← España

AAPP-00027-2018

1/16 Procedimiento Nº AP/00027/2018 RESOLUCIÓN: R/01636/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00027/2018, instruido por la Agencia Española de Protección de Datos a la AGENCIA TRIBUTARIA DELEGACION DE SANTA CRUZ DE TENERIFE (AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA), vista la denuncia presentada por DOS DENUNCIANTES, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 20/10/2017 se recibe denuncia en la sede electrónica suscrita por A.A.A. (D en lo sucesivo) que declara ser Delegado Sindical de la plataforma de trabajadores de la Administración Local y representante de los trabajadores del Ayuntamiento de Santa Cruz de la Palma. Su denuncia se refiere al acceso indebido a los datos de dos policías locales de Santa Cruz de la Palma por parte del mismo Ayuntamiento y la desviación del uso de dichos datos. Aporta escritos en los que se hace referencia a ellos (D B.B.B., identificado en lo sucesivo como DENUNCIANTE 1, y D. C.C.C. como DENUNCIANTE 2). Manifiesta D que a DENUNCIANTES 1 y 2 se les ha abierto expediente disciplinario en base a un documento que obtuvo de manera irregular el ***PUESTO.1 de Santa Cruz de la Palma, D, D.D.D. (en lo sucesivo ***PUESTO.1) y que resultó aportado por él en su día, formando parte de la información reservada, indicando que el citado documento contiene información fiscal obtenida de manera irregular. Aporta: 1) dos diligencias del ***PUESTO.1 de 15/0X/2017 dando respuesta, a las dos solicitudes de la División de Asuntos Internos de la Unidad de Régimen Interior en las que se contiene, sobre los expedientes de IR (información reservada X/2017 (DENUNCIANTE 1) y Y/2017 (DENUNCIANTE 2) lo siguiente: En ambos escritos se indica que se solicita “informe del ***PUESTO.1 en el cual se especifique la fuente de conocimiento en referencia con las actividades empresariales de carácter privado llevadas a cabo por” (designa nominalmente en cada diligencia a los denunciantes) “las cuales hago mención en el informe de fecha 29/12/2016 (para DENUNCIANTE 1), 16/12/2016 (para DENUNCIANTE 2), manifestando: “La actividad a la cual se hace referencia ha sido difundida ampliamente durante años y se constata como vox populi ya que es conocida por gran mayoría de ciudadanos. En cuanto a la fuente de conocimiento sobre las actividades empresariales de carácter privado, llevadas a cabo por el agente antes, indicado, decir que, llegaron a mi poder de forma anónima, desconociendo quien o quienes fueron las personas que se ocuparon de ello. Se trata de documentos provenientes de la Agencia Tributaria”. 2) Una diligencia de declaración, número 23, sin fecha, de la Unidad de Régimen Interior, División de Asuntos Internos en la que se menciona un informe de 28/07 cuestiona, supuestamente a ***PUESTO.1 aunque no figura identificado, “¿Cómo obtuvo los datos que se exponen en los informes de 16 y 29/12, RESPONDE: de forma anónima. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 SEGUNDO: Con fechas 23/10/2017, se reciben escritos de denuncias de los mismos hechos por DENUNCIANTE 1 y 2, añadiendo que la información reservada se materializa en los expedientes disciplinarios M/2017 y Y/2017 respectivamente Con fecha 2/11/2017 la Inspección les solicita que aporten la documentación tributaria que fue aportada al procedimiento disciplinario. DENUNCIANTE 1 respondió el 8/11/2017 que la copia de los documentos tributarios que dispone el expediente no le ha sido entregada por el Instructor del procedimiento disciplinario, que manifestó que no se puede utilizar dicha información en base a un informe de la Agencia Tributaria de 12/07 que el Instructor solicitó. DENUNCIANTE 1 aporta copia de la respuesta de la Delegación de Santa Cruz de Tenerife de la Agencia Tributaria a la Unidad de Régimen Interior de la División de Asuntos internos de 12/0Y/2017. El informe de respuesta indica: “En contestación al Oficio recibido el 3/0Y/2017 de la Unidad de régimen Interior (División Asuntos Internos) del Cuerpo General de la Policía Canaria, referido a la comunicación de datos con trascendencia tributaria, se informa “Que la documentación recibida alude al impuesto sobre actividades económicas y a DUAS (documento único administrativo, relacionado con impuestos de importación, exportación y aduanas) de importación de varios contribuyentes teniendo la misma trascendencia tributaria. Que respecto a la aportación de la citada documentación por parte de tercera persona distinta a los interesados y sin más información sobre la cuestión solo se