1/12 Procedimiento Nº AP/00035/2015 RESOLUCIÓN: R/02526/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00035/2015, instruido por la Agencia Española de Protección de Datos al CONCELLO DE VIGO, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30 de junio de 2014, tuvo entrada en esta Agencia escrito de Doña A.A.A. (en lo sucesivo la denunciante) en el que declara como representante de la Confederación Intersindical Gallega (CIG) de los trabajadores de las piscinas y gimnasios de la contrata que presta sus servicios al Concello de Vigo. En su escrito denuncia que el Concello de Vigo ha publicado en su página web: www.concellodevigo.org, el concurso para la contratación de los servicios para Piscinas e Instalaciones dependientes del Instituto Municipal de Deportes de Vigo. En los Pliegos Técnicos y administrativos publicados se incluye una lista con los trabajadores a subrogar. Los datos que se publican son: Nombre y apellidos, D.N.I., antigüedad, categoría y jornada. Aporta copia del Pliego de Cláusulas Técnicas particulares (Expediente 2610/11), de fecha 13 de junio de 2014, para la contratación mediante procedimiento abierto de servicios docentes y técnicos para las piscinas cubiertas………, en cuyo ANEXO **** se incluye la “Relación de Trabajadores UTE Gestión piscinas Vigo” con los datos de Nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizaron las siguientes: 1. Con fecha 12 de septiembre de 2014, se verificó que en la dirección de internet https://sede.vigo.org............, se publica, entre otros, el expediente ****/2011, de fecha 3 de abril de 2014, y que en su Pliego de Cláusulas Técnicas particulares. para la contratacion mediante procedimiento abierto de servizos docentes e técnicos para as piscinas cubiertas de Travesas, Lavadores, Teis e Valadares, e actividades deportivas nos ximnasios e instalaciones dependientes do Instituto Municipal dos deportes de Vigo, en su ANEXO **** se incluye la “Relación de Trabajadores UTE Gestión piscinas Vigo” con los datos de Nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos”. 2. Con fecha 27 de noviembre de 2014, el Concello de Vigo remitió a esta Agencia la siguiente información: 1. Según establece el Real Decreto Legislativo 3/2011, de 14 de noviembre, por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 que se aprueba el texto refundido de la Ley de Contratos del Sector Público, en el Artículo 53 Perfil de contratante: a. Con el fin de asegurar la transparencia y el acceso público a la información relativa a su actividad contractual, y sin perjuicio de la utilización de otros medios de publicidad en los casos exigidos por esta Ley o por las normas autonómicas de desarrollo o en los que así se decida voluntariamente, los órganos de contratación difundirán, a través de Internet, su perfil de contratante. La forma de acceso al perfil de contratante deberá especificarse en las páginas Web institucionales que mantengan los entes del sector público, en la Plataforma de Contratación del Sector Público y en los pliegos y anuncios de licitación. b. El perfil de contratante podrá incluir cualesquiera datos e informaciones referentes a la actividad contractual del órgano de contratación, tales como los anuncios de información previa contemplados en el artículo 141, las licitaciones abiertas o en curso y la documentación relativa a las mismas, las contrataciones programadas, los contratos adjudicados, los procedimientos anulados, y cualquier otra información útil de tipo general, como puntos de contacto y medios de comunicación que pueden utilizarse para relacionarse con el órgano de contratación. En todo caso deberá publicarse en el perfil de contratante la adjudicación de los contratos. c. El sistema informático que soporte el perfil de contratante deberá contar con un dispositivo que permita acreditar fehacientemente el momento de inicio de la difusión pública de la información que se incluya en el mismo. d. La difusión a través del perfil de contratante de la información relativa a los procedimientos de adjudicación de contratos surtirá los efectos previstos en el Título 1 del Libro III. 2. Por otra parte, el Artículo 120: Información sobre las condiciones de subrogación en contratos de trabajo se establece que: a. En aquellos contratos que impongan al adjudicatario la obligación de subrogarse como empleador en determinadas relaciones laborales, el órgano de contratación deberá facilitar a los licitadores, en el propio pliego o en la documentación complementaria, la información sobre las condiciones de los contratos de los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la evaluación de los costes laborales que implicará tal medida. A estos efectos, la empresa que viniese efectuando la prestación objeto del