AAPP-00032-2014

1/15 Procedimiento Nº AP/00032/2014 RESOLUCIÓN: R/02126/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00032/2014, instruido por la Agencia Española de Protección de Datos al SERVICIO ANDALUZ DE EMPLEO, vista la denuncia presentada por D. E.E.E. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2013 tiene entrada en esta Agencia escrito remitido por correo electrónico de D. E.E.E. (en lo sucesivo el denunciante) comunicando la recepción de un mensaje electrónico del Ayuntamiento de Dos Hermanas dirigido a 121 destinatarios, sin ocultar sus direcciones de correo electrónico. El denunciante ha aportado copia impresa del mensaje, fechado el 9 de julio de 2013, con el asunto “Nueva apertura del servicio Andalucía Orienta de Dos Hermanas, y traslado de oficina” y en cuyo campo de destinatarios figura su dirección de correo electrónico A.A.A.. SEGUNDO: Con fecha 20 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Dos Hermanas por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio, el citado Ayuntamiento presentó escrito de alegaciones en el que, en síntesis, manifestaba que: <<…Recibido oportunamente acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas a denuncia de E.E.E., sobre la recepción de un mensaje electrónico atribuido a este Ayuntamiento “dirigido a 121 destinatarios sin ocultar sus direcciones de correo electrónico”, informamos lo siguiente: 1.- El Servicio “Andalucía Orienta” no tiene vinculación orgánica alguna con este Ayuntamiento, dependiendo directamente del Servicio Andaluz de Empleo, limitándose este Ayuntamiento a prestarle uno de los locales donde desarrolla su actividad (el subrayado es de la AEPD). 2.- El denunciante acudió a la oficina del Servicio de Orientación Andalucía Orienta” de la calle Lamarque de Novoa el día 28/11/2011 (…) 3.- El denunciante firmó el correspondiente Boletín de asistencia al Servicio, en el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 figura la siguiente indicación: “Igualmente, de conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, autoriza al Servicio Andaluz de empleo para la utilización de sus datos de carácter personales no confidenciales a efectos de favorecer su inserción en el mercado laboral”. La misma autorización figura en los boletines del resto de las personas a las que el interesado se refiere en su denuncia…>> CUARTO: Con fecha 25/02/2014, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se acuerda, entre otras: <<…Solicitar que el Ayuntamiento de Dos Hermanas aporte la siguiente documentación, en el plazo de diez días hábiles a la recepción del presente escrito:  Copia de los documentos que acreditan la relación laboral que, en su caso, mantiene con el Ayuntamiento doña C.C.C., remitente del mensaje electrónico al que se refiere el mencionado Acuerdo.  Copia de los documentos que, en su caso, regulan la relación establecida entre ese Ayuntamiento y el Servicio Andaluz de Empleo, en particular los que hagan referencia al uso, por parte del personal al servicio de la Administración autonómica, de los recursos municipales, en particular de los buzones de correo pertenecientes al dominio doshermanas.es.  Copia de la documentación que acredita las normas de uso de los buzones de correo pertenecientes al dominio doshermanas.es, incluyendo las que hubieran sido expresamente aceptadas por la remitente del citado mensaje, con dirección D.D.D., en particular, las que se hubieran dictado por ese Ayuntamiento en relación con el envío de mensajes a múltiples destinatarios sin copia oculta. Solicitar al Servicio Andaluz de Empleo que aporte la siguiente documentación:  Copia de los documentos que acreditan la relación laboral que, en su caso, mantiene con el Servicio Andaluz de Empleo doña C.C.C., remitente del mensaje electrónico al que se refiere el mencionado Acuerdo.  Copia de los documentos que, en su caso, regulan la relación establecida entre el Ayuntamiento y el Servicio Andaluz de Empleo, en particular los que hagan referencia al uso, por parte del personal al servicio de la Administración autonómica, de los recursos municipales, en particular de los buzones de correo pertenecientes al dominio doshermanas.es. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15  Copia de la documentación que acredita las normas de uso de los buzones de correo que utiliza el personal del Servicio “Andalucía Orienta”, incluyendo las que hubieran sido expresamente aceptadas por la remitente del citado mensaje, con dirección D.D.D., en particular, las que se hubieran dictado por el Servicio Andaluz de Empleo en relación con el envío de mensajes a múltiples destinatarios sin copia oculta…>> QUINTO: Con fecha 7/04/2014, ante la falta de respuesta por parte de ambos órganos, se remitieron escritos de reiteración de solicitud al Ayuntamiento denunciado y al Servicio Andaluz de Empleo. Con fecha 13/05/2014 se recibe escrito del Ayuntamiento denunciado en el que comunica: <<…Cumplimentando lo interesado por oficio de 7 de abril, y reiterando la información facilitada para constancia en el expediente del “asunto”, se adjunta a los efectos oportunos la siguiente documentación complementaria, referido al Programa “Andalucía Orienta” en cuyo funcionamiento se ha producido la incidencia que motiva el citado expediente: - Orden de 22 de enero de 2004 (BOJA n° 22, de 3 de febrero) por la que se establecen las normas reguladoras de la concesión de ayudas del Programa de Orientación Profesional establecido por Decreto 85/2003, de 1 de abril. - Resolución de la Dirección General de Intermediación e Inserción Laboral del Servicio Andaluz de Empleo por la que se otorga una ayuda para cubrir los gastos de ejecución de la implantación de Unidades de Orientación, al amparo de la referida Orden, de la que se evidencia el control absoluto que realiza la Administración del Servicio Andaluz de Empleo sobre el funcionamiento de las oficinas de “Andalucía Orienta”…>> No se recibió contestación alguna del Servicio Andaluz de Empleo a las dos solicitudes de información del Instructor del procedimiento. SEXTO: Con fecha 23/05/2014 se remite propuesta de resolución en el sentido de que se exonere de responsabilidad al citado Ayuntamiento teniendo como base al artículo 43 de la LOPD que regula a los responsables de los ficheros y encargados del tratamiento. SÉPTIMO: Con fecha 28 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio Andaluz de Empleo por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma. OCTAVO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 16/06/2014 se recibe escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 alegaciones, frente al mismo del Servicio Andaluz de Empleo, en el que, en síntesis, manifestaba que: <<…En segundo lugar, en referencia a la documental aportada por el Ayuntamiento de Dos Hermanas consistente en la Resolución de la Dirección General de Intermediación e lnserción Laboral del Servicio Andaluz de Empleo, por la que se otorga una ayuda para cubrir los gastos de ejecución de la Implantación de las Unidades de orientación, al amparo de la referida orden (ha de entenderse la de 22 de enero de 2004), también carece de valor probatorio, puesto que en la fecha en la que se produce el hecho que motiva el inicio del procedimiento sancionador (9 de julio de 2013) la resolución vigente es la de fecha 11/09/2012, dictada por la Dirección Provincial del Servicio Andaluz de Empleo en Sevilla en el expediente n° SE/OCO/00046/2012, por la que se concede al citado Ayuntamiento una subvención por importe de cuatrocientos sesenta y cuatro mil setecientos trece euros con cincuenta y siete céntimos (464.713,57 €), destinada a la implantación de Unidades de Orientación conforme lo especificado en los arts. 6 y 7 de la Orden de 26 de diciembre de 2007 (bases reguladoras que rigen dicha subvención), Consta en el Anexo 1 de la citada resolución que el periodo de ejecución de la misma se inicia el 01/10/2012 y finaliza el 30/09/2013. Posteriormente, y mediante Resolución de fecha 27/12/2012 se modifica el periodo de ejecución establecido en la resolución de fecha 11/09/2012. Se aporta como DOCUMENTO 1 y 2 las citadas Resolución de concesión y modificación del plazo de ejecución, respectivamente (…) Sin embargo, en el supuesto que nos ocupa el Ayuntamiento de Dos Hermanas solicita la concesión de una subvención para realizar, en un local de su propiedad (véase art. 9.1 Orden de 26 de diciembre de 2007) las actuaciones necesarias para la puesta en marcha y ejecución de la Unidad de Orientación, a cargo de personal contratado por dicho Ayuntamiento (es decir, con vinculación laboral con el mismo). 2°.