1/17 Procedimiento Nº AP/00023/2013 RESOLUCIÓN: R/02915/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00023/2013, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE JEREZ DE LA FRONTERA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 23 de octubre de 2012, tiene entrada en esta Agencia un escrito de D. A.A.A., en calidad de ***CARGO.1 del Grupo Municipal PSOE-ANDALUCIA, en el que denuncia que, con fecha 3 de octubre de 2012, tuvo entrada en la sede del citado Grupo Político Municipal, de forma anónima, un dispositivo electrónico pendrive, que contenía un archivo informático Excel, el cual se adjunta, que incluye dos listados de cientos de empleados del Ayuntamiento de Jerez de la Frontera, indicando numerosos datos personales y laborales y además incluyendo en los datos personales de cada empleado una sigla correspondiente a Partidos Políticos o una referencia a la forma popular, en la que se denomina a un ex-alcalde (a través de su apellido). Dicha información se encontraba referenciada en dos columnas denominadas: “color entrada” “color fase de alta”. Con fecha 5 de octubre de 2012, el Grupo Municipal ha presentado denuncia ante la Fiscalía, haciendo entrega del pendrive, se adjunta la denuncia mediante escrito de fecha 9 de abril de 2013. Los datos de los empleados municipales contenidos en el fichero, han sido tratados a partir de la información que consta en recursos humanos, de dicho Ayuntamiento. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad AYUNTAMIENTO DE JEREZ DE LA FRONTERA, teniendo conocimiento de que: 1. Con fecha 8 de marzo de 2013, se recibe en esta Agencia escrito del Ayuntamiento de Jerez de la Frontera, en el que se pone de manifiesto que: 1.1. El origen de la información contenida en el pendrive, parece ser la base de datos Meta4, soporte de la gestión de personal de ese Ayuntamiento. 1.2. La información contenida en la hoja Excel, parece corresponderse con uno de los estudios estadísticos de consumo interno, sin vocación de ser publicado, realizado en este caso en el mes de marzo de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 1.3. Se están realizando estudios para verificar que se trata de la misma información, o en su caso, haya podido ser modificada en la creación de la hoja Excel. 1.4. Desconocen cómo se pueden haber producido dichos hechos, no teniendo constancia hasta esa fecha de la aparición de un pendrive con el archivo descrito. 1.5. La base de datos Meta4 y todos los demás recursos en red, están sometidos a los protocolos de seguridad en vigor, y todo el personal con acceso a ellos ha firmado el correspondiente compromiso de confidencialidad. 1.6. Que conocido el hecho, se ha procedido a realizar una investigación con relación a los hechos ocurridos. TERCERO: Con fecha 8 de julio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE JEREZ DE LA FRONTERA por la presunta infracción de los artículos 4.1 y 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- c)y 44.3.
- h)respectivamente de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el AYUNTAMIENTO DE JEREZ DE LA FRONTERA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “PROCEDENCIA DEL DISPOSITIVO PEN-DRIVE (...) no ha lugar a establecer una relación directa entre el dispositivo electrónico y el personal al servicio del Ayuntamiento de Jerez. A esta circunstancia se une el hecho y la certeza de que desde el Ayuntamiento de Jerez de la Frontera no se distribuye ningún tipo de dispositivo electrónico, o soporte extraíble, por lo que su procedencia solo puede ser particular. Además, entre las medidas de seguridad implantadas por el Ayuntamiento, está el hecho de que todos los puertos USB están bloqueados, de forma que no sea posible la extracción de información a través de dispositivos de almacenamiento extraíbles, impidiendo así cualquier acceso no autorizado a la información de los usuarios, en este caso datos de empleados, responsabilidad del Ayuntamiento. SEGUNDA.