contrato a adjudicar y que tenga la condición de empleadora de los trabajadores afectados estará obligada a proporcionar la referida información al órgano de contratación, a requerimiento de éste. 3. Según manifiestan también sería una disposición legal que pudiera amparar la publicación la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la cual dispone en su artículo 8: Información económica. presupuestaria estadística a. Los sujetos incluidos en el ámbito de aplicación de este título deberán hacer pública, como mínimo, la información relativa a los actos de gestión administrativa con repercusión económica o presupuestaria que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 indican a continuación: Todos los contratos, con indicación del objeto, duración, el importe de licitación y de adjudicación, el procedimiento utilizado para su celebración, los instrumentos a través de los que, en su caso, se ha publicitado, el número de licitadores participantes en el procedimiento y la identidad del adjudicatario, así como las modificaciones del contrato. Igualmente serán objeto de publicación las decisiones de desistimiento y renuncia de los contratos. La publicación de la información relativa a los contratos menores podrá realizarse trimestralmente. 4. En relación con el origen de los datos publicados en el ANEXO **** del Pliego, manifiestan que los datos publicados en el ANEXO ****, han sido facilitados por la empresa UTE Gestión Piscinas de Vigo con CIF: U-********, como adjudicataria del contrato en vigor. Dicha documentación se corresponde con los actos preparativos de un nuevo expediente de contratación, con el objetivo de dar cumplimiento al artículo 120 del TRLCSP. 5. Respecto a la autorización para la publicación de los datos de los trabajadores, informan de que el Instituto Municipal de los Deportes no tiene ningún tipo de relación laboral ni de ninguna otra índole con los trabajadores mencionados en el ANEXO ****. El contenido de dicho documento con los datos de los trabajadores fue elaborado por la empresa UTE Gestión Piscinas de Vigo con CJF: U-********, en su calidad de responsable del servicio contratado y entregado al Instituto Municipal de los deportes, por lo cual, a efectos de la solicitud de la autorización de los trabajadores, en su caso le corresponderá a la citada empresa. TERCERO: Con fecha 1 de junio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al CONCELLO DE VIGO por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 26 de junio de 2015, el Concello de Vigo presentó escrito de alegaciones en el que manifestó, básicamente, lo siguiente: 1. “Que la conducta o actividad que ha dado lugar al presente expediente sancionador, se encuadra dentro de la actividad reglada en el Real Decreto Legislativo 3/2011 por el que se aprueba la Ley de Contratos del Sector Público. Que en base a esto y - según lo dispuesto en el expediente ****/2011 de fecha 3 de abril de 2014, y en su pliego de cláusulas técnicas particulares para la contratación mediante procedimiento abierto de servicios docentes y técnicos para las piscinas - lo que hizo este Concello fue publicar la relación de trabajadores, con todos los datos, que le facilitó la UTE Gestión Piscinas Vigo tal y como fue remitida, sin añadir dato alguno a la relación dada para cumplir con los pronunciamientos legales de contratación pública y sin llevar a cabo actuación alguna en materia de tratamiento de los datos, prohibida por la normativa de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Que esta parte entiende, y no hay prueba de lo contrario, que la mentada UTE (encargada de la gestión de personal de las piscinas municipales de Vigo) tenía autorización por parte de sus trabajadores para facilitar los datos a este organismo público. Que partiendo de esta premisa, se realizó la citada publicación para garantizar -en lo máximo posible- los principios de transparencia, control, acceso público e igualdad entre las empresas que podían optar a tal contrato. Que, en ningún caso, pudo este organismo suponer que la empresa no disponía de la oportuna autorización por parte de sus trabajadores, en materia de protección de datos, para este fin y que, en cualquier caso, tampoco consta en este expediente que los mismos no hayan autorizado a la citada mercantil para tal comunicación. Que el Concello de Vigo sólo publicó los datos de los trabajadores tal y como se los había facilitado la UTE sin poder suponer, como no cabe otro supuesto, que no existía autorización de los mismos para tal fin; e insistimos: en el hipotético caso de que la misma no existiera, pues esta parte presupone que la empresa contaba con el consentimiento de sus trabajadores para esta comunicación 2. Que además este organismo adoptó las medidas