AAPP-00033-2018

1/9 Procedimiento Nº AP/00033/2018 RESOLUCIÓN: R/01253/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00033/2018, instruido por la Agencia Española de Protección de Datos a la CONFEDERACION HIDROGRAFICA DEL TAJO, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de noviembre de 2017, tuvo entrada en esta Agencia un escrito remitido por Dª. A.A.A. (en lo sucesivo la denunciante) en el que expone que es funcionaria de la Confederación Hidrográfica del Tajo (en adelante CHT) y desde mayo de 2017 se encuentra en situación de baja médica. Con fecha 4 de julio de 2017, envió un informe médico al habilitador-pagador por medio de un correo electrónico, para que no se le realizara ningún descuento. Aporta copia del correo remitido en el que hace constar que entrega el certificado únicamente al habilitador-pagador con esa única finalidad y que no consiente en que otra persona tenga acceso a su contenido. En el mes de noviembre, al no cobrar lo correspondiente al mes de septiembre y octubre, acude a MUFACE, donde le indican que desde la CHT no han remitido la documentación correspondiente y por ese motivo no están realizando el pago. Con fecha 7 de noviembre de 2017, remite un correo electrónico a la Secretaria General y a la Presidencia de la CHT y a MUFACE, con copia a Recursos Humanos y nóminas, indicando el error y adjuntando copia de las últimas nóminas para justificar los meses que le faltan por cobrar. Aporta copia del correo. La secretaria general del organismo, desde la dirección “***EMAIL.1” y mediante la opción “responder a todos” e incluyendo a “secretaría General” que es un buzón genérico al que tienen acceso varias personas, incluidas personas de la empresa TRAGSA que prestan servicios en el organismo, envía un fichero con la documentación personal de la denunciante, incluido el informe médico que había remitido la denunciante al habilitador-pagador, también incluye las bajas médicas de MUFACE donde consta el diagnóstico clínico de la enfermedad. Aporta una copia del correo al que se anexan varios documentos adjuntos: Certificado de retribuciones, Resoluciones de I.L.T., Informe clínico y Bajas de Muface donde consta el diagnóstico. La denunciante manifiesta que se han difundido sus datos médicos (informe clínico y bajas con diagnóstico) sin su consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Con fecha 2 de marzo de 2018, la CONFEDERACION HIDROGRAFICA DEL TAJO, ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: Respecto al correo remitido por “***EMAIL.1”, con fecha 7 de noviembre de 2017, en el que se adjuntaban los informes médicos de la denunciante: La remitente ocupaba en esa fecha el cargo de Secretaria General del organismo, y entre sus funciones se encuentran: la gestión de la actividad económica-financiera, la contabilidad interna, la habilitación y la pagaduría… así como la tramitación de asuntos de personal. Por tanto, dicho correo se remitiría, en el cumplimiento de sus funciones así como en cumplimiento de la Orden de 30 de junio de 2010, del Ministerio de la Presidencia por el que se regula el procedimiento de reconocimiento, control y seguimiento de las situaciones de incapacidad temporal…..de los funcionarios civiles del estado. (BOE 1 de julio de 2010). Aportan relación de las personas que tienen acceso a los distintos buzones a los que se remitió el correo: Nóminas (3 personas) Recursos Humanos (8 personas) Secretaría General (4 personas) Presidencia (4 personas) Respecto a la necesidad de remitir toda la información, incluido el informe médico y las bajas, relativa a la denunciante a los distintos buzones destinatarios del correo manifiestan que: El correo se envía para que la denunciante perciba el subsidio, que le corresponde de MUFACE, lo antes posible y viene motivado por el correo que ella misma remite a ***EMAIL.1, notificando que no lo había percibido. Al buzón de “nominas”, para que se tuviera en cuenta a la hora de elaborar las nóminas, en la parte que corresponde a retribuciones básicas. Al buzón de “recursos humanos”, por ser el servicio encargado de la gestión de dichos recursos humanos. Al buzón “Presidencia”, porque compete a la Presidencia del Organismo desempeñar la Jefatura de Personal y Servicios. Al buzón de “Secretaría General” porque le corresponde la tramitación de los asuntos de personal. Por otra parte, según manifiestan, con fecha 6 de noviembre de 2017, la propia denunciante, remitió un correo electrónico a los mismos buzones, excepto al de Secretaria General, informando de su enfermedad y añadiendo que el diagnóstico era “notoriamente conocido”, aunque no aportan copia del correo, indican que está a disposición de la Agencia si se requiere. TERCERO: Con fecha 19 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONFEDERACION HIDROGRAFICA DEL TAJO por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. En el acuerdo de Inicio del procedimiento de declaración de infracción de Administraciones Públicas, la Directora de la Agencia Española de Protección de Datos también acordó: “3. INCORPORAR al procedimiento de declaración de administraciones públicas, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos forman parte del expediente. 4. NOTIFICAR el presente Acuerdo a la CONFEDERACION HIDROGRAFICA DEL TAJO indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere convenientes, de acuerdo con lo preceptuado en el apartado
2. f)del artículo 127 del RLOPD.” Asimismo, en dicho acto se señalaba que: “de conformidad con los artículos 64.2.
3. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio o reconociese la responsabilidad, el mismo podrá ser considerado propuesta de resolución.” CUARTO: La notificación del Acuerdo de Inicio del AP/00033/2018, según consta en certificado emitido, por el Servicio de Correos, fue entregada con fecha 26 de abril de 2018. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio se ha recibido un escrito en el que manifiestan que se reiteran en lo ya expuesto en el escrito presentado en las actuaciones previas, por lo que el acuerdo de inicio se considera propuesta de resolución, y se procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, dado que en la notificación del acuerdo de apertura del procedimiento se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entendería el mismo como propuesta de resolución. HECHOS PROBADOS PRIMERO: La denunciante, funcionaria de la Confederación Hidrográfica del Tajo, en situación de baja médica desde mayo de 2017, ha informado a esta Agencia de que el 7 de noviembre de 2017, la secretaria general del organismo, ha enviado un correo electrónico a los buzones de: nóminas, recursos humanos, presidencia, secretaría general, todos ellos del citado organismo, y al correo de muface. En el correo se incluían 6 documentos adjuntos con la documentación relativa a la IT de la denunciante, incluyendo un informe médico y los partes médicos de IT donde consta el diagnóstico de su baja laboral. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 SEGUNDO: Consta que el 4 de julio de 2017, la denunciante envió un informe médico al habilitador-pagador por correo electrónico, para que no se le realizaran descuentos en la nómina. En el correo hace constar que entrega el certificado únicamente al habilitador-pagador con esa única finalidad y que no consiente en que otra persona tenga acceso a su contenido. TERCERO: Expone la denunciante que en noviembre contactó con MUFACE, donde le indican que desde la CHT no han remitido la documentación necesaria y por ese motivo no están realizando el pago de su IT. CUARTO: Consta que el 7 de noviembre de 2017, la denunciante envía un correo electrónico a la Secretaria General, a la Presidencia de la CHT y a MUFACE, con copia a Recursos Humanos y nóminas, planteando que MUFACE no ha recibido la documentación de su baja de la Confederación y por ello no le han abonado los dos últimos meses. QUINTO: El presidente de la CHT a solicitud de esta Agencia ha informado de que son 19 las personas que tienen acceso a las direcciones de correo electrónico a quienes se envió el correo de 7 de noviembre de 2017 objeto de la presente denuncia. Informa también de que el correo se envía para que la denunciante perciba el subsidio, que le corresponde de MUFACE lo antes posible y viene motivado por el correo que ella misma remite a la secretaria del organismo notificando que no lo había percibido. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
5. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Asimismo, dicho artículo 3 define en su apartado
6. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se difundieron los datos de carácter personal relativos a la salud de la denunciante a un amplio número de personas de su lugar de trabajo, sin su consentimiento. III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales relativos a la salud de la denunciante por parte de la Confederación Hidrográfica del Tajo. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que la denunciante había solicitado a la CHT que se remitiera a MUFACE la documentación necesaria para el abono de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 cuotas por su IT. En respuesta a esta solicitud, la Secretaria General del organismo donde la denunciante presta servicios, envió toda la documentación relativa a la IT de la denunciante a MUFACE y a 4 buzones de correos a los que tienen acceso 19 personas de la CHT. La denunciante ha acreditado que había solicitado al habilitado del organismo que se utilizase un informe médico con su diagnóstico solo para el fin de que no se aplicasen descuentos en su nómina y que no accediese otra persona a su contenido. La denunciante presentó este documento para acreditar que el motivo de su incapacidad temporal se encontraba entre las previstas en las circunstancias excepcionales del apartado 7 de la Instrucción conjunta de las Secretarías de Estado de Administraciones Públicas y de presupuestos y gastos por la que se dispone dar cumplimiento a las previsiones del real decreto ley 20/2012, de 13 de julio, de medidas para garantizar la estabilidad presupuestaria y de fomento de la competitividad, en relación con la situación de incapacidad temporal del personal al servicio de la administración del estado. En este apartado se dispone que en esas circunstancias