AAPP-00034-2017

1/9 Procedimiento Nº AP/00034/2017 RESOLUCIÓN: R/03259/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00034/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE MURERO, vista la denuncia presentada por Dña. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 21 de diciembre de 2016 se registra de entrada escrito de Don Miguel Lanaspa Cuello, quien, actuando en nombre y representación de Dña. A.A.A. (en lo sucesivo la denunciante), pone de manifiesto que el Ayuntamiento de Murero (Zaragoza), reveló a un tercero (Dña. B.B.B.) sus datos personales (nombre y apellidos) asociados al impago de unas tasas municipales, lo que ocurrió cuando dicho Ayuntamiento contestó una solicitud de información formulada por dicho tercero referida al importe a pagar por el nicho del cementerio municipal en que fue enterrado un familiar. La denunciante adjunta copia del correo electrónico enviado por el tercero al Ayuntamiento de Murero, (en adelante el denunciado), solicitando la reseñada información y de la contestación al mismo efectuada por dicho Ayuntamiento por la misma vía. En el correo electrónico remitido, con fecha 25 de octubre de 2016, por el citado tercero desde la cuenta de correo ***EMAIL.1 a la dirección de correo electrónico ***EMAIL.2 mencionado Ayuntamiento, con asunto “Tasas cementerio”, éste solicitaba la información que se transcribe a continuación: “Buenos días: Soy B.B.B., sobrina de C.C.C., que fue enterrado en ese cementerio el día 18. Por favor, ¿me pueden comunicar por este medio el importe que tengo que abonar al Ayuntamiento por el nicho y número de cuenta donde hacerlo? Les dejo mi número de teléfono por si necesitan aclarar cualquier cuestión, ***TELF.1. Saludos cordiales. B.B.B..” En el correo electrónico remitido, con fecha 16 de noviembre de 2016, por el Ayuntamiento denunciado en contestación a la anterior solicitud se informaba: “Buenos días: Para tramitar el título correspondiente al nicho del cementerio municipal, deberá abonar Dña. A.A.A. las tasas de basura, agua y alcantarillado correspondientes a los años 2015 y 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Año 2015: 145,77 € Año 2016: 127 € Un saludo.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al respecto al Ayuntamiento de Murero, que con fecha 23 de marzo de 2017 se limita a indicar que: “Se remitió información sobre tasas pendientes de pago de Dña. A.A.A., porque se consideró que la destinataria del correo electrónico era Dña. A.A.A..” TERCERO: Con fecha 27 de julio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Murero por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Dicho acuerdo de inicio se notificó al Ayuntamiento de Murero con fecha 2 de agosto de 2017, conforme figura en el documento de “Prueba de Entrega” emitido por la Sociedad Estatal Correos y Telégrafos, S.A. Correos. No consta que el reseñado Ayuntamiento haya ejercido su derecho a la defensa presentando escrito de alegaciones al respecto. HECHOS PROBADOS PRIMERO: Con fecha 25 de octubre de 2016, Dña. B.B.B., envió desde su cuenta de correo electrónico ***EMAIL.1 a la dirección de correo electrónico ***EMAIL.2 un mensaje de solicitud de información que tenía como asunto “Tasas cementerio”, y cuyo texto era el siguiente: “Buenos días: Soy B.B.B., sobrina de C.C.C., que fue enterrado en ese cementerio el día 18. Por favor, ¿me pueden comunicar por este medio el importe que tengo que abonar al Ayuntamiento por el nicho y número de cuenta donde hacerlo? Les dejo mi número de teléfono por si necesitan aclarar cualquier cuestión, ***TELF.1. Saludos cordiales. B.B.B..” SEGUNDO: Con fecha 16 de noviembre de 2016, el Ayuntamiento de Murero remitió desde el correo electrónico ***EMAIL.2 un mensaje a la cuenta ***EMAIL.1 contestando la solicitud de información de Dña. B.B.B., en adelante B.B.B., en el siguiente sentido: “Buenos días: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Para tramitar el título correspondiente al nicho del cementerio municipal, deberá abonar Dña. A.A.A. las tasas de basura, agua y alcantarillado correspondientes a los años 2015 y 2016. Año 2015: 145,77 € Año 2016: 127 € Un saludo.” TERCERO: Con fecha 17 de noviembre de 2016 Dña. B.B.B. reenvía desde su cuenta de correo electrónico ***EMAIL.1 el mensaje de contestación recibido del Ayuntamiento de Murero a la cuenta de correo electrónico de Dña. A.A.A., en adelante A.A.A., conforme se desprende de la documentación adjuntada a la denuncia. CUARTO: Con fecha 23 de marzo de 2017 el Ayuntamiento de Murero ha manifestado a la Agencia Española de Protección de Datos que “Se remitió información sobre tasas pendientes de pago de Dña. A.A.A., porque se consideró que la destinataria del correo electrónico era Dña. A.A.A..” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
3. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “
4. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” Dicho precepto, por tanto, prevé la posibilidad de que el acuerdo de iniciación puede ser considerado propuesta de resolución De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al posible sancionado en la notificación del acuerdo de inicio del procedimiento. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 exigen en el apartado primero del citado artículo. • Que el sancionado no presente alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. A su vez, el artículo 3 de la LOPD define los siguientes conceptos: “
5. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
6. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
7. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
8. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
9. c)del presente artículo.” “
10. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales de la denunciante, atendiendo a su contenido (nombre, apellidos e importe de las cantidades debidas en concepto de Tasas Municipales), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El título VII de la LOPD, bajo la rúbrica de “Infracciones y sanciones”, establece en el artículo 43.1 de dicha norma que: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de responsables de los ficheros debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
11. d)de la LOPD, el responsable del fichero o del tratamiento es la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Con arreglo a lo cual, se considera al Ayuntamiento de Murero, responsable tanto del fichero en el que estaban registrados los datos de la denunciante como del tratamiento consistente en la divulgación a un tercero de las deudas de 145,77 € y 127 € mantenidas por la denunciante (A.A.A.) con el Ayuntamiento a raíz del impago de las Tasas de Basura, Agua y Alcantarillado de los años 2015 y 2016, ya que al revelarla a un tercero no autorizado decidió sobre la finalidad, contenido y uso de esa información concerniente a la denunciante registrada en sus ficheros. V El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por el Ayuntamiento de Murero, que resulta de la divulgación a Dña. B.B.B. de la condición de deudora de Dña. A.A.A., cuyo nombre y apellidos se han vinculado a los importes de dos deudas sin que conste su consentimiento previo a dicha comunicación de datos a terceros. El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". Dicho precepto de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. Por lo que el deber de confidencialidad obliga no sólo al responsable del fichero sino también a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula el deber de secreto del responsable del fichero y/o tratamiento a fin de garantizar que los datos personales objeto de tratamiento no puedan conocerse por terceros, salvo que la comunicación de datos se realice con el consentimiento de los afectados o responda a alguno de los supuestos previstos en el artículo 11.2 de la LOPD. En el caso examinado, el deber de secreto comporta que el Ayuntamiento de Murero, como responsable del tratamiento de la información obrante en los ficheros vinculada a la gestión y cobro de las Tasas Municipales, no pueda dar a conocer por correo electrónico a terceros no autorizados información sobre la identidad de las personas físicas que no han abonado las mencionadas Tasas Municipales ni sobre las cantidades debidas por éstas. Sin embargo, en este supuesto consta acreditado que el Ayuntamiento de Murero facilitó a Dña. B.B.B. los datos identificativos de la denunciante asociados a dos importes deudores por impago de Tasas Municipales sin mediar el consentimiento de la afectada para ello ni haber acreditado que dicha comunicación de datos de carácter personal respondía a alguno de los supuestos autorizados por la Ley. Es decir, el Ayuntamiento de Murero no debió dar contestación a la información solicitada por Dña. B.B.B. identificando a la persona que debía las Tasas de Basura, Agua y Alcantarillado de los años 2015 y 2016 correspondientes al nicho en que se enterró al familiar de la solicitante de información. En consecuencia, está probado el acceso de terceros no autorizados (Dña B.B.B.) a los datos personales de la denunciante en su condición de deudora de las mencionadas Tasas Municipales. Sentado lo cual, se destaca que el artículo 10 de la LOPD impone una obligación de resultado, por lo que, conforme al criterio de la Audiencia Nacional, entre otras en la sentencia de 18/06/09, lo relevante es que se llegue a producir la divulgación de un secreto. En este sentido, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
12. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. VI La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
13. d)de la LOPD. En este precepto se establece lo siguiente: “
14. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este caso, por parte del Ayuntamiento de Murero, responsable de la custodia de los datos personales registrados en sus ficheros y del tratamiento realizado con los mismos, se divulgaron a un tercero (B.B.B.) los datos personales de la denunciante (A.A.A.) asociándolos a Tasas Municipales de dos ejercicios pendientes de pago, tratamiento que ha llevado a cabo sin acreditar que mediase el consentimiento de la afectada para ello o que respondiera a un supuesto habilitado por norma legal. Por tanto, se concluye que dicho Ayuntamiento ha vulnerado el deber de secreto consagrado en el artículo 10 de la LOPD en relación con los datos personales de la denunciante, cuya custodia y confidencialidad le resultan exigibles, motivo por el cual resulta responsable de la comisión de la infracción grave tipificada en el 44.3.
15. d)de la LOPD. VII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, el Ayuntamiento de Murero no ha justificado ante esta Agencia haber adoptado ningún acuerdo o medida dirigidos a corregir la conducta que ha determinado la comisión de la citada infracción, limitándose a manifestar en fase de actuaciones previas de inspección que “se consideró que la destinataria del correo electrónico era Dña. A.A.A.”, afirmación efectuada no obstante que el envío con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 información personal concerniente a las deudas de la denunciante (A.A.A.) estaba dirigido a la cuenta de correo electrónico de otro vecina del municipio, en concreto Dña. B.B.B.. En consecuencia, procede requerir la adopción de medidas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE MURERO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
16. d)de la citada Ley Orgánica. SEGUNDO: REQUERIR al AYUNTAMIENTO DE MURERO, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/06863/2017. En concreto, se insta al citado Ayuntamiento a adoptar las medidas técnicas y organizativas necesarias para verificar la identidad de los destinatarios a los que se remite cualquier tipo de comunicación, previamente a su envío y con independencia del medio utilizado para ello, así como, también, para no divulgar en dichas comunicaciones datos de carácter personal contenidos en sus ficheros sin mediar el consentimiento de los afectados o tratarse de una comunicación de datos habilitada legalmente. Para lo cual, deberán establecerse procedimientos internos de actuación a seguir por quienes traten la información de carácter personal registrada en los ficheros del Ayuntamiento a fin de asegurar la confidencialidad de los datos personales y evitar la difusión de ese tipo de información a terceros no autorizados. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE MURERO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es