1/11 Procedimiento Nº AP/00036/2016 RESOLUCIÓN: R/02974/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00036/2016, instruido por la Agencia Española de Protección de Datos a la Consejería de Educación de la Ciudad Autónoma de Melilla, vista la denuncia presentada por D. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de enero de 2016, tiene entrada en esta Agencia un escrito de D. B.B.B. en el que declara que la Ciudad Autónoma de Melilla ha facilitado a terceros un certificado conteniendo su información personal relativa al Padrón de habitantes. Aporta el denunciante copia de la siguiente documentación: - Documento con registro de entrada 3/9/2015 en el Colegio de Notarios de Madrid por el que D. C.C.C. presenta denuncia ante dicho colegio contra el notario D. B.B.B., a la que se acompaña un documento titulado “CERTIFICADO DE RESIDENCIA – BONIFICACIÓN DE TRANSPORTE” emitido por la Consejería de Administraciones Públicas de la Ciudad Autónoma de Melilla en fecha 16/7/2014 en el que aparece que D. B.B.B. consta en situación de alta en el padrón de la localidad. - Escrito presentado ante la Ciudad de Melilla con fecha de entrada 6/10/2015 mediante el cual D. B.B.B. en que exige responsabilidades por los mismos hechos aquí denunciados. - Escrito con registro de salida 29/10/2015 en que la Consejería de Hacienda y Administraciones Públicas de la Ciudad Autónoma de Melilla responde al denunciante, informando que se ha dispuesto el inicio de un expediente de información reservada por los hechos denunciados. - Con fecha 14/12/2015 se emite informe por el instructor de dicho expediente, en el que, entre otros extremos, se expresa: <<El Certificado que se ha adjuntado se emite desde la aplicación corporativa ePob, desarrollada para la gestión del Padrón de Habitantes. Se adjunta el Informe de la empresa T-Systems, adjudicataria del contrato de “Soporte, Administración y Mantenimiento de las Aplicaciones Corporativas de la Ciudad Autónoma de Melilla” en el cual se indica que el documento fotocopiado se corresponde con un Certificado de Residencia para la bonificación de transporte emitido el 16 de julio de 2014 por el usuario con código D.D.D.. Una vez consultados los registros de ésta Dirección General, ese código de usuario se corresponde con el funcionario D. A.A.A., asignado a la Dirección General de Educación y Colectivos Sociales. En la aplicación no se ha dejado ninguna anotación de la persona solicitante de la emisión del Certificado, por lo que desde ésta Dirección General no se tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 constancia de esa información… TERCERO.- Cumplimentado el trámite de alegaciones por el Sr. A.A.A. mediante escrito de fecha 11 de Diciembre de 2015, transcurrido dicho plazo, se da traslado al Ministerio Fiscal del expediente administrativo incoado y las actuaciones practicadas en el mismo, con suspensión de dicho procedimiento hasta que se acuerde la correspondiente resolución a que haya lugar en Derecho por parte del órgano judicial correspondiente.>> Además, informa el denunciante que D. C.C.C., tanto en el momento de la expedición del referido certificado como en el momento de la interposición de su referida denuncia ante el Ilustre Colegio Notarial de Madrid, prestaba sus servicios a la Ciudad Autónoma de Melilla, dentro de los servicios jurídicos de la Consejería de Educación, calle Querol, dependencias en la que, igualmente prestaba y presta sus servicios el funcionario D. A.A.A., responsable de la emisión del certificado de empadronamiento referido. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, se solicitó a la Consejería de Hacienda y Administraciones Publicas de la Ciudad Autónoma de Melilla copia del expediente administrativo mencionado, del mismo se desprende: 1. Mediante documento de fecha 10 de septiembre de 2012 se solicitó autorización de accesos a la aplicación EPOB para D. A.A.A. como funcionario adscrito a la Dirección General de Educación. 2. Mediante certificado de la Dirección General de la Sociedad de la Información se informa que el acceso a través del cual fue emitido el certificado a nombre del denunciante fue el usuario asignado a D. A.A.A.. 3. Mediante escrito de fecha 9 de diciembre de 2015 D. A.A.A. presentó alegaciones, en el sentido de negar cualquier infracción, pues cualquier persona habría podido utilizar su terminal para realizar consultas como impresión de información en los momentos en que se haya ausentado del trabajo. Manifiesta que, una vez llega a su puesto de trabajo, abre el ordenador y pone en marcha las aplicaciones que necesita para realizar su labor diaria, pero que no se cierran hasta finalizar la jornada laboral, como es costumbre en todas las dependencias de la Ciudad Autónoma, sin que sus dependencias tenga otras normas de seguridad distintas. 