1/9 Procedimiento Nº AP/00053/2017 RESOLUCIÓN: R/03507/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00053/2017, instruido por la Agencia Española de Protección de Datos a la entidad COLEGIO OFICIAL DE PSICOLOGOS DE ANDALUCIA OCCIDENTAL, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de mayo de 2017, tuvo entrada en esta Agencia un escrito remitido por D. A.A.A. (en lo sucesivo el denunciante) en el que declara que el día 3 de noviembre de 2016 recibió por correo certificado, del Colegio Oficial de Psicólogos de Andalucía Occidental (en lo sucesivo el denunciado), una notificación de que había sido denunciado ante la Comisión Deontológica de ese Colegio sin que le enviasen la denuncia. El día 4 de noviembre de 2016 se puso en contacto con esa Comisión Deontológica para comunicar que le faltaba la información de la denuncia. Manifiesta el denunciante que la persona que le atiende le indica que le envía la información de forma urgente. El mismo día 4 de noviembre recibió un correo electrónico del Colegio Oficial de Psicólogos de Andalucía Occidental, en la cuenta de correo electrónico de la consulta en la que trabaja, en el que le comunican la interposición de una denuncia contra su ejercicio profesional y adjuntan un documento con formato PDF que incluye un informe psicológico pericial de dos menores atendidos por él en su consulta. La Inspección de Datos solicitó al denunciante documentación adicional, tras lo que aportó constancia del envío de un informe psicológico con datos personales a los que deben aplicarse medidas de seguridad de nivel alto, por correo electrónico sin cifrar. SEGUNDO: Con fecha 2 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al COLEGIO OFICIAL DE PSICOLOGOS DE ANDALUCIA OCCIDENTAL por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el COLEGIO OFICIAL DE PSICOLOGOS DE ANDALUCIA OCCIDENTAL presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “Siendo el correo electrónico el canal de comunicación habitual entre el Colegio y sus miembros y debido a la excepcionalidad de la situación planteada, se incurrió en un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 error al realizar el envío de dicha documentación sin adoptar las medidas de cifrado exigidas por el articulo 104 RDLOPD en relación con el articulo 81.3 RDLOPD. En consecuencia, no cabe más que decir que se trata de un error puramente humano y puntual dentro del ámbito propio de la actividad de la denunciada que, en tanto que Colegio Profesional, no está abocado a la gestión de documentación que contenga expedientes con datos de nivel