AAPP-00045-2018

1/12 Procedimiento Nº AP/00045/2018 RESOLUCIÓN: R/01600/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00045/2018, instruido por la Agencia Española de Protección de Datos a la Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social, vista las denuncias presentadas, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 6/03/2018 la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación a raíz de la noticia difundida por los medios de comunicación en relación con la posible filtración y difusión realizada el 5/03/2018 con anterioridad a la publicación oficial por el MINISTERIO DE SANIDAD de un documento con los datos personales y resultados de los candidatos al examen de Médico Interno Residente (MIR), Enfermero Interno Residente (EIR), Farmacéutico Interno Resiente ( FIR), Biólogo Interno Residente ( BIR), Psicólogo Interno Residente ( FIR), Químico Interno Residente ( QIR) y Radiofísico, de 2017-2018. Asimismo, entre las fechas de 5/03/2018 y 13/04/2018 se han recibido en el registro general de la Agencia Española de Protección de Datos varias denuncias remitidas por particulares afectados y un escrito remitido por el Consejo General de colegios Oficiales de Biólogos, en relación con la citada publicación. SEGUNDO: A la vista de los hechos denunciados, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En fecha de 13/03/2018 se realiza a través del motor de búsqueda Google, una búsqueda de documentos en formato pdf., restringida al dominio sis.mssi.es – correspondiente al MINISTERIO DE SANIDAD -y se obtiene como resultado, entre otros, al menos siete enlaces que alojan ficheros en formato pdf. con el título RELACION PROVISIONAL DE LOS RESULTADOS DE LAS PRUEBAS SELECTIVAS, relativos al listado de los candidatos al examen de Médicos Internos Residentes (MIR) y de Enfermero Interno Residente (EIR), de distintas ramas (BIOLOGIA, ENFERMERIA, FARMACIA, MEDICINA, PSICOLOGIA, QUIMICA y RADIOFISICA) de la convocatoria del año 2017. 1.1 Los documentos que se descargan en formato pdf contienen, entre otros, NOMBRE Y APELLIDOS, DNI, PAIS y se ha optado por el CUPO DISCAPACIDAD. 1.2 En la parte inferior de cada documento consta la palabra RESTRINGIDO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 2. Por Orden SSI/876/2017, de 12 de septiembre, publicada en el B.O.E de 15/09/2017 se aprobó la oferta de plazas y la convocatoria de pruebas selectivas 2017 para el acceso en el año 2018, a plazas de formación sanitaria especializada para Médicos, Farmacéuticos, Enfermeros y otros graduados/licenciados universitarios del ámbito de la Psicología, la Química, la Biología y la Física. 2.1 En el apartado VII. Relaciones de admitidos y no admitidos, consta lo siguiente: Finalizado el plazo de presentación de solicitudes, la Dirección General de Ordenación Profesional, del Ministerio de Sanidad, Servicios Sociales e Igualdad aprobará las relaciones provisionales de aspirantes admitidos y no admitidos a las pruebas selectivas, ordenando su exhibición, para general conocimiento, en el Ministerio de Sanidad, Servicios Sociales e Igualdad, en las Delegaciones y Subdelegaciones de Gobierno que se citan en el anexo III y en la sede electrónica del Ministerio de Sanidad, Servicios Sociales e Igualdad. En el apartado XI Relaciones de Resultados, subapartado 2 consta lo siguiente: Mediante resolución de la Dirección General de Ordenación Profesional, del Ministerio de Sanidad, Servicios Sociales e Igualdad, se harán públicas las relaciones provisionales de los resultados obtenidos por los participantes en las pruebas. Dichas relaciones se exhibirán en el Ministerio de Sanidad, Servicios Sociales e Igualdad, en las Delegaciones y Subdelegaciones de Gobierno citados en el anexo III y en la sede electrónica del Ministerio de Sanidad, Servicios Sociales e Igualdad. Y en el subapartado 5 consta lo siguiente: Mediante resolución de la persona titular de la Dirección General de Ordenación Profesional, del Ministerio de Sanidad, Servicios Sociales e Igualdad, se aprobarán las relaciones definitivas de resultados, a las que se dará igual publicidad que a las provisionales. En tales relaciones se resolverán las reclamaciones presentadas y los empates producidos, y se corregirán los errores materiales que hubieran sido advertidos. 2.3 En la página web del MINISTERIO DE SANIDAD, consta un enlace denominado Calendario de Pruebas Selectivas en el que figura como fecha de (…) Exhibición de las Relaciones Provisionales de Resultados (…) a partir del 6 de marzo de 2018(…). Los denunciantes acreditan que la publicación que aportan es de fecha 5 de marzo de 2018. 