AAPP-00042-2015

1/4 Procedimiento Nº AP/00042/2015 RESOLUCIÓN: R/02635/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00042/2015, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE LA UNIÓN, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de entrada de 4/08/2014 tuvo entrada una denuncia de Dña. A.A.A. (en lo sucesivo la denunciante) frente al AYUNTAMIENTO DE LA UNIÓN (en lo sucesivo el denunciado). La denuncia es por haberle notificado una resolución fechada el 17/06/2014, dando lugar a que en la misma, al incluirse varios recurrentes en expedientes distintos sobre recursos de sanciones de tráfico, se han dado a conocer sus datos simultáneamente al resto de los afectados. Aporta copia de dicha notificación. Contiene la notificación de la resolución de los recursos, los datos son de nombre y apellidos, NIF y matricula de los vehículos e importes. La resolución resuelve con los mismos fundamentos a los cuatro afectados, incluida la denunciante. En destinatario aparecen los datos de dirección de la denunciante, en el encabezamiento el logo del Ayuntamiento de la Unión. SEGUNDO: Con fecha 29/06/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas al AYUNTAMIENTO DE LA UNIÓN, por la comisión de una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de la misma norma. Transcurrido el tiempo, la denunciada no formula alegaciones. HECHOS PROBADOS 1. La denunciante denuncia que el AYUNTAMIENTO DE LA UNIÓN le hace una notificación a su domicilio de la que aporta copia que vulnera du derecho a la reserva de conocimiento de sus datos por terceros. La resolución se dicta el 17/06/2014 como respuesta a los recursos de reposición contra providencias de apremio dictadas el 11/11/2013, reflejando los nombres y apellidos de cuatro personas, entre ellas la denunciante, número de matrícula de vehículo, NIF e importe. 2. La resolución precisa que las sanciones habían sido abonadas antes de la fecha de la providencia de apremio y estima los recursos de los cuatro afectados ordenando la notificación a los interesados. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD dispone que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se facilite información sobre datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 14/09/2001, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Deber de secreto profesional que incumbe a los responsables de ficheros, tal y como LA Audiencia Nacional ha mantenido en sentencias, entre otras muchas, de 10-12005 (Rec. 178/2004), 12-9-2007 (Rec. 98/2006) y 7-5-2008 (Rec. 228/2006) y que comporta que el responsable de los datos almacenados no puede revelar ni dar a conocer su contenido teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Deber que constituye una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, implica que los datos tratados informáticamente, exteriorizados en este caso en formato papel: nombre, apellidos, DNI y matrícula del vehículo del que puede o no ser titular, han sido conocidos por terceros, como la denunciante ha conocido los de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 La denunciada, con ocasión de una notificación a cada interesado, la ha cursado utilizando el modelo común para todos, donde se incluyen los datos de todos los afectados, conociendo la denunciante datos de otros afectados sin que la denunciada acredite el consentimiento de estos para que sus datos fueran conocidos por terceros, presumiblemente los datos de la denunciante han sido conocidos por los otros tres interesados. La denunciada podría, con la misma resolución, haber anonimizado los datos de los otros afectados, utilizando la misma plantilla para notificar a todos, no haciendo posible la comunicación de todos los datos a todos, o bien por el sistema de ANEXOS 1, 2, 3… a la resolución, referidos a cada afectado comunicándole a cada uno el que a él le corresponda. Se acredita pues, la comisión de la infracción por la denunciada. II La conducta que configura el ilícito administrativo aplicado en este caso requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad denunciada para asegurarse de que para efectuar una notificación personal ha de ser tal, no contener los datos de terceros En este sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la denunciada es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5/06/1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999 En relación a dicho asunto, aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del artículo 130 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), tal y como con criterio general ha venido señalando la Jurisprudencia (Sentencias del Tribunal Supremo de 5/06/1989 y 12/03/1990, entre otras muchas), la expresión simple inobservancia del artículo 130.1 de la LRJPAC permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando para la imposición de la sanción, la inobservancia del deber de cuidado. Falta de diligencia, que, en el presente supuesto, resulta atribuible a la denunciada, ya que debería haber extremado el cuidado a fin de evitar que se enviara una documentación de notificación con datos no pertenecientes al denunciante. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE LA UNIÓN ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
3. d)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 SEGUNDO: Debido a la naturaleza de la infracción, no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LA UNIÓN y a A.A.A.. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es