AAPP-00051-2015

1/12 Procedimiento Nº AP/00051/2015 RESOLUCIÓN: R/00398/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00051/2015, instruido por la Agencia Española de Protección de Datos a la DIRECCION GENERAL GUARDIA CIVIL, vista la denuncia presentada por TRES DENUNCIANTES, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con diversas fechas de 2014 tuvieron entrada tres denuncias distintas que se acumulan en un solo expediente por guardar identidad sustancial e íntima conexión, y mismo denunciado. Con fecha de 24/09/2014 tiene entrada en esta Agencia una denuncia de DENUNCIANTE 1 (para denunciada figura en ANEXO). Manifiesta que con fecha 7/08/2014 se recibió en su Unidad por correo electrónico sin cifrar, en un buzón al que tienen acceso todos los miembros de su Unidad (desde 6 ordenadores distintos), una citación para que compareciera en el Servicio de Psicología. De esta citación fue avisado por sus propios compañeros y permaneciendo sin borrar al menos hasta el 17/

1. Aporta copia del mensaje enviado desde COMANDANCIA DE LA GUARDIA CIVIL, Valencia, RECURSOS HUMANOS de 7/08/2014, referido a la citación para evaluación psicológica del denunciante, con su nombre y apellidos y su NIF. También se envía cc (con copia) a: V. XXXXX. Aporta copia de correo de respuesta de 8/08/2014 del puesto de ***LOCALIDAD.1 dirigido a la Comandancia de la Guardia Civil, firmado por el JEFE DE ÁREA DE ATENCIÓN CIUDADANA del puesto, precisando que el denunciante en la fecha de cita asignada, se halla de vacaciones, así como que le proporcionen nuevo día para la cita. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas del expediente E/07814/2014, por los Servicios de Inspección de esta Agencia se solicita información a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, teniendo conocimiento en escrito de entrada de 10/02/2015: En relación a la normativa que rige la utilización del correo electrónico El empleo del medio electrónico (correo interno) en el Cuerpo de la Guardia Civil se denomina Group-Wise, cuyo uso está regulado por la Orden General núm. 14, de 2/07/2001, sobre “Normas para la implantación y empleo del Correo Electrónico en el Cuerpo”. Asimismo, la Orden General núm. 11, de 8/05/2000, sobre tramitación y transmisión de mensajes indica, en el apartado sexto, relativo a materias clasificadas, que: “los escritos y mensajes, que en su caso correspondan, deberán ser calificados en cuanto a su seguridad, por la persona que autorice su transmisión, con uno de los conceptos de “SECRETO”, “RESERVADO”, o “CONFIDENCIAL”, de acuerdo con los criterios establecidos en las Instrucciones de 14/10/1988 y 1/02/1991, del Secretario de Estado de Seguridad y cumplimentados con las formalidades establecidas en la misma. Se aporta también copia de la Instrucción Técnica del correo corporativo de noviembre 2002, modificada en junio 2006 de la que destaca en la norma 5.1 que para facilitar la gestión de los mensajes enviados y recibidos solamente se enviará un escrito por correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 electrónico y se procurará que el campo asunto identifique de forma intuitiva el tema del que trata el escrito además de reflejarlo en el texto. Respecto a la gestión de la cuenta de correo asignada a una Unidad, se detalla en la citada Orden General núm. 14/2001, que: ‘Es la asociada de forma inequívoca a una Unidad, Centro u Organismo del Cuerpo: Existirán dos cuentas de este tipo: De registro De servicio Se creará una cuenta de UNIDAD-Registro en todas aquellas UCOs que dispongan actualmente de registro de correspondencia, ya sea registro general o auxiliar, siendo su encargado el responsable de dicha cuenta de correo, el cual deberá abrir y distribuir los mensajes dirigidos a la misma, así como registrar y archivar los enviados y recibidos, devolviendo al remitente aquellos erróneamente recibidos, con indicación en su caso, de las acciones realizadas con los mismos”. En relación a la cuenta de correo instalada en el Puesto Principal de ***LOCALIDAD.1 (Valencia) En el caso particular del Puesto Principal de ***LOCALIDAD.1 (Valencia), al igual que las restantes Unidades tipo Puesto de la Guardia Civil, dispone de una única y exclusiva cuenta de correo electrónico para la Unidad: “V-PPL***LOCALIDAD.1REGISTRO” dotada de una contraseña, sin que existan buzones de correos personales, siendo utilizado con carácter genérico el correo electrónico corporativo para la realización de comunicaciones administrativas entre otras Unidades del Cuerpo de la Guardia Civil, ya que la cuenta de correo está diseñada únicamente para la comunicación