AAPP-00046-2017

1/15 Procedimiento Nº AP/00046/2017 RESOLUCIÓN: R/00305/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00046/2017, instruido por la Agencia Española de Protección de Datos a la DIRECCIÓN GENERAL DE TRÁFICO, vista la denuncia presentada por Dña. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3 de febrero y 3 de marzo de 2017 se registra de entrada en esta Agencia escrito de Dña. B.B.B. , (en lo sucesivo la denunciante), poniendo de manifiesto que, con fecha 1 de diciembre de 2016, la Jefatura Provincial de Tráfico de Asturias facilitó sin su consentimiento a un tercero datos de carácter personal relativos a su permiso de conducir y al saldo de puntos. La denunciante, que apunta en su denuncia que dicha comunicación de datos pudo efectuarse a su ex cónyuge o al abogado del mismo, adjunta copia de la siguiente documentación: Escrito de contestación de la Dirección General de Tráfico, (en adelante DGT), de fecha 18 de enero de 2017, a su escrito de queja indicándole que debía presentar denuncian ante la AEPD. - Escrito dirigido al Juzgado de P.I. nº 7 de Oviedo en el que tercero aporta, a través de la Procuradora de los Tribunales que se cita, documentación a la que se refiere la denunciante. un la SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia realizaron con fecha 27 de junio de 2017 inspección en los locales de la Dirección General de Tráfico, (en adelante DGT), durante cuyo transcurso se tuvo conocimiento de los siguientes hechos: 2.1. En la DGT tuvieron conocimiento de los hechos denunciados a través de la Dirección Provincial de Asturias, donde la denunciante presentó con fecha 12 de diciembre de 2016 una denuncia por estos mismos hechos. 2.2 Con fecha 21 de diciembre de 2016, la Jefatura Provincial de Tráfico de Asturias da contestación a la interesada, comunicándole que daba traslado de su escrito a la Unidad de Inspección. 2.3 Una vez analizada la denuncia se acreditó la existencia de un comportamiento presuntamente irregular por parte de una funcionaria, consistente en un acceso indebido al Registro de Conductores de este Centro Directivo, por lo que con fecha 23 de enero de 2017 el Director General de Tráfico acordó incoación de un expediente disciplinario a la funcionaria. 2.4 Practicadas las diligencias y actuaciones que se estimaron oportunas para el esclarecimiento de los hechos, con fecha 3 de mayo de 2017 se formuló por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 instructora la propuesta de resolución que se remitió al Subsecretario del Ministerio del Interior, por ser éste el órgano competente para dictar resolución. 2.5 Actualmente, se está a la espera de que se emita Resolución al respecto, según consta en el Certificado suscrito por el Secretario General de la Dirección General de Tráfico, adjunto al Acta de inspección. TERCERO: Con fecha 3 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la DIRECCIÓN GENERAL DE TRÁFICO, en adelante DGT, por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 15 de noviembre de 2017 se registra de entrada escrito de la DGT alegando, en síntesis, lo que sigue: Primero, en el Registro de Conductores e Infractores gestionado por la DGT se recogen y gestionan de forma automatizada los datos de carácter personal de los solicitantes y titulares de autorizaciones administrativas para conducir, así como su comportamiento y sanciones por hechos relacionados con el tráfico y la seguridad vial, con la finalidad de controlar el cumplimiento por los titulares de las autorizaciones administrativas para conducir de las exigencias previstas por la normativa vigente. Dicho registro no es público, requiriéndose la presentación de una solicitud y la identificación del interesado, habiéndose puesto a disposición de los ciudadanos en la sede electrónica de la DGT unos modelos específicos de presentación de solicitudes. Además, el acceso a dicho Registro, dentro del organismo, está restringido a los empleados públicos autorizados por el responsable de la Unidad y condicionado a las funciones desarrolladas. En el año 2014 se dictó una instrucción interna sobre el acceso a equipos y sistemas de información, cuya copia se adjunta Segundo, el expediente disciplinario incoado a la funcionarla responsable del supuesto acceso indebido al Registro de Conductores de la DGT se resolvió declarando la responsabilidad disciplinaria de la citada funcionaría por la comisión de una falta de carácter grave tipificada en el artículo 7.1
