1/19 Procedimiento Nº AP/00026/2017 RESOLUCIÓN: R/03034/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00026/2017, instruido por la Agencia Española de Protección de Datos al Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga, vista la denuncia presentada por el Sindicato A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de diciembre de 2016 se registra de entrada en esta Agencia escrito de Don B.B.B., en representación del Sindicato A.A.A., (en adelante A.A.A. o el denunciante), poniendo de manifiesto que con fecha 22 de noviembre de 2016 se encuentran numerosos expedientes administrativos, sin destruir, del Consorcio Universitario para el Centro Asociado " María Zambrano" de la UNED en Málaga, (en lo sucesivo Consorcio Universitario o el denunciado), en un contenedor de reciclaje al que cualquier persona puede acceder libremente, los cuales contienen datos de carácter personal tales como curriculums de alumnos, solicitudes de ayuda y datos académicos que resultaban accesibles a cualquier persona. El denunciante adjunta copia de Acta Notarial nº ***ACTA.1 de fecha 22 de noviembre de 2016, en la que consta diligencia indicando que personado el notario en el lugar señalado en el requerimiento que le efectúa el denunciante, en concreto, en la (C/...1), comprueba que “en un contenedor de reciclaje de papel y cartón, de color azul, hay tirada documentación de la UNED de Málaga, de la que tomo diversas fotografías, removiendo el requirente, a solicitud mía, la documentación en cuestión en la medida en que se lo permitía el acceso al fondo del contenedor, a fin de fotografiar más variedad de documentación. Fotografías que, una vez positivadas, dejaré unidas a esta matriz“. La reseñada Acta Notarial está acompañada por Diligencia fechada el 24 de noviembre de 2016 uniendo las siete fotografías tomadas en el citado lugar, en las que se observa aparecen documentos de la UNED de Málaga, si bien su contenido no resulta legible, motivo por el que con fecha 9 de diciembre de 2016 se solicita al denunciante remisión “a esta Agencia de muestra significativa de la documentación encontrada que contenga datos personales. “ Con fecha 26 de enero de 2017 el denunciante, en contestación al requerimiento que le fue efectuado remite copia de la siguiente documentación: - Páginas 1 y 2 de la solicitud para la Convocatoria de Becas de Colaboración de profesores Tutores Titulados para el curso de acceso a la Universidad para mayores de 25 años presentada por Don C.C.C., en las que consta su DNI, fecha de nacimiento, domicilio, teléfono particular así como sus datos profesionales, incluido NRP. - Escrito de la Junta de Andalucía de fecha 13/01/2004 dirigido a Dña D.D.D., de la Comisión Negociadora Convenio Consorcio Centros Asociados UNED, en el marco del expediente administrativo nº 005/04NRC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 - Escrito de la UNED de 15/04/2002 adjuntando una relación de asignaturas y profesores, cuyos nombres y apellidos se detallan. - Dos páginas del Curriculum-Vitae de Dña. Mª E.E.E., con documentación que contiene su fecha de nacimiento y DNI. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al Consorcio Universitario para el Centro Asociado " María Zambrano" de la UNED en Málaga, que contesta informando de lo que sigue: a. Se desconoce el motivo por el que la documentación proveniente dela UNED se encontraba en el contenedor, toda vez que la política de custodia y destrucción de la Universidad es rigurosa. b. La única explicación obedecería a una actitud intencionada por parte de algún empleado ante la existencia de un fuerte conflicto laboral dentro del Consorcio, que habría hecho un uso indebido de esa documentación sustrayéndolo de forma ilícita del Centro con el ánimo de causar un perjuicio al mismo y, posiblemente, con el ánimo de realizar la posterior denuncia ante la AEPD, no disponiendo la UNED de medios humanos o materiales que puedan evitar este tipo de actuación por terceros. Se relacionan una serie de escritos, demandas y querellas criminales presentadas por A.A.A. contra el Consorcio o personal del mismo durante el periodo comprendido entre el 30 de marzo de 2016 y el 15 de diciembre de 2016. c. La entidad cuenta con el siguiente Protocolo establecido para la custodia y destrucción de documentos: i. Cualquier tipo de documento es soporte papel que tiene entrada en esa Universidad debe pasar por el Departamento de registro ubicado en la recepción de la entidad, donde se le asigna un número de registro. Se realiza una copia del documento original y éste se archiva. ii.El documento original se archiva en una habitación cerrada con llave dentro del departamento de administración que custodia la documentación. iii. Este documento es archivado en carpetas pendientes de entregar a los correspondientes Departamentos. La llave se custodia en el Departamento de administración. El documento original se archiva en una habitación con llave, dentro del departamento de administración de la entidad que custodia la documentación. iv. Los Curriculum-Vitae se depositan directamente en esa habitación reservada para tal fin, sin realizar copia alguna. v. Tienen acceso a dicho cuarto tres personas del citado departamento, el conserje, la directora y la secretaría del centro, así como la representante legal de los trabajadores, a quien no se le ha podido denegar el acceso a dicha habitación debido a la existencia del citado conflicto laboral. vi. En cuanto a la destrucción de documentación en formato papel que contiene datos de carácter personal está prevista su triturado en la destructora de papel adquirida a tales efectos, siendo trasladada con posterioridad a los contenedores. vii. Existe un documento denominado “Instrucc-Custodia-Acceso-Doc-20-122016-5”, cuya copia se adjunta, que fue enviado al representante legal de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Trabajadores del Centro, acerca de la Instrucciones internas en materia de custodia y acceso a documentación oficial del Consorcio. viii. Se adjunta copia de la parte del documento de Seguridad donde se exponen las medidas a adoptar cuando un soporte vaya a ser transportado, desechado o reutilizado. d. Asimismo, se realizó seminario sobre LOPD al que asistieron todos los empleados. TERCERO: Con fecha 28 de junio de 2017, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 89.2, 92 y 97.2 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD) tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica, así como por la presunta infracción del artículo 10 de dicha norma, ambas tipificadas como infracción grave en los artículos 44.3.