puede informar que la misma no ha sido suministrada al amparo del artículo 95 de la Ley 58/2003, General Tributaria, artículo que señala expresamente…”  También aporta DENUNCIANTE 1 la copia de solicitud al AYUNTAMIENTO (Instructor) con registro 31/10/2017 relacionado con su expediente disciplinario M/2017, en concreto sobre documentos que fueron “presentados en la toma de declaración de ***PUESTO.1 entregados voluntariamente y que no consta en el expediente disciplinario”. En dicho escrito indica, entre otras cosas, que el 19/10/2017 se le dio copia de todo el expediente disciplinario, sin que conste el documento entregado voluntariamente en declaración por el ***PUESTO.1, y por el cual el 16/0X/2017 se le imputa una responsabilidad disciplinaria por compatibilizar su labor policial con actividad de “escuela y servicio de perfeccionamiento del deporte”, gimnasio ***GIMNASIO.1, con horario de lunes a sábado de 9 a 14 horas y de 17 a 20,30. A este hecho se suma que también se dedica a la importación de productos relacionados con la cultura física ascendiendo los ingresos a 11.810,84 euros”. Finaliza el escrito pidiendo copia de dicho documento que indica no le ha sido entregado. DENUNCIANTE 2 no aportó su respuesta. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a: -AYUNTAMIENTO DE SANTA CRUZ DE LA PALMA, que con fecha 31/01/2018 indica: 1) La instrucción de los expedientes disciplinarios se realiza por funcionarios de la Dirección General de Seguridad y Emergencias del Gobierno de Canarias, al que se ha solicitado colaboración interadministrativa, y “en donde los instructores del mismo ya han contestado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 la cuestión de solicitud de aportación de la meritada documentación tributaria en el sentido de que no se encuentra en los meritados expedientes disciplinarios que actualmente se encuentra en fase de resolución.” 3) Aportan informe de la TAG de Personal y Régimen Interior de 19/01/2018, informa: 3.

  1. a)Expediente disciplinario M/2017 abierto a DENUNCIANTE 1, de conformidad con los hechos puestos en conocimiento a esta Alcaldía mediante informe elevado por la Jefatura de Policía local presentado en registro de entrada del Ayuntamiento el ***FECHA.2, número de registro (...) y que dio lugar a la instrucción de expediente de información reservada que concluyó con la apertura de expediente disciplinario, al existir indicios suficientes para deducir la comisión de la supuesta infracción puesta en conocimiento de este órgano competente en materia de personal, consistente en la posible vulneración de la prohibición de ejercer actividades privadas incompatibles con el desempeño de sus funciones, tipificada en el artículo 47-9 de la Ley 6/1997 de 4/07. “No consta en la copia del expediente disciplinario ni en el de información reservada los documentos tributarios aportados a la instrucción por la Jefatura de Policía Local tal como se le notificó a denunciante en respuesta a su escrito de entrada de 20/10/2017.” Se indica que no consta ni en la documentación del disciplinario ni en la reservada los documentos tributarios aportados a la instrucción por la Jefatura de Policía Local tal como se le notificó a denunciante en respuesta a su escrito de entrada de 20/10/2017 3.
  2. b)Expediente disciplinario X/2017 abierto a DENUNCIANTE 2 , de conformidad con los hechos puestos en conocimiento a esta Alcaldía, mediante informe elevado por la Jefatura de Policía local presentado en registro de entrada del Ayuntamiento el ***FECHA.1, numero ***REGISTRO.1 y que dio lugar a la instrucción de expediente de información reservada Y/2017 que concluyó con la apertura de expediente disciplinario al existir indicios suficientes para deducir la comisión de la supuesta infracción puesta en conocimiento de este órgano competente en materia de personal, consistente en la posible vulneración de la prohibición de ejercer actividades privadas incompatibles con el desempeño de sus funciones, tipificada en el artículo 47-9 de la Ley 6/1997 de 4/07. “No consta en la copia del expediente disciplinario X/2017 ni en el de información reservada los documentos tributarios aportados a la instrucción por la Jefatura de Policía Local tal como se le notificó a denunciante en respuesta a su escrito de entrada de 20/10/2017”. Subraya que en ninguno de los expedientes consta copia de la documentación solicitada, figurando también copia de los instructores a los denunciantes que piden copia de este y que “no son tenidos en cuenta para la resolución de los mismos”. 3.
