23/01/2017). En estos procedimientos solo se notifican dicho acuerdos a los denunciantes. En el citado procedimiento no se preguntó a la Diputación. 2) El documento expuesto en tablones es un escrito del Vicepresidente y Delegado del Área de Salud y Bienestar de la Diputación dirigido al Vicepresidente Delegado del Área de Servicios Generales y Empleo, con sello de salida y entrada en Registro General de la Diputación el mismo 4/04/2016. El escrito explica la supuesta desobediencia a una orden de trabajo de los dos denunciantes, expone sus nombres y apellidos y propone que se inicie un expediente informativo con el fin de iniciar, si procede un expediente disciplinario. 3) Los denunciantes aportan una fotografía en que se ve el documento de 4/04/2016 expuesto en un tablón de anuncios abierto, y al lado, diversos documentos, uno de ellos con fecha 20/04/2016 que puede revelar, por la fecha, que a esa fecha o a partir de esa fecha estaba expuesto. 4) El citado documento de 4/04/2016, entre los días: 4 y 18/04/2016 o incluso hasta 21/04/2016, no consta haberse notificado a persona alguna y se presume que debía llevar el cauce de despacho de los escritos internos entre órganos de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 5) Con fecha de entrada en la AEPD 9/01/2017, se recibe propuesta del DEFENSOR DEL PUEBLO motivada por la tramitación de la queja de los denunciantes. En ella se insta a la AEPD a realizar actuaciones previas, tras haber preguntado por los hechos y las circunstancias a la Diputación. Con fecha 17/02/2017 la AEPD preguntó a la Diputación “las conclusiones sobre el origen y colocación en los tablones de la Residencia asistida “A.A.A.” de un escrito en el que se detallaba la controversia entre dos empleados y la Dirección, en la que se proponía la instrucción de un expediente disciplinario”. La denunciada respondió “tras haber realizado las averiguaciones pertinentes” y “transmitido las órdenes expresas de retirar el documento expuesto en los tablones de anuncios, no se ha podido constatar los medios por los cuales pudo llegar hasta este Centro el escrito en el que se detallaba la controversia.”, “y “aún menos el autor o autores de la colocación del escrito en el tablón de anuncios de uno de los pabellones residenciales”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) en su artículo 54 indica que los procedimientos:” podrán iniciarse de oficio o a solicitud del interesado.”, a lo que se añade que el artículo 63 de la misma Ley indica que “Los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente.” Dentro del iniciado de oficio, este puede proceder, según el artículo 58 de la misma Ley: “Los procedimientos se iniciarán de oficio por acuerdo del órgano competente, bien por propia iniciativa, o como consecuencia de orden superior, a petición razonada de otros órganos o por denuncia.” El contenido de la petición razonada de otros órganos se contiene en el artículo 61 de la misma Ley que indica: “1. Se entiende por petición razonada, la propuesta de iniciación del procedimiento formulada por cualquier órgano administrativo que no tiene competencia para iniciar el mismo y que ha tenido conocimiento de las circunstancias, conductas o hechos objeto del procedimiento, bien ocasionalmente o bien por tener atribuidas funciones de inspección, averiguación o investigación. 2. La petición no vincula al órgano competente para iniciar el procedimiento, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 3. En los procedimientos de naturaleza sancionadora, las peticiones deberán especificar, en la medida de lo posible, la persona o personas presuntamente responsables; las conductas o hechos que pudieran constituir infracción administrativa y su tipificación; así como el lugar, la fecha, fechas o período de tiempo continuado en que los hechos se produjeron.” El artículo 55 de la LPACAP indica: “1. Con anterioridad al inicio del procedimiento, el órgano competente podrá abrir un período de información o actuaciones previas con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. 2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros. Las actuaciones previas serán realizadas por los órganos que tengan atribuidas funciones de investigación, averiguación e inspección en la materia y, en defecto de éstos, por la persona u órgano administrativo que se determine por el órgano competente para la iniciación o resolución del procedimiento.” También el artículo 122.