- CONTENIDO DE LOS FICHEROS EXCEL. Respecto al contenido de dicho dispositivo electrónico, (...) En ningún momento, ni en la recogida de datos personales de los empleados ni en la posterior recogida de datos personales fruto de la normal gestión del personal al servicio del Ayuntamiento, se contempla o recaba ningún dato relativo a la afiliación política, sindical o asociativa. (...) MEDIDAS DE SEGURIDAD IMPLANTADAS POR EL AYUNTAMIENTO RESPECTO A C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 LOS DATOS DEL PERSONAL A SU SERVICIO. La base de datos META4 únicamente contiene datos personales necesarios para la gestión diaria de su personal. En ningún momento se incorporan o recaban datos especialmente protegidos, por lo que a tenor de lo dispuesto por la LOPD y el RD 1720/2007, sobre dichos datos corresponde la implantación de las medidas de nivel medio. (Se describen las medidas implantadas: el control de accesos, los distintos perfiles y privilegios de usuarios)” Concluyen las alegaciones solicitando que se declare la ausencia de responsabilidad del Ayuntamiento de Jerez de la Frontera porque se cumplen las medidas de seguridad y preceptos aplicables de la LOPD. QUINTO: Con fecha 12 de agosto de 2013 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el AYUNTAMIENTO DE JEREZ DE LA FRONTERA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07199/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00023/2013 presentadas por el AYUNTAMIENTO DE JEREZ DE LA FRONTERA, y la documentación que a ellas acompaña. 3. Requerir al AYUNTAMIENTO DE JEREZ DE LA FRONTERA que, en un plazo de diez días hábiles, aporte una copia del “estudio estadístico de consumo interno, sin vocación de ser publicado, realizado en este caso en el mes de marzo de 2012”, e informe sobre la investigación interna iniciada y demás medidas a adoptar por los órganos responsables de seguridad, según lo manifestado en el informe de 27 de febrero de 2013, por el Jefe del Departamento de nóminas y administración de personal. SEXTO: Con la misma fecha se solicitó al denunciante que informase del inicio de actuaciones por órgano judicial respecto de su denuncia presentada ante la fiscalía en fecha 5 de octubre de 2012, relativa a los mismos hechos denunciados ante esta Agencia Española de Protección de Datos, con identificación, en su caso, del Juzgado en que se tramite la denuncia. SÉPTIMO: Con fecha 4 de septiembre de 2013 se recibe escrito del Ayuntamiento de Jerez en respuesta a lo solicitado en periodo de pruebas en el que manifiesta: “Primero: Se adjunta informe de investigación interna de fecha marzo de 2013, realizada por el Departamento de Nóminas y Administración de Personal, sobre la existencia de un pendrive en poder de personas no autorizadas, con datos de empleados del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 Ayuntamiento de Jerez. Segundo: Se adjunta muestra del estudio estadístico, siguiendo sus instrucciones dadas al Jefe de Departamento de Nóminas y Administración de Personal.” En el informe de investigación interna de marzo 2013 se expone: “De forma recurrente se han lanzado noticias en los medios de comunicación sobre la contratación de 300 trabajadores por parte del Ayuntamiento de Jerez en el periodo de gobierno de junio 2003 a enero de 2005, periodo gobernado por el Partido Popular. Para rebatir la noticia, en el verano de 2011, desde la entrada al gobierno municipal del Partido Popular, se solicita informe a la Delegación de Recursos Humanos del Ayuntamiento de Jerez, para que hiciera un estudio sobre las contrataciones realizadas en los distintos gobiernos municipales. Para realizar el análisis, teniendo en cuenta la existencia de altas y bajas de numerosos trabajadores en diferentes momentos, se distingue entre fases de alta que suponen renovaciones de contrato que tienen su origen en gestiones iniciadas en períodos políticos anteriores, de las contrataciones de nuevo personal. Desde el entonces Departamento de Nóminas y Contratación se realiza el estudio generando el listado objeto de denuncia. La información contenida en dicho listado se obtiene de la aplicación Meta4, la cual se vuelca a un fichero Excel denominado “análisis de los 300”, salvo por la columna “COLOR FASE DE ALTA” que hace referencia al partido que gobernaba en el momento de la contratación del trabajador, y por la columna “COLOR ENTRADA” que hacer referencia al partido gobernante al que se asigna la contratación del trabajador, en el caso de que tuviera altas en periodos gobernados por distintos partidos políticos. La información correspondiente a estas columnas ha sido incorporada por el entonces Departamento de Nóminas y Contratación, con la finalidad de realizar estudios