- La persona titular de la cuenta de correo electrónico desde la que se comete la presunta infracción del art. 10 de la Ley Orgánica de Protección de Datos, Dña. C.C.C., no tiene vinculación laboral alguna con el Servicio Andaluz de Empleo, debiendo ser el Ayuntamiento de Dos Hermanas quien la contrata como personal técnico con cargo a la subvención concedida (…) Teniendo en cuenta que sería sumamente infrecuente que un organismo público permitiera a quien no integra su estructura organizativa utilizar una cuenta de correo con un dominio del propio Ayuntamiento, se puede concluir que el personal contratado tiene asignado esas cuentas de correo electrónico con la anuencia de la Corporación Municipal (Ayuntamiento de Dos Hermanas), por la sencilla razón de que forman parte de su personal en plantilla (…) La Resolución de la Dirección General de Intermediación e lnserción Laboral del Servicio Andaluz de Empleo, por la que se otorga una ayuda para cubrir los gastos de ejecución de la Implantación de la Unidad de orientación de Dos Hermanas, remitida como documento 1, resuelve en su apartado décimo primero: <<…En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal, y en relación a los datos contenidos en los ficheros automatizados del Servicio Andaluz de Empleo a los que tenga acceso, la entidad beneficiaria se compromete a: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Tratarlos de conformidad con lo establecido en la mencionada norma, no pudiendo aplicar o utilizar los mismos con un fin distinto al de favorecer la inserción laboral de las personas usuarias del servicio, ni comunicarlos a otras personas, ni siquiera para su conservación. • Guardar secreto profesional respecto de los mismos, obligación que subsistirá Incluso después de finalizar su relación con el titular del fichero o, en su caso, con el responsable del mismo, fijados a través del correspondiente sistema Informático y otros que a tal efecto puedan solicitarse…>> (el subrayado es de la AEPD). NOVENO: Con fecha 17/07/2014, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se acuerda, entre otras: <<…Por otro lado, en cuanto a la prueba instada por el SERVICIO ANDALUZ DE EMPLEO: “…consistente en que se libre por esa Agencia Española de Protección de Datos, oficio a la Tesorería General de la Seguridad Social, a fin de que por la misma se libre certificado de vida laboral de Dña. C.C.C., para así poder acreditar la existencia de relación laboral de la misma con el Ayuntamiento de Dos Hermanas durante el periodo de ejecución de la subvención y en la fecha en la que supuestamente se comete la Infracción…>> <<…El artículo 80 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece en su apartado 3: “El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada”. El artículo 137.4 de la misma Ley dispone: “Se practicarán de oficio o se admitirán a propuesta del presunto responsable cuantas pruebas sean adecuadas para la determinación de hechos y posibles responsabilidades”. Teniendo en cuenta que en el presente expediente, el hecho que se imputa es la revelación de datos y que el citado Servicio ha adjuntando a su escrito de alegaciones frente al acuerdo de inicio, copia de la Resolución de 11/09/2012 de concesión de ayudas para el desarrollo de actuaciones en el ámbito de la orientación con el Ayuntamiento de Dos Hermanas. Así como que la orden de 26 de diciembre de 2007 en base al cual se formalizó la citada Resolución en art. 15 establece que: “…el Servicio Andaluz de Empleo podrá conceder ayudas que alcancen hasta el 100% de los costes del proyecto…” Por todo ello, procede rechazar la prueba propuesta, sin perjuicio de que por esa parte pueda aportarse cualquier documentación que resulta de interés para la defensa de sus derechos…>> DÉCIMO: Con fecha 19 de septiembre de 2014 se incorpora el contenido de la inscripción en el Registro General de Protección de Datos, del fichero ANDALUCIA ORIENTA y del fichero de ASESORAMIENTO Y ORIENTACIÓN del Servicio Andaluz de Empleo. Así mismo se incorpora copia de la Orden de 13 de mayo de 2014 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Consejería de Economía, Ciencia y Empleo por la que se crean, suprimen y regulan ficheros de datos de carácter personal del Servicio Andaluz de Empleo. UNDECIMO: Con fecha 25/09/204, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el Servicio Andaluz de Empleo ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