oportunas, para corregir esta situación, en cuánto tuvo conocimiento de la misma, sin que exista precedente alguno que permita atribuir al órgano responsable un patrón conductual de infracción de la normativa en materia de protección de datos. Que en ningún caso se obtuvo beneficio alguno con la misma, en cuanto administración pública que responde únicamente a la prestación de servicios públicos, conforme a la configuración legal establecida en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local y que la publicación sólo se llevó a cabo para garantizar la mayor publicidad, competencia, transparencia y libre concurrencia a un proceso de contratación sujeto a la normativa reguladora de contratos en el sector público y con la única y exclusiva finalidad de garantizar la transparencia en el desarrollo de los procesos de contratación y la igualdad de los posibles licitadores a la hora de confeccionar su oferta respectiva”. En base a todo ello, solicitó que se proceda al archivo del presente procedimiento. QUINTO: Con fecha 1 de julio de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/06038/2014, así como la documental aportada por el Concello de Vigo. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00035/2015 presentadas por el Concello de Vigo, y la documentación que a ellas acompaña. SEXTO: Con fecha 11 de agosto de 2011, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el CONCELLO DE VIGO ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- d)de la citada norma. OCTAVO: El Concello de Vigo no realizó alegaciones frente a la citada propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 HECHOS PROBADOS PRIMERO: Doña A.A.A., que dice actuar como representante de la Confederación Intersindical Gallega (CIG) de los trabajadores de las piscinas y gimnasios y de la contrata que presta sus servicios al Concello de Vigo, denunció ante la Agencia que el Concello de Vigo ha publicado en su página web: www.concellodevigo.org, el concurso para la contratación de los servicios para Piscinas e Instalaciones dependientes del Instituto Municipal de Deportes de Vigo y que en los Pliegos Técnicos y administrativos publicados se incluye una lista con los trabajadores a subrogar. Los datos que se publican son: Nombre y apellidos, D.N.I., antigüedad, categoría y jornada (folios 1-33) SEGUNDO: Con fecha 12 de septiembre de 2014, la Inspección de Datos verificó que en la dirección de internet https://sede.vigo.org............, se publica, entre otros, el expediente ****/2011, de fecha 3 de abril de 2014, y que en su “Pliego de Cláusulas Técnicas particulares para la contratacion mediante procedimiento abierto de servizos docentes e técnicos para as piscinas cubiertas de Travesas, Lavadores, Teis e Valadares, e actividades deportivas nos ximnasios e instalaciones dependientes do Instituto Municipal dos deportes de Vigo”, en su ANEXO **** se incluye la “Relación de Trabajadores UTE Gestión piscinas Vigo” con los datos de Nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos” (folios 34-67) TERCERO: El Concello de Vigo convocó un concurso en procedimiento abierto para la contratación de los servicios para Piscinas e Instalaciones dependientes del Instituto Municipal de Deportes de Vigo, y, con fecha 3 de abril de 2014, procedió a la publicación del Perfil del Contratante que resultó ser la UTE Gestión Piscinas de Vigo con CJF: U******** (folios 34-67). Por su parte, la UTE, en su calidad de responsable del servicio contratado aportó un listado (ANEXO ****) que incluye la “Relación de Trabajadores UTE Gestión piscinas Vigo” con los datos de Nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos” (folios 66-67). El pliego de condiciones que regula el procedimiento de concurso para la la contratación de los servicios para Piscinas e Instalaciones dependientes del Instituto Municipal de Deportes de Vigo, fue publicado en el Perfil del Contratante en la página web del Concello de Vigo en la dirección https://sede.vigo.org............, en fecha 3 de abril de 2014 y, al menos, con fecha 12 de septiembre de 2014, continuaba publicado. El acceso al Perfil del Contratante era libre y permitía la descarga de la documentación publicada. En el ANEXO **** que se incluía en el pliego se publicaba una “Relación de Trabajadores UTE Gestión piscinas Vigo” con los datos de Nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos” (folios 66-67). Según la denunciada, se difundieron por considerarlo ajustado a los artículos 53 y 120 del RDL 3/2011 RDL 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de contratos del Sector Público y al artículo 8 de la Ley 19/20 13, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno (folios 72-74). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 3.