2. h)del Reglamento de Régimen Disciplinario de los Funcionarios de la Administración del Estado con la consiguiente sanción, si bien dicha resolución ha sido recurrida por la funcionaria mediante recurso potestativo de reposición que se encuentra pendiente de resolución. Se indica que la denunciante, una vez se acordó la incoación del expediente disciplinario, fue informada de ello conforme a lo establecido en el artículo 27 del Reglamento de Régimen Disciplinario. QUINTO: Con fecha 4 de diciembre de 2017 la Instructora del procedimiento inicia un período de práctica de pruebas, en cuyo marco se acuerda la práctica de las siguientes pruebas: -Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/01393/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 procedimiento AP/00046/2017 presentadas por la DIRECCIÓN GENERAL DE TRÁFICO. Todo ello con su correspondiente documentación adjunta. - Solicitar a la DIRECCIÓN GENERAL DE TRÁFICO contestación a los siguientes extremos y envío de la documentación que a continuación se cita: 1. Usos y finalidades previstos para la información de carácter personal contenida en los documentos “Consulta de puntos” y “Solicitud de antecedentes totales”, con expresión de los destinatarios que tienen derecho a su obtención. 2. Remisión de copia de la resolución acordada en el expediente disciplinario incoado a la funcionaria responsable del acceso indebido al Registro de conductores, la cual se cita en las alegaciones al acuerdo de inicio, y, en su caso, de la resolución que haya podido acordarse en el recurso potestativo interpuesto por la misma. 3. Especificación de si dicha funcionaria, en función del perfil que tenía asignado, estaba autorizada a acceder a la información referente a “Consulta de puntos” y “Solicitud de antecedentes totales”, con aclaración de los usos a los que podía destinar dichos documentos con información de carácter personal, en especial, si abarcaban su entrega a los solicitantes titulares de los datos o a terceros habilitados a su obtención por una ley. 4 Remisión de copia de la siguiente documentación: solicitud que dio lugar al acceso, impresión y entrega a terceros de los mencionados documentos; justificante de entrega de tal documentación; aportación de cualquier documento que permita identificar al destinatario que recibió la documentación objeto de análisis y la forma de entrega de la misma. 5. Aclaración de si la denunciante ha solicitado, con anterioridad al 12 de diciembre de 2016 o con esa misma fecha, ante la Jefatura Provincial de Tráfico de Asturias información relacionada con el saldo de puntos de su Permiso de Conducir y/o solicitud de sus antecedentes, en cuyo caso se remitirá copia de la solicitud recibida y de la contestación enviada, incluyendo la documentación remitida a la afectada. 6. Forma de difusión desde la Dirección General de Tráfico de la Instrucción 2014/PRI-79 entre el personal con acceso a los diferentes sistemas de información corporativos a fin de asegurar el deber de custodia que le resulta exigible e impedir el acceso y divulgación de esos datos a terceros . 7. Indicación de si con posterioridad a los hechos estudiados, se han adoptado medidas de refuerzo en orden a evitar la divulgación a terceros no interesados de los datos de carácter personal procedentes del Registro de Conductores e Infractores, en cuyo caso se solicita detalle y justificación de las mismas. -Solicitar a la denunciante contestación a los siguientes extremos y envío de la documentación que a continuación se cita: . Aclaración de si usted ha solicitado, con anterioridad al 12 de diciembre de 2016 o con esa misma fecha, ante la Jefatura Provincial de Tráfico de Asturias información relacionada con el saldo de puntos de su Permiso de Conducir y/o solicitud de sus antecedentes en dicha Jefatura. . Remisión de copia de cualquier documentación que haya recibido de la Jefatura Provincial de Tráfico de Asturias o de la Dirección General de Tráfico en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 relación con la queja presentada por facilitación de datos de carácter personal a terceras personas sin su consentimiento. .Remisión de cualquier otra documentación que pudiera estar directamente vinculada a los hechos denunciados ante esa Agencia. SEXTO: Con fecha 20 de diciembre de 2017 se