estadísticos sobre la contratación realizada por los distintos Gobiernos Municipales y poder contestar con datos objetivos a las acusaciones recibidas sobre las contrataciones realizadas por el actual Gobierno Municipal. En ningún caso se hace referencia a la ideología política del trabajador. De hecho no tiene por qué coincidir el partido gobernante en el momento de la contratación, con la ideología política del trabajador. El estudio estadístico se basa en las contrataciones realizadas, concretamente nos referimos a 902 trabajadores laborales indefinidos de aquel momento, muchos de ellos con varios períodos de contrato o fases de alta en el Ayuntamiento. Sí es cierto que hay que admitir la desafortunada etiqueta de “color político” por “partido político” a la hora de referirse al partido político que regentaba el gobierno municipal en las fechas de inicio de cada contrato de trabajo, así como la referencia a ‘Pacheco” en lugar de a las diferentes siglas que presentaba el partido político en el que éste se encuadraba en las distintas fechas de inicio de los contratos. Se reconoció el error, fruto de la candidez en la no consideración de la exactitud en la nomenclatura de las columnas del estudio estadístico, ya que sólo era un estudio interno, sin vocación de ser publicado, de estadística doméstica en el marco del día a día en el desarrollo del Departamento de Nóminas y Contratación. (...) El análisis objetivo de la tabla deja claro que en ningún caso se trata de una clasificación del personal según ideología política, sino de un estudio de las fechas de inicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 contrato de los trabajadores laborales indefinidos del Ayuntamiento de Jerez a lo largo de los diferentes gobiernos municipales. En ningún caso la base de datos meta4 recoge datos de afiliación o afinidad política de los empleados del Ayuntamiento, ni nos consta en ningún otro soporte. Las variables analizadas en el estudio estadístico son “fecha de formalización de cada contrato” y “partido político que gobernaba en ese momento”. Nada se dice de ideología del trabajador, de modo que es usual ver en el estudio que un mismo trabajador con varias fases de alta presente inicios de contrato con gobiernos locales de distintos partidos. Los protagonistas del estudio son fechas de inicio de contratos y legislatura en la que se incorpora el trabajador por primera vez al Ayuntamiento. No obstante, dado los acontecimientos descritos anteriormente, se pone de manifiesto que se ha producido un acceso no autorizado a la información contenida en el fichero Estudio estadístico de consumo interno. El 20 de febrero se recibió escrito de la Agencia de Protección de Datos, en relación a la denuncia presentada por el Sr. A.A.A., señalando la existencia de un pendrive con un fichero Excel con información de los empleados del Ayuntamiento, adjuntando copia parcial de los listados. El lunes 25 de febrero de 2013, se convoca una reunión para analizar lo sucedido y abrir una investigación interna. A dicha reunión asistieron el Director de Seguridad, el Director del Servicio Jurídico del Área de Gobierno de Personal y Seguridad, el Jefe del Departamento de Gestión de Personal —actual Director del Servicio de Personal- y el Jefe de Departamento de Nóminas y Administración de Personal. ANÁLISIS REALIZADO El fichero Excel denominado “análisis de los 300.xlsx”, que contenía el estudio estadístico de consumo interno citado, se encontraba en una carpeta de red aytopersonal\CN\jesusmd\informes\. Dicho fichero no tenía asignado una contraseña para su acceso. No obstante, para acceder a dicha carpeta el usuario debe identificarse y autenticarse en el dominio de red. Los parámetros de la contraseña cumplen los requisitos de seguridad exigidos por el R.D 1720/2007. (...) Se ha verificado que todos los usuarios indicados anteriormente estaban autorizados a acceder a la información contenida en dicha carpeta. Además se ha comprobado que todos ellos han firmado el compromiso de confidencialidad. (...) Hemos comprobado que no se tiene activado el registro de auditoría de los accesos realizados a dicha carpeta. Al no tratarse de datos de nivel alto, no es obligatorio tener activado dicho registro. No obstante, sería recomendable y se tendrá en cuenta en las medidas a implantar para mitigar posibles riesgos