- h)y 44.3.d), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento, con fecha 17 de julio de 2017 la Directora del Centro Asociado "María Zambrano" de la UNED en Málaga presentó escrito de alegaciones en el que, en síntesis, manifestaba que: - El denunciante, Secretario General del Sindicato A.A.A., tiene una larga trayectoria de mala relación y enemistad manifiesta con el Centro denunciado, como prueba la documentación que adjuntan referida a noticias, reclamaciones, denuncias, demandas y querellas contra el Centro en el período comprendido entre el 24 de febrero de 2016 y el 30 de enero de 2017. En este caso resulta sospechoso que no explica qué le motivó a abrir el contenedor de basura, ya que la documentación al parecer se hallaba en el interior del mismo, y no en el suelo, y sorprende que no avisara a la policía y sí a un notario que acudió en el mismo momento, cámara en mano. Actuación que lleva a la convicción de la utilización de artimañas para continuar su lucha particular contra el Centro, al que tiene acceso y acude habitualmente. - La única prueba presentada en la denuncia es un acta notarial a la que días después se adicionan unas fotografías en las que aparecen documentos de la UNED de Málaga cuyo contenido resulta ilegible, tal y como hace constar la propia Agencia. Además, se impugna la copia de los documentos aportados por el denunciante dos meses después por los siguientes motivos: 1.- No se demuestra que dichas copias se correspondan con los documentos fotografiados en el acta notarial, toda vez que los contenidos en la misma eran ilegibles; 2. Al no haberse dado traslado al Centro del requerimiento notarial realizado se ha causado indefensión a hora de hacer las correspondientes valoraciones y alegaciones. - Tal y como ya se acreditó, la política de custodia y destrucción de la Universidad es rigurosa, si bien hay documentos que, obviamente, no se destruyen en aras de su uso futuro y que pueden ser susceptibles de sustracción e incluso de ser fotocopiados, pudiendo ser ésta la causa de que el denunciante aportara copias y no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 originales de los documentos que dice haber encontrado en el contenedor. Se reitera lo expuesto en el anterior escrito en cuanto al protocolo seguido en los procedimientos de custodia de documentación en soporte papel, transporte, destrucción y/o reutilización de soportes y documentos. Si es soporte papel procederemos a destruirlo mediante triturado en la destructora. El transporte exterior de la documentación con datos de carácter personal, se realizará en cajas con algún tipo de cerradura especial código o similar. Se custodiará de tal manera que no se apilarán las cajas en sitios públicos sin la presencia de alguno de los trabajadores de la entidad. Queda prohibido el reciclaje de papeles con datos de carácter personal. Una vez terminada la finalidad del documento o su copia, deberá ser destruida. Se deberá registrar toda salida de documentación en cualquier soporte. Añaden que llama la atención a esa parte que en ningún momento conste si los documentos encontrados eran originales o si el representante del Sindicato denunciante fotocopió los mismos para aportarlos después a la Agencia, así como que no los acompañase junto al acta notarial presentada. QUINTO: Con fecha 9 de agosto de 2017, la Instructora del procedimiento inicia un período de práctica de pruebas, acordando practicar las siguientes pruebas: 1.Incorporar al expediente del procedimiento de declaración de infracción de administraciones públicas, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00158/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00026/2017 presentadas por el Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga. Todo ello con su correspondiente documentación adjunta. 2. Remitir copia de la denuncia que incluye copia del acta notarial levantada el 22 de noviembre de 2016. 3. Solicitar al Consorcio Universitario denunciado contestación a la siguiente cuestión: Si la copia de la documentación que aparece detallada en el Antecedente de hecho Primero del Acuerdo de Inicio del procedimiento consta como registrada de entrada en ese Centro, si los originales obran en su poder en la actualidad o se trata de documentación destruida. Con fecha 10 de agosto de 2017 se acuerda practicar la prueba consistente en solicitar a Don B.B.B., en representación de la A.A.A., contestación a los extremos que a continuación se indican y/o aportación de la siguiente documentación, cuya notificación se produce con fecha 22 de agosto de 2017: - Aclaración de la forma exacta en que tuvo conocimiento de la existencia de documentos sin destruir del Consorcio Universitario para el Centro Asociado “María Zambrano” de la UNED en Málaga depositados en el interior de un contenedor de reciclaje situado. - Acreditación de que la copia de la documentación presentada con fecha 24 de enero de 2017, en contestación al requerimiento efectuado por esta Agencia, se corresponde con documentación original localizada en el interior del contenedor de reciclaje sito en la (C/...1) o, en su caso, con alguno