registra de entrada escrito de contestación de la denunciante a las pruebas requeridas, indicando que con anterioridad al 12 de diciembre de 2016 no había solicitado a la Jefatura Provincial de Tráfico de Asturias información alguna sobre el saldo de puntos. Asimismo, adjunta documentación presentada en la citada Jefatura con fecha 13 de diciembre de 2016, así como información de la Jefatura Provincial de Tráfico de Asturias de fecha 1 de diciembre de 2016 sobre el saldo de puntos solicitado sin su autorización, por otra persona, y que fue presentado ante el Juzgado de Juzgado de Familia. (Instancia 7 de Oviedo), en el proceso de ejecución ***PROCESO.1. SÉPTIMO: Con fecha 3 de enero de 2018 se registra de entrada escrito de contestación de la DGT a las pruebas requeridas en el siguiente sentido: -Respecto de los usos y finalidades previstos para la información de carácter personal contenida en los documentos “Consulta de puntos” y “Solicitud de antecedentes totales”, se indica que: “ Están declarados en el fichero de protección de datos sobre Registro de Conductores e Infractores. Tienen derecho a su obtención los propios interesados o sus representantes legales y en cuanto a la cesión de datos, los órganos judiciales, Hacienda pública y Administración Tributaria y otros órganos de la Administración del Estado y de la Comunidad Autónoma o Administración Local. Asimismo, la transacción de consulta de antecedentes está prevista para uso interno en la tramitación de expedientes por parte de los empleados públicos.” -Se adjunta copia de la resolución disciplinaria dictada por el Sr. Subsecretario del Ministerio del Interior, señalándose que a la fecha de emisión del presente oficio, no consta la resolución del recurso de reposición presentado por la funcionaria. -Se señala que la “funcionaría tenía habilitado la posibilidad de consultar los puntos y acceder a los antecedentes totales. Los usos de esta información, en general sería o bien para la realización de trámites de tráfico por parte de los empleados públicos o, al estar la funcionaría atendiendo al público para facilitar información a los solicitantes titulares de los datos, sus representantes legales o a terceros habilitados a su obtención por una ley.” En cuanto a la remisión de copia de la documentación interesada a la DGT en el punto 4 , se aclara que no consta físicamente en los archivos de la DGT ninguna documentación relativa a ese trámite, pese a que las instrucciones de la Jefa Provincial así lo establecían. Si bien, en las aplicaciones informáticas existe un registro relativo a la consulta de antecedentes de conductores de la denunciante , de fecha 1 de diciembre de 2016 a las 15:48 horas. -En el año 2016, y con anterioridad al 12 de diciembre de 2016 , no consta acceso a los antecedentes totales de la denunciante ni se ha obtenido su crédito de puntos. -La Instrucción 2014/PRI-79 se difundió en la Intranet corporativa, en el apartado de noticias, que consta en la página de inicio de la citada Web, a la que tienen acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 todos los empleados públicos del Organismo. Con posterioridad también se puede consultar en la aplicación Magallanes, donde se recoge la normativa interna de la DGT. En esta Instrucción se incidía en que "Toda la información albergada en los distintos sistemas de información corporativos, tiene carácter confidencial y su uso debe ser estrictamente oficial y profesional. Es decir, los usuarios con acceso a información y datos deben utilizarlos únicamente para las operaciones para las que fueron generados e incorporados sin destinarlos a otros fines o incurrir en actividades que pudieran considerarse ilícitas o ilegales. Los usuarios autorizados están obligados a proteger la información y los datos a los que tienen acceso, evitando el envío no autorizado al exterior, incluyendo esta mención tanto el acceso como su visualización; todo ello a fin de prevenir y evitar actuaciones que puedan producir una alteración indebida, inutilización o destrucción, robo o uso no autorizado, en definitiva, cualquier forma que pueda dañar los datos, aplicaciones informáticas y documentos electrónicos de la Dirección General de Tráfico. Especial consideración debe darse a todos aquellos archivos que contengan datos personales que puedan ser susceptibles de inclusión en el ámbito de aplicación de la Ley de Protección de