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) indica:” Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.” La resolución de las denuncias presentadas por los denunciantes archivando en primera instancia sus denuncias como “inadmisión a trámite” no cuestiona posteriores circunstancias que se revelan tras el inicio de actuaciones de investigación. III La infracción imputada a la denunciada es la del artículo 10 que precisa: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. El Art. 10 de la LOPD regula de forma concreta el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como el artículo 11 (cesión de datos) o artículo 12 (acceso a los datos por cuenta de terceros). Se inició procedimiento por infracción del artículo 10 de la LOPD contra la denunciada por el hecho de que un documento interno que no ha sido comunicado a persona alguna, se expusiera en el tablón de la Residencia A.A.A.. Se trata del documento interno de 4/04/2016 del Vicepresidente y Delegado del Área de Salud y Bienestar Social, dirigido al Vicepresidente Delegado del Área de Servicios Generales y Empleo. El documento entró en el Registro General el mismo día 4, y se pone en conocimiento del órgano interno competente unos hechos por si pudieran ser constitutivos de falta disciplinaria. El documento refiere datos de los denunciantes y un conflicto con la entidad respecto a una orden de trabajo que considera desobedecieron, pidiendo el inicio de actuaciones previas de cara al disciplinario. El documento interno apareció expuesto en un tablón. Si bien hay ocasiones la propia normativa exige la transmisión de la información y datos, no existe un deber de secreto que resulte ilimitado y aplicable en cualquier caso. No es lo acontecido en el presente caso, que se trata de un comunicado entre dos órganos y que no se exterioriza en cuanto no se notifica a persona o interesado alguno. Por tanto, el responsable del fichero es el responsable de la infracción que consiste en que los datos de los denunciantes han podido llegar a ser conocidos a terceros en el tablón. El documento expuesto que tuvo entrada en registro el 4/04 apareció en un tablón abierto el 21/04. Con independencia de si este tablón es cerrado o abierto, el documento y los datos estaban en custodia de la Diputación, procedente de dicha entidad, y destinado a otro órgano interno. En el transcurso de dicha remisión es previsible que alguna persona que participa en el despacho del escrito, teniendo acceso por el despacho o custodia del mismo, obtuviera copia del mismo, resultando expuesta en dicho tablón. La única entidad que tenía el documento era la Diputación, y el origen de los datos procede de dicho responsable, luego la responsabilidad de que los datos salgan del circulo de custodia es del responsable del fichero, con independencia de la eventual investigación que pueda haber iniciado con el fin de reconducir las eventuales responsabilidades del empleado o empleados que llevaron a cabo la acción. Con independencia de que el tablón fuera cerrado o abierto, se acredita que un documento interno sobre el que debe regir el deber de secreto de los datos, figuraba expuesto en dicho tablón. No acredita la denunciada que dicho documento hubiera sido entregado a los denunciantes, o a terceros, acreditándose por el resultado producido, que alguna persona que estuvo en contacto con el mismo por la tramitación del asunto, accedió y obtuvo copia. La exteriorización del documento con el dato en el tablón acredita y confirma la infracción. Por otro lado, la denunciada admite que ordenó la retirada del mismo. La denunciada no ha sabido dar explicación alguna de porque un documento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 comunicación interna entre dos órganos de la Diputación, que debía ser guardado para la tramitación del asunto, fue a parar al tablón donde se expuso. El caso es que los datos y la información asociada a los mismos salieron del ámbito del responsable del fichero. Se acredita la comisión de la infracción del artículo 10 de la LOPD por parte de la denunciada. IV La infracción está tipificada como grave en el artículo 44.3.
