AAPP-00050-2018

1/7 Procedimiento Nº AP/00050/2018 RESOLUCIÓN: R/01779/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00050/2018, instruido por la Agencia Española de Protección de Datos a la entidad DIPUTACIÓN PROVINCIAL DE GRANADA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 20/02/2018 se recibe denuncia de A.A.A. (en lo sucesivo el denunciante) frente a la DIPUTACIÓN PROVINCIAL DE GRANADA (en lo sucesivo la denunciada) al tener conocimiento de que el ***FECHA.1 apareció en los tablones de anuncios de la RESIDENCIA LA MILAGROSA y RESIDENCIA REINA SOFÍA DE GRANADA, unos listados sellados por la Secretaria General de la Diputación, donde constaban nombres y apellidos, DNI, nº de días y cuantías a abonar por la Diputación, en concepto de días generados en el año 2017, y dichos listados se han propagado por las redes sociales “tales como WhatsApp”.  Acompaña copia del listado con los datos del denunciante, encontrándose tachados los del resto de las personas que figuraban en el mismo. El listado tipo Excel comprende 44 empleados con el NIF, número de días e importe, bajo el título “RESIDENCIA DE ANCIANOS LA MILAGROSA”. Se aprecia en la parte derecha un sello, aunque se rompe la imagen, no viéndose la totalidad del mismo, el sello de la Diputación con sello 19 o 29 DIC, “aprobado Resolu, el secretario”. La cuantía y las horas que corresponden al denunciante son XXX euros, 37 horas.  Acompaña copia de escrito dirigido a la Diputación de 19/02/2018 exponiendo los hechos. Con fecha 26/03/208 el denunciante aporta:  Copia de listado expuesto con todos los datos visibles.  Copia de foto de lo que podría ser el listado enviado a través del móvil, fecha 20/03/2017 sin que se vea remitente.  Copia de noticia de página de internet europapress sobre la noticia “EL PP señala caos en la gestión de residencias de la diputación de granada”. En la noticia se señalan las manifestaciones de la diputada provincial del PP, que entre otros aspectos señala, la jornada de 37 horas que un liberado sindical perteneciente a la fuerza mayoritaria ha efectuado, con un importe de XXX euros.  Copia de un escrito respuesta de la Diputación al denunciante de 14/03/2018 en la que informa que se va a abrir actuaciones previas pata conocer los hechos e identificar al responsable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la DIPUTACIÓN PROVINCIAL DE GRANADA que presenta respuesta en escritos de 8 y 24/05/2018, indicando: 1.1. Con fecha 5/03/2018, por Resolución del Diputado Delegado de Recursos Humanos, Economía y Patrimonio se acordó la realización de actuaciones previas con el fin de determinar, con la mayor precisión posible, los hechos susceptibles de incoación de procedimiento disciplinario, la identificación de la persona o personas que pudieran resultar responsables, todo ello consecuencia de diferentes denuncias, en las que se solicitaba depuración de responsabilidades, relativas a los hechos denunciados. En las actuaciones se han realizado actuaciones tendentes a determinar cuál es el procedimiento habitual de tramitación de una resolución de nómina, para conocer los funcionarios que intervienen por razón de su cargo, quien tuvo acceso a la Resolución difundida, como ha tenido acceso el personal que desempeña su trabajo en Centros residenciales, de una Resolución que se tramita en la sede central de la Diputación de Granada y por qué medios se ha difundido. 1.2. Aporta. -Copia de resolución de 29/12/2017 que aparece firmada por Secretario General y el Diputado de Recursos Humanos, Economía y Patrimonio, con sello de Secretaria General “Diputación de Granada Registro de resoluciones” “5536 SECRETARIA GENERAL. La resolución determinaba al abono por nómina y una sola vez al personal que se relaciona en anexos. Figura en un anexo, un listado como el aportado por el denunciante en el que aparece el sello rectangular de la Diputación, de 29/12/2017, con firma del Secretario General, resolución 5536. -Copia de escrito de USO a la Diputación de 15/02/2018 sobre la circulación por las Residencias de una relación sobre el devengo de días e importe en concepto de horas extras, y que figura el sello de Secretaria General, así como de otras tres personas, según copia de sus escritos, con entrada 21/02/2018, indicando que en los tablones de anuncios de los centros sociales la Milagrosa y Reina Sofía han aparecido unos listados sellados por la Secretaria General de Personal. -Copias de cedulas de citación a distintos empleados dentro de las actuaciones previas acordadas a los que se cuestiona el iter de los documentos, como fueron el jefe de nóminas o empleados de otras áreas o de las residencias que responden a las cuestiones que les son planteadas. -Se acompaña un correo electrónico de una empleada de 6/02/2018 dirigido como destinatarios a varios grupos políticos y distintas personas, asunto envío resoluciones, escaneadas de la 5505 a 5542. En el acta de declaración de la empleada en actuaciones previas indica que una vez firmada la resolución, se escanea para ponerla a disposición de los grupos políticos semanalmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Otra empleada aporta fotografía de lo recibido en su móvil por WhatsApp figurando un cuadro del Centro psicopedagógico Reina Sofía, distinto al cuadro que aporta el denunciante -Un escrito enviado por correo electrónico a esta AEPD el 24/05/2018 al que se acompaña uno firmado por el Director General de la Función Pública de la Diputación de Granada, de 14/04/2018 en el que se indica que, aunque no se han finalizado las actuaciones previas: - “Queda acreditado que se difundieron datos de empleados públicos (nombre, apellidos, DNI y retribuciones) por WhatsApp, en multitud de grupos no identificados de personal perteneciente a diversas residencias de servicios sociales especializados y en un tablón de los citados Centros. -De la documental incorporada puede apreciarse que la fotografía remitida por WhatsApp se efectuó sobre una agenda roja que ha entregado la Diputación a multitud de funcionarios. -Queda por constatar la identidad del funcionario que, interviniendo en la tramitación, ha comunicado los datos desde la sede a empleados de centros residenciales, así como el empleado que la difundió por WhatsApp la primera vez. Siendo innumerables las personas que acceden a este tipo de Resoluciones. -La documentación difundida lleva incorporado el sello de la Secretaria General, por lo que parece descartado que la filtración se produjese desde la Intervención de fondos, que tiene acceso previo a la misma. -También parece descartado el personal de grupos políticos, ya que cuando acceden además de selladas están numeradas, en el documento difundido no aparece numeración.” -Se acompaña 16/04/2015. copia del documento de seguridad de TERCERO: Con fecha 19/07/2018, la directora de la AEPD acuerda iniciar procedimiento de declaración de infracción de las administraciones públicas a la DIPUTACIÓN DE GRANADA por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.

1. d)de dicha norma. Frente al acuerdo no se reciben alegaciones. CUARTO: De las actuaciones practicadas en el procedimiento de Infracción de Administraciones Públicas han quedado acreditados los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 1) El denunciante denuncia que el ***FECHA.1 apareció expuesto en los tablones de anuncios de los centros sociales “Residencia La Milagrosa” y “Reina Sofia” un listado que contiene datos personales de empleados de los centros, entre ellos los suyos referidos a número de días, NIF e importes a abonar, y de la copia que aporta figura además en la parte superior derecha el sello de la Diputación 29/12-Aprobado resolución -El secretario General y “181. Residencia de ancianos la milagrosa” contándose 48 personas en la hoja. Añade el denunciante que las cantidades se refieren a liquidación por compensación de días generados en 2017. 2) El denunciante puso de manifestó los hechos a la Diputación en escrito de 19/02/2018, responsable de los citados centros. La Diputación contestó al denunciante el 14/03/2018 iniciando actuaciones de investigación para averiguar a nivel interno quien pudo tener acceso al documento y quien eventualmente pudo exponer el mismo a la fecha que declara haberse visto por el denunciante. 3) El documento expuesto forma parte de la resolución de 29/12/2017 firmada por Secretario General y el Diputado de Recursos Humanos, Economía y Patrimonio, con sello de Secretaria General “Diputación de Granada Registro de resoluciones” “5536 SECRETARIA GENERAL” y determinaba al abono por nómina y una sola vez al personal que se relaciona en anexos. Figura en un anexo, un listado como el aportado por el denunciante en el que aparece el sello rectangular de la Diputación, de 29/12/2017, con firma del Secretario General, resolución 5536. Se acredita que el documento expuesto no se elabora en las propias residencias sino en la sede central de la Diputación de Granada. 4) La denunciada también tiene escritos de otras personas y entidades comunicándole que los listados estaban circulando por las residencias, como de USO, de 15/02/2018, así como de otras tres personas, según copia de sus escritos, con entrada 21/02/2018, indicando que en los tablones de anuncios de los centros sociales la Milagrosa y Reina Sofía han aparecido unos listados sellados por la Secretaria General de Personal. 5) En el seno de la investigación interna llevada a cabo por la Diputación, figura un correo electrónico de una empleada, de 6/02/2018 y como destinatarios varios grupos políticos y distintas personas, asunto envío resoluciones, escaneadas de la 5505 a 5542. En el acta de declaración de la empleada en actuaciones previas indica que, una vez firmada la resolución, se escanea para ponerla a disposición de los grupos políticos semanalmente. Según manifiesta la Diputación, el traslado a los grupos políticos, se realiza figurando, no solo el sello, “sino una numeración, y en el documento difundido no aparece numeración.” Con fecha 18/02/2018 en la prensa digital figuran manifestaciones realizadas por la Diputada Provincial del PP aludiendo al conocimiento del citado listado y de las circunstancias del denunciante, sin identificarlo por su nombre, pero si aludiendo a un “liberado sindical perteneciente a la fuerza mayoritaria que ha estado impulsando la modificación de la RPT.” 6) Según manifiesta la Diputación Provincial, a una resolución de este tipo accede distinto tipo de funcionarios, de distintas y diversas unidades y durante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 tramitación de este procedimiento no consiguió averiguar cómo se produjo la filtración del documento. 7) Según las declaraciones que se recogen de los empleados llamados a declarar en la investigación interna de la Diputación, algunos tuvieron conocimiento de los listados de otros centros a través de WhatsApp aportando fotos de los listados. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La infracción imputada a la denunciada es la del artículo 10 que precisa: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. El art. 10 de la LOPD regula de forma concreta el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como el artículo 11 (cesión de datos) o artículo 12 (acceso a los datos por cuenta de terceros). Se inició procedimiento por infracción del artículo 10 de la LOPD contra la denunciada por el hecho de que un documento interno que no había sido comunicado a persona alguna se expusiera en el tablón de la Residencia y en grupos de mensajería como WhatsApp C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Se trata del documento interno firmado el 29/12/2017 que refiere datos personales del colectivo trabajadores en las residencias de la Diputación de Granada. Si bien hay ocasiones la propia normativa exige la transmisión de la información y datos, no existe un deber de secreto que resulte ilimitado y aplicable, en cualquier caso. No es lo acontecido en el presente caso, que se trata de un acuerdo asociado a listados con datos. Por tanto, el responsable del fichero es el responsable de la infracción que consiste en que los datos han podido llegar a ser conocidos a terceros y al resto de empleados al figurar exteriorizados en la forma de exposición en el tablón de anuncios. La única entidad que tenía el documento era la Diputación, y el origen de los datos procede de dicho responsable, luego la responsabilidad de que los datos salgan del círculo de custodia es del responsable del fichero, con independencia de la eventual investigación que pueda haber iniciado con el fin de reconducir las eventuales responsabilidades del empleado o empleados que llevaron a cabo la acción. Con independencia de que el tablón fuera cerrado o abierto, se acredita que un documento interno sobre el que debe regir el deber de secreto de los datos figuraba expuesto en dicho tablón. La exteriorización del documento con el dato en el tablón acredita y confirma la infracción. Se acredita la comisión de la infracción del artículo 10 de la LOPD por parte de la denunciada. III La infracción está tipificada como grave en el artículo 44.3.
3. d)de dicha norma, que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. IV El artículo 46 de la LOPD indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” Se desconoce la medida adoptada por la denunciada, considerando que ha podido conocer por la investigación realizada el nivel de riesgo a que están expuestos sus documentos internos y el flujo de los mismos, por lo que se requiere que informe sobre las medidas que impidan, dificulten o mitiguen una infracción como la declarada. Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 PRIMERO: DECLARAR que la DIPUTACIÓN PROVINCIAL DE GRANADA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
4. d)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la DIPUTACIÓN PROVINCIAL DE GRANADA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que informe de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/09565/2018. TERCERO: NOTIFICAR la presente resolución a la DIPUTACIÓN PROVINCIAL DE GRANADA. CUARTO: COMUNICAR LA presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es