3. d)de la citada norma. Así como requerir al Servicio Andaluz de Empleo para que, en prevención de situaciones como la denunciada, acredite ante esta Agencia haber adoptado las medidas necesarias para que el personal de las Unidades de Orientación conozca de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones, así como haber dado instrucciones precisas para que los encargados del tratamiento de los datos contenidos en el fichero ASESORAMIENTO Y ORIENTACIÓN, del que es responsable, adopten el resto de medidas a las que se refiere el artículo 12 de la LOPD, desarrolladas en el Título VIII del Real Decreto 1720/2007. Dicha propuesta le fue notificada al citada Servicio el 29/09/2014, sin que se haya recibido escrito de alegación alguno. HECHOS PROBADOS PRIMERO: Con fecha 9 de julio de 2013 tiene entrada en esta Agencia escrito remitido por correo electrónico del denunciante, comunicando la recepción de un mensaje electrónico del Ayuntamiento de Dos Hermanas dirigido a 121 destinatarios, sin ocultar sus direcciones de correo electrónico. El denunciante ha aportado copia impresa del mensaje, fechado el 9 de julio de 2013, con el asunto “Nueva apertura del servicio Andalucía Orienta de Dos Hermanas, y traslado de oficina” y en cuyo campo de destinatarios figura su dirección de correo electrónico B.B.B. (folios 98 a 102) SEGUNDO: De acuerdo con la citada Orden de 13 de mayo de 2014, el fichero ANDALUCIA ORIENTA (cuya finalidad era la orientación y seguimiento profesional para el programa Orienta) es suprimido al englobar sus datos en el fichero ASESORAMIENTO Y ORIENTACIÓN dependiente del Servicio Andaluz de Empleo (folios 239 a 277). TERCERO: La Resolución de la Dirección General de Intermediación e lnserción Laboral del Servicio Andaluz de Empleo, por la que se otorga una ayuda para cubrir los gastos de ejecución de la Implantación de la Unidad de Orientación de Dos Hermanas, remitida como documento 1, resuelve en su apartado décimo primero: <<…En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal, y en relación a los datos contenidos en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 ficheros automatizados del Servicio Andaluz de Empleo a los que tenga acceso, la entidad beneficiaria se compromete a: Tratarlos de conformidad con lo establecido en la mencionada norma, no pudiendo aplicar o utilizar los mismos con un fin distinto al de favorecer la inserción laboral de las personas usuarias del servicio, ni comunicarlos a otras personas, ni siquiera para su conservación. • Guardar secreto profesional respecto de los mismos, obligación que subsistirá Incluso después de finalizar su relación con el titular del fichero o, en su caso, con el responsable del mismo, fijados a través del correspondiente sistema Informático y otros que a tal efecto puedan solicitarse…>>(folios 115). CUARTO: El denunciante tras hacer constar su nombre, apellidos y DNI, firmó el correspondiente Boletín de asistencia al Servicio, en el que figura la siguiente indicación: <<…ANDALUCIA ORIENTA. Red de Unidades de Orientación Profesional (…) Igualmente, de conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, autoriza al Servicio Andaluz de Empleo para la utilización de sus datos de carácter personales no confidenciales a efectos de favorecer su inserción en el mercado laboral…>> (el subrayado es de la AEPD) (folios 92). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 12 de la LOPD, estipula: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” De la lectura del citado artículo 12 se deduce que, para que concurra la figura de “el acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de un abanico de garantías para los afectados que el propio art. 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos para lo cual se exige que conste en un contrato. A este respecto, el art. 12 impone un requisito formal por cuanto que el contrato o bien debe constar escrito o, en todo caso, acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación. Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el art. 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En tercer lugar se impone como garantía para los afectados que no puedan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 producirse tratamientos ulteriores de dichos datos al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas. Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su Título VIII regula las medidas de seguridad en el tratamiento de datos de carácter personal. Para analizar esta cuestión, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
6. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el mismo sentido, el artículo 5.1.
7. i)del Reglamento de desarrollo de la LOPD define al encargado del tratamiento como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Igualmente, el artículo 5.1.