de los documentos que aparecen en las fotografías adjuntadas al Acta Notarial aportada junto a su denuncia, en cuyo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 caso se señalarán los números de las fotografías corresponden. del Acta Notarial con las que se - Justificación del modo exacto de obtención de las copias aportadas, así como del destino dado a sus originales. Se significa que en caso de que la documentación original continúe en su poder deberá procederse a la devolución de la misma al Consorcio Universitario para el Centro Asociado “María Zambrano” de la UNED en Málaga para su custodia y destino procedentes. - Vinculación de Don B.B.B., (en adelante SPP), con el Consorcio Universitario denunciado, especificando si tiene o ha tenido acceso a documentación del mismo. SÉXTO: Con fecha 29 de agosto de 2017 se registra de entrada escrito de la Directora del mencionado Consorcio Universitario de fecha 25 de agosto de 2017 manifestando: “la imposibilidad de verificar lo requerido, toda vez que los documentos que aparecen fotografiados en el acta notarial que obra en el expediente y de cuya copia se nos dio traslado, son ilegibles y de imposible lectura. No obstante, y dado que la contraparte alega en su denuncia tener en su poder la citada documentación, interesa al derecho de esta pararte se le requiera copia de la misma para poder dar cumplimiento a lo solicitado a los efectos legales oportunos.” SÉPTIMO: Con fecha 31 de agosto de 2017, se reitera la práctica de la prueba solicitada al Centro denunciado en los siguientes términos: “En relación con el escrito de fecha 25 de agosto de 2017 en el que el Consorcio Universitario para el Centro Asociado “María Zambrano” de la UNED en Málaga comunica la imposibilidad de verificar lo requerido a través de la práctica de pruebas que le fue notificada, “toda vez que los documentos que aparecen fotografiados en el acta notarial que obra en el expediente y de cuya copia se nos dio traslado son ilegibles y de imposible lectura”, se significa que la información requerida a ese Consorcio en fase de pruebas se refiere a la única documentación que se detalla en el Antecedente de hecho Primero del acuerdo de inicio del presente procedimiento sancionador, que no es otra que la constituida por los documentos cuya copia fue remitida por el denunciante con fecha 26 de enero de 2017 en contestación al requerimiento que le fue efectuado por esta Agencia, y que constituye, según el denunciante, una muestra de parte de la documentación localizada en el contenedor de reciclaje situado en la (C/...1) de Málaga. Por lo tanto, resultando identificable el contenido de la citada documentación se reitera al Consorcio Universitario para el Centro Asociado “María Zambrano” de la UNED en Málaga la práctica de la prueba consistente en contestar “Si la copia de la documentación que aparece detallada en el Antecedente de hecho Primero del Acuerdo de Inicio del procedimiento consta como registrada de entrada en ese Centro, si los originales obran en su poder en la actualidad o se trata de documentación destruida”, para lo cual se amplía el plazo inicialmente concedido para su práctica en CINCO DÍAS HÁBILES, contados desde la recepción de este acuerdo, observándose que las manifestaciones efectuadas en contestación a los extremos requeridos deberán ser acreditadas mediante cualquier medio de prueba válido en derecho. En cualquier caso, a los efectos de facilitar contestación a los extremos requeridos, se remite copia de los folios 26 al 33 constitutivos de la copia de la muestra remitida por el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 Asimismo, en lo que respecta a la práctica de la prueba propuesta consistente en que se requiera al denunciante copia de la documentación que éste indica obra en su poder a fin de poder dar cumplimiento a lo solicitado a los efectos legales oportunos, se señala que el denunciante ya aportó copia de la documentación detallada en el antecedente de hecho Primero del citado acuerdo de inicio, tal y como se indica en el mismo. “ No constando la efectiva entrega de dicho envío por el Servicio de Correos, con fecha 12 de septiembre de 2017 se remite nuevamente dicho escrito a los efectos de reiterar la práctica de la prueba solicitada, siendo entregado a su destinatario con fecha 113 de septiembre de 2017. OCTAVO: Con fecha 8 de septiembre de 2017 se registra de entrada en esta Agencia escrito del representante de la A.A.A. contestando lo siguiente: - Conocieron la existencia de los documentos sin destruir a través de un vecino de la zona que se puso en contacto con la Asociación, por lo que procedieron al levantamiento del Acta Notarial el 22/11/2016 y a la posterior comunicación de los hechos a la AEPD el 01/12/2016. - Las copias de la documentación presentada con fecha 24/01/2017 corresponden con los documentos que aparecen en las fotografías adjuntadas al Acta Notarial aportada junto a la denuncia. Concretamente, la relación de documentos aportados que se pueden apreciar en las fotografías del Acta Notarial son las siguientes: Documento 1: Fotografías nº 2, nº 4 y nº 5 del Acta ***ACTA.1/2016 Documento 2: Fotografías nº 2, nº 4, nº 6 y nº 7 del Acta ***ACTA.1/2016 Documento 3: Fotografías nº 2, nº 3, nº 4, nº 5 y nº 7 del Acta ***ACTA.1/2016 Documento 4: Fotografías nº 2, nº 3, nº 4, nº 5 y nº 7 del Acta ***ACTA.1/2016 Documento 5: Fotografías nº 2, nº 3, nº 4, nº 5 y nº 7 del Acta ***ACTA.1/2016 - Las copias aportadas se obtuvieron mediante algunas fotografías realizadas en el mismo momento del levantamiento del acta notarial y que tienen guardadas a disposición de la Agencia. No disponen de documentación original alguna, habiéndose limitado a dejar constancia de lo sucedido a través del Acta notarial. No tienen conocimiento de si cualquier persona pudo apropiarse o no de alguno de los documentos sin destruir referidos. - Dicho representante afirma que jamás ha tenido acceso a ninguna información académica o personal de alumnos o profesorado del Centro denunciando, teniendo como única vinculación la representación de una asociación de empleados públicos de carácter sindical de la Diputación de Málaga y del reseñado Centro denunciado. NOVENO: Con fecha 19 de septiembre de 2017 se registra de entrada en esta Agencia escrito de contestación de la Directora del Consorcio Universitario manifestando, en relación con las copias de los documentos aportados por el denunciante, lo que sigue: - C/ Jorge Juan, 6 28001 – Madrid Respecto de los documentos que no tienen sello de la UNED, no están registrados en el Centro, no se dispone de los originales ni www.agpd.es sedeagpd.gob.es 7/19 constan como destruidos. - Respecto a los documentos con sello de la UNED Málaga indican que los dos que constan como registrados en el Centro no contienen datos de carácter personal. Los restantes documentos sellados no tienen relación alguna con el Centro, tratándose de documentos de una facultad ubicada en la sede central de la UNED en Madrid y otro de la oficina de Empleo de Ronda. - Reiteran la diligencia y cuidado del Centro en la cadena de custodia de documentos, así como sus alegaciones relativas a la enemistad manifiesta del denunciante con el Centro. Inciden en la “sospechosa” manera de proceder del denunciante “al ir expresamente a buscar documentos a un contenedor y contar con la asistencia de un notario casi de forma inmediata”, actuación acompañada de las irregularidades descritas en la documental que adjuntan, consistente en el informe elaborado por el Director de la Cátedra de Empleo y Protección Social UMA, de fecha 14 de Septiembre de 2017, cuyo contenido dan por reproducido, y en cuya conclusión final se afirma“..que no puede colegirse o no puede demostrarse un incumplimiento de los trabajadores que lleve consigo una responsabilidad laboral directa de los mismos ni otro tipo de responsabilidades en la custodia por parte del propio Centro Asociado de la UNED, al menos con las pruebas e informaciones testificales obtenidas, …”. Con fecha 28 de septiembre de 2017 se registra nuevo escrito de la citada Directora dando por reproducido en todos sus términos el que se ha mencionado con anterioridad. DÉCIMO: Con fecha 11 de octubre de 2017 la Instructora del procedimiento formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se resolviese el presente procedimiento declarando el archivo de las actuaciones seguidas en el mismo al Centro Asociado "María Zambrano" de la UNED en Málaga, ya que no habían quedado acreditados los hechos que sustentarían la comisión de una posible infracción a lo previsto en los artículos 9 y 10 de la LOPD por parte de dicho Centro Asociado de la UNED. Reiterado con fecha 24 de octubre de 2017 el intento de notificación de dicho acto, consta que dicha propuesta de resolución fue notificada al Centro Asociado "María Zambrano" de la UNED en Málaga con fecha 31 de octubre de 2017. HECHOS PROBADOS PRIMERO: Con fecha 9 de diciembre de 2016 Don B.B.B., en representación del Sindicato A.A.A., denuncia ante la AEPD el hallazgo con fecha 22 de noviembre de 2016 de expedientes administrativos, sin destruir, del Consorcio Universitario para el Centro Asociado " María Zambrano" de la UNED en Málaga, en un contenedor de reciclaje al que cualquier persona puede acceder libremente. Según el denunciante dichos expedientes administrativos contienen datos de carácter personal tales como curriculums de alumnos, solicitudes de ayuda y datos académicos que resultaban accesibles a cualquier persona. SEGUNDO: El denunciante adjunta a su denuncia C/ Jorge Juan, 6 28001 – Madrid copia del Acta de Presencia www.agpd.es sedeagpd.gob.es 8/19 Notarial, con número de protocolo nº ***ACTA.1/2016, donde consta Diligencia de fecha 22 de noviembre de 2016 refiriendo que personado el Notario en la (C/...1) a requerimiento de Don SPP, el requirente en dicha Acta, comprueba que “en un contenedor de reciclaje de papel y cartón, de color azul, hay tirada documentación de la UNED de Málaga, de la que tomo diversas fotografías, removiendo el requirente, a solicitud mía, la documentación en cuestión en la medida en que se lo permitía el acceso al fondo del contenedor, a fin de fotografiar más variedad de documentación. Fotografías que, una vez