← España

AAPP-00022-2016

1/13 Procedimiento Nº AP/00022/2016 RESOLUCIÓN: R/02110/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00022/2016, instruido por la Agencia Española de Protección de Datos a la entidad SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9/2/16 la Directora de la Agencia remite nota interior a la Inspección de Datos, en la que hace constar que ante las noticias publicadas en prensa, referentes a la existencia de cientos de documentos conteniendo datos personales de reclusos, que se encuentran esparcidos por el suelo del Centro Penitenciario de XXXXX (Huelva), cerrado en el año 2008 y que, en la actualidad, parece estar en estado ruinoso siendo posible entrar en su interior sin ningún problema; por lo que se insta a la Subdirección General de Inspección de Datos a que inicie de OFICIO Actuaciones Previas de Investigación, tendentes a acreditar los hechos. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base a dichas informaciones se procedió a la apertura de actuaciones previas con referencia E/689/2016. Con fecha 09/03/2016, se realiza visita de Inspección en los locales del Ministerio del Interior- Secretaría General de Instituciones Penitenciarias, levantándose Acta de Inspección E/689/2016-I/1 en la que se pone de manifiesto lo siguiente: <<<<< 1. Las inspectoras informan a los presentes de que su visita está relacionada con los hechos ocurridos en el antiguo Centro Penitenciario de XXXXX (Huelva), donde al parecer, según la noticia de prensa del Diario “Huelva Información” del día 9 de febrero de 2016, existían cientos de documentos conteniendo datos personales de reclusos que se encontraban esparcidos por el suelo del citado Centro, el cual lleva cerrado desde el año 2008 y se encuentra en estado ruinoso, siendo posible, al parecer, la entrada a su interior sin ningún problema. Así mismo, con fecha 18 de febrero el citado Diario publicó que con fecha 17 de febrero la Policía había procedido a la retirada de todos los documentos. Las inspectoras muestran a los presentes las portadas del citado Diario donde aparece la noticia 2. Los representantes de la SGIP realizan las siguientes manifestaciones en contestación a las cuestiones planteadas por las inspectoras: 2.1 En el año 1996 se cierra el Centro Penitenciario para presos internos, quedando sólo para presos en régimen abierto hasta el año 2008 en que se cierra definitivamente. 2.2 En el año 2010 el edificio pasa a depender de la Sociedad Estatal de Infraestructuras y Equipamientos Penitenciarios (SIEPSA), empresa pública dependiente del Ministerio de Economía y Hacienda, quedando desvinculado de la SGIP con fecha 14 de julio de 2010. 2.3 Después de la aparición de la noticia en la Prensa, C/ Jorge Juan, 6 28001 – Madrid se desplazan al Centro www.agpd.es sedeagpd.gob.es 2/13 Penitenciario un arquitecto y un Notario por parte de SIEPSA, así como el antiguo Director de dicho Centro, acompañados por la Policía. 2.4 La Policía procedió a recoger la documentación que se encontraba esparcida por el suelo, y el día 19 de febrero hizo entrega de la misma en el nuevo Centro Penitenciario, junto con un Oficio y fotografías de todos los documentos que se entregaban. Se adjunta como documento número 1 copia del Oficio y de las fotografías entregadas por la Policía. 2.5 Con fecha 23 de febrero de 2016, el Secretario General de Instituciones Penitenciarias, ordenó la apertura de un expediente de información reservada, con objeto de analizar los hechos ocurridos y que en la actualidad continúa abierto. 2.6 Con fecha 25 de febrero de 2016, personal de la Inspección de la SGIP se desplaza al Centro Penitenciario de Huelva comprobando que existía la siguiente documentación, entregada por la Policía en tres bolsas de plástico y una Caja de cartón precintada: 2.6.1 En las bolsas se encuentran documentos normalizados en blanco sin datos personales. 2.6.2 En la Caja, documentos con información numérica correspondiente a recuentos pero sin datos personales, junto con 252 fichas de reclusos con datos personales de las cuales 25 tienen fotografía. Así mismo, se encuentran listados de entradas y salida y carnés identificativos utilizados por los presos dentro de la cárcel. Se adjunta como documento número 2 fotocopias de parte de los documentos descritos y recopilados para el expediente de Información Reservada, así como fotografías tomadas por la inspección. 2.7 En el año 1996 todos los expedientes de los reclusos existentes en el Centro se trasladaron al nuevo Centro Penitenciario, siendo los más antiguos del año 1950, y los anteriores se mandaron al Archivo Histórico de Huelva, quedando en el Centro únicamente documentación de trabajo rutinario, fichas, listados, etc. 2.8 Cuando se cierra el Centro definitivamente, en el año 2008, toda la documentación de trabajo se traslada también al nuevo Centro Penitenciario, procediéndose a la destrucción de la documentación que ya no era relevante. 2.9 En el transcurso de la inspección realizada, se tomó declaración al Jefe de mantenimiento y al Ex – Director del Centro, los cuales manifestaron rotundamente que cuando se cerró el Centro Penitenciario allí no quedó ningún documento. 