8. q)del Reglamento de desarrollo de la LOPD define al responsable del fichero o del tratamiento como “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” En este caso, el Servicio Andaluz de Empleo dictó en base a la Orden de 26 de diciembre de 2007, Resolución por la que se concede ayuda para el desarrollo de actuaciones en el ámbito de la Orientación septiembre de 2012 con el Ayuntamiento de Dos Hermanas. En base a dicha Resolución el citado Ayuntamiento accede al fichero de ANDALUCIA ORIENTA, actualmente denominado ASESORAMIENTO Y ORIENTACIÓN dependiente del citado Servicio Andaluz de Empleo, cuya finalidad era la Orientación y seguimiento profesional para el programa orienta, fichero en el que se incorporaron los datos personales del denunciante. En la citado Orden de 26 de diciembre de 2007, se regula: <<…Artículo 6. Red «Andalucía Orienta». 1. De acuerdo a lo recogido en el artículo 6.2 del Decreto 85/2003, de 1 de abril, por el que se establecen los Programas para la Inserción Laboral de la Junta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Andalucía, la red «Andalucía Orienta» está conformada por todas las Unidades e Instrumentos de Orientación Profesional con que cuenta el Servicio Andaluz de Empleo. Forman parte de dicha red todas las unidades de orientación financiadas, total o parcialmente, con cargo a la presente Orden. 2. Asimismo, deberán integrarse en la red «Andalucía Orienta» aquellos servicios y programas de orientación profesional que pudieran estar desarrollando las Consejerías u otros entes instrumentales de la Junta de Andalucía, así como otros agentes, instituciones o administraciones en Andalucía y no sean financiados por el Servicio Andaluz de Empleo. 3. Todas las unidades que conforman la red «Andalucía Orienta» dispondrán de los instrumentos, identificación, recursos y metodologías de la citada red de acuerdo a los procedimientos que, a tal efecto, establezca el Servicio Andaluz de Empleo…>> <<…Artículo 7. Unidades de Orientación. 1. La Unidad de Orientación se define como el conjunto de recursos humanos, materiales y metodológicos a través del que se realizan y gestionan las acciones de los programas de Itinerarios de Inserción, Orientación Profesional y Acompañamiento a la Inserción…>> <<…Artículo 8.3 Proceso de selección del personal de las Unidades de Orientación. 3.1. A fin de garantizar el cumplimiento de las condiciones establecidas en la presente Orden y la idoneidad del personal que se incorpore a los proyectos aprobados, se realizará un proceso de preselección entre las personas candidatas, que se llevará a cabo conjuntamente por representantes de la entidad beneficiaria y de la correspondiente Dirección Provincial del Servicio Andaluz de Empleo. Quedarán exentas de dicho proceso aquellas entidades que hayan sido beneficiarias en la convocatoria inmediatamente anterior, salvo que opten por la incorporación de nuevo personal…>> <<…Artículo 9. Instalaciones y medios de las Unidades de Orientación. 1. Para la implantación de las Unidades de Orientación, las entidades solicitantes deberán disponer de instalaciones y medios adecuados al proyecto a desarrollar. Deberán ser, al menos, los que se especifican en el Anexo 1. Con carácter previo al inicio de la actividad estas instalaciones deberán contar con el visto bueno de la correspondiente Dirección Provincial del Servicio Andaluz de Empleo…>> <<…Artículo 14. Seguimiento y evaluación. 1. El Servicio Andaluz de Empleo realizará el seguimiento y la evaluación dirigida a conocer y mejorar el desarrollo de las acciones ejecutadas al amparo de la presente Orden. Para ello, de acuerdo con lo establecido en el Plan de la correspondiente resolución de concesión, valorará los resultados de las acciones en términos de inserción laboral, calidad de los servicios y satisfacción de las personas usuarias obtenidos a través de encuestas de resultados, cruces de bases de datos u otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 acciones que se consideren de aplicación, verificará la actividad desarrollada y aplicará programas de evaluación del desempeño de profesional. 2. Para el desarrollo de las actividades de seguimiento y evaluación, las entidades beneficiarias vendrán obligadas a colaborar con el Servicio Andaluz de Empleo aportando cuanta documentación les sea requerida, permitiendo al personal designado por dicho organismo el acceso a sus instalaciones, utilizando las metodologías y procedimientos establecidos y facilitando la participación del personal técnico en las actuaciones que se lleven a cabo. El Servicio Andaluz de Empleo pondrá periódicamente a disposición de las entidades beneficiarias un informe, a fin de comunicar a las mismas el nivel de ejecución de las acciones que se desarrollan en cada Unidad. El acceso a dicha información será facilitado a través de los sistemas de información de los que el Servicio Andaluz de Empleo dispone. 