  3. c)Aporta copia de un escrito de 3/0Y/2017 información reservada Y/2017 de la unidad de régimen interior, división de asuntos internos titulado ordenación, cuestión incidental, impulso. Que indica:  Dada cuenta: habiéndose concluido la información reservada que consta en el encabezamiento de este escrito habiéndose realizado informe en donde quedaron delimitados con precisión los hechos, la valoración de las diligencias practicadas, la existencia de responsabilidad así como al persona o personas que hayan incurrido en ella se remitió dicho informe al órgano competente para resolver el 16/06/2017 “No obstante durante la tramitación de las actuaciones se hace entrega en esta instrucción por parte de uno de los testigos concretamente el ***PUESTO.1 D D.D.D. de varias copias de documentos con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 contenido tributario sin que haya dado suficiente justificación sobre su procedencia” “Teniendo por tanto esta Instrucción sospechas de que estos documentos han sido cedidos de manera irregular por algún órgano de la Agencia Tributaria, ofíciese escrito a dicha entidad, dando a conocer esta circunstancia y en donde se hagan constar los siguientes extremos: 3.c.1) Si los documentos aportados pueden ser considerados datos de carácter personal con trascendencia tributaria y de ser así si dichos documentos han sido cedidos a la persona que los aporta al expediente de manera regular, de conformidad con la ley 58/2003 de 17/12, General Tributaria. 3.c.2) “Pronunciamiento por parte de la Agencia Tributaria sobre si dichos documentos, una vez aportados al expediente pueden ser tenidos en cuenta o no, por los órganos competentes al entrar a resolver sobre el objeto principal del procedimiento disciplinario, esto es sobre materias de incompatibilidades”. “Ténganse por no presentados los documentos referidos hasta contestación de la Agencia Tributaria sobre las cuestiones planteadas, continuando la tramitación del expediente disciplinario, así se acuerda el órgano competente.” Acompaña la citada respuesta de la Agencia Tributaria, Delegación de Santa Cruz de Tenerife, con entrada de 14/0Y/2017 que indica: “En contestación al oficio recibido de la Unidad de Régimen Interior-División Asuntos internos- del Cuerpo General de la Policía Canaria, referido a la comunicación de datos con trascendencia tributaria, INFORMA “Que la documentación recibida alude al Impuesto sobre actividades económicas y a DUAS de importación de varios contribuyentes teniendo la misma trascendencia tributaria Que respecto a la aportación de la citada documentación por parte de tercera persona distinta a los interesados, y sin más información sobre la cuestión, solo se puede informar que la misma no ha sido suministrada al amparo del artículo 95 de la Ley 58/2003 General Tributaria, artículo que señala expresamente..” Cita dicho artículo que determina el régimen de los datos informes o antecedentes obtenidos por la Administración tributaria que califica de datos reservados y solo pueden utilizarse para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan. Examina el régimen de cesión o comunicación a terceros sin añadir ningún aspecto más. No obstante, se desprende que dicha cesión de datos no parece corresponderse con alguno de los supuestos en que se autoriza la cesión de los datos ni se aclara el origen de la petición/entrega de datos. - La AGENCIA TRIBUTARIA, Delegación de SANTA CRUZ DE TENERIFE, manifiesta a 12/03/2018 en respuesta a requerimiento de la AEPD: 1) La AEAT recibió en julio 2017 fax del que aportan copia en documento 1, de la Unidad de régimen interior-División Asuntos Internos- de la Policía Canaria para trasladar a la AEAT información obtenida por la propia policía respecto de los contribuyentes B.B.B. y C.C.C. (DENUNCIANTES 1 y 2) El fax lleva registro de salida 3/0Y/2017 compuesto por 5 hojas, “información reservada Y/2017, asunto comunicación de cesión de datos con transcendencia tributaria. En el literal se explica:
