1/8 Procedimiento Nº AP/00023/2018 RESOLUCIÓN: R/01275/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00023/2018, instruido por la Agencia Española de Protección de Datos vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 8/06/2017 tiene entrada un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que denuncia los siguientes hechos: El día 8 de junio de 2017 ha recibido un correo electrónico de CRUZ ROJA ESPAÑOLA informando sobre las Escuelas de Segundas Oportunidades organizadas por dicha organización. El correo incluye en el campo de destinatarios una lista de 186 direcciones de correo sin ocultar, entre la que se encuentra la de la denunciante B.B.B.. Y, entre otra, anexa la siguiente documentación: Copia del correo electrónico que manifiesta haber recibido. Con fecha 26 de junio de 2017 tiene entrada un nuevo escrito de la denunciante aportando, a requerimiento de la Inspección de Datos, copia del correo electrónico recibido junto con las cabeceras de internet. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de lo siguiente: 1. De la documentación aportada por la denunciante se desprende que el día 8 de junio de 2017 recibió un correo electrónico en el que consta como destinatarios una lista de 186 direcciones de correo electrónico, entre la que se encuentra la de la denunciante B.B.B. y como remitente figura ***EMAIL.1. El correo contiene información sobre la convocatoria de cursos en la Escuela de Segunda Oportunidad. Con fecha 13 de junio de 2017, la Inspección de Datos, realizó una búsqueda en el buscador de Google del texto “ B.B.B.” obteniendo como resultado numerosas entradas en las que se hace pública la mencionada dirección de correo electrónico. 2. En respuesta al requerimiento de la inspección de datos, con fecha 26 de septiembre de 2017 tiene entrada un escrito remitido por CRUZ ROJA ESPAÑOLA en el que se pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 La Resolución de ***FECHA.1, de la Dirección General del Trabajo autónomo, de la Economía social y de la Responsabilidad social de las empresas (BOE ***FECHA.2) aprobó la convocatoria para la selección de operaciones financiadas por el Fondo social Europeo en el marco de la Iniciativa de Empleo Juvenil encuadrada en el Programa Operativo de Empleo Juvenil (POEJ). En esta concurrencia competitiva se posibilitaba el acceso al proyecto a las entidades sin ánimo de lucro. Cruz Roja Española concurrió a dicha convocatoria y resultó ser una entidad seleccionada, publicándose la resolución en BOE del ***FECHA.3. La adjudicación y, por consiguiente, la participación de Cruz Roja en dicha convocatoria pública implica para esta entidad el acceso a los ficheros del Ministerio de Empleo que contienen los datos de carácter personal de las personas que constan en la base de datos con la finalidad de poder intervenir con ellas. Este acceso al fichero de la Administración pública ha sido facilitado por el propio ministerio, entidad titular del mismo, por lo que se goza de autorización del titular para poder tratar los datos obrantes en él. 3. En respuesta al requerimiento de la inspección de datos, con fecha 8 de marzo de 2018 tiene entrada un escrito remitido por el MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL en el que se pone de manifiesto lo siguiente: Aportan copia impresa de los datos relativos a la denunciante que figuran en el fichero automatizado en el que se incluye el NIF, nombre, apellidos, fecha de nacimiento, género, dirección postal, , teléfono y correo electrónico. Aportan copia del acuse de recibo de la solicitud de inscripción en el Sistema de Garantía Juvenil de la denunciante, fechado el día 12 de mayo de 2017 en la que consta la siguiente información: “Recuerda que, una vez formalizada tu inscripción, tu Comunidad Autónoma y la Administración General del Estado, cada una en el marco de sus competencias, las empresas que consideren aplicarse alguno de los incentivos previstos en la normativa vigente para este supuesto, así como las entidades que colaboran en la gestión del Fondo Social Europeo, podrán ofrecerte alguna de las medidas o actuaciones recogidas en el catálogo del Plan de Implementación de la Garantía Juvenil y en la Estrategia de Emprendimiento y Empleo Joven.” 4. Aportan copia de la notificación de la resolución fechada el día 16 de mayo de 2017 en la que informan de que la solicitud de inscripción ha sido denegada por incumplimiento de algunos requisitos de la convocatoria. TERCERO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Dirección General del Trabajo Autónomo, de la Economía Social y de la Responsabilidad Social de las Empresas del MINISTERIO DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 EMPLEO Y SEGURIDAD SOCIAL con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción del artículo 11 de dicha norma, tipificada como grave en el artículo 44.3