3. Las inspectoras de la Agencia solicitan información sobre los motivos por los que dicha documentación ha podido aparecer en el Centro, ante lo que manifiestan: 3.1 Los documentos con datos personales que han aparecido corresponden a documentación de trabajo del propio Centro y es muy antigua. 3.2 El Centro lleva cerrado definitivamente desde el año 2008 y en él se han celebrado algunos actos conmemorativos y se ha rodado una película en su interior. En las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 actuaciones realizadas en el interior del edificio, según se ha informado a la inspectora asignada, el personal de mantenimiento del nuevo Centro Penitenciario ha realizado la limpieza y adaptación del Centro para los distintos acontecimientos, sin que en ningún caso se haya advertido la existencia de la documentación que posteriormente ha aparecido. 3.3 Por estos motivos no encuentran explicación a la aparición en este momento de los documentos, no obstante la investigación continúa abierta. Se adjunta como documento número 3 copia de la placa conmemorativa correspondiente a un Acto que tuvo lugar en el año 2010, después del cierre del Centro Penitenciario. >>>>> TERCERO: Por parte de la Directora de la Agencia se dictó Acuerdo de Inicio de Declaración De Infracción De Administraciones Públicas a SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS por la presunta infracción de los artículos 9 y 10 de la LOPD. CUARTO: Notificado el citado acuerdo de inicio se presentó escrito de alegaciones manifestando, en síntesis, lo siguiente: 1º Que desde el momento que se tuvo conocimiento de que había aparecido dispersa por el suelo, documentación del antiguo y clausurado centro penitenciario, la administración penitenciaria se ha personado para adoptar las medidas reparatorias y cautelares. 2º Que una vez clausurado el Centro gran parte de la documentación fue transferida al Archivo Histórico Provincial y el resto al actual Centro Penitenciario 3 Que nadie se explica cómo han podido aparecer dichos documentos, dado que además de asegurar que toda la documentación fue retirada del antiguo centro, con posterioridad se ha realizado en el mismo algún acto público, previo al cual el centro fue limpiado, igual operación se ha realizado antes de que en citado centro se rodara una película, verificando que en mismo no existía documentación alguna. 4º No se ha podido incoar expediente de responsabilidad disciplinaria a funcionario alguno al no existir ningún elemento que permita la imputación a título personal. QUINTO: Por el instructor del procedimiento se abrió un periodo de prácticas de pruebas consistente en dar por reproducidos los informes y documentación, que forman parte del expediente de actuaciones previas E/00689/2016; y asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00022/2016 presentadas por SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS, y la documentación que a ellas acompaña. SEXTO: Con fecha 14/7/16 se emite la siguiente propuesta de resolución: <<<<< Que por parte del Directora de la Agencia de Protección de Datos se declare que la SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma. En consideración a que se trata de un hecho puntual, la escasa entidad y antigüedad de la documentación recuperada, y que no se ha podido determinar ninguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 responsabilidad personal en relación a los hechos, no se considera necesario requerir a SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS que adopte nuevas medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD. >>>>> HECHOS PROBADOS 1º Consta que con fecha 9/2/16 se iniciaron actuaciones de oficio en relación a noticias publicadas en prensa, referentes a la existencia de cientos de documentos conteniendo datos personales de reclusos, que se encuentran esparcidos por el suelo del Centro Penitenciario de XXXXX (Huelva), cerrado en el año 2008 y que, en la actualidad, parece estar en estado ruinoso y es posible entrar en su interior sin ningún problema, 2º Consta Inspección, el día 9/3/16, levantada en los locales del Ministerio del InteriorSecretaría General de Instituciones Penitenciarias, levantándose Acta de Inspección con referencia E/689/2016-I/1. 3º En dicha Acta se recogieron las siguientes manifestaciones por parte de los representantes de la SGIP:

  1. a)En el año 1996 se cierra el Centro Penitenciario para presos internos, quedando sólo para presos en régimen abierto hasta el año 2008 en que se cierra definitivamente.
  2. b)En el año 2010 el edificio pasa a depender de la Sociedad Estatal de Infraestructuras y Equipamientos Penitenciarios (SIEPSA), empresa pública dependiente del Ministerio de Economía y Hacienda, quedando desvinculado de la SGIP con fecha 14 de julio de 2010.
  3. c)Después de la aparición de la noticia en la Prensa, se desplazan al Centro Penitenciario un arquitecto y un Notario por parte de SIEPSA, así como el antiguo Director de dicho Centro, acompañados por la Policía.