  4. a)“En fecha 10/0M/2017 se incoo por parte del Alcalde de Ayuntamiento de ***LOCALIDAD.1 información reservada para la tramitación de diligencias previas en relación con la actuación profesional de varios policías locales de dicha corporación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 llevándose a cabo por esta instrucción la tramitación de estos”. El 16/07, practicando prueba testifical, la persona declarante presenta y aporta a esta Instrucción varias copias de documentos con trascendencia tributaria en contra de otra persona, copias en las que se estampó la firma del compareciente como justificante de entrega. A la vista de que dichos documentos “han podido ser sido cedidos de manera irregular por algún órgano de la Agencia Tributaria”, se pide el informe ya mencionado Los documentos que acompañan son datos que proceden de una base de datos, se ve en la parte baja de la impresión la url de la que se obtiene, aeat y NIF, como posible parámetro de la consulta, y se contiene la reseña de IMPUESTO DE ACTIVIDADES ECONOMICAS DE C.C.C. (denunciante 2) del ejercicio 2007 como alta en actividad empresarial en explotación extensiva de ganado porcino con inicio de la actividad 7/03/2007. También los datos de la misma persona del ejercicio 2016 en otra actividad “elaboración otros productos alimenticios”. También figura DUAS IMPORTA” año 2016 con los datos de B.B.B., denunciante 1, referidos a importación de bicicletas y artículos para cultura física, gimnasio, así como Impuesto de actividades económicas del ejercicio 2013 con el epígrafe escuelas y servicios perfeccionamiento del deporte, inicio de la actividad 1/02/2013
  5. b)Se informó verbalmente a la Policía que el fax enviado no era la forma correcta de solicitar información contestándose en el escrito de 14/0Y/2017 ya analizado.
  6. c)Manifiestan que, en este caso, la información del fax no consta solicitada en la forma legalmente establecida por parte de los contribuyentes añadiendo que “no consta una posible entrega de la información solicitada por los cauces establecidos” Tras detallar la política de seguridad de sus sistemas de información y uso de recursos indica que llevó a cabo investigación sobre la entrega de dicha documentación a una persona que al parecer no eran los interesados, informa que:  “No se ha podido corroborar la posible petición de información por parte de un tercero debidamente autorizado.”  Manifiesta que “de la verificación de accesos a los datos de los contribuyentes se observa que los accesos podrían estar justificados en labores propias de comprobación efectuadas por el personal de la AET, por las fechas estaba siendo objeto de una comprobación del impuesto sobre la renta “siendo práctica habitual que cuando se estudia un expediente se acceda a toda la información relacionada para poder llegar a la correcta resolución del expediente.”  “De las investigaciones realizadas, se ha podido llegar, aunque no se ha podido probar realmente, a una posible persona que pudo facilitar improcedentemente la información” “Dicho trabajador ha dejado de desempeñar las funciones que realizaba en la fecha en la que se produjo la supuesta cesión irregular de información” “La AEAT no ha logrado identificar ni ha recibido información respecto del presunto tercero que recibió la información controvertida”. Explica que además de disponer de normas relacionadas con la política de seguridad, normas propias de seguridad y procedimientos de seguridad, se informa cuando el empleado accede a su sesión de trabajo en pantalla, figurando un literal sobre usos de los recursos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 CUARTO: Con fecha 4/05/2018, se acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, AGENCIA TRIBUTARIA DE SANTA CRUZ DE LA PALMA, por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  7. h)de dicha norma. QUINTO: Notificado el citado acuerdo de inicio, en fecha 18/05/2018 se recibe escrito de la denunciada en el que reitera lo manifestado en actuaciones previas, añadiendo: 1) En el presente caso estaríamos no ante un caso de acceso indebido a los datos tributarios, de DENUNCIANTE 1 y 2 sino ante una indebida cesión. No se trata de que terceros ajenos a la AEAT hayan accedido a datos aprovechando un deficiente sistema de seguridad y protección, sino que un funcionario de la AEAT ha accedido a los datos y los ha cedido indebidamente a terceros, la conducta que da lugar a la presunta infracción no se incardina en el tipo del 44.3.