- k)de la citada Ley Orgánica. CUARTO: En el Acuerdo de apertura, se acordó (…)INCORPORAR al procedimiento de declaración de administraciones públicas, a efectos probatorios, la denuncia interpuesta por el/la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente(…) QUINTO: Mediante escrito de fecha 23/05/2018, se recibe en esta Agencia un escrito de la Subdirectora de Recursos y Organización del Servicio Público de Empleo Estatal (SEPE en lo sucesivo) en el que manifiesta, en síntesis, lo siguiente: Desde la fecha de 15/07/2017, es el SEPE el responsable en materia de gestión del Sistema Nacional de garantía Juvenil, de acuerdo con la Orden ESS/668/2017, de 13 de julio. Desde la unidad responsable del Fichero del Sistema Nacional de Garantida Juvenil ( SNGJ en lo sucesivo) se están desarrollando mecanismos necesarios de cara a la protección de los datos de carácter personal de los jóvenes inscritos en Garantida Juvenil, no solo en relación con la adaptación al RGPD, sino también todos aquellos desarrollos informáticos y técnicos para la mejora de los derechos. En el caso concreto, se están llevando a cabo medidas necesarias para que cesen y corrijan los efectos denunciados, en particular, se procederá a la cancelación de los datos de la denunciante en el fichero. Una vez cancelados no podrán ser cedidos ni comunicados a terceros, y por tanto, no serán visibles en el fichero para las entidades participantes en Garantía Juvenil. Asimismo, se recordara a las entidades participantes la necesidad de actualizar sus ficheros de acuerdo con la información que obra en el Sistema. SEXTO: En fecha de 6/06/2018 por el Instructor del Procedimiento se emitió Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos, se acuerde: (…)Declarar que el Servicio Público de empleo Estatal,) ha infringido lo dispuesto en el artículo 11 de la LOPD, tipificada como grave en el artículo 44.3
- k)de dicha norma. (…) Requerir a la DIRECCION GENERAL DEL SERVICIO PUBLICO DE EMPLEO ESTATAL, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 11 de la LOPD de acuerdo con lo indicado en el Fundamento de Derecho IV. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 (…) Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. (…) (…) Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999. (…) SEPTIMO: Mediante escrito de fecha de entrada 22/06/2018, el SERVICIO PUBLICO DE EMPLEO ESTATAL, presentó escrito de alegaciones en el que, manifestó en síntesis, lo siguiente: Se ha procedido a la cancelación de los datos de la denunciante en el Fichero del SNGJ, tal como se acredita mediante la aportación de la captura de pantalla del sistema remitido por la Subdirección General de Tecnologías de la Información remitido. Lo que implica que no podrán ser cedidos ni comunicados a terceros, y por tanto, no serán visibles en el Fichero para las entidades participantes en Garantía Juvenil del art. 88 de la Ley 18/2014 de 15 de octubre. Asimismo, se están poniendo en marcha por parte de la unidad responsable del fichero SGNJ las medidas necesarias para la eliminación o bloqueo de datos de solicitantes de inscripción que hayan sido rechazados en el Fichero SNGJ. Se ha confeccionado un modelo genérico con el texto remitido a las entidades participantes relativo al cumplimiento de los deberes legales para el pleno cumplimiento de las disposiciones sobre protección de datos de carácter personal. OCTAVO: De las actuaciones practicadas, han resultado acreditados los siguientes HECHOS PROBADOS UNO.- La Resolución de ***FECHA.1, de la Dirección General del Trabajo autónomo, de la Economía social y de la Responsabilidad social de las empresas (BOE ***FECHA.2) aprobó la convocatoria para la selección de operaciones financiadas por el Fondo social Europeo en el marco de la Iniciativa de Empleo Juvenil encuadrada en el Programa Operativo de Empleo Juvenil (POEJ). En virtud de la cual CRUZ ROJA concurrió a dicha convocatoria y resultó ser una entidad seleccionada, publicándose la resolución en BOE del ***FECHA.3. DOS.- CRUZ ROJA accedió al fichero de los participantes donde se encuentran los datos de la denunciante, y procedió al envío del correo electrónico. TRES.