- a)de la LOPD considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Por su parte el artículo 5.1 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, recoge en sus apartados
- f)y
- o)las definiciones de “datos de carácter personal” y “persona identificable”. Así, se considera “datos de carácter personal”: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables” y “persona identificable”: “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionadas”. En el mismo sentido se pronuncia, el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. III En el presente supuesto ha quedado acreditado en las actuaciones previas de investigación que la denunciada reconoce que el Pliego de contratación, junto con todos los Anexos, fue publicado en el Perfil del Contratante en abierto la página web del Concello de Vigo en la direcciónhttps://sede.vigo.org............, en fecha 3 de abril de 2014 y, al menos, con fecha 12 de septiembre de 2014, continuaba publicado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 El acceso al Perfil del Contratante era libre y permitía la descarga de la documentación publicada. En el ANEXO **** que se incluía en el pliego se publicaba una “Relación de Trabajadores UTE Gestión piscinas Vigo” con los datos de Nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos” (folios 66-67). IV Los artículos 53 y 120 del Real Decreto Legislativo 3/20 11, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público en que se basa la denunciada para la publicación del ANEXO ****, establecen lo siguiente: “Artículo 53 Perfil de contratante: 1. Con el fin de asegurar la transparencia y el acceso público a la información relativa a su actividad contractual, y sin perjuicio de la utilización de otros medios de publicidad en los casos exigidos por esta Ley o por las normas autonómicas de desarrollo o en los que así se decida voluntariamente, los órganos de contratación difundirán, a través de Internet, su perfil de contratante. La forma de acceso al perfil de contratante deberá especificarse en las páginas Web institucionales que mantengan los entes del sector público, en la Plataforma de Contratación del del Sector Público y en los pliegos y anuncios de licitación. 2. El perfil de contratante podrá incluir cualesquiera datos e informaciones referentes a la actividad contractual del órgano de contratación, tales como los anuncios de información previa contemplados en el artículo 141, las licitaciones abiertas o en curso y la documentación relativa a las mismas, las contrataciones programadas, los contratos adjudicados, los procedimientos anulados, y cualquier otra información útil de tipo general, como puntos de contacto y medios de comunicación que pueden utilizarse para relacionarse con el órgano de contratación. En todo caso deberá publicarse en el perfil de contratante la adjudicación de los contratos. 3. El sistema informático que soporte el perfil de contratante deberá contar con un dispositivo que permita acreditar fehacientemente el momento de inicio de la difusión pública de la información que se incluya en el mismo. 4. La difusión a través del perfil de contratante de la información relativa a los procedimientos de adjudicación de contratos surtirá los efectos previstos en el Título 1 del Libro III.” El procedimiento de contratación administrativa se articula tradicionalmente en dos fases: la de las actuaciones preparatorias y la de adjudicación propiamente dicha. La primera, tiene por objeto la predeterminación administrativa de la mayor parte de los elementos definitorios del objeto (proyecto y pliego de prescripciones: artículos y del contenido del contrato (pliego de cláusulas administrativas. Al expediente se incorporarán el pliego de cláusulas administrativas particulares y el de prescripciones técnicas que hayan de regir el contrato. Esta tramitación del expediente se regirá por los principios de publicidad, concurrencia, transparencia, accesibilidad a la documentación y no discriminación de licitadores sin que publicidad implique publicación indiscriminada de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 El artículo 42 de la Ley de Contratos del Sector Público (LCSP) regula el Perfil de contratante, Se trata de una figura novedosa introducida por la LCSP; es el sistema de información a la actividad contractual de los Entes del Sector Público Con el fin de asegurar la transparencia y el acceso público a la información relativa a su actividad contractual, los órganos de contratación difundirán, a través de Internet, su perfil de contratante. La forma de acceso al perfil de contratante deberá especificarse en las páginas Web institucionales que mantengan los entes del sector público, en la Plataforma de Contratación del Estado y en los pliegos y anuncios de licitación El perfil de contratante podrá incluir cualesquiera datos e informaciones referentes a la actividad contractual del órgano de contratación, tales como los anuncios de información previa contemplados en el