  8. h)de la LOPD. Las normas de seguridad y de información previstas en cuanto al acceso a datos, no obsta para que el personal pueda incumplir las instrucciones y efectué cesiones indebidas y que pueda ser merecedor del correspondiente expediente disciplinario en su caso. No se puede imputar una responsabilidad objetiva, sin culpabilidad. 2) Los artículos 6.2 y 6.2 del Real Decreto 3/2010 por el que se regula el esquema nacional de seguridad en el ámbito de la administración electrónica parten de un principio contrario a la infalibilidad, esto es, prevén que la gestión de riesgos en la seguridad de la información no puede pretender la eliminación total de los mismos, pues para ello la única forma posible sería haciendo totalmente inaccesible la información incluso para el titular de la misma con grave perjuicio para la prestación de los servicios públicos, sino su reducción hasta niveles aceptables. SEXTO: Con fecha 24/08/2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la directora de la Agencia Española de Protección de Datos se acuerde; “PRIMERO: Declarar que AGENCIA TRIBUTARIA DELEGACION DE SANTA CRUZ DE TENERIFE (AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA) ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  9. h)de dicha norma. SEGUNDO: Requerir a la AGENCIA TRIBUTARIA DELEGACION DE SANTA CRUZ DE TENERIFE (AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA) para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD. TERCERO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD.” Frente a la propuesta, la denunciada presenta alegaciones el 11/09/2018 en las que reitera la manifestado, y añade: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 -Sobre lo indicado en la propuesta de que la denunciada localizó al empleado que efectuó la consulta aunque indica que no se prueba su participación, sin dar a la AEPD razones de porque no queda probado, o relación de documentos y contenido de los documentos que en el procedimiento hagan derivar en esa conclusión, manifiesta que, lo cierto es que sí que se ha hecho una investigación y aunque se han localizado a “las personas que pudieran haber cedido los datos”, “ello no implica que alguna de ellas los hubiera cedido efectivamente”. “Es decir, se da por hecho que la AEAT tiene la certeza de que alguno de dichos funcionarios cedió los datos, cuando no es el caso (nos consta quién accedió a dichos datos y que estaba habilitado para hacerlo, pero no que fueran cedidos indebidamente ni cómo fueron cedidos). Es más, existen dos procesos penales, (Diligencias Previas nº ZZZ/2017 del Juzgado de Primera Instancia e Instrucción nº 2 de La Palma y Diligencias Previas nº VVV/2017 del Juzgado de Primera Instancia e Instrucción nº 1 de La Palma.) incoados respecto de los hechos que han dado lugar al presente procedimiento sancionador, y ninguno de los posibles funcionarios que pudieron realizar la indebida cesión de datos está imputado en tales procesos; de hecho, aunque alguno hubiera sido objeto de imputación, tampoco podría la AEAT resolver nada hasta que finalizaran los procedimientos penales, habida cuenta de la prejudicialidad penal, que también debería afectar a este procedimiento de la AEPD si considera que algún funcionario de la AEAT cedió indebidamente dicha información.“ Por otro lado, la propuesta de resolución estaría vulnerando los derechos del propio funcionario afectado, pues no ha sido parte en el procedimiento y se está de algún modo "imponiendo" a la AEAT el inicio de un procedimiento disciplinario contra él (incluso obviando la prejudicialidad penal), dando por hecho que ha cometido una infracción, sin que ni siquiera en este procedimiento se haya acreditado su responsabilidad. De hecho, la propia propuesta de resolución infringe el art. 61 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, único precepto en el que puede basarse esa AEPD para solicitar de la AEAT el inicio de un procedimiento disciplinario, dado que no indica "la persona o personas presuntamente responsables; las conductas o hechos que pudieran constituir infracción administrativa y su tipificación; así como el lugar, la fecha, fechas o período de tiempo continuado en que los hechos se produjeron". -La propuesta de resolución no identifica la medida de seguridad infringida, pues la adopción de medidas disciplinarias siempre es a posteriori de una eventual infracción, por lo que no previene el incidente de seguridad. Lo único que exige el RLOPD (art. 89.2) es que "El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.", actuación que es precisamente la que la AEAT ha alegado que realiza, pero, como es normal, no impone como medida de seguridad el ejercicio a posteriori de la potestad disciplinaria (que no evita el incidente de seguridad) que es lo que parece imponer la propuesta de resolución. -La propia propuesta de resolución indica “para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción”, pero no nos concreta esas medidas de orden interno. Proponer adoptar medidas, sin indicar que medidas