- En la solicitud de formalización de participación de la denunciante, se informaba de “Recuerda que, una vez formalizada tu inscripción, tu Comunidad Autónoma y la Administración General del Estado, cada una en el marco de sus competencias, las empresas que consideren aplicarse alguno de los incentivos previstos en la normativa vigente para este supuesto, así como las entidades que colaboran en la gestión del Fondo Social Europeo, podrán ofrecerte alguna de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 medidas o actuaciones recogidas en el catálogo del Plan de Implementación de la Garantía Juvenil y en la Estrategia de Emprendimiento y Empleo Joven.” CUATRO.- Por resolución del día 16 de mayo de 2017 se informa a la denunciante de que la solicitud de inscripción ha sido denegada por incumplimiento de algunos requisitos de la convocatoria. CINCO.- En fecha de 8/07/2017 la denunciante ha recibido un correo electrónico de CRUZ ROJA ESPAÑOLA - ***EMAIL.1- informando sobre las Escuelas de Segundas Oportunidades organizadas por dicha organización. El correo incluye en el campo de destinatarios una lista de 186 direcciones de correo sin ocultar, entre la que se encuentra la de la denunciante B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Consultado el Registro General de Ficheros de la AEPD, consta que responsable del Fichero ***FICH.1 denominado FICHERO DEL SISTEMA NACIONAL DE GARANTIA JUVENIL, es la Dirección General del Trabajo Autónomo y de la Economía Social y de la Responsabilidad Social de las Empresas. No obstante lo anterior, mediante Orden ESS/668/2017, de 13 de julio, desde la fecha de 15/07/2017, es el Servicio Público de Empleo Estatal ( SEPE en adelante) el responsable en materia de gestión del Sistema Nacional de garantía Juvenil, con quien se entenderán las presentes actuaciones. III En el presente caso, se atribuye al SEPE la comisión de una infracción del artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que (…) 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. (…), III De las actuaciones practicadas, se desprende que el SEPE ha cedido los datos personales de la denunciante sin habilitación a CRUZ ROJA para el envío de la comunicación por correo electrónico, pues las bases de la convocatoria únicamente preveían dicha posibilidad para aquellas inscripciones formalizadas, siendo rechazada la inscripción de la denunciante tal como consta en el punto 4 del antecedente segundo de la presente propuesta de resolución. Dicha conducta se encuentra tipificada como grave en el artículo 44.3
- k)de dicha norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave.” IV Establece el art. 46 de la LOPD lo siguiente: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores. El SEPE manifiesta en sus alegaciones al Acuerdo de Apertura lo siguiente (…) que llevará a cabo las actuaciones necesarias para dar cumplimiento al Reglamento Europeo de Protección de Datos y a la LOPD, en concreto eliminará del fichero los datos de la denunciante a fin de que las entidades participantes en el SNGJ, actualicen la información de la que disponen para las acciones concretas que están habilitadas.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Frente a ello, en la Propuesta de Resolución del Instructor en el Fundamento de Derecho IV, se indicaba lo siguiente: (…)Debe indicarse, tal como consta en el apartado 1 del citado art. 46, y en atención de que el SEPE manifiesta que llevara a cabo y no acredita la adopción de medida alguna, que las medidas que desde la Agencia Española de Protección de Datos se estiman necesarias a adoptar en relación con los hechos denunciados, es la eliminación o bloqueo de los datos, no sólo de la denunciante, sino de cualquier participante en el sistema que no fue adjudicatario de las prestaciones, y comunique tal circunstancia a las entidades que acceden al fichero para ejecutar las actuaciones previstas en la convocatoria. La adopción de medias deberá comunicarlas – y acreditarlas -a esta Agencia.(…) V En el presente caso, tras el análisis de las alegaciones y documentación aportada por el SEPE tras la propuesta de resolución, debe indicarse que ya han sido adoptadas las medidas requeridas, por lo que procede declarar la comisión de la infracción sin requerimiento expreso de adopción de medidas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO PÚBLICO DE EMPLEO ESTATAL (MINISTERIO DE TRABAJO, MIGRACIONES Y SEGURIDAD SOCIAL) ha infringido lo dispuesto en el artículo 11 de la LOPD, tipificada como grave en el artículo 44.3
- k)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO PÚBLICO DE EMPLEO ESTATAL, y al superior jerárquico SECRETARIA DE ESTADO DE EMPLEOMINISTERIO DE TRABAJO, MIGRACIONES Y SEGURIDAD SOCIAL. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es