positivadas, dejaré unidas a esta matriz“. TERCERO: Mediante Diligencia de fecha el 24 de noviembre de 2016 el Notario une a la citada Acta siete fotografías tomadas del interior del contenedor, las cuales muestran diversos documentos cuyo contenido exacto resulta total o parcialmente ilegible, no pudiendo apreciarse en las partes legibles que incluyan datos de carácter personal. CUARTO: El denunciante ha aportado copia de los siguientes documentos, afirmando que se corresponden con los mostrados en las fotografías adjuntadas al Acta de Presencia Notarial citada en el Hecho Probado anterior, concretamente: - Documento 1: Carátula de la solicitud para la Convocatoria de Becas de Colaboración de profesores Tutores Titulados para el curso de acceso a la Universidad para mayores de 25 años presentada por Don C.C.C., y Hoja de “Datos del Solicitante” en las que consta su DNI, fecha de nacimiento, domicilio, teléfono particular así como sus datos profesionales, incluido NRP. El denunciante señala que se corresponde con las Fotografías nº 2, nº 4 y nº 5 del Acta ***ACTA.1/2016 - Documento 2: Escrito de la Junta de Andalucía de fecha 13/01/2004 dirigido a Dña D.D.D., de la Comisión Negociadora Convenio Consorcio Centros Asociados UNED, en el marco del expediente administrativo nº 005/04NRC. El denunciante señala que se corresponde con las Fotografías nº 2, nº 4, nº 6 y nº 7 del Acta ***ACTA.1/2016. - Documento 3: Escrito de la UNED de 15/04/2002 firmado por Dña. Enriqueta de Lara Guijarro, Secretaria F. Educación, adjuntando una relación de asignaturas y profesores, cuyos nombres y apellidos se detallan. (Dos hojas). El denunciante señala que se corresponde con las Fotografías nº 2, nº 3, nº 4, nº 5 y nº 7 del Acta ***ACTA.1/2016. - Documento 4: Nota Interior de fecha 03/02/2004 enviada entre los responsables de dos unidades administrativas del citado Consorcio Universitario remitiendo copia de un escrito recibido del Jefe de Servicio de Administración Laboral , Don Manuel Maizal Jiménez, en el que se comunica la inscripción en el Libro de Registro correspondiente del Convenio Colectivo de los trabajadores con ese Consorcio. El denunciante señala que se corresponde con las Fotografías nº 2, nº 3, nº 4, nº 5 y nº 7 del Acta ***ACTA.1/2016. - Documento 5: Dos páginas del Curriculum-Vitae de Dña. Mª E.E.E., con documentación que contiene su fecha de nacimiento y DNI. El denunciante señala que se corresponde con las Fotografías nº 2, nº 3, nº 4, nº 5 y nº 7 del Acta ***ACTA.1/2016 Se trata de documentos íntegros, individualizados y perfectamente legibles. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 QUINTO: El Consorcio Universitario para el Centro Asociado " María Zambrano" de la UNED en Málaga ha acreditado que tiene establecido un procedimiento para la destrucción de documentos en formato papel que contienen datos de carácter personal, contando para ello con una destructora de papel que suele utilizarse por el Conserje, o, en su defecto, por personas de administración. Una vez triturado se traslada en una bolsa a los contenedores. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 establece que: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. III El Titulo VII sobre ”Infracciones y sanciones”, en el artículo 43.1 de la LOPD establece que: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3.
- d)de la LOPD define como responsable del fichero o tratamiento a la: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente supuesto está acreditado que el Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga, (en adelante el Consorcio Universitario), es responsable del tratamiento efectuado con los datos de carácter personal que obran en los expedientes administrativos tramitados por el Centro así como en los documentos gestionados por éste, toda vez que decide sobre la finalidad, contenido y uso de la información contenida en los mismos. IV En cuanto a la infracción relativa al incumplimento del principio de seguridad de los datos personales, el artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” y “perdida” por parte de terceros. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias (Título VIII RLOPD).
- d)El mantenimiento de ficheros,- cualquiera que sea la forma o modalidad de éstos-, programas o equipos carentes de las medidas de seguridad que impidan accesos o tratamientos no autorizados constituye una infracción tipificada como grave en el artículo 44.3.
- h)de la citada Ley. El Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), se refiere a las medidas de seguridad que deben implementarse en los ficheros y tratamientos automatizados o no automatizados. El artículo 79 del RLOPD, en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” Mientras que el artículo 81.1 del mismo reglamento en cuanto a la “Aplicación de los niveles de seguridad” establece que “1. Todos los ficheros o tratamientos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Por su parte, los apartados 1 al 4 del artículo 88 del RLOPD establecen: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
- a)La identificación del responsable o responsables de seguridad.