2.4 Solicitada información al MINISTERIO DE SANIDAD, mediante escrito de fecha de entrada de 6/04/2018 manifiestan, en síntesis, que las circunstancias en las que se ha producido la brecha de seguridad son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 De acuerdo con la Orden de Convocatoria, por primera vez se ha incorporado la utilidad de “Listados publicados de aspirantes”. Desde la Subdirección General de Ordenación Profesional, ya se había usado en esta convocatoria esta nueva utilidad para publicar: la “relación provisional de admitidos” (el 14/11/2017/, la “relación definitiva de admitidos” ( el 9/01/2018) y por último a las 13:00h del 5/03/2018 la “Relación provisional de resultados”, una vez que, como en casos anteriores, se había verificado su funcionamiento en “preproducción” para su posterior enlace en la página de la aplicación. La publicación, conforme el calendario de la convocatoria estaba prevista a las cero horas del día 6 de marzo. Según la información de la que se dispone, la difusión anticipada se produjo entre las 16:45 h y las 17.00 h del día 5 de marzo de 2018. Por diversas llamadas telefónicas se tiene conocimiento de que los listados se estaban visualizando en páginas ajenas al MSSSI, y que se estaban publicando en algún medio de comunicación digital. La Subdirección General de Tecnologías de la Información del MSSSI, informa que el problema se trata de una incidencia en la programación del acceso. La aplicación en el formato seleccionado para las publicaciones (único listado vivo), utiliza siempre la misma URL, es decir, sobra la misma dirección web se enlazan los nuevos documentos que se quieren publicar, sustituyendo unos contenidos por otros. Es decir, se utilizó la misma URL que se utilizó para la publicación inmediatamente anterior, es decir la “relación definitiva de admitidos”. De esta forma, aunque no se enlazaran los ficheros hasta las 00 horas del día 6 de marzo en la aplicación, éstos eran accesibles desde el momento de su publicación (13 horas) para cualquiera que tuviera las URL de los listados definitivos de admitidos (potencialmente cualquier aspirante). A juicio del MINISTERIO DE SANIDAD, no puede calificarse lo ocurrido de brecha de seguridad, ya que los datos publicados estaban llamados a enlazarse en la página web unas horas después, como se hizo. Los firmantes de las solicitudes de participación habían prestado su consentimiento a la publicación provisional de los resultados, para conocer y poder reclamar su puntuación y valoración en el plazo habilitado. Todo ello de cara a la resolución que establezca el orden de los candidatos que superen definitivamente la prueba, y de cara a la celebración del proceso de adjudicación de plazas al que se refiere la base XXII de la propia orden. A título de ejemplo, en otras webs como la de INAP, se puede consultar y el acceso es libre a listados similares de listas de participantes en procesos selectivos a Cuerpos y escalas de funcionarios, no solo vigentes, sino de convocatorias anteriores, de hace 5, 6 o más años. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Los datos publicados a los que se refiere la Orden de la Convocatoria son para cada participante: el número de expediente; el número de DNI, pasaporte o NIE; situación administrativa para ciudadanos extracomunitarios; nacionalidad; discapacidad; valoración particular de examen; puntuación final; baremo académico; puntuación final del expediente académico; puntuación total individual; número de orden que corresponde. Respecto de las medidas adoptadas para paliar los efectos negativos de la quiebra de seguridad, manifiestan que detectada la incidencia, no se adoptó ninguna medida reactiva al no estar previsto en las bases la exhibición, a través de la Sede del MSSSI. Ni tampoco se ha solicitado el bloqueo de las búsquedas ya realizadas a motores de búsqueda en internet, si se tiene medidas paliativas de los efectos por haberse considerado que la publicación es conforme a las bases que regulan el proceso Selectivo. Tampoco se considera que hay efectos negativos derivados de la publicación anticipada en unas horas, de la información prevista. Respecto de las medidas adoptadas para evitar una nueva quiebra de la confidencialidad, manifiestan que la denominación de los documentos que se almacenen en el servidor de ficheros (NAS) será la correspondiente la hash de cada uno de ellos, evitando que dos documentos distintos se almacenen con el mismo nombre como ha sucedido en esta ocasión al publicarse todo en un único listado. Cada listado tendrá un directorio clasificado por el objetivo del listado dentro de LP00, independientemente de que se haya generado o no un epígrafe diferente en el menú de listados publicados. Hasta ahora solo se asignaban directorios diferentes si se publicaban listados bajo epígrafes diferentes, por ejemplo: Listados de admitidos provisionales, Listados de admitidos definitivos,… Se han establecido restricciones de acceso a nivel del servidor ( IIS Internet Information Server). Modificando la configuración de este para que todos los ficheros de la NAS únicamente sean accesibles desde los servidores web de la aplicación (usando las IP de los servidores de producción) y el resto de acceso sean siempre denegados. De este modo si una persona obtuviera la URL del nuevo listado (algo improbable, puesto que el nombre del fichero que forma parte de la URL será el propio hash del fichero y la estructura de directorios será individualizada para cada publicación según las medidas anteriores), y la opción no