- d)de dicha norma, que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. V Sobre el hecho de que el tablón en el que se hallaba expuesto el documento pudiera no ser el oficial para notificar avisos oficiales, ello nada tiene que ver con la custodia del documento y los datos asociados al mismo, que todavía estaban en sede interna y no había trascendido a persona alguna, luego el hecho imputado no varía por tal circunstancia. En cuanto a la indefensión, siguiendo la doctrina del Tribunal Constitucional, se ha sostenido que para que la indefensión tenga la eficacia invalidante es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que tales defectos haya originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (en este sentido SSTC 155/1988, de 22 de julio ; 137/1996, de 16 de septiembre ; 89/1997, de 5 de mayo ; 78/1999, de 26 de abril , entre otras). Respecto de las alegaciones del desconocimiento del escrito que motiva el acuerdo de inicio y de las personas denunciantes, se debe inferir que tanto por las actuaciones del Defensor del Pueblo como por las actuaciones de investigación de la AEPD, la denunciada tuvo conocimiento de los empleados que hicieron su queja, del documento que se trataba y del hecho que motiva la queja, su exposición en tablones abiertos al público en la Residencia A.A.A. de la Diputación. Además se ha tenido derecho a la defensa durante toda la fase anterior a esta propuesta. No se causa indefensión material en el citado acuerdo de inicio y no es asumible la alegación de dicha indefensión En el supuesto que nos ocupa, además, la denunciada aduce que la Administración no atendió a su petición de poder examinar el expediente, sin embargo consta en el expediente que la Agencia le envió copia del mismo cuando lo pidió, no constatándose que antes de dicha fecha fuera solicitado sin que por lo demás, se aprecie indefensión material alguna. La denunciada tuvo conocimiento de la existencia del procedimiento administrativo e incluso solicitó la copia de la documentación del expediente administrativo y no consta que presentase alegaciones tras el envío de la copia del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 En cuanto a la alegación de la incorporación en el periodo de pruebas de la denuncia ante la AEPD de 24/05/2016 de los denunciantes, así como la resolución de su caso con posterioridad al inicio del mismo, la denunciada dice que a posteriori de la primera solicitud del expediente completo por parte de la denunciada, se debe concretar: -Teniendo en cuenta que el 6/09/2017 es cuando se incorpora dicho documento, que luego se amplía mediante escrito del Instructor de 23/11/2017, en ambos casos, se notifica a la denunciada el 12/09 y 5/12/2017. El expediente completo es pedido por la denunciada el 3/10/2017 y lo recibe el 13/10/2017. Una vez recibida toda la documentación, la denunciada no ha contestado a las pruebas que se propusieron. La indefensión alegada por la denunciada ha sido contestada previamente. La propuesta razonada del Defensor del Pueblo que da origen al procedimiento indica y precisa que de dicho documento se dio traslado a la Diputación, luego esta debería conocer cuál es el documento, al ser la misma denunciada a la que se le pregunta y responde. También la misma Diputación respondió en actuaciones previas de la AEPD sobre dicho escrito, no dudando de su contenido. Los añadidos de la incorporación de las denuncias de los denunciantes que también interpusieron su queja ante el Defensor del Pueblo, lo son para completar el expediente por guardar intima conexión con el mismo, y de ello ha sido informada la denunciada. -La resolución originaria de las denuncias de las que resolvió no iniciar actuaciones inspectoras y no iniciar procedimiento de infracción, resuelve para los afectados solo en ese sentido, sin perjuicio de que en este caso se reconsiderara la opción al recibir el escrito del Defensor del Pueblo, y se optara por iniciar actuaciones, siguiendo lo señalado en el artículo 122 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD). Volviendo sobre el escrito que motivó la queja y el acuerdo de inicio, las consideraciones del Defensor del Pueblo indican:
- a)“La queja se admitió a trámite”. Se refiere a las quejas interpuestas por B.B.B. y C.C.C..