- b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. “ En el presente supuesto, la infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD se vincula al presunto incumplimiento por parte del Consorcio Universitario denunciado de lo dispuesto en los artículos 89.2 92.4 y 97.2 del RLOPD, los cuales establecen lo siguiente: Artículo 89. Funciones y obligaciones del personal”. “2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Asimismo, al estar frente a documentos en formato papel que pudieran contener datos de carácter personal, en este caso resultarían de aplicación las medidas de seguridad previstas reglamentariamente para los ficheros y tratamientos no automatizados, estableciéndose en el artículo 105 del RLOPD como “Obligaciones comunes”: “1. Además de lo dispuesto en el presente capítulo, a los ficheros no automatizados les será de aplicación lo dispuesto en los capítulos I y II del presente título en lo relativo a:
- a)Alcance.
- b)Niveles de seguridad.
- c)Encargado del tratamiento.
- d)Prestaciones de servicios sin acceso a datos personales.
- e)Delegación de autorizaciones.
- f)Régimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.
- g)Copias de trabajo de documentos.
- h)Documento de seguridad. 2. Asimismo se les aplicará lo establecido por la sección primera del capítulo III del presente título en lo relativo a:
- a)Funciones y obligaciones del personal.
- b)Registro de incidencias.
- c)Control de acceso.
- d)Gestión de soportes. “ III Sentado lo anterior, y para mayor claridad, resulta necesario acudir a los siguientes conceptos relacionados con los preceptos de la normativa de protección de datos anteriormente citados. Así, en el artículo 3 de la LOPD se acuñan las siguientes definiciones: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.” Las letras
- n)y
- r)del apartado 1 del artículo 5 del RLOPD definen los siguientes conceptos: “
- n)Fichero no automatizado: todo conjunto de datos de carácter personal organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica. “ “
- r)Tercero: la persona física o jurídica, pública o privada u órgano administrativo distinta del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento. Podrán ser también terceros los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. “ Las letras
- f)y ñ) del apartado 2 del artículo 5 del RLOPD definen los siguientes conceptos en relación con lo dispuesto en el título VIII de dicho Reglamento, que tiene como rúbrica “De las medidas de seguridad en el tratamiento de datos de carácter personal”: “
- f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. IV El artículo 3 de los Estatutos del Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga consta que se trata de una entidad de derecho público dotada de personalidad jurídica propia y diferenciada y de la capacidad de obrar que se requiera para la realización de sus objetivos, constituida por las administraciones y entidades indicadas en el artículo 1 de dichos Estatutos , conforme al Real Decreto 1317/1995, de 21 de julio, sobre régimen de convenios de la UNED con los Centros Asociados a la misma. Dicha entidad está adscrita a la UNED con arreglo a lo previsto en el artículo 120 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que lo reproduce y sustituye a partir del 2 de octubre de 2016. V En el presente procedimiento debe dilucidarse si el Consorcio Universitario resulta responsable, en su condición de responsable del tratamiento, de la comisión de una infracción derivada de la falta de adecuación de las medidas de seguridad de índole técnica y organizativa adoptadas en relación con la destrucción o deshecho de documentos en soporte papel custodiada en el mismo para evitar tanto accesos por terceros no autorizados a los datos de carácter personal contenidos en dichos documentos como, en su caso, la recuperación de esa información por esos terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 En concreto, ha de dirimirse si el denunciado resulta responsable del abandono en un contenedor de reciclaje de papel y cartón situado en la (C/...1) de una serie de expedientes administrativos provenientes de la UNED de Málaga, que, al parecer, contenían datos de carácter personal que resultaban fácilmente accesibles y recuperables para cualquier tercero no autorizado que se acercase a dicho contenedor, toda vez que dicha documentación no se había destruido por el responsable del fichero en el que la misma se custodiaba antes de tirarse al contenedor de reciclaje. En relación con los hechos denunciados el referido Consorcio Universitario ha aportado documentación que acredita la existencia de un procedimiento establecido para la custodia y destrucción de documentos en soporte papel que contengan datos de carácter personal, en el que, entre otras medidas de seguridad, se establece que dicha documentación se destruirá por el conserje, o por personas de administración, -que esta Agencia recuerda tienen obligación de secreto profesional-, en la destructora comprada a tales efectos, siendo trasladada a los contenedores en bolsas una vez triturada. Asimismo, ha probado que se ha dado traslado al Representante Legal de los Trabajadores del Centro Asociado en cuestión, en octubre de 2016, de las “Instrucciones internas en materia de custodia y acceso a documentación oficial del Consorcio para el Centro Asociado de la UNED en Málaga” adoptadas para garantizar la conservación y falta de acceso a personal no autorizado a la documentación pública, oficial o administrativa del Centro. También a los efectos de su defensa, la directora del Centro Asociado “María Zambrano” de la UNED en Málaga ha manifestado la inexistencia de prueba contundente y veraz que acredite que la copia de los documentos aportados por el denunciante que aparecen relacionados en el acuerdo de inicio sea la localizada en el contenedor, máxime cuando los documentos de la UNED de