concretas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 HECHOS PROBADOS 1) De acuerdo con el Ayuntamiento de Santa Cruz de la Palma, la Jefatura de Policía Local elevó un informe a la Alcaldía el ***FECHA.2, número (...) referido a DENUNCIANTE 1 que dio origen a la información reservada (IR) X/2017, que concluye en la necesidad de apertura de expediente disciplinario (ED) M/2017 por posible vulneración de la prohibición de ejercer actividades privadas incompatibles con el desempeño de sus funciones. Indica que en dichos procedimientos no constan “documentos tributarios aportados a la Instrucción por la ***PUESTO.1 de Santa Cruz de la Palma” circunstancia que se comunicó a DENUNCIANTE 1 el 27/10/2017. DENUNCIANTE 1 había solicitado copia de dichos documentos tributarios al amparo de la Ley de Transparencia y como interesado al amparo de la Ley 39/2015. De acuerdo con el Ayuntamiento denunciado, la Jefatura de Policial Local elevó un informe a la Alcaldía el ***FECHA.1, número ***REGISTRO.1 referido a DENUNCIANTE 2 que dio origen a la IR Y/2017, que concluye en la necesidad de apertura de ED X/2017 por posible vulneración de la prohibición de ejercer actividades privadas incompatibles con el desempeño de sus funciones. Indica el Ayuntamiento en respuesta a la petición que este denunciante hizo copia de dichos documentos tributarios al amparo de la Ley de Transparencia y como interesado al amparo de la Ley 39/2015 sobre los mismos, que no constan “documentos tributarios aportados a la Instrucción por la ***PUESTO.1 de Santa Cruz de la Palma circunstancia que se comunicó ante la petición del denunciante el 27/10/2017. Antes de responder, el Ayuntamiento (División de asuntos internos), formuló el 4/0Y/2017 petición e informe a la AEAT delegación de Santa Cruz de Tenerife 2) Los escritos de la División de asuntos internos de 3/0Y/2017 (uno por cada denunciante) dirigidos a la Agencia Tributaria delegación de Santa Cruz de Tenerife señalan que “durante la tramitación de las actuaciones se hace entrega en la instrucción por parte del ***PUESTO.1 de varias copias de documentos con contenido tributario, sin que haya dado justificación sobre su procedencia, “teniendo sospechas de que han sido cedidos de manera irregular” se le pide que informe sobre: - Si los datos son de carácter personal con transcendencia tributaria. De ser así, si han sido cedidos a la persona que los aporta al expediente de manera regular, según la Ley general Tributaria. - Pronunciamiento de la Agencia Tributaria sobre si dichos documentos una vez aportados al expediente pueden ser tenidos en cuenta o no por los órganos competentes al entrar a resolver sobre el objeto del procedimiento, materia de incompatibilidades. 3) De acuerdo con la manifestado por la Agencia Tributaria en actuaciones previas,” la información tenía trascendencia tributaria ya que se trataba de información correspondiente a la actividad económica declarada por los contribuyentes citados”. Además, la Agencia Tributaria aporta la documentación que les trasladó por fax la División de asuntos internos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 Interior, que son los documentos tributarios que obraban en los procedimientos disciplinarios de los denunciantes, consistiendo en datos meramente identificativos referidos al alta en impuestos sobre actividades económicas, epígrafes, fechas de inicio del impuesto sobre actividades económicas, explotación ganado porcina en denunciante 2 y elaboración de otros productos alimenticios, respecto del otro denunciante, datos de importación de 2016 constando en materia en la actividad de escuelas y servicios de perfeccionamiento de deporte, así como la ficha del impuesto de actividades económicas. Los documentos portan una marca del origen de impresión en la parte baja en la que se adivina “aeat” y “NIF”. La AEAT no niega que el origen proceda de dicha entidad. 4) Según la Agencia Tributaria, cuando un contribuyente pide información, si se trata de información declarada por el mismo, se le suministra por correo con acuse de recibo, telemáticamente o en la propia oficina. En el caso de los denunciantes aquí citados, no figuraba petición registrada por vía oficial alguna, sin que la AEAT indique o conozca cual fue la vía de petición, ni tampoco le consta la entrega por vía alguna. 5) La Agencia Tributaria tiene establecidas medidas de seguridad y control relacionadas con la información a los empleados sobre accesos a datos personales, aunque la AEAT Delegación Santa Cruz de la Palma, cuando conoció la petición de informe pedido por la División de asuntos internos en julio 2017, no tomara ninguna reacción en cuanto a medidas de seguridad para averiguar e inquirir sobre la persona y datos a los que se accedió. No consta que tenga establecido un procedimiento efectivo ante dichas comunicaciones y no efectuó auditoría alguna a pesar de ser sospechosos los hechos con soporte documental, ni consta documentada acción alguna frente al empleado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  10. g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento al denunciado una infracción del artículo 9 de la LOPD, que dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos a título de ejemplo, entre otros de “acceso no autorizado” por parte de terceros. Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos, también es un mecanismo de garantía la seguridad. El responsable del fichero es, según la LOPD, artículo 3: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 43.1 de la misma LOPD señala: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. La base sobre la que descansan las medidas de seguridad es el documento de seguridad de los ficheros, que de acuerdo con el artículo 88 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); recogerá las “medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.” a fin de evitar como señala el artículo 9 de la LOPD “su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” Sobre los ficheros y sus sistemas de información, en cuanto a posibles accesos indebidos o uso desviado de los datos obtenidos, no figura en la LOPD que la responsabilidad recaiga sobre la persona física de la organización que lleva a cabo dichas actuaciones, debiéndose analizar si se cumplían y estaban desarrolladas convenientemente las medidas de seguridad que, si no impiden los hechos, dificultan o controlan y ponen trabas para que no se lleven a cabo. Conectado con ello está el principio de culpabilidad, que, desde el punto de vista material, consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. El RLOP; artículo 91 señala: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” En el presente supuesto, se acredita que el afectado tenía acceso a los recursos de consultas de bases de datos de forma justificada, si bien lo que se produce es un acceso en un supuesto concreto que no guarda relación con asunto alguno objeto de tramitación sobre los denunciantes. Los documentos en origen proceden de la Agencia Tributaria. artículo 103 “Registro de accesos 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de estos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
  11. a)Que el responsable del fichero o del tratamiento sea una persona física.
  12. b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.” artículo 88. “El documento de seguridad 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16
  13. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  14. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este Reglamento.
  15. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  16. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  17. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  18. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  19. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener, además:
  20. a)La identificación del responsable o responsables de seguridad.
  21. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento…. 7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. 8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.” Sobre la actuación de los funcionarios o empleados que consultan los datos de bases públicas para la gestión de los asuntos encomendados, no solo al inicio de la relación se debe informar a los mismos sobre el control de accesos, las consecuencias del uso desviado o particular de los mismos, es preciso adicionalmente crear herramientas para evitar dichas posibilidades y ordenar procedimientos para que la protección del derecho sea efectiva y realmente disuasoria. Aunque cualquier empleado público puede, dado además los avances tecnológicos, no solo aprovechar la consulta a la base de datos a la que tiene acceso, en este caso, no justificada, sino enviarla por diversos medios, deberían establecerse mecanismos disuasorios más potentes que la mera información al empleado o la auditoría por muestreo a posteriori. Estos pueden en conjunto, ir ,desde la prohibición de disponer de posibilidad de insertar y copiar datos en discos duros o memorias portátiles, advertencias informativas de la posibilidad de usar mecanismos de control o verificación de accesos y aplicaciones usadas por el empleado en su desempeño, y un procedimiento eficaz que en cuanto se dé la puesta en conocimiento de posibles accesos indebidos, con audiencia de los afectados, se pongan medios de responsabilidad personal para limitar los efectos del acceso o uso indebido de los datos. Aquí, la denunciada recibió un fax en 2017 preguntando sobre el origen de los datos tributarios de los denunciantes procedentes de la AEAT, precisando esta que no se había pedido por persona legitimada para su obtención, pero se había hecho la consulta y obtenido los documentos como se puede apreciar de su tenencia por terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Sobre la alegación de la denunciada de que no se trata de que el acceso a los datos se haya producido aprovechando un deficiente sistema de seguridad, sino de que un funcionario de la AEAT ha accedido a tales datos y los ha cedido indebidamente a terceros, no encuadrándose en la infracción tipificada del 44.3.