3. El nivel de ejecución finalmente alcanzado por cada Unidad será tenido en cuenta en futuras solicitudes de participación de las entidades…>> La relación entre el citado Ayuntamiento y el Servicio Andaluz de Empleo se encuadra en la situación prevista en el referido artículo 12 de la LOPD. Conforme a la citada normativa, el Servicio Andaluz de Empleo, como responsable del fichero ANDALUCÍA ORIENTA (actualmente denominado ASESORAMIENTO Y ORIENTACIÓN), debió establecer, en su resolución o mediante otro instrumento con idéntica validez, “…las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar…>> En particular, de conformidad con lo previsto en el artículo 89 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, debieron adoptarse las medidas necesarias para que el personal de las Unidades de Orientación conociera de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones, así como las consecuencias en que pudiera incurrir en caso de incumplimiento. Entre esas medidas debían figurar, en particular, instrucciones precisas para que, de conformidad con el artículo 10 de la LOPD, los intervinientes en cualquier fase del tratamiento de los datos de carácter personal asociados al programa de orientación laboral fueran informados de la obligación de secreto profesional respecto de tale datos y de su deber de guardarlos, obligaciones que se extienden más allá del fin de su relación laboral con las unidades administrativas participantes, sean locales o autonómicas. En el marco del presente procedimiento no ha sido aportada a la Agencia ninguna documentación acreditativa de las iniciativas que a este respecto hubiera acometido el Servicio Andaluz de Empleo, ya sea con anterioridad o bien con posterioridad al envío del mensaje electrónico denunciado. III La LOPD en sus art. 1 y 2.1) establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” IV La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
9. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
10. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la dirección de correo electrónico, considerando que contiene información acerca de su titular, o en la medida en que permita proceder a la identificación del mismo, ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. V El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido un correo electrónico desde una dirección de correo, remitido por una persona que prestaba servicios para la Unidad de Orientación (Ayuntamiento de Dos Hermanas) como encargada del tratamiento del fichero ANDALUCÍA ORIENTA (actualmente denominado ASESORAMIENTO Y ORIENTACIÓN) del Servicio Andaluz de Empleo, donde se visualizaban direcciones de correo electrónico de terceras personas, entre las que estaba incluida la suya propia, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. A este respecto, ha de tenerse en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (copia oculta), en lugar del habitual CC. VI El artículo 44.3.
11. d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, en vigor desde el 6 de marzo de 2011, de acuerdo con su disposición final sexagésima, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 personal al que se refiere el artículo 10 de la presente Ley” En el presente caso, se ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando datos personales del denunciante. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO ANDALUZ DE EMPLEO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
12. d)de dicha norma. SEGUNDO: REQUERIR al SERVICIO ANDALUZ DE EMPLEO, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite, en el plazo de un mes desde este acto de notificación ante esta Agencia, haber adoptado las medidas necesarias para que el personal de las Unidades de Orientación conozca de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones, así como haber dado instrucciones precisas para que los encargados del tratamiento de los datos contenidos en el fichero ASESORAMIENTO Y ORIENTACIÓN, del que es responsable, adopten el resto de medidas a las que se refiere el artículo 12 de la LOPD, desarrolladas en el Título VIII del Real Decreto 1720/2007. Al objeto de comprobar el cumplimiento de dicho requerimiento se abre expediente de actuaciones previas E/06956/2014. TERCERO: NOTIFICAR la presente resolución al SERVICIO ANDALUZ DE EMPLEO, a D. E.E.E. y a la CONSEJERIA DE ECONOMIA, INNOVACIÓN, CIENCIA Y EMPLEO. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es