artículo 125, las licitaciones abiertas o en curso y la documentación relativa a las mismas, las contrataciones programadas, los contratos adjudicados, los procedimientos anulados, y cualquier otra información útil de tipo general, como puntos de contacto y medios de comunicación que pueden utilizarse para relacionarse con el órgano de contratación. El artículo 4.1 de la LOPD determina “Los datos de carácter personal solo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Se viene a consagrar así, el llamado principio de proporcionalidad (cuantitativa y cualitativa) en el tratamiento de los datos; es decir, se recogerán solo los datos pertinentes, adecuados y no excesivos, en relación con la finalidad concreta, explícita y legítima para la que se hayan obtenido, además del principio de pertinencia en el tratamiento de los datos de carácter personal, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin perseguido. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida e introducción de los datos en el fichero, sino que habrá asimismo de respetarse en el posterior tratamiento que se realice de los mismos. La difusión de datos personales en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Por tanto, la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su dirección, constituye un «tratamiento total o parcialmente automatizado de datos personales». C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 V En el presente caso se imputa al CONCELLO DE VIGO la infracción del artículo 10 de la LOPD, al darse a conocer en la web los datos personales del ANEXO **** y que fueron aportados por el contratante durante el procedimiento. El artículo 10 indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el DNI, nombre y apellidos y demás datos laborales, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Deber de secreto profesional que incumbe a los responsables de ficheros, tal y como la Audiencia Nacional ha mantenido en múltiples sentencias, entre otras, de 10-12005 (Rec. 178/2004), 12-9-2007 (Rec. 98/2006) y 7-5-2008 (Rec. 228/2006),comporta que el responsable de los datos almacenados no puede revelar ni dar a conocer su contenido teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. En el presente caso nos hallamos con que datos de carácter personal se expusieron en abierto en la web posibilitando su acceso generalizado por terceros no interesados. VI En el presente caso debe deducirse que el conocimiento de datos personales de los trabajadores (nombre y apellidos, D.N.I., antigüedad, categoría y jornada de cada uno de ellos) que fue aportado por la UTE en el ANEXO ****, no resultaba necesario que se realizara en el momento de la divulgación del pliego de condiciones en abierto a través de Internet pudiendo hacerse efectivo de forma restringida en para los licitadores o en el momento de la adjudicación. La puesta a disposición en Internet supone una divulgación que desborda la esfera de los sujetos interesados haciéndolo accesible sin límites a terceros que no ostentan interés legítimo alguno. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 El principio de transparencia, como justificación para la difusión de los datos no puede ser tenido en cuenta porque la identidad de los trabajadores asociada a su perfil profesional no resulta de una relevancia pública que justifique su acceso universal mediante su publicación en la web pudiendo resultar suficiente su conocimiento por los licitadores en el trámite de acceso restringido o tras la adjudicación En consecuencia, la denunciada podría haber ofrecido la misma información para dicha finalidad sin necesidad de publicar los datos de los trabajadores de la UTE, no precisándose divulgar indiscriminadamente a través de la web los datos concretos de las personas. Criterio establecido por esta Agencia, entre otros procedimientos en los AP/00020/2010, AP/00029/2011 y AP/00030/2014, referentes a la divulgación en abierto en el Portal del contratante de la identidad de los trabajadores implicados en procedimientos de subrogación. VII El artículo 44.3.
- d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. La denunciada trató los datos personales de los integrantes del ANEXO **** y su actualización al ponerlo a disposición indiscriminadamente en el portal del contratante, por lo que se ha vulnerado el principio del consentimiento previsto en el artículo 10 de la LOPD. VIII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En el presente caso no se acuerda requerir ninguna medida correctora dado que el Concello de Vigo ha manifestado que procedió a corregir la situación en cuanto tuvo conocimiento del problema y dado que en la actualidad no consta que la información objeto de la denuncia, aparecida en la web de entidad continúe publicada en la misma. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el CONCELLO DE VIGO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al CONCELLO DE VIGO y a Doña A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es