estuviera disponible en la fecha de acceso a dicha URL, el cambio en configuración del IIS devolvería un error 403 y se mostraría “Pagina no disponible” ü Se está adaptado la aplicación para que dese ninguna opción se pueda acceder directamente al servidor de ficheros (NAS). ü Se encriptarán los parámetros de la URL de la aplicación para evitar su manipulación. ü Estas medidas se pusieron en producción el 30/03/2018 de forma que estuvieran operativas antes de la publicación del siguiente listado realizada el 3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 de abril a las 00h. 3. En fecha 7/05/2018 se accede a la web del MINISTERIO DE SANIDAD, FORMACION SANITARIA ESPECIALIZADA a través de la dirección ***URL.1 donde se ofrecen diversos servicios de consulta relativos a los procesos selectivos descritos en los apartados anteriores. 3.1 En el apartado Situación personal en la convocatoria actual se verifica que cualquier usuario de internet que introduzca el número de DNI de un participante en el proceso, puede acceder a la ficha de dicho participante, dónde además de los datos referidos en los documentos Relaciones Definitivas de Resultados, aparece la dirección de correo electrónico. Se verifica, por tanto, que es posible acceder a la dirección del correo electrónico de un participante con la identificación (DNI o NIE) del titular de dichos datos, sin requerir contraseña o autenticación, permitiendo que cualquier tercero ajeno a esa identidad pueda acceder a esa información. Respecto del tratamiento de los datos referidos a la dirección de correo de los participantes, únicamente consta en la convocatoria del proceso selectivo, en el modelo de Solicitud que se adjunta en la Orden Ministerial, que la Solicitud se realiza a través del Modelo 790, dónde consta un apartado nº 9 – dirección de correo electrónico- y en las instrucciones para cumplimentar dicho modelo, respecto de la citada dirección se indica que (…) Si dispone de dirección de correo electrónico podrá recibir información por esta vía a lo largo de la convocatoria. (…) 3.2 Se verifica que para descargar el documento Relaciones Definitivas de Resultados se requiere identificación mediante Certificado Electrónico o DNI electrónico, posibilitando el acceso a dicho listado con independencia de ser o no participante en dicho proceso selectivo. 3.3 Para acceder a Consulta Personalizada de Examen, únicamente puede accederse con DNI electrónico o Certificado Digital, o bien a través del acceso Cl@ve. 4. En fecha de 7/05/2018 se realiza una búsqueda en Google en los mismos términos que la descrita en el apartado 1 y se verifica que no muestra los resultados de aquella. No es posible accede a los documentos referenciados en dicho apartado a través de los resultados que muestra la búsqueda realizada. 5. En el Registro General de Ficheros de la Agencia Española de Protección de Datos, consta inscrito el Fichero Denominado PRUEBAS SELECTIVAS con código ***CODIGO.1, y fecha de inscripción 22/08/1994 y de última modificación 19/01/2015 dónde figuran los siguientes responsables: Responsable del Fichero: Subdirección General de Ordenación Profesional y como Encargado del Tratamiento: Subdirección General de Tecnologías de la Información. TERCERO: Con fecha 22/05/2018, la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 de Datos, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo dispuesto en el artículo 93.1 del RDLOPD. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 22/06/2018 la Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social (SGOP en lo sucesivo) presentó escrito de alegaciones en el que, en síntesis, manifestaba que: -En el artículo 9 LOPD se determina una obligación tanto para el responsable del fichero como para el encargado del tratamiento, sin que en el Acuerdo de inicio se haya tenido en cuenta la existencia de una responsabilidad “compartida” de dos órganos distintos del mismo departamento, es decir, es encargado del tratamiento la Subdirección General de Tecnologías de la Información. (STI en lo sucesivo). -Determinación de la culpa en los hechos objeto de la infracción. La imposición de una sanción no basta ser responsable a título de mera inobservancia como rezaba el hoy derogado art. 130 LRJPAC, por la Ley 40/2015 de 1 de octubre que recoge el principio de responsabilidad en el art. 28.1. No queda acreditado en ningún momento el dolo o la culpa de la SGOP ni de la STI. Se debe acreditar el dolo o culpa para no incurrir en indefensión. -Existe discordancias entre los motivos de las denuncias y los motivos en las propuestas de sanción. Las denuncias indican la publicación de las listas de resultados con unas horas de anticipo. Sin embargo, los motivos de la posible sanción se refieren al apartado 3 del acuerdo de iniciación. El motivo contenido en el apartado 3.2 (descarga del documento relativo a las relaciones definitivas de resultados) no se considera acertada ya que los datos son de carácter Publio, y pueden ser consultados por cualquier ciudadano, aunque no haya participado en el proceso selectivo. En cuanto al acceso a la consulta personalizada de examen, se considera adecuadamente protegido, pues se requiere DNI electrónico o Certificado digital, o acceso Cl@ve, lo que determina que tiene que ser el propio interesado el único que pueda acceder a dicha información. En cuanto al apartado 3.1, tan pronto como se ha recibido el escrito de iniciación se ha procedido a vetar el acceso al correo electrónico de los aspirantes lo que pone de manifiesto la adopción de medidas que no pudieron adoptarse con anterioridad porque los hechos denunciados no tenían relación directa. -se ha de tener en cuenta que en la próxima convocatoria 2018/2019 está previsto entre otras medidas, (