4. Mediante informe de fecha 14 de diciembre de 2015 por parte del instructor del expediente se manifiesta que: a. El fichero “Gestión de Población” es un fichero de titularidad pública, siendo responsable del mismo la Dirección General de Administraciones Públicas de la Ciudad Autónoma de Melilla. b. El acceso a los datos se realiza mediante identificación del usuario, previa autorización del centro directivo del que dependa, y con las garantías y responsabilidades establecidas por la normativa aplicable, siendo el autorizado responsable de las actividades realizadas con su perfil 5. Con entrada en la Fiscalía en fecha 15 de diciembre de 2015 se ponen en conocimiento de la misma los hechos, por si fuesen constitutivos de un delito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 descubrimiento y revelación de secretos. TERCERO: Con fecha 14 de julio de 2016, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Consejería de Educación de la Ciudad Autónoma de Melilla, por la presunta infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la Consejería de Educación de la Ciudad Autónoma de Melilla, presentó escrito de alegaciones en el que manifestaba que: “En el asunto de referencia, dentro del plazo de alegaciones que se confiere mediante acuerdo de 14 de julio de 2016, le participo que el uso autorizado por esta Consejería para el acceso a los datos del padrón de residentes de la Ciudad de Melilla se concreta en la comprobación o acreditación de información necesaria para la tramitación de diferentes procedimientos administrativos gestionados por esta Administración, así como en la eventual facilitación de certificados para la bonificación del transporte de los empleados públicos que prestan servicios en esta Consejería.” QUINTO: Con fecha 20 de septiembre de 2016 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la Consejería de Educación de la Ciudad Autónoma de Melilla, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00810/2016. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00036/2016 presentadas por la Consejería de Educación de la Ciudad Autónoma de Melilla, y la documentación que a ellas acompaña. 3. Requerir a la Consejería de Educación de la Ciudad Autónoma de Melilla, información sobre los siguientes extremos: 1 Cuáles son las medidas de seguridad que se emplean para el acceso por los empleados a los datos personales contenidos en el Padrón Municipal 2 Procedimiento utilizado para acreditar la personalidad del solicitante de certificados del Padrón de Habitantes y cómo se conserva esa acreditación. Procedimiento tanto para el caso de ser solicitado por el propio interesado como si lo solicita un tercero en su nombre. 3 Se requiere también que se informe sobre cómo se comunican al personal las normas de seguridad que afectan al desarrollo de sus funciones. SEXTO: En respuesta a lo solicitado en el periodo de práctica de pruebas, la Consejería C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 presentó un escrito en el que manifiesta que los empleados que tienen acceso a los datos personales contenidos en el Padrón Municipal, acceden utilizando un sistema de usuario y contraseña, que existen controles de acceso y registros de uso y otras medidas de seguridad física y lógica en los servidores en los que se alojan los ficheros y las aplicaciones. Que para la obtención de un certificado para bonificación del transporte de los empleados de la Consejería, como es el mismo empleado quien lo solicita, la acreditación del solicitante se hace de manera informal. Informa por último la Consejería de que no existe protocolo de comunicación al personal de las normas de seguridad que afectan al desarrollo de sus funciones. SÉPTIMO: Con fecha 26 de octubre de 2016, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que la Consejería de Educación de la Ciudad Autónoma de Melilla ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. HECHOS PROBADOS PRIMERO: El 3 de septiembre de 2015, D. C.C.C. presentó una denuncia ante el Colegio de Notarios de Madrid contra el notario D. B.B.B.. Esta denuncia incluye un documento titulado “CERTIFICADO DE RESIDENCIA – BONIFICACIÓN DE TRANSPORTE” emitido por la Consejería de Administraciones Públicas de la Ciudad Autónoma de Melilla en fecha 16 de julio de 2014, en el que D. B.B.B. consta en situación de alta en el padrón de la localidad. SEGUNDO: Con fecha 6 de octubre de 2015 D. B.B.B. presentó un escrito ante la Ciudad de Melilla en el que exige responsabilidades por facilitar a terceros un certificado conteniendo información personal relativa al Padrón de Habitantes. TERCERO: El 29 de octubre de 2015 la Consejería de Hacienda y Administraciones Públicas de la Ciudad Autónoma de Melilla informa al denunciante de que se ha iniciado un expediente de información reservada por los hechos denunciados. Con fecha 14 de diciembre de 2015 el instructor del expediente emite un informe, en el que, entre otros