en los accesos a la información. Una vez identificadas las personas con acceso al fichero señalado, analizamos las posibles vías de salida de la información y la investigación realizada sobre cada una de dichas vías, (...) CONCLUSIONES Tras el análisis realizado, no podemos concretar la vía de salida del fichero objeto de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 denuncia. Tampoco tenemos información suficiente para poder identificar, de entre todas las personas con acceso al fichero, cuál pudiera haber sido la que ha facilitado — si así hubiera sido- dicho fichero de forma no autorizada. No obstante, dado el riesgo de salida no autorizada de información sensible, se tomaran medidas preventivas para impedir en la medida de lo posible, la salida de información no autorizada. Entre dichas medidas, podemos indicar las siguientes: • Activar el registro de auditoría de los accesos realizados a aquellas carpetas donde se guarden información confidencial o sensible. • Asignar contraseñas a aquellos ficheros que contengan información confidencial o sensible. • Utilizar códigos de identificación internos en futuros estudios estadísticos, para evitar la identificación de los empleados, por personas no autorizadas. Salvo autorización expresa, restringir los perfiles de acceso a internet, únicamente a aquellas páginas que sean necesarias para el servicio prestado por el trabajador.” Se adjunta a continuación una muestra del contenido del “estudio estadístico”, según lo solicitado en periodo de pruebas. OCTAVO: Con fecha 9 de diciembre de 2013, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se archiven las actuaciones practicadas contra el AYUNTAMIENTO DE JEREZ DE LA FRONTERA al no quedar acreditada la vulneración de los artículos 4.1 y 9.1 de la LOPD. NOVENO: La propuesta de resolución se notificó a la entidad denunciada. HECHOS PROBADOS PRIMERO: Con fecha 23 de octubre de 2012 se ha denunciado en esta Agencia Española de Protección de Datos que en la sede del Grupo Municipal PSOE-Andalucía del Ayuntamiento de Jerez de la Frontera tuvo entrada un dispositivo pendrive de forma anónima que contenía un archivo Excel que incluye listados de empleados del Ayuntamiento con numerosos datos personales y laborales y en dos columnas con los literales de “color entrada” y “color fase de alta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 SEGUNDO: El Ayuntamiento de Jerez de la Frontera ha manifestado que la información contenida en el pendrive objeto de denuncia se ha elaborado a partir de la aplicación Meta4, soporte de la gestión de personal de ese Ayuntamiento, que se ha volcado a un fichero Excel denominado “análisis de los 300”. El estudio elaborado en este fichero tiene su origen en la solicitud de elaboración de un informe sobre las contrataciones realizadas en los distintos gobiernos municipales por parte del gobierno del Partido Popular al Departamento de Recursos Humanos del Ayuntamiento y ello para rebatir las noticias en los medios de comunicación sobre la contratación de 300 trabajadores por parte del Ayuntamiento de Jerez entre junio 2003 y enero de 2005, periodo gobernado por el Partido Popular. Desde el entonces Departamento de Nóminas y Contratación se realizó el estudio generando el listado objeto de denuncia con la base de la aplicación Meta4 a la que se añadió la columna “COLOR FASE DE ALTA” que hace referencia al partido que gobernaba en el momento de la contratación del trabajador, y la columna “COLOR ENTRADA” que hace referencia al partido gobernante al que se asigna la contratación del trabajador, en el caso de que tuviera altas en periodos gobernados por distintos partidos políticos. La entidad denunciada reconoce lo desafortunado de la denominación de “color” para referirse al partido político regente en el Ayuntamiento en cada momento y la referencia a “Pacheco” para referirse a las diferentes siglas en que se encuadraba en las distintas fechas de inicio de los contratos. El Ayuntamiento ha declarado que la finalidad de la información contenida en estas columnas es la de realizar estudios estadísticos sobre la contratación realizada por los distintos Gobiernos Municipales y poder contestar con datos objetivos a las acusaciones recibidas sobre las contrataciones realizadas por el actual Gobierno Municipal. En ningún caso se hace referencia