  4. d)La Policía procedió a recoger la documentación que se encontraba esparcida por el suelo, y el día 19 de febrero hizo entrega de la misma en el nuevo Centro Penitenciario, junto con un Oficio y fotografías de todos los documentos que se entregaban.
  5. e)Con fecha 23 de febrero de 2016, el Secretario General de Instituciones Penitenciarias, ordenó la apertura de un expediente de información reservada, con objeto de analizar los hechos ocurridos y que en la actualidad continúa abierto. 4º Consta que la documentación recuperada y entregada por la policía estaba compuesta por tres bolsas, donde se encuentran documentos normalizados en blanco sin datos personales; más una caja con documentos con información numérica correspondiente a recuentos pero sin datos personales, junto con 252 fichas de reclusos con datos personales de las cuales 25 tienen fotografía. Así mismo, se encuentran listados de entradas y salida y carnés identificativos utilizados por los presos dentro de la cárcel 5º Que en relación a esa documentación se realizaron las siguientes manifestaciones por los representantes de SGIP: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13
  6. a)En el año 1996 todos los expedientes de los reclusos existentes en el Centro se trasladaron al nuevo Centro Penitenciario, siendo los más antiguos del año 1950, y los anteriores se mandaron al Archivo Histórico de Huelva, quedando en el Centro únicamente documentación de trabajo rutinario, fichas, listados, etc.
  7. b)Cuando se cierra el Centro definitivamente, en el año 2008, toda la documentación de trabajo se traslada también al nuevo Centro Penitenciario, procediéndose a la destrucción de la documentación que ya no era relevante.
  8. c)En el transcurso de la inspección realizada, se tomó declaración al Jefe de mantenimiento y al Ex – Director del Centro, los cuales manifestaron rotundamente que cuando se cerró el Centro Penitenciario allí no quedó ningún documento. 6ª Que en relación a los motivos por los que dicha documentación ha podido aparecer en el Centro, se realizaron las siguientes manifestaciones:
  9. a)Los documentos con datos personales que han aparecido corresponden a documentación de trabajo del propio Centro y es muy antigua.
  10. b)El Centro lleva cerrado definitivamente desde el año 2008 y en él se han celebrado algunos actos conmemorativos y se ha rodado una película en su interior. En las actuaciones realizadas en el interior del edificio, según se ha informado a la inspectora asignada, el personal de mantenimiento del nuevo Centro Penitenciario ha realizado la limpieza y adaptación del Centro para los distintos acontecimientos, sin que en ningún caso se haya advertido la existencia de la documentación que posteriormente ha aparecido. 7º Consta copia del informe de la Secretaria de Estado de Seguridad de 27/4/16 relativo a la documentación recuperada en el antiguo centro penitenciario en el que se ponen de manifiesto las siguientes conclusiones: <<<<< Primera: De la documentación aparecida la mayor parte carece de interés, bien porque no contiene información alguna, o bien porque el que trascienda la información o datos registrados no ocasiona perjuicio alguno más allá del propio interés para la institución penitenciaria. Respecto de los documentos con datos personales se evidencia la antigüedad de los mismos al estar referidos a los años 1884-1996. Segundo: De los hechos sucedidos y los testimonios aportados, resulta imposible dar una explicación al hecho de la aparición de la documentación. La posibilidad de que hubiere quedado inadvertida en algún lugar del antiguo Centro Penitenciario de Huelva, es simplemente una hipótesis, que al no poder ser confirmada no puede concluirse como absoluta Tercera: El hecho de que no se pueda objetivar que la documentación aparecida se hubiese quedado en la Prisión Provincial de Huelva tras su clausura definitiva, lleva a poner en valor la hipótesis de que hubiese sido colocada allí a posteriori o que fuese hecha aparecer a propósito con alguna intencionalidad, toda vez que era viable el acceso al interior de la edificación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Cuarto: La imposibilidad de esclarecimiento de las circunstancias en las que tuvo lugar la aparición de la documentación penitenciaria que nos ocupa, imposibilita la exigencia de responsabilidad personal alguna por tal hecho, pues no se puede determinar quién, cómo y desde cuando la documentación se encuentra en el edificio de la que fuera Prisión Provincial de Huelva Quinto: El archivo de las actuaciones practicadas por el Cuerpo Nacional de Policía, e relación con el hallazgo y recogida de documentación diversa en el antiguo C.P. de Huelva, permite concluir que en los hachos no se ha evidenciado ningún ilícito penal” >>>>> FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/689/2016, se determinó, salvo prueba en contrario, que la aparición de documentación con datos de carácter personal, que han estado accesible a terceros, podía suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, evitando su sustracción, perdida o acceso indebido y, así mismo, una vulneración del deber de secreto profesional respecto a datos de carácter persona, Hechos que motivaban el inicio del presente procedimiento de declaración de infracción de las Administraciones Publicas. III La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  12. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
  13. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, la SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS, es responsable de los ficheros y tratamientos derivados de su actividad; y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. IV Se analiza en este procedimiento si se ha producido por parte del referido Organismo una vulneración de los artículos 9 y 10 de la LOPD en relación a la localización, de datos personales de reclusos que estaba esparcida por el suelo en el interior de un antiguo centro carcelario que se encuentra cerrado desde 2008. El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse.” Según el relato de los hechos, la policía había recuperado del interior del edificio que albergaba la antigua prisión provincial, cerrada desde 2008 y que se encuentra en estado ruinoso y donde es posible entrar en su interior de forma sencilla, de documentación conteniendo datos personales de reclusos, que se encuentran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 esparcidos por el suelo El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 8, en su punto 3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