1. i)modificar el modelo de solicitud en relación con el correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 electrónico informando de su no publicación. (
2. ii)eliminar el apartado situación personal en la convocatoria actual al que hace referencia el apartado 3.1 del acuerdo de inicio. -inadecuada aplicación del principio de proporcionalidad. QUINTO: Con fecha 31/07/2018 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/01221/2018, así como la documental aportada por Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social. SEXTO: En fecha de 7/08/2018 por el Instructor del Procedimiento se emitió Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se dicte Resolución acordando: (…) PRIMERO: Declarar que el Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social ha infringido lo dispuesto en los artículos 9 de la LOPD, tipificada como grave en el artículo 44.3
3. h)de dicha norma. SEGUNDO: Notificar la Resolución que se adopte al responsable del fichero, y al órgano del que dependa jerárquicamente. TERCERO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999. (…) SEPTIMO: De las actuaciones practicadas en el procedimiento de Infracción de Administraciones Públicas han quedado acreditados los siguientes hechos: HECHOS PROBADOS UNO- En el modelo utilizado por la SGOP del MINSTERIO DE SANIDAD, CONSUMO Y BIENESTAR SOCIAL, referido a la solicitud de participación en los procesos selectivos - Modelo 790 - respecto del tratamiento de los datos referidos a la dirección de correo electrónico de los participantes, consta únicamente que (…) Si dispone de dirección de correo electrónico podrá recibir información por esta vía a lo largo de la convocatoria. (…) DOS.- En fecha 7/05/2018 se accede a la web del MINISTERIO DE SANIDAD, FORMACION SANITARIA ESPECIALIZADA a través de la dirección ***URL.1 donde se ofrecen diversos servicios de consulta relativos a los procesos selectivos, verificándose que en el apartado Situación personal en la convocatoria actual se verifica que cualquier usuario de internet que introduzca el número de DNI de un participante en el proceso, puede acceder a la ficha de dicho participante, dónde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 además de los datos referidos en los documentos Relaciones Definitivas de Resultados, aparece la dirección de correo electrónico. TRES. - Se verifica, por tanto, que es posible acceder a la dirección del correo electrónico de un participante con la identificación (DNI o NIE) del titular de dichos datos, sin requerir contraseña o autenticación, permitiendo que cualquier tercero ajeno a esa identidad pueda acceder a esa información. CUATRO. - En la página web antes indicada, se verifica que para descargar el documento Relaciones Definitivas de Resultados se requiere identificación mediante Certificado Electrónico o DNI electrónico, posibilitando el acceso a dicho listado con independencia de ser o no participante en dicho proceso selectivo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se atribuye a la SGOP la comisión de la infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que (…)1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural (…) en relación con lo dispuesto en el artículo 93.1 del RDLOPD, que establece que: 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. III Establece el artículo 43 de la LOPD, lo siguiente: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. 2. Cuando se trate de ficheros de titularidad pública se estará, en cuanto al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley Establece el artículo 46.1 de la LOPD, lo siguiente: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. En el presente caso, ha resultado probado que cualquier usuario de internet podía acceder a la dirección de correo electrónico de los participantes en los procesos selectivos organizados por la SGOP del citado Ministerio. La SGOP formula alegaciones referidas a la falta de indicación de la “corresponsabilidad” en la gestión de la convocatoria, por ser encargado del tratamiento la STI. Cuestión que resulta irrelevante, pues la posible responsabilidad del encargado no excluye, per se, la del responsable del fichero o tratamiento. En este sentido resulta especialmente clarificador el art. 12.4 de la LOPD, que determina un sistema de agregación de responsabilidad, al indicar que (…) En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.