a la ideología política del trabajador. El Ayuntamiento denunciado ha manifestado que: “El análisis objetivo de la tabla deja claro que en ningún caso se trata de una clasificación del personal según ideología política, sino de un estudio de las fechas de inicio de contrato de los trabajadores laborales indefinidos del Ayuntamiento de Jerez a lo largo de los diferentes gobiernos municipales. En ningún caso la base de datos meta4 recoge datos de afiliación o afinidad política de los empleados del Ayuntamiento, ni nos consta en ningún otro soporte. Las variables analizadas en el estudio estadístico son “fecha de formalización de cada contrato” y “partido político que gobernaba en ese momento”. Nada se dice de ideología del trabajador, de modo que es usual ver en el estudio que un mismo trabajador con varias fases de alta presente inicios de contrato con gobiernos locales de distintos partidos. Los protagonistas del estudio son fechas de inicio de contratos y legislatura en la que se incorpora el trabajador por primera vez al Ayuntamiento”. TERCERO: El Ayuntamiento de Jerez de la Frontera reconoce que no obstante se ha producido un acceso no autorizado a la información contenida en el fichero del estudio estadístico de consumo interno denunciado y que desde que se recibió el escrito de la Agencia de Protección de Datos señalando la existencia de un pendrive con información de los empleados en poder de personas no autorizadas, se inició una investigación interna para analizar lo sucedido y acordar las medidas a adoptar por los responsables de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Se identificaron las personas con acceso al fichero objeto de denuncia y se comprobó que todos ellos habían firmado el compromiso de privacidad. Que dicho fichero no disponía de contraseña para su acceso, no obstante el usuario debe identificarse y autenticarse en el dominio de red por medio de una contraseña que cumple con los requisitos de seguridad. A continuación tras analizar las posibles vías de salida de la información se concluyó que no podían concretar la vía de salida del fichero y que tampoco tenían información suficiente para poder identificar a la persona que hubiera facilitado el fichero de forma no autorizada. CUARTO: La entidad denunciada acordó la adopción de medidas preventivas para impedir en la medida de lo posible, la salida de información no autorizada, entre las que se encuentran: “- Activar el registro de auditoría de los accesos realizados a aquellas carpetas donde se guarden información confidencial o sensible. - Asignar contraseñas a aquellos ficheros que contengan información confidencial o sensible. - Utilizar códigos de identificación internos en futuros estudios estadísticos, para evitar la identificación de los empleados, por personas no autorizadas. - Salvo autorización expresa, restringir los perfiles de acceso a internet, únicamente a aquellas páginas que sean necesarias para el servicio prestado por el trabajador.” QUINTO: La muestra del estudio estadístico aportada consta de 3 listados distintos. Un primer listado denominado “Análisis fases de alta Ayuntamiento de Jerez marzo de 2012”, del que se aportan 4 páginas, que contiene 18 columnas con datos laborales de cada empleado con sus sucesivos contratos y en el que figuran las columnas con el literal de: “COLOR ENTRADA” y “COLOR FASE DE ALTA” en las que se consignan las variables siguientes: “Pacheco”, “PSOE” o “PP”. En estas columnas se comprueba que, en los distintos contratos de cada empleado, figura en un contrato una información y en otro contrato otra distinta y en el mismo contrato aparecen informaciones diferentes en cada columna. El segundo listado aportado lleva el nombre de: “Indefinidos a marzo 2012 con detalle de entrada”, que consta de 7 columnas y el literal de una de ellas es “gobierno en la fecha de entrada” en la que se consigna: “Cuenta Pacheco”, “Cuenta Partido Popular” o “Cuenta PSOE” y se contabilizan los totales de cada variable, analizando qué porcentaje de empleados entró por primera vez en el Ayuntamiento bajo uno u otro gobierno. El tercer listado, de título “Análisis fases de alta marzo de 2012”, incluye también datos laborales de los empleados y las dos columnas objeto de la presente denuncia con las mismas características comentadas para el primer listado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