excepcionales, las retribuciones a percibir desde el inicio de la situación de IT, equivaldrán a las retribuciones que se vinieran percibiendo en el mes anterior al de la incapacidad. Esta es la finalidad para la que se aportó el informe médico con el diagnóstico, sin que sea un documento necesario para la tramitación del subsidio por IT de MUFACE. El subsidio por incapacidad temporal está regulado en la Orden PRE/1744/2010, de 30 de junio, por la que se regula el procedimiento de reconocimiento, control y seguimiento de las situaciones de incapacidad temporal, riesgo durante el embarazo y riesgo durante la lactancia natural en el Régimen Especial de la Seguridad Social de los Funcionarios Civiles del Estado. Esta es también la normativa que menciona la CHT en su escrito de información respecto a los hechos aquí denunciados como justificativa del envío realizado. En el artículo 13 se expone lo relativo al “Procedimiento de concesión del subsidio por IT”: “1. De conformidad con lo dispuesto en el artículo 94 del Reglamento, al inicio del cuarto mes de licencia por enfermedad o accidente, el mutualista dejará de percibir las retribuciones complementarias y comenzará a devengar el correspondiente subsidio económico por parte de MUFACE. La solicitud del subsidio se efectuará por el mutualista a MUFACE que la tramitará a través del Servicio Provincial al que el mutualista esté adscrito. Esta solicitud podrá ser cursada también a través del órgano de personal correspondiente. 2. Para la tramitación y terminación del procedimiento de reconocimiento del derecho al subsidio por IT, el órgano de personal remitirá a MUFACE los datos relativos a las retribuciones del mutualista devengadas al inicio del tercer mes de licencia y de las retribuciones complementarias que, al iniciarse el cuarto mes, ha dejado de percibir. Asimismo, el órgano de personal remitirá a MUFACE todos los ejemplares del parte de baja destinado a MUFACE emitidos hasta ese momento y comunicará la prórroga de la licencia que dé lugar al cuarto mes desde que se inició la situación. A esta documentación se adicionará la solicitud de subsidio del mutualista, en el caso de que hubiera sido cursada a través del órgano de personal. El plazo para resolver la solicitud de reconocimiento del subsidio comenzará a computarse a partir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 del día de entrada de la solicitud en MUFACE, sin perjuicio de los casos de interrupción del plazo, previstos legalmente, que se pudieran producir. 3. Durante los meses posteriores al inicio de la situación de IT, bastará con que el órgano de personal comunique a MUFACE la prórroga la concesión de la licencia y remita el ejemplar para MUFACE del parte de baja, al objeto de reconocer, de manera secuencial, las mensualidades posteriores del subsidio que, en su caso, se pudieran devengar hasta que el órgano de personal comunique el fin de la situación.” Aquí se relaciona la documentación necesaria para que MUFACE tramite el subsidio por incapacidad temporal, que es lo que la denunciante solicitó en su lugar de trabajo. El correo electrónico enviado por la Secretaria del Organismo el 7 de noviembre de 2017, a MUFACE y a 4 buzones de correos a los que tienen acceso 19 personas del centro de trabajo de la denunciante, en el que se adjuntó la documentación de la IT de la denunciante incluyendo un informe médico y los partes de IT donde consta el diagnóstico de su baja laboral, vulnera el deber de secreto que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, porque no se aprecia legitimación para la comunicación de dichos datos personales relativos a la salud de la denunciante. Por otra parte, con relación a las medidas a adoptar en un caso como el presente, hay que tener en cuenta que en el tratamiento de datos personales se debe comprobar que se dispone del consentimiento inequívoco de los afectados, previo al tratamiento de datos que se desee realizar o bien que existe disposición legal que lo habilite. IV La conducta de la denunciada se incardina en el artículo 44.3.
7. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte de la CONFEDERACION HIDROGRAFICA DEL TAJO, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a la denunciante, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONFEDERACION HIDROGRAFICA DEL TAJO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
8. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR a la CONFEDERACION HIDROGRAFICA DEL TAJO la adopción de medidas correctoras, toda vez que ya se han hecho las apreciaciones pertinentes para evitar en el futuro una nueva infracción del artículo 10 de la LOPD. TERCERO: NOTIFICAR la HIDROGRAFICA DEL TAJO. presente resolución a la CONFEDERACION CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es