Datos de Carácter Personal. Los usuarios que tengan acceso a dichos archivos o documentos deberán extremar las precauciones para evitar cualquier salida de información de los mismos que pueda hacer a la Administración y/o al usuario incurrir en algún tipo de responsabilidad." -En relación con las posibles medidas de refuerzo que hayan podido adoptarse, se señala que: “Se considera que los empleados públicos de la Dirección General de Tráfico son conscientes de la necesidad de garantizar el deber de custodia de los datos. Además se recoge esta obligación en la precitada instrucción 2014/PRI79 firmada por el Director General, que es de obligado cumplimiento para todos los funcionarios. De hecho, hay que tener en cuenta que en las 68 oficinas provinciales y locales de Tráfico se consultan millones de datos al año, y que esta cesión de datos es un caso puntual, que ha sido sancionado en la vía disciplinaria.” OCTAVO: Con fecha 6 de febrero de 2018 se incorpora al procedimiento impresión del resultado obtenido al consultar la información obrante en el Registro General de Protección de Datos de esta Agencia relativa al fichero “Registro de Conductores e Infractores”. NOVENO: Con fecha 7 de febrero de 2019, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que la Dirección General de Tráfico había infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
3. d)de la citada norma, así como que se requiera a la Dirección General de Tráfico la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. La citada propuesta de resolución fue notificada con fecha 8 de febrero de 2018, no constando que la DGT ejerciera su derecho a formular alegaciones en el plazo concedido a tales efectos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 HECHOS PROBADOS PRIMERO: En el Registro General de Protección de datos figura inscrito bajo el código nº ***COD.1 el fichero denominado “Registro de Conductores e Infractores”, gestionado por la Dirección General de Tráfico, según este órgano ha reconocido. SEGUNDO: Consta que con fecha 1 de diciembre de 2016 desde la Jefatura Provincial de Tráfico de Asturias se expidió la siguiente documentación referida al saldo de puntos e historial de conductor de Dña. B.B.B. (la denunciante): - Impresión de informe “Solicitud Antecedentes Totales” emitido con fecha 01/12/2016. En este documento se incluye información referida al historial del conductor, comprendiendo los datos personales del mismo (NIE, fecha de nacimiento, sexo, nombre, apellidos y domicilio postal), y su “Historia de Exámenes”, “Historial de Permisos” y “Permisos en vigor”. En este caso dicha información de carácter personal transcribe los datos reseñados de la denunciante. - Impresión del resultado de la “Consulta de Puntos”, con información sobre el “Saldo de Puntos” a fecha 01/12/2016 de la denunciante, cuyo número de documento de identificación, nombre y apellidos figuran reseñados. TERCERO: En los sistemas informáticos de la Dirección General de Tráfico no consta que la denunciante hubiera solicitado o accedido al saldo de puntos de su permiso de conducir ni a la información de sus antecedentes totales durante el año 2016. Tampoco consta registrada cita previa a nombre de la denunciante o de su representante legal para el día 1 de diciembre de 2016. CUARTO: En los sistemas informáticos de la Dirección General de Tráfico consta que el día 1 de diciembre de 2016 a las 15:48 horas, Da P.P.P. accedió al Registro General de conductores de la Dirección General de Tráfico y emitió un informe de antecedentes totales de Da B.B.B., sin que conste documentación alguna relativa a la solicitud de la interesada o autorización de la misma, en caso de que se solicitara a través de representante. QUINTO: Consta acreditado que la documentación detallada en el hecho 2) anterior fue aportada con fecha 2 de diciembre de 2016 por la Procuradora de los Tribunales que actuaba en nombre y representación de Don A.A.A., ante el Juzgado de Primera Instancia nº 7 de Oviedo a los efectos del proceso ***PROCESO.1 SEXTO: Con fecha 12 de diciembre de 2016 la denunciante presentó “Formulario de Queja Sugerencia” ante la Jefatura Provincial de Tráfico de Asturias por haber facilitado datos de carácter personal (saldo de puntos e incidencias en permiso de conducir) a terceras personas sin su consentimiento. Con fecha 18 de enero de 2017 la citada Jefatura informa a la denunciante