- f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. III El artículo 6.1 de la LOPD consagra el principio de consentimiento o autodeterminación y dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico Séptimo, primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que en el presente procedimiento se discute. El citado artículo 4, en su apartado 1 recoge en concreto el principio de proporcionalidad y su tenor literal dispone “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 4 de la LOPD, con la denominación “Calidad de datos” es el primer precepto del título II dedicado a los “Principios de calidad de datos”, que derivan del derecho fundamental a la protección de datos. En el apartado 1 del artículo 4 de la LOPD comienza sentando que los datos de carácter personal sólo se podrán recoger C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, sino asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. El mencionado precepto debe ponerse en relación con lo previsto en el apartado 2 del citado artículo 4, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “ el derecho a consentir la recogida y el tratamiento de los datos personales ( Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad especifica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros limites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de estos, pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso seria fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales( Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. En el presente caso vistos los listados objeto de denuncia, se comprueba la existencia de las dos columnas con el literal de “COLOR FASE DE ALTA” y “COLOR ENTRADA” que se completan con las variables “Pacheco”, “PSOE” y “PP” para cada uno de los periodos de contrato de cada empleado. La entidad denunciada ha definido el significado de estas columnas de la siguiente forma: la columna “COLOR FASE DE ALTA” hace referencia al partido que gobernaba en el momento de la contratación del trabajador, y la columna “COLOR ENTRADA” hace referencia al partido gobernante al que se asigna la contratación del trabajador. Expone el Ayuntamiento que “en ningún caso se trata de una clasificación del personal según ideología política, sino de un estudio de las fechas de inicio de contrato de los trabajadores laborales indefinidos del Ayuntamiento de Jerez a lo largo de los diferentes gobiernos municipales. En ningún caso la base de datos meta4 recoge datos de afiliación o afinidad política de los empleados del Ayuntamiento, ni nos consta en ningún otro soporte”. En la respuesta a lo solicitado en periodo de pruebas del presente procedimiento de declaración de infracción, el Ayuntamiento ha declarado que el informe objeto de denuncia tiene su origen en la solicitud efectuada por el gobierno del Partido Popular para rebatir las noticias publicadas en los medios de comunicación sobre la contratación de 300 trabajadores por parte del Ayuntamiento entre junio 2003 y enero 2005, periodo gobernado por el Partido Popular, y que se trata por tanto de un estudio estadístico sobre las contrataciones realizadas por cada uno de los distintos gobiernos municipales. Del análisis de los listados denunciados se desprende que relacionan con detalle los distintos periodos de contrato de cada persona empleada por el Ayuntamiento y que en cada uno de los periodos se consigna una de las etiquetas con el significado político en cuestión. No obstante se observa también que en muchos casos a una sola persona se le asignan dos o las tres variables dependiendo del momento de cada una de las contrataciones. En este caso, atendidas las alegaciones efectuadas por el Ayuntamiento, se considera que el tratamiento de los datos personales realizado en los listados denunciados es pertinente al fin perseguido, el estudio de las contrataciones en cada gobierno municipal, de manera que se considera que su finalidad está determinada. De manera que puede decirse que en este caso el tratamiento de datos cumple con el requisito de la proporcionalidad toda vez que se ha comprobado que no existe correlación directa entre cada persona y una de las tendencias políticas registradas en las columnas denunciadas. Por tanto en el presente caso y respecto del tratamiento de datos realizado en