(…) doctrina que se recoge en reiteradísimas resoluciones de este organismo y que la jurisprudencia ha acogido, y que se sintetiza en que será responsable el encargado del tratamiento, cuando el tratamiento de los datos a los que tenga acceso por su condición, incumpla las instrucciones recibidas por el responsable, ya sea en el contrato o en el instrumento jurídico que les vincule en relación con la prestación de la que se deriva dicho tratamiento. En el presente caso, no consta que la STI haya incumplido alguna instrucción, orden o norma en su ejercicio de encargado. Asimismo, como se ha indicado, se establece un mecanismo de agregación y no de sustitución de la responsabilidad. Se alega en segundo término por la SGOP la posible inobservancia del principio de responsabilidad en la comisión de la infracción que se imputa. En este sentido debe indicarse que el art. 28.1 de la Ley 40/2015 de 1 de octubre (LSP en lo sucesivo), establece lo siguiente: Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 El concepto de mera inobservancia que alega la SGOP, ha sido ampliamente superado por la jurisprudencia y el precepto de la LSP transcrito, resultando que ya la la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), indicaba que (…) En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva…” En el mismo sentido, la STAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En definitiva, desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este sentido, la SGOP podía obrar de otro modo en relación con los hechos acaecidos, pues es de su exclusiva responsabilidad la instauración de un sistema que impidiera que un tercero accediera a los datos del correo electrónico de los participantes. La SGOP se encuadra en una organización pública que se le presume diligencia en el cumplimiento normativo por formar parte de un departamento ministerial de la administración general del estado, y por tanto, la diligencia de la que es acreedora a la hora de verificar el cumplimiento de las normas que le son de aplicación tiene que observarse con celo y rigor. Circunstancia que, obviamente no ha sucedido, pues no se implantaron las medidas de seguridad necesarias para evitar lo sucedido. Por lo expuesto, el elemento subjetivo en la comisión de la infracción resulta plenamente acreditado, sin que sea de aplicación la exoneración de responsabilidad que propone la SGOP. Asimismo, alega la SGOP, que no hay correlación entre los motivos de las denuncias – publicación anticipada de las listas en internet- de los motivos que inician el procedimiento de declaración de infracción, los relacionados con el punto 3 del Acuerdo de Inicio. En este sentido debe indicarse que la Agencia Española de Protección de Datos, (AEPD en lo sucesivo) tiene entre sus atribuciones competenciales, velar por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 cumplimiento de la LOPD y su normativa de desarrollo, y que el ejercicio de la potestad sancionadora se circunscribe a cualquier incumplimiento de la citada normativa. Por ello, la AEPD no está vinculada por el contenido de las denuncias, sino que ejerce la potestad sancionadora sustentada en las actuaciones previas de investigación, cuyo contenido puede diferir de lo indicado en una denuncia. En el presente caso, derivado del inicio de dichas actuaciones, se tuvo conocimiento del incumplimiento del art. 9 de la LOPD en relación con el art. 93.1 del RDLOPD, y en concreto del acceso por terceros de los datos personales de los participantes en el proceso selectivo, lo que sustenta la base fáctica y jurídica del presente procedimiento de declaración de infracción de las administraciones públicas. Por lo que las alegaciones vertidas por la SGOP en este sentido carecen de cualquier virtualidad en relación con el presente procedimiento y a pesar de no indicar en su escrito, en qué medida afectaría a sus derechos o al fondo del asunto, han de ser desestimadas. IV La conducta descrita en los hechos probados, que es atribuible a la SGOP se encuentra, tipificada como grave en el artículo 44.3
5. h)de dicha norma, que considera como tal
6. h)Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. La instauración de un sistema de acceso mediante identificación y autenticación de usuarios habría impedido el acceso a datos personales por terceros no autorizados. V Establece el artículo 46.1 de la LOPD lo siguiente: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. De acuerdo con las alegaciones de la SGOP y las comprobaciones realizadas, debe indicarse que ya se han adoptado las medidas necesarias a fin de subsanar el incumplimiento de la normativa señalada y que evitan que en un futuro vuelva a producirse. Por lo que no se requieren medidas a adoptar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3 h de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Subdirección General de Ordenación Profesional del Ministerio de Sanidad Consumo y Bienestar Social y al superior jerárquico, Dirección General de Ordenación Profesional, del Ministerio de Sanidad, Consumo y Bienestar Social. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es