Málaga que aparecen en las fotografías adjuntadas al Acta Notarial presentada con la denuncia resultan ilegibles. A lo que añade que no tiene registrados, ni tiene originales, ni constan como destruidos los documentos que se adjuntaron por la AEPD al requerimiento de práctica de pruebas efectuado el 12/09/2017, es decir, los documentos cuya copia remitió el denunciante con fecha 27/01/2017. A mayor abundamiento, se señala que parte de esos documentos no cuentan con sello alguno de la UNED en Málaga, ni tienen sus originales en el Centro Asociado ni constan como destruidos. Con respecto a los documentos con sello de la UNED Málaga se afirma que no contienen datos de carácter personal. También se indica que hay un documento sellado de una facultad ubicada en la sede central de la UNED en Madrid y otro de la Oficina de Empleo de Ronda. Finalmente, en apoyo de sus manifestaciones, se aporta la documental consistente en un “Informe sobre la actuación del personal del Centro Asociado de la UNED de Málaga en relación a una denuncia ante la AEPD” emitido el 14 de septiembre de 2017 por el Director de la Cátedra de Empleo y Protección Social de la Universidad de Málaga en el que éste concluye que: “1. De conformidad con los empleados responsables de la destrucción de los documentos del Centro Asociado de la UNED, ninguna documentación con datos sensibles que se protegen por la Ley sale de la sede hacia los contenedores sin triturar o ser convenientemente destruida. 2 Varios de los documentos presentados son de carácter "publico" y no contienen datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 3. Se observan importantes discrepancias entre las y adveradas por el notario con las "ampliaciones" de las mismas. fotos realizadas 4. Hay documentos que no tienen nada que ver con los expedientes administrativos o que demuestren que pertenecen a un expediente de la UNED puesto que no se encuentran debidamente registrados por el Centro y alguno que pudiera tener registro no se sabe si es original o una mera fotocopia. Ello hace como conclusión final, a juicio de este instructor, y con los datos expuestos más arriba, que no puede colegirse o no puede demostrarse un incumplimiento de los trabajadores que lleve consigo una responsabilidad laboral directa de los mismos ni otro tipo de responsabilidades en la custodia por parte del propio Centro Asociado de la UNED, al menos con las pruebas e informaciones testificales obtenidas por el abajo firmante,(…).” Sentado lo anterior, de la valoración conjunta de los elementos de prueba obrantes en el procedimiento, se evidencia lo siguiente: C/ Jorge Juan, 6 28001 – Madrid - El Acta Notarial aportada por el Sindicato denunciante únicamente da fe de que en el interior del contenedor de reciclaje de papel y cartón “hay tirada documentación de la UNED de Málaga”, de la que el Notario toma diversas fotografías que, una vez positivadas, une a la matriz. Por lo tanto, en el Acta Notarial no consta referencia alguna a que el citado Notario hiciera comprobaciones sobre la naturaleza exacta y contenido de los documentos localizados, no constando por tanto que éstos contuvieran o se refirieran a datos de carácter personal. - Las fotografía nº 1 unida al Acta Notarial no muestra que junto al contenedor de papel haya tirada documentación en la vía pública. - Los documentos contenidos en las fotografías números 2 al 7 del Acta Notarial citada resultan total o prácticamente ilegibles dado que la falta de nitidez de las imágenes de los documentos, impidiendo visualizar claramente el contenido exacto de los mismos, incluyendo los sellos que tienen estampados. En paralelo, se observa que las partes que resultan legibles no muestran información relativa a datos personales. Además, de la simple comparación de estos documentos se aprecia - El denunciante no ha acreditado o justificado durante el período de práctica de pruebas los siguientes extremos:
- a)que fuera un vecino de la zona quien le proporcionara la información relativa al abandono de documentos sin destruir en un contenedor, limitándose a manifestar dicha afirmación sin facilitar la identificación de dicha persona ni la causa por la que éste le comunicó tal información;
- b)que en el momento del levantamiento del Acta Notarial Don SPP, identificado como el requirente en dicha Acta, también tomase fotografías de los documentos obrantes en el citado contenedor y además se correspondan con los documentos aportados a requerimiento de la AEPD. - De la mera visualización de los documentos aportados por el denunciante se observa que son perfectamente legibles y www.agpd.es sedeagpd.gob.es 16/19 muestran documentos íntegros e individualizados, de forma que no permiten apreciar que tengan su origen en fotografías tomadas del interior de un contenedor en el que hay depositados otros documentos. Sin embargo, se constata que los documentos mostrados en las fotografías adjuntadas al Acta Notarial presentan un contenido borroso que impide su lectura total o parcial ante la falta de nitidez, estando la mayor parte de ellos superpuestos con otros documentos tirados en el interior del contenedor fotografiado por el Notario. - No constan en el expediente elementos de prueba de los que se desprenda que la persona que, según Don SPP, le comunicó la existencia de los documentos estudiados no sólo tuviera acceso al contenido de los mismos, sino que además éstos incluyeran datos de carácter personal. A la vista de lo que se considera que no constan en el procedimiento elementos de prueba que apoyen las manifestaciones del denunciante de las que se derivaría la infracción supuestamente cometida por el Consorcio Universitario denunciado en materia de seguridad de datos de carácter personal. VI Asimismo, se inculpa al Centro Asociado denunciado de la posible comisión de una infracción a lo previsto en el artículo 10 de la LOPD, que bajo la rúbrica “Deber