los listados denunciados se puede afirmar que no se considera vulnerado el principio de calidad de datos recogido en el artículo 4.1 de la LOPD, por lo que el Ayuntamiento de Jerez de la Frontera no ha incurrido en la infracción descrita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 IV El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” V La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección de datos de carácter personal, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 Los datos personales de los trabajadores del Ayuntamiento de Jerez de la Frontera están incluidos en el fichero de empleados cuyo responsable es el Ayuntamiento, y son datos de carácter personal que, por lo tanto, están sujetos al ámbito de aplicación de la LOPD por ser datos de personas físicas. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita, en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En la misma línea el artículo 5.1
- q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas el Ayuntamiento de Jerez de la Frontera es el responsable del fichero y del tratamiento de los datos de carácter personal relativos a sus trabajadores. En el presente caso ha quedado acreditado que se ha producido un acceso no autorizado a la información contenida en la base de datos de los empleados del ayuntamiento denunciado porque en la sede del grupo municipal denunciante tuvo entrada un dispositivo pendrive conteniendo los listados denunciados, de forma anónima. El Ayuntamiento imputado ha manifestado que desde que se recibió el escrito de la Agencia de Protección de Datos señalando la existencia de un pendrive con información de los empleados en poder de personas no autorizadas, se inició una investigación interna para analizar lo sucedido y acordar las medidas a adoptar por los responsables de seguridad. Se identificaron las personas con acceso al fichero objeto de denuncia y se comprobó que todos ellos habían firmado el compromiso de privacidad. Que dicho fichero no disponía de contraseña para su acceso, no obstante el usuario debe identificarse y autenticarse en el dominio de red por medio de una contraseña que cumple con los requisitos de seguridad. A continuación tras analizar las posibles vías de salida de la información se concluyó que no podían concretar la vía de salida del fichero y que tampoco tenían información suficiente para poder identificar a la persona que hubiera facilitado el fichero de forma no autorizada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 La entidad denunciada acordó la adopción de medidas preventivas para impedir en la medida de lo posible, la salida de información no autorizada, entre las que se encuentran: “- Activar el registro de auditoría de los accesos realizados a aquellas carpetas donde se guarden información confidencial o sensible. - Asignar contraseñas a aquellos ficheros que contengan información confidencial o sensible. - Utilizar códigos de identificación internos en futuros estudios estadísticos, para evitar la identificación de los empleados, por personas no autorizadas. - Salvo autorización expresa, restringir los perfiles de acceso a internet, únicamente a aquellas páginas que sean necesarias para el servicio prestado por el trabajador.” Por todo lo anterior se observa que por parte del Ayuntamiento de Jerez de la Frontera se han adoptado las medidas de seguridad necesarias, para garantizar la seguridad de los datos de carácter personal en cumplimiento del principio de seguridad de los datos, consagrado en el artículo 9 de la LOPD. Hay que tener en cuenta por otra parte, que la denuncia de este procedimiento se presenta por un Grupo Municipal que pertenece al Ayuntamiento responsable de la información objeto de denuncia. El ámbito de difusión de los datos personales de los trabajadores empleados en el Ayuntamiento se ha limitado por tanto al entorno municipal de manera que se considera que los datos personales de los empleados municipales no ha sobrepasado la esfera de conocimiento del propio Ayuntamiento. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones practicadas contra el AYUNTAMIENTO DE JEREZ DE LA FRONTERA al no quedar acreditada la vulneración de los artículos 4.1 y 9.1 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE JEREZ DE LA FRONTERA y a D. A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es