- b)“Se solicitó a la indicada Administración la remisión de información acerca de las causas por las que dicho escrito fue publicado en los tablones de anuncios de dos pabellones en fechas distintas, si como sobre las investigaciones que se hubieran realizado para averiguar quién lo ordenó y quien lo llevó a cabo, y en su caso, sobre las medidas que se hubieran adoptado para corregir tales conductas”
- c)“En su respuesta, la Diputación Provincial de Toledo, de acuerdo con la información remitida, indica que, realizada una labor de investigación a través de la Gerencia del Centro residencial dependiente de esa Diputación y transmitidas las ordenes de retirada del documento expuesto en los tablones de anuncios en el que, con los datos personales de los promotores de la queja, se detallaba la controversia surgida entre estos trabajadores del centro y la Dirección de enfermería, no se habrían podido determinar los medios a través de los cuales habría llegado esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 comunicación interior a ese centro ni los autores de su colocación en el tablón de anuncios de uno de los pabellones residenciales”
- d)El Defensor del Pueblo en el apartado de “Decisión” indica que la AEPD valore la posibilidad de realizar de oficio actuaciones con el objeto de determinar si concurren circunstancias para iniciar un procedimiento en relación con la actuación de la Diputación Provincial. Es este escrito del Defensor del Pueblo el que origina la apertura del procedimiento, es decir, a petición razonada de otros órganos, artículo 58 de la Ley 39/2015. No es coherente con el relato cronológico que la denunciada, recibido el acuerdo de inicio AP/0021/2017 alegue que desconociera el escrito que origina la queja y la apertura del acuerdo, así como el lugar en el que se expuso y la fecha. Sobre la alegación de los hechos “no han sido constatados por ningún funcionario público que acredite el desarrollo de los hechos de los que se imputa a la Diputación”, se debe indicar que a tal efecto, no se hace precisa la verificación presencial de los hechos y en este caso: -Se trata de un documento interno que circula por los cauces preestablecidos de despacho de los asuntos. No se constata que dicho escrito fuera notificado a trabajador alguno o tercera persona. Si algún empleado de la Diputación infringe el deber de secreto divulgando dicho documento de alguna forma, la infracción de resultado, el conocimiento de los datos revelados a terceros en un tablón de anuncios, es responsabilidad del que custodia dichos datos, el responsable del fichero, la Diputación Provincial. Ello, con independencia de que en la investigación interna que se pueda desarrollar, tendente a depurar responsabilidades por la exteriorización del documento y sus datos, se impongan las medidas disciplinarias a la persona responsable de ello. Por tanto, no se hace precisa que para dicha constatación se acuda a la Residencia para dar fe del hecho, pues las pruebas documentales son un medio más de acreditación de los hechos. -En cuanto a que se ha obstruido la puesta a disposición de la denunciada de todos los hechos y documentos que obraban en poder de la AEPD, se indica que el acuerdo de inicio era perfectamente reconocido en sus extremos, por cuanto la Diputación había tenido noticia de los hechos, las circunstancias, las fechas y los trabajadores afectados, dado que el Defensor del Pueblo les remitió suficiente documentación. Asimismo, la denunciada respondió ante la misma cuestión ante esta AEPD, no justificando en modo alguno porque un documento con datos personales de carácter interno aparece expuesto en un pabellón de la Residencia en el que circulan personas y pueden ver dicho documento. No se causa indefensión material en el citado acuerdo de inicio y no es asumible la alegación de dicha indefensión. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 El artículo 46 de la LOPD indica: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” Debido a que la denunciada no ha aclarado ni respondido en pruebas a las preguntas que intentaban aclarar el circuito de circulación del documento se desconocen específicamente las vulnerabilidades del sistema de que disponen, ni donde se han de establecer medidas de refuerzo para reducir la posibilidad de que hechos similares se produzcan de nuevo. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIPUTACION PROVINCIAL DE TOLEDO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la DIPUTACION PROVINCIAL DE TOLEDO, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que explique y acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/000208/2018. TERCERO: NOTIFICAR la presente resolución a la DIPUTACION PROVINCIAL DE TOLEDO. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es