  22. h)de la LOPD, se debe señalar que se producen ambas circunstancias, y que conocido el documento, la organización de la denunciada no dio respuesta al posible acceso y cesión indebido. Las alegaciones de la denunciada que dejan la responsabilidad en exclusiva al sujeto que pudiera acceder indebidamente a las bases de datos o hagan uso desviado de los accesos, basándose en que se les informa a priori de lo que no pueden hacer, no puede eximir en este caso de responsabilidad a la misma, atendidas las actuaciones desplegadas. No se aprecia que, relacionado con la seguridad de los datos, la denunciada realizara acciones proactivas cuando conoce las circunstancias del caso, ni dispone de un protocolo de puesta en conocimiento e investigación a la unidad encargada para estos casos. Indica que ha conocido quien efectuó la consulta a los datos, pero desconoce quien hizo la cesión y que no se puede ordenar la apertura de procedimiento disciplinario sobre aquel. En el presente caso, del envío del fax de 4/0Y/2017 por la División de Asuntos internos, se desvelaba expresamente en el escrito la opinión del remitente de una posible cesión de datos inconsentida, con obtención del documento de modo irregular, y con una entrega de los datos no documentada. De nada sirve realizar auditorías a posteriori en cuanto a accesos a bases de datos, o que periódicamente a posteriori se seleccionan accesos sospechosos de ser indebidos en base a criterios de riesgo definidos por la comisión de seguridad y control informatica tributaria, se ha de contemplar procedimientos integrales que atiendan con rapidez medidas que complementen para evitar los accesos debidos con usos indebidos. La denunciada localizó al empleado que efectuó la consulta, aunque indica no se prueba su participación, sin dar a esta AEPD razones de porque no queda probado, o relación de documentos en el procedimiento del que deriva esa conclusión. Añade que “ha dejado de desempeñar las funciones que realizaba en la fecha en la que se produjo la supuesta cesión”, desconociéndose la fecha en que ello se produjo, contado con que desde julio 2017 tuvo conocimiento de los hechos. Por lo demás, no se limitan las medidas de seguridad a la propuesta de inicio de expediente disciplinario contempladas en el artículo 45 .6 de la LOPD. Se desconoce además si el empleado ha pasado dentro de la misma AEAT a otra dependencia en alguna otra localidad dentro de la misma. Del examen de las circunstancias derivadas de los hechos, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de ausencia de responsabilidad, al no tener previsto un sistema más completo para controlar los accesos a datos indebidos y sus cesiones. En definitiva, como responsable del fichero, la denunciada, debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, los datos de carácter personal puedan llegar a manos de terceras personas. En tal sentido, no solo se ha de advertir al empleado que utiliza los datos, sino que las medidas de seguridad incluyen la acción proactiva para averiguar lo sucedido y limitar los efectos de la infracción con celeridad, arbitrando, por conveniente, un procedimiento con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 participación y de audiencia de los afectados, en este caso desde que la AEAT conoce los hechos. En este caso, no consta que se llevará a cabo ningún procedimiento ni se practica diligencia alguna necesaria para la protección adecuada de los datos de los denunciantes que en este caso supusieron además una prueba de cargo que se consideró para iniciar procedimiento disciplinario contra los mismos. III La infracción figura tipificada como grave en el artículo 44.3.
  23. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” IV El artículo 46 de la LOPD indica:” Infracciones de las Administraciones públicas”. “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones.” Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la AGENCIA TRIBUTARIA DELEGACION DE SANTA CRUZ DE TENERIFE (AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA), ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44,3.
  24. h)de la citada Ley Orgánica. SEGUNDO: Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución a AGENCIA TRIBUTARIA DELEGACION DE SANTA CRUZ DE TENERIFE (AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12 de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22712, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
  25. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 DENUNCIANTE 1, D. B.B.B. DENUNCIANTE 2, D. C.C.C. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.