extremos, expone: <<El Certificado que se ha adjuntado se emite desde la aplicación corporativa ePob, desarrollada para la gestión del Padrón de Habitantes. Se adjunta el Informe de la empresa T-Systems, adjudicataria del contrato de “Soporte, Administración y Mantenimiento de las Aplicaciones Corporativas de la Ciudad Autónoma de Melilla” en el cual se indica que el documento fotocopiado se corresponde con un Certificado de Residencia para la bonificación de transporte emitido el 16 de julio de 2014 por el usuario con código D.D.D.. Una vez consultados los registros de ésta Dirección General, ese código de usuario se corresponde con el funcionario D. A.A.A., asignado a la Dirección General de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Educación y Colectivos Sociales. En la aplicación no se ha dejado ninguna anotación de la persona solicitante de la emisión del Certificado, por lo que desde ésta Dirección General no se tiene constancia de esa información… TERCERO.- Cumplimentado el trámite de alegaciones por el Sr. A.A.A. mediante escrito de fecha 11 de Diciembre de 2015, transcurrido dicho plazo, se da traslado al Ministerio Fiscal del expediente administrativo incoado y las actuaciones practicadas en el mismo, con suspensión de dicho procedimiento hasta que se acuerde la correspondiente resolución a que haya lugar en Derecho por parte del órgano judicial correspondiente.>> CUARTO: Mediante escrito de fecha 9 de diciembre de 2015 D. A.A.A. presentó alegaciones, en el sentido de negar cualquier infracción, pues cualquier persona habría podido utilizar su terminal para realizar consultas como impresión de información en los momentos en que se haya ausentado del trabajo. Manifiesta que, una vez llega a su puesto de trabajo, abre el ordenador y pone en marcha las aplicaciones que necesita para realizar su labor diaria, pero que no se cierran hasta finalizar la jornada laboral, como es costumbre en todas las dependencias de la Ciudad Autónoma, sin que sus dependencias tengan otras normas de seguridad distintas. QUINTO: No consta acreditado en el presente procedimiento, que la Consejería de Educación de la Ciudad Autónoma de Melilla contara con el consentimiento del denunciante para la cesión de los datos personales contenidos en su Certificado de Residencia para la bonificación de transporte, emitido el 16 de julio de 2014, a un tercero. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Los hechos enjuiciados fueron calificados en el Acuerdo de Inicio de este expediente sancionador como constitutivos de infracción del artículo 4.1 de la LOPD, tipificada en el artículo 44.3.
- c)de la citada Ley Orgánica. No obstante, en la propuesta de resolución, se considera conveniente modificar la calificación jurídica efectuada e imputar a la Consejería de Educación de la Ciudad Autónoma de Melilla una infracción del artículo 10 de la Ley Orgánica 15/1999, tipificada en el artículo 44.3.
- d)de la LOPD. Respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la denuncia que se realizó en el Acuerdo de Inicio y a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 incidencia que tal cambio puede tener en el derecho de defensa de la entidad denunciada, conviene señalar que nada impide efectuar esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la acusación formulada. El primero de los derechos que el artículo 135 de la LRJPAC reconoce a favor del presunto infractor es el de que le sean notificados los términos de la acusación, que comprende la información “de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudiera imponer…”. El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). III El artículo 3.
- a)de la LOPD define los datos de carácter personal como, ”Cualquier información concerniente a personas físicas identificadas o identificables”. Por su parte el artículo 3.
- d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, se imputa la difusión de los datos personales del denunciante por la entidad imputada. En este procedimiento se ha constatado que la Consejería de Educación de la Ciudad Autónoma de Melilla entregó a un tercero, un Certificado de Residencia para la bonificación de transporte, emitido el 16 de julio de 2014 sin el consentimiento del titular de los datos del certificado. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas. El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como señalan las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11, comunicación de datos. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, la Consejería de Educación de la Ciudad Autónoma de Melilla, entregó a un tercero, un Certificado de Residencia para la bonificación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 transporte, emitido el 16 de julio de 2014 sin el consentimiento del titular de los datos del certificado. La LOPD define el consentimiento del interesado en su artículo 3.