  14. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  15. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  16. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  17. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  18. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  19. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  20. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Dentro de estas últimas, en lo referente al nivel básico, deben tenerse en cuenta las siguientes prescripciones: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo Artículo 107. Dispositivos de almacenamiento. Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal deberán disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptará medidas que impidan el acceso de personas no autorizadas. Artículo 108. Custodia de los soportes. Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” Debe tenerse en cuenta que muchos de los casos relacionados con la infracción de medidas de seguridad tienen que ver con la aparición en la vía pública de documentos que contenían datos de carácter personal de uso interno para la entidad; pudiendo tratarse de copias o documentos de trabajo, como en el caso que nos ocupa, sin embargo dicha localización implica que por parte del responsable o encargado del tratamiento no se prestó la diligencia necesaria en orden a la observancia de las medidas de seguridad. Es decir, tal como interpreta la Audiencia Nacional: “No basta entonces con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto”. Es evidente, y en este sentido se expresa en el Reglamento de Desarrollo de la LOPD, que las medidas de seguridad deben reflejarse en unos protocolos de actuación para el caso concreto que se proceda al desecho o destrucción de la documentación, y que los mismos deben figurar en el documento de seguridad o en las instrucciones dictadas por el responsable. En el presente caso se ha manifestado que ha sido imposible esclarecer las circunstancias en las que tuvo lugar la aparición de la documentación penitenciaria, que, o bien permaneció inadvertida en algún lugar del antiguo Centro Penitenciario, o bien pudo ser colocada allí a posteriori. En todo caso de las anteriores afirmaciones no se deduce la no responsabilidad de dicho organismo, que no prestó la diligencia necesaria en orden a la observancia de las medidas de seguridad implementadas que deben garantizar la debida custodia de la documentación con datos de carácter personal de la que son responsables mientras perdure la obligación de conservación. Más aún, y según el criterio establecido por la Audiencia Nacional en diversas sentencias, no basta la adopción de cualquier medida, sino que deben ser las necesarias para garantizar con suficiente grado de eficacia, la seguridad de la información. El artículo 44.3
  21. h)califica como infracción grave: “Mantener los ficheros, locales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS, se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia que los datos de carácter personal, cuya custodia era responsabilidad de esa entidad, acabaran siendo recuperados por un tercero. La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado. Existe una obligación de resultado, que no se ha cumplido, existiendo una falta de negligencia del responsable del tratamiento, debiéndose valorarse positivamente que se trate de un hecho puntual, la escasa entidad y antigüedad de la documentación recuperada, y que no se ha podido determinar ninguna responsabilidad personal en relación a los hechos. V El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18 de enero de 2002, recoge en su Fundamento de Derecho Segundo, y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Ahora bien la obligación impuesta por el artículo 10 debe entenderse como una obligación de resultado, donde lo relevante, tal como lo ha entendido la Audiencia Nacional, entre otras en la sentencia de 18/06/09, es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto), que exista o no una omisión de las medidas de seguridad. En el caso que nos ocupa, aun cuando a entidad denunciada es responsable de la custodia de la documentación, la documentación recuperada fue recuperada y pasó a ser custodiada por la policía, por lo que no se puede considerar que fuera revelada a terceras personas vulnerando así el deber de secreto. Entendiéndose así que no se ha producido vulneración del artículo 10 por parte de dicho Organismo. VI De acuerdo con los fundamentos anteriores, se deduce que por parte de la SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS se ha producido una vulneración del principio de seguridad de los datos, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 PRIMERO: DECLARAR que SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de la citada Ley Orgánica. SEGUNDO: DECLARAR que, debido a las circunstancias operantes en este caso y que se han sido contempladas en esta resolución; el carácter puntual del hecho, la escasa entidad y antigüedad de la documentación recuperada, y que no se ha podido determinar ninguna responsabilidad personal en relación a los hechos; no se considera necesario requerir a la SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS que adopte nuevas medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD. TERCERO: NOTIFICAR la presente resolución a SECRETARIA GENERAL DE INSTITUCIONES PENITENCIARIAS (Ministerio De Industria, Turismo Y Comercio) CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.