de secreto” dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, automatizados o no, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Este deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento y comporta, por lo que ahora interesa, que los datos almacenados que deben ser tratados para su destrucción no pueden llegar a ser revelados o divulgados a ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este supuesto, la supuesta infracción al deber de secreto traería causa de la infracción en materia de seguridad de datos inicialmente atribuida al denunciado, y conforme ya se ha razonado en el anterior Fundamento de Derecho no se considera haya quedado probado que los documentos fotografiados por el Notario contuviesen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 datos de carácter personal y, por tanto, el Centro Asociado hubiese incumplido las medidas de seguridad previstas para la destrucción de documentos en papel que contuvieran datos de esa naturaleza. De lo cual se colegiría que tampoco puede inculparse al Consorcio Universitario de un incumplimiento del deber de secreto recogido en el artículo 10 de la LOPD, al no haber constancia de que el hallazgo de los referidos documentos haya dado lugar a la revelación de datos personales contenidos en los documentos fotografiados por el Notario a terceros no autorizados, incluidos el propio Notario y Don SPP, puesto que en el Acta Notarial no se indica que los documentos localizados contengan datos de carácter personal. De esta forma, no consta acreditado en el procedimiento que el denunciado haya vulnerado el deber de secreto recogido en el artículo 10 de la LOPD, puesto que está probado, en forma fehaciente y mediante hechos constatables, que ningún tercero no autorizado haya accedido al contenido de documentos, sin destruir, de la UNED de Málaga que estando tirados, sin destruir, en el citado contenedor de reciclaje contuvieran datos de carácter personal, como tampoco hay elementos de prueba de los que se desprenda que los documentos aportados por Don SPP sean los mismos que los fotografiados por el Notario. VII En este punto, hemos de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en Sentencia 44/1989, de 20 de febrero, indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. El mismo Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, bajo la rúbrica “Responsabilidad”, establece que: “Sólo podrán ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En definitiva, a tenor de las circunstancias expuestas, se considera de aplicación el principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan la inculpación o de la intervención en los mismos del presunto infractor. En consecuencia, al no haber quedado probado a través de las actuaciones practicadas que los documentos localizados en el interior del contenedor de reciclaje situado en la vía pública que se cita en el Acta Notarial contuvieran datos de carácter personal, ni que los documentos cuya copia ha aportado el denunciante se correspondan exactamente con los documentos fotografiados por el Notario, no puede afirmarse que por parte del Centro Asociado denunciado se haya vulnerado el principio de seguridad de los datos personales contenido en el artículo 9 de la LOPD ni conculcado el deber de secreto consagrado en el artículo 10 de la LOPD, máxime cuando pueden tratarse de documentos de la UNED de Málaga que no incluyan datos de carácter personal sujetos a las garantías de la normativa de protección de datos. A estos efectos, se destaca que las fotografías adjuntadas al Acta Notarial aportada por el denunciante no permiten visualizar, en forma clara e indubitada, el tipo de información incluida en los mismos al resultar prácticamente ilegible su contenido, de forma que no está probado que incluyeran información de carácter personal, por lo que, en consecuencia, tampoco puede acreditarse que los documentos aportados por el denunciante sean copia exacta de los fotografiados por el Notario, amén de que el denunciante no ha justificado, en forma fehaciente, que haya obtenido las copias de los documentos aportados “mediante algunas fotografías realizadas en el mismo momento del levantamiento del acta notarial”, de forma que no está probado que procedan del reseñado contenedor, tal y como mantiene el denunciante. Por lo que no al no estar acreditado que en este supuesto se haya producido un tratamiento de datos de carácter personal, tampoco está justificado que el Centro Asociado de la UNED denunciado no haya implementado en forma suficiente o eficaz las medidas de seguridad establecidas para proceder a la destrucción de los documentos a desechar con datos de carácter personal, al igual que tampoco está justificado que ningún tercero no autorizado haya accedido a información de carácter personal que supuestamente pudiera contenerse en los documentos de la UNED a los que se refiere el Notario como localizados en el interior del reseñado contenedor. De acuerdo con lo expuesto, ante la falta de pruebas de cargo para atribuir al Centro Asociado de la UNED denunciado responsabilidad alguna en la comisión de las infracciones descritas al no haber resultado acreditados los hechos denunciados, procede el archivo del presente procedimiento de declaración de infracción de Administraciones Públicas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 PRIMERO: DECLARAR el ARCHIVO de las actuaciones seguidas al Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga en el procedimiento de declaración de infracción de las Administraciones Públicas nº AP/00026/2017 por posible infracción a lo previsto en los artículos 9 y 10 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución al Consorcio Universitario para el Centro Asociado "María Zambrano" de la UNED en Málaga y a Don B.B.B., en representación del Sindicato A.A.A.(A.A.A.). TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es