- h)como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. La letra
- a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. En el presente procedimiento consta que el denunciante presentó un escrito ante la Ciudad de Melilla exigiendo responsabilidades por facilitar a terceros un certificado conteniendo información personal suya relativa al Padrón de habitantes. La Consejería de Hacienda y Administraciones Públicas de la Ciudad Autónoma de Melilla informó al denunciante del inicio de un expediente de información reservada para la investigación de los hechos denunciados. El instructor del expediente emitió un informe en el que se expone: cual es la aplicación con la que se gestiona el Padrón de Habitantes, el código de usuario con el que se obtuvo el certificado objeto de denuncia, persona a la que corresponde ese código y su destino, que no hay información en el sistema respecto del solicitante de la emisión del certificado y que se traslada el expediente administrativo al Ministerio Fiscal. El funcionario con cuyo código se emitió el certificado, presentó alegaciones, en el sentido de negar cualquier infracción, pues cualquier persona habría podido utilizar su terminal para realizar consultas como impresión de información en los momentos en que se haya ausentado del trabajo. Manifiesta que, una vez llega a su puesto de trabajo, abre el ordenador y pone en marcha las aplicaciones que necesita para realizar su labor diaria, pero que no se cierran hasta finalizar la jornada laboral, como es costumbre en todas las dependencias de la Ciudad Autónoma, sin que sus dependencias tengan otras normas de seguridad distintas. Notificado el acuerdo de inicio del presente procedimiento de Declaración de Infracción, la Consejería de Educación de la Ciudad Autónoma de Melilla ha informado de que el uso de los datos del padrón de residentes de la Ciudad de Melilla por esa Consejería “se concreta en la comprobación o acreditación de información necesaria para la tramitación de diferentes procedimientos administrativos gestionados por esta Administración, así como en la eventual facilitación de certificados para la bonificación del transporte de los empleados públicos que prestan servicios en esta Consejería”. En el periodo de práctica de pruebas se ha solicitado a la Consejería denunciada que informe sobre cuáles son las medidas de seguridad que se emplean para el acceso por los empleados a los datos personales contenidos en el Padrón Municipal. Qué procedimiento se utiliza para acreditar la personalidad del solicitante de certificados del Padrón de Habitantes y cómo se conserva esa acreditación. Se requiere también que se informe sobre cómo se comunican al personal las normas de seguridad que afectan al desarrollo de sus funciones. En respuesta a lo solicitado la Consejería manifiesta que los empleados que tienen acceso a esa información acceden utilizando un sistema de usuario y contraseña y que existen controles de acceso y registros de uso y otras medidas de seguridad física C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 y lógica en los servidores en los que se alojan los ficheros y las aplicaciones. Que para la obtención de un certificado para bonificación del transporte de los empleados de la Consejería, como es el mismo empleado quien lo solicita, la acreditación del solicitante se hace de manera informal. Informa por último la Consejería de que no existe protocolo de comunicación al personal de las normas de seguridad que afectan al desarrollo de sus funciones. En este procedimiento ha quedado acreditado que la entidad denunciada ha revelado a un tercero, los datos de carácter personal del denunciante contenidos en el Certificado de residencia para la bonificación de transporte emitido el 16 de julio de 2014. Se considera por tanto que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. V La LOPD califica la vulneración del deber de secreto como infracción grave en su artículo 44.3.d): “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Ha quedado acreditado en el presente procedimiento que la Consejería de Educación de la Ciudad Autónoma de Melilla comunicó a un tercero los datos personales del denunciante, incluidos en el Certificado de Residencia para la bonificación de transporte, emitido el 16 de julio de 2014, sin el consentimiento del afectado. De acuerdo con lo señalado, se considera que la Consejería de Educación de la Ciudad Autónoma de Melilla ha incurrido en la infracción grave tipificada en el artículo 44.3.
- d)de la LOPD. VI El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la Consejería de Educación de la Ciudad Autónoma de Melilla ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de de la citada Ley Orgánica. SEGUNDO: REQUERIR a la Consejería de Educación de la Ciudad Autónoma de Melilla, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/06831/2016. TERCERO: NOTIFICAR la presente resolución a la Consejería de Educación de la Ciudad Autónoma de Melilla y a D. B.B.B.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es