que “debe presentar Vd. denuncian ante la Agencia Española de Protección de Datos” SÉPTIMO: Con fecha 3 de febrero de 2017 se registra de entrada en esta Agencia escrito de la denunciante reiterando los hechos que motivaron la queja formulada ante la Jefatura Provincial de Tráfico de Asturias, y en el que apunta que el tercero no autorizado que recibió los reseñados documentos podría ser su ex cónyuge o el abogado del mismo. OCTAVO: Investigada por la DGT la queja formulada por la denunciante ante la Jefatura Provincial de Tráfico de Asturias, se acreditó la existencia de un comportamiento presuntamente irregular por parte de una funcionaria de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 mencionada Jefatura que ocupaba un puesto de operadora de información, cuya identificación figura en el procedimiento, consistente en un acceso indebido al Registro de Conductores de la Dirección General de Tráfico en concreto al historial de conductor de la denunciante. En dicha investigación no se probó que dicha funcionaria, habilitada para acceder a los historiales de conductores e infractores en las Bases de Datos de la Dirección General de Tráfico, fuera autora del acceso referido al “saldo de puntos”, pues el servidor en que reside la aplicación estaba migrando de un sistema a otro. Por lo que, con fecha 23 de enero de 2017 el Director General de Tráfico acordó la incoación de expediente disciplinario a dicha funcionaria, formulándose con fecha 22 de febrero de 2016 por la Instructora del mismo Pliego de Cargos en el siguiente sentido: “CARGO UNICO El día 1 de diciembre de 2016 a las 15:48 horas Dª P.P.P. accedió al historial de conductor de Dª B.B.B. sin consentimiento de la interesada, emitiendo un informe de antecedentes totales de conductores sin que conste documentación alguna relativa a la solicitud (y autorización en caso de que se solicitara a través de representante). Esta actuación ocasionó un perjuicio a la Sra. B.B.B. que acudió a la Jefatura de Tráfico de Asturias para denunciar ese acceso al haber tenido conocimiento que su exmarido habla utilizado esa información contra ella en el proceso de divorcio que se esté llevando en vía judicial. (…) Concurrirían en este supuesto los siguientes elementos: 1.- Que la inculpada es una funcionaría pública con habilitación informática para acceder a los historiales de conductores e infractores en las Bases de Datos de la Dirección General de Tráfico, todo ello justificado por las funciones que tiene encomendadas para el desempeño de su puesto de trabajo. 2- Que la inculpada emitió un informe del historial de conductores e infractores de la Dirección General de Tráfico de forma injustificada. 3.- Que con esa actuación se causó un perjuicio a la denunciante como ya se ha expuesto. De probarse tal cargo podría haber incurrido en responsabilidad disciplinaria por la comisión de una falta tipificada como grave en el apartado
4. h)del artículo 7.1 del Real Decreto 33/1986, de 10 de enero,(…)." NOVENO: Consta que con fecha 13 de julio de 2017, el Subsecretario del Ministerio del Interior resolvió el expediente disciplinario incoado a dicha funcionaria acordando: “1°.- Declarar la responsabilidad disciplinaria de D a P.P.P., como responsable de la comisión de una falta grave tipificada en el apartado
5. h)del artículo 7.1 del Real Decreto 33/1986, de 10 de enero, de Régimen Disciplinario de los Funcionarios de la Administración del Estado, "La emisión de informes y la adopción de acuerdos manifiestamente ilegales cuando causen perjuicio, a la Administración o a los ciudadanos y no constituya falta muy grave". 2°.- Imponerle la sanción de suspensión firme de funciones durante un total de siete días, a tenor de lo previsto en el apartado
6. c)del artículo 96.1 del Real Decreto 5/2015, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 establece que: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. Por lo tanto, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. En relación con los conceptos señalados en dichos preceptos y los que más adelante se citarán, el artículo 3 de la LOPD recoge las siguientes definiciones: “
8. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
9. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
10. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
11. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
12. c)del presente artículo.”
13. h)“Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” III El Titulo VII sobre ”Infracciones y sanciones”, en el artículo 43.1 de la LOPD establece que: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 El artículo 3.
14. d)de la LOPD define como responsable del fichero o tratamiento a la: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente supuesto está acreditado que la DGT gestiona el uso del fichero denominado “Registro de Conductores e Infractores”, toda vez que decide sobre la finalidad, contenido y uso de la información contenida en el mismo, resultando, por tanto, la DGT responsable de los tratamientos efectuados con la información de carácter personal registrada en dicho fichero, que además, no tiene carácter público, y entre la que se encuentran los datos personales titularidad de la denunciante que fueron objeto de divulgación a terceros sin su consentimiento. Por su parte, el artículo 7 de la LOPD, bajo la rúbrica “Datos especialmente protegidos” ·establece en su apartado 5 que “5. Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros de las Administraciones públicas competentes en los supuestos previstos en las respectivas normas reguladoras.” IV En lo que respecta al mencionado “Registro de Conductores e Infractores”, el Título V del Real Decreto 818/2009, de 8 de mayo, por el que se aprueba el Reglamento General de Conductores, establece lo siguiente: “Artículo 76 El Registro de Conductores e Infractores 1. El Registro de conductores e infractores a que se refiere el artículo 5.
15. h)del texto articulado de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, será llevado y gestionado por la Dirección General de Tráfico. 2. En el Registro de conductores e infractores se recogerán y gestionarán de forma automatizada los datos de carácter personal de los solicitantes y titulares de autorizaciones administrativas para conducir, así como su comportamiento y sanciones por hechos relacionados con el tráfico y la seguridad vial, con la finalidad de controlar el cumplimiento por los titulares de las autorizaciones administrativas para conducir de las exigencias previstas por la normativa vigente. 3. El titular del órgano responsable del Registro o fichero automatizado adoptará las medidas de gestión y organización que sean necesarias para asegurar, en todo caso, la confidencialidad, seguridad e integridad de los datos automatizados de carácter personal existentes en el Registro y su uso para las finalidades para las que fueron recogidos. 4. Serán de aplicación al Registro las medidas de seguridad de nivel alto previstas en el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre. Artículo 77 Datos que han de figurar en el Registro En el Registro de conductores e infractores figurarán los siguientes datos:
16. a)Nombre, apellidos, nacionalidad y domicilio del titular de la autorización, el Número de su Documento Nacional de Identidad si es español o, en su caso, el Número de Identidad de Extranjero.
17. b)Fecha, lugar de nacimiento y sexo del titular de la autorización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15
18. c)Clases de permiso o licencia de conducción y otras autorizaciones administrativas o documentos necesarios para conducir o relacionados con la conducción.
19. d)Condición de profesional de la enseñanza de la conducción, de formador o de psicólogo - formador en cursos de sensibilización y reeducación vial.
20. e)Historial y resultados de las distintas pruebas de aptitud realizadas para obtener autorizaciones administrativas para conducir.
21. f)Historial, menciones y períodos de vigencia de las distintas autorizaciones o documentos que autoricen a conducir.
22. g)Menciones, incidencias, restricciones y limitaciones relacionadas con la propia autorización, la persona titular de ésta, el vehículo o la circulación.
23. h)Identificación del servicio sanitario o centro de reconocimiento que realizó la exploración del conductor y emitió el correspondiente informe de aptitud psicofísica, así como el resultado final de dicho informe.
24. i)Condenas judiciales que afecten a la autorización administrativa para conducir y las sanciones administrativas que sean firmes impuestas por infracciones graves y muy graves.
25. j)Nulidad o lesividad, pérdida de vigencia, procesos y sentencias de anulación, medidas cautelares adoptadas y, en su caso, la intervención de las autorizaciones administrativas para conducir.
26. k)Crédito de puntos de que se dispone.
27. l)Resultado del curso de sensibilización y reeducación vial y fecha de realización del mismo.
28. m)Fecha de la resolución denegando el canje solicitado, con indicación del Estado que haya expedido el permiso.
29. n)Otras incidencias relacionadas con las autorizaciones administrativas para conducir. Artículo 78 Tratamiento y cesión de datos 1. El tratamiento y la cesión de los datos contenidos en el Registro se someterán a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre. 2. Los datos del Registro, que en ningún caso tendrá carácter público, únicamente serán objeto de cesión cuando así lo autorice una norma con rango de Ley. En particular, la cesión a otras Administraciones Públicas sólo podrá tener lugar cuando las mismas ejerzan competencias sobre tráfico, circulación de vehículos a motor y seguridad vial o cuando la cesión se realice en el marco de la normativa estatal o autonómica reguladora de la función estadística pública. Artículo 79 Derechos de los interesados 1. Los interesados podrán ejercitar ante el Registro los derechos de acceso, rectificación, cancelación u oposición previstos en las normas vigentes en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 2. La Dirección General de Tráfico podrá facilitar al interesado la consulta de todo o parte del contenido del Registro, y, en particular, de su saldo de puntos, a través de medios telemáticos. En este caso, se adoptarán las medidas que permitan garantizar la identidad del afectado, tales como la remisión al mismo de una clave de acceso.” V El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos de carácter personal de la denunciante obrantes en el fichero “Registro de Conductores e Infractores”, gestionado por la DGT, a un tercero que no consta probado actuara en representación de la denunciante a los efectos de solicitar y recoger los informes de saldo de puntos e historial de conductor de la denunciante expedidos, con fecha 1 de diciembre de 2016, desde la Jefatura Provincial de Tráfico de Asturias, documentos éstos que fueron utilizados, al día siguiente de su entrega, para presentarlos en su contra por su ex marido en un procedimiento seguido el Juzgado de Primera Instancia nº 7 de Oviedo. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Por lo tanto, el citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales que no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 de la LOPD (comunicación de datos) o artículo 12 de la misma norma (acceso a los datos por cuenta de terceros). El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento, y comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 El deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
30. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. El deber de secreto comporta que la DGT, responsable de la custodia de los datos personales obrantes en el fichero “Registro de Conductores e Infractores”, cuyo uso gestiona y de cuyo tratamiento resulta responsable, no puede revelarlos a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la ley. En el supuesto examinado, la DGT, reveló información de carácter personal de la denunciante asociada a su saldo de puntos e historial de conductor a un tercero que no estaba acreditado por la misma para actuar en su nombre y representación. Así, en los sistemas de la DGT no consta registrado que la denunciante solicitase dicha información directamente o a través de representante legal ni solicitud de cita previa de la misma para su obtención, no figurando tampoco en los archivos de la DGT la identidad del tercero no interesado al que desde la Jefatura Provincial de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Tráfico de Asturias se entregó la documentación citada. En paralelo, la entrega de dichos documentos a un tercero no autorizado por la denunciante permitió que la información de carácter personal de la afectada obrante en los reseñados documentos fuera accesible, como mínimo, a la persona que lo aportó ante el Juzgado de Primera Instancia nº 7 de Oviedo, y que la denunciante identifica como su ex cónyuge. Estas circunstancias acreditan y confirman, por sí mismas, una vulneración del deber de secreto, que tal y como viene declarando la Audiencia Nacional es una infracción de resultado. En consecuencia, ha quedado probado que por parte de la DGT, se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso de datos personales de la denunciante a terceros sin que ésta, en su condición de titular de los datos, hubiese prestado su consentimiento para ello y sin que medie habilitación legal para dicha comunicación de datos. VI En el presente supuesto, el hecho de que se haya seguido expediente disciplinario a la funcionaria que efectuó el acceso indebido a raíz del cual se expidió el informe del historial del conductor de la denunciante no enerva la responsabilidad de la DGT en la comisión de la infracción al artículo 10 de la LOPD descrita, puesto que dicha entidad es la responsable del tratamiento efectuado con los datos personales de la denunciante que se han filtrado a terceros no interesados, toda vez que sobre la DGT recae el deber de confidencialidad. Téngase en cuenta que la DGT tuvo conocimiento de los accesos indebidos a raíz de la queja presentada por la denunciante, pero no como resultado del funcionamiento de sus propios mecanismos de control. De hecho, a pesar de que se accede al fichero en cuestión mediante usuario y contraseña, la DGT no ha podido establecer la autoría del informe del saldo de puntos expedido con fecha 1 de diciembre de 2016 desde la Jefatura Provincial de Tráfico de Asturias. También ocurre que ambos informes se expidieron sin mediar en los sistemas de la DGT expediente de solicitud previa de la denunciante o de su representante legal en tal sentido, ni obrar tampoco en los mismos petición de cita previa o figurar autorización de un superior por urgencia originada en un fallo del sistema informático o, en su caso, justificación de la existencia de otra circunstancia justificativa de los accesos que dieron lugar a la entrega indebida de los informes reseñados. Es decir, la emisión y entrega de los reseñados informes a persona distinta de la denunciante, sin el consentimiento de ésta, no respondió a ninguna de las causas que, en virtud de los protocolos alegados, ampararían su expedición, lo que permitió la divulgación de su contenido a terceros no interesados. Por lo que a los efectos estudiados, no basta con la elaboración y difusión entre los empleados públicos de instrucciones sobre la confidencialidad y uso estrictamente oficial y profesional de la información albergada en los sistemas informáticos que se recoge en la Instrucción 2014/PRI-79;IO16 relativa al “Acceso a los equipos y sistemas de información”, cuya copia se ha aportado al procedimiento. A la vista de lo cual, la DGT, entidad responsable de la custodia y confidencialidad del tratamiento efectuado con los datos de carácter personal registrados en sus sistemas, debería mejorar los procedimientos que ya están en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 funcionamiento para impedir nuevas filtraciones de dicha información entre terceros no interesados, de tal modo que los usuarios autorizados únicamente puedan acceder y entregar copia de la información cuando se produzcan las circunstancias establecidas para ello, debiendo también quedar suficientemente justificados cada uno de los accesos efectuados por dichos usuarios y la finalidad de los mismos, al igual que acreditada la identidad y legitimidad ostentada por la persona que solicita y/o recibe la documentación en cuestión. VII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
31. d)de la LOPD. En este precepto se establece lo siguiente: “
32. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de la denunciante objeto de estudio fueron divulgados por la DGT, órgano responsable de la custodia de los datos en cuestión, a terceros distintos de la denunciante o de su representante legal sin mediar el consentimiento de la afectada para la realización de tal comunicación de datos. Con arreglo a las consideraciones efectuadas hasta ahora no puede exonerarse de responsabilidad a la DGT en la conducta analizada, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99, en la que se señala que: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Por tanto, se concluye que la conducta mostrada por la DGT se ajusta a la tipificación prevista en el 44.3.
33. d)de la LOPD, ya que posibilitó el acceso por terceros a datos personales de la denunciante sin contar con el consentimiento de dicha titular de los datos. VIII El artículo 46 de la LOPD indica: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” En este caso concreto, si bien no se requiere la adopción de medidas correctoras concretas, se entiende que la DGT debería mejorar los sistemas ya implantados en el sentido reseñado en el Fundamento de Derecho VI. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIRECCIÓN GENERAL DE TRÁFICO ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
34. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE TRÁFICO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es