entre Unidades de la Institución, no siendo factible las comunicaciones de entrada o de salida con otros servidores o cuentas del tipo @. En el Puesto Principal de ***LOCALIDAD.1 (Valencia), el personal que tiene autorizado el acceso a la dirección de correo de la Unidad “V-PPL***LOCALIDAD.1-REGISTRO”, son los componentes encuadrados al Área de Atención al Ciudadano, así como el miembro que realiza servicio de “Puertas”, el Comandante Jefe del Puesto Principal y los respectivos Jefes de las tres Áreas funcionales; si bien, todos los componentes de la Unidad en algún momento han sido autorizados, habida cuenta que de forma periódica prestan servicio de “Puertas” o son asignados al Área de Atención al Ciudadano, bien para cubrir incidencias o de manera rotatoria. El procedimiento establecido en el Puesto Principal de ***LOCALIDAD.1 (Valencia), sobre la gestión del buzón del “Group-Wise”, es que los mensajes de correo se encuentren almacenados en el servidor hasta que son borrados por el usuario o de forma automática, cuando superan la antigüedad de tres meses. Además, el Oficial Comandante de Puesto Principal gestiona una copia respaldo, donde se archivan los correos electrónicos enviados y recibidos, guardándose en el disco duro de un ordenador, al cual únicamente tiene acceso el Comandante de Puesto. En relación a la citación que recibió el afectado La Plana Mayor de la Jefatura de la Comandancia es el órgano que recibe y gestiona las citaciones de carácter personal, siendo trasladadas por conducto reglamentario a las diferentes Unidades subordinadas, mediante correo ordinario o electrónico oficial corporativo Group-Wise, indicando que se trata de información confidencial. Si se hace por el medio telemático oficial Group-Wise, se advierte expresamente y de la especial protección de los datos o archivos adjuntos y los correspondientes avisos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 legales que ello supone, e inclusive mediante el cifrado con contraseña del archivo o mensaje anexado, requiriendo al destinatario que efectúe llamada telefónica al emisor para serle indicada su contraseña. En el Puesto Principal de ***LOCALIDAD.1 (Valencia), dependiendo del procedimiento y tratamiento que requiera el contenido de la notificación, los componentes del Área de Atención al Ciudadano que se encuentran de servicio en el momento de la recepción de la citación personal, proceden a avisar al interesado, con el objeto de comunicarle el requerimiento y una vez enterado del mismo, se remite el correspondiente acuse de recibo al órgano emisor. Respecto a las medidas de seguridad implantadas sobre la transmisión de documentos mediante correo electrónico, la Instrucción Técnica del Correo Electrónico Corporativo de noviembre de 2002 (modificada en junio de 2006), señala que: “la plataforma de correo interno, al estar basada en una plataforma propietaria, utiliza una encriptación tanto en las comunicaciones a través de la red, como en el almacenamiento de los mensajes, por lo que aumenta el grado de segundad del sistema. El uso de certificación y firma digital en aquellas comunicaciones que lo requieran, complementa la citada seguridad”. En el presente caso, los correos electrónicos remitidos contenían el AVISO DE CONFIDENCIALIDAD: “Este correo puede contener información de carácter personal, por ello solo podrá tener acceso a su contenido el destinatario y las personas expresamente autorizadas. Todo ello en cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, del Real Decreto 1720/2007 de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999” Añade que en posteriores gestiones que contenían documentos de carácter médico, se procedió se remitieron a la Unidad utilizando el sistema de cifrado de la documentación adjunta. TERCERO: Con fecha 21/01/2015 tiene entrada en esta Agencia una denuncia de DENUNCIANTE 2 (para denunciada figura en ANEXO GENERAL para DENUNCIANTE 2 en ANEXO 2) en la que pone de manifiesto que se ha difundido por dos medios sus datos de carácter personal referidos a las limitaciones funcionales que posee, por correo electrónico. Aporta una hoja Excel en una impresión de pantalla de correo Groupwise con datos suyos y de otros funcionarios en la que figura. COMANDANCIA DE LA GUARDIA CIVIL DE BADAJOZ “Relación nominal del personal de esta Unidad que presta servicio habiendo sido declarado útil con limitaciones”. Junto al empleo, en algunos consta reserva/colocado, el destino, nombre y apellidos, fecha de resolución, “limitaciones posee” figurando algunas como:“ Destinos que requieran manipulación de cargas, conducción de vehículos, ejercicio físico intenso y movimientos repetitivos” o “esfuerzo y cargar pesos” “ que exijan turnos rotatorios” ”destinos que supongan manejo de armamento, guardias, servicio nocturnos” y en apartado “Tipo de servicio que realiza” anotaciones como “Baja médica, después de la resolución no se ha reincorporado, lleva más de dos años de baja médica,” “Solo hace conducciones de preso cuando se realiza en turismo “solo realiza puertas en el puesto de Higuera La Real” “Baja médica desde 27/08/2012”. Declara que esta hoja se ha puesto también en conocimiento a través de “novedad SIGO” anexando el fichero Excel. Aporta copia del documento en el que figura “fecha comunicación” 1/12/2014, origen Plana Mayor CIA Badajoz y en destinatarios varias compañías y puestos de la provincia en denominación “actualización relación personal de la compañía UTIL con limitaciones”, y en descripción “Al objeto de actualizar la relación adjunta, participe esta Compañía antes 8 horas próximo personal esa Unidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 que no se encuentre incluida en la misma.” En la modalidad de correo electrónico aporta copia del mismo de 1/12/2014, figurando de: “JA Cia XXXX Registro” con el asunto “Relación de personal está Comandancia útil con limitaciones” y destinado a diversos puestos de la Guardia Civil. Los denunciantes manifiestan que estos correos pueden ser abiertos y leídos por todos los Guardias Civiles de los puestos a los que se dirige. CUARTO: A la vista de los hechos denunciados, en fase de actuaciones previas del expediente E/01421/2015, por los Servicios de Inspección de esta Agencia se solicita información sobre los hechos denunciados por DENUNCIANTE 2 a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, teniendo conocimiento en escrito de entrada de 19/05/2015 de: 1 El listado en cuestión solo fue remitido a los Puestos y Unidades de la Guardia Civil subordinadas a dicha Compañía. Asimismo, el motivo de dicha comunicación atiende a cumplimentar debidamente una solicitud previa, dimanante del SERVICIO DE SANIDAD DE LA GUARDIA CIVIL. Dicho Servicio de Sanidad es el responsable del fichero denominado SANIDAD, donde figuran como usos previstos “Administrativos, atención y gestión sanitaria, de control del absentismo y epidemiológico”. 2 Por otra parte, además de por los profesionales sanitarios, la información referente a las limitaciones de los agentes respecto al servicio que éstos pueden o no prestar, debe ser conocidas, tanto por los Mandos de los agentes afectados, como por los propios compañeros de éstos. Los primeros, con el objeto de conocer en todo momento la fuerza del trabajo con la que cuentan a fin de cumplir con las distintas funciones encomendadas, pero sin imponer a ningún Agente la prestación de servicio alguno que no pueda prestar con motivo de las limitaciones que le afectan. Los propios compañeros, también, pues de lo contrario, se les vetaría de facto para conocer los motivos por los cuales se trata de manera diferente a los agentes afectados, sin que se esté incurriendo por ello en discriminación alguna en su perjuicio. 3 Las cuentas de correo electrónico, no son cuentas de carácter personal, sino que por el contrario son de carácter corporativo, donde la figura del “usuario” no se corresponde con una persona concreta, y en las que el flujo de información que se trata haciendo uso de este medio, atiende única y exclusivamente a cuestiones oficiales. 4 Por otra parte, en el citado listado no se encontraban datos de salud, en la petición formulada por las Unidades subordinadas por parte de la Plana Mayor de la citada Compañía, tal y como consta en el mismo, cuando se alude a “limitaciones”, únicamente se trata de limitaciones respecto de los servicios que cada uno de los Agentes puede o no prestar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 “Por estos motivos, no existe impedimento legal para que los agentes que acceden a novedades a través de la aplicación SIGO, puedan acceder a dicha información.” QUINTO: Con fecha 23/12/2014 tiene entrada en esta Agencia una denuncia de DENUNCIANTE 3 (para denunciada figura en ANEXO GENERAL para DENUNCIANTE 3 en ANEXO 3) en la que pone de manifiesto las mismas circunstancias que DENUNCIANTE 2, figurando entre los afectados diversos funcionarios que pertenecen a la Asociación Sindical de la que él es miembro. Aporta la misma hoja Excel con datos de funcionarios que la aportada por DENUNCIANTE
2. SEXTO: A la vista de los hechos denunciados, en fase de actuaciones previas del expediente E/0326/2015, por los Servicios de Inspección de esta Agencia se solicita información sobre los hechos denunciados por DENUNCIANTE 3 a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, teniendo conocimiento en escrito de entrada de 8/05/2015 de las mismas respuestas realizadas para denunciante
3. SÉPTIMO: Con fecha1/09/2015 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas, por una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d) de dicha norma. OCTAVO: Con fecha 16/09/2015, DENUNCIANTE 3 manifiesta que el servicio de Sanidad puede citar directamente a los afectados pues tienen todos sus datos incluyendo teléfono, el haberlo hecho a través de intermediarios origina conocimiento de personal ajeno al servicio de Sanidad y que van a conocer datos no necesarios de los afectados. Discrepa que los datos de limitaciones deben ser conocidos además por los mandos y sus compañeros, y no está de acuerdo pues bastaría que se informara que es por motivo de enfermedad y no resulta necesario informarle del tiempo que se lleva de baja médica. Además, caso de que debieran conocerlo, eso debe ser en el momento que se trate de modo distinto, pues mientras se está de baja no se precisa conocer dato alguno, pues no se trata al afectado de modo distinto en el trabajo. Considera que los datos que se difunden son datos de salud, indicándose como ejemplos “destinos que requieran manipulación de cargas, conducción de vehículos, baja médica, después de la resolución no se ha reincorporado, o lleva más de dos años de baja médica”, o de “baja médica desde 27/08/2012”, y además en el listado figura personal relacionado con manejo de armas, típico de trastornos mentales. Además las limitaciones reseñadas nacen de personal médico. En este caso, además, el correo se tramitó a diversas Unidades no aludidas, personal destinado en distintos lugares. Tampoco es necesario que lo conozcan. Con fecha 16/09/2015, DENUNCIANTE DENUNCIANTE
4. 2 efectúa las mismas alegaciones que NOVENO: Notificado el acuerdo de inicio, mediante escrito de fecha 1/10/2015 la denunciada reitera lo ya manifestado, añadiendo: 1) Del acuerdo de inicio no se desvela el hecho o la actuación concreta llevada a cabo por la denunciada que pueda considerarse que infrinja el artículo 10 de la LOPD, provocando indefensión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 2) La forma de tratar los datos de los denunciantes tiene su apoyo en la Ley 42/1999 de 25/11 de régimen de personal de la Guardia Civil en relación con las causas habilitantes de la LOPD artículos 6.2 y 11.2.a y en función de evitar diferencia de trato entre los componentes de la Guardia Civil que en situaciones idénticas, respecto al servicio, tienen derecho a que esté legalmente justificado, teniendo todo funcionario derecho a conocer esa justificación. 3) La información que se trata resulta adecuada, pertinente y no excesiva en relación con el cumplimiento de la normativa, habiendo implementado medidas de un nivel de seguridad mayor al legalmente exigido como el cifrado de comunicaciones, medida no exigida en el nivel de seguridad básico a los que pertenecen los datos tratados. DÉCIMO: Con fecha 25/01/2016 se emitió propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se declare la infracción del artículo 10 de la LOPD por parte de la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, tipificada como grave en el artículo 44.3.d) de dicha norma.” Frente a la propuesta no se recibieron alegaciones. HECHOS PROBADOS 1) El Negociado de Recursos Humanos de la Comandancia de la Guardia Civil de Valencia, los días 7 y 8/08/2014 remitió a través de tres correos electrónicos dirigidos al puesto de la Guardia Civil de ***LOCALIDAD.1, destino de DENUNCIANTE 1, la citación a consulta psicológica para el citado DENUNCIANTE 1, de acuerdo con impresión de los correos aportados por este que llevan fecha de impresión de 17/08/
5. El propio Jefe de la Unidad el 6/08/2014 solicitó dicho reconocimiento Médico a la Comandancia de Valencia en base al artículo 49 de la Ley 42/1999 de 25/11 de régimen de personal del Cuerpo de la Guardia Civil (expediente de aptitud psicofísica). En el correo enviado, figura también el envió con copia cc “XXXXX” significa que una copia de ese correo se envía a esta Unidad territorial superior. (12, 13, 14, 17, 19). Los correos electrónicos se reciben en el puesto de ***LOCALIDAD.1 sin cifrar, en el correo interno, donde existen 6 ordenadores, y como se ha dicho, con copia a otra unidad “XXXXX” (3, 4, 1). Al estar DENUNCIANTE 1 ausente por vacaciones en el día de la fecha de remisión, un funcionario de atención al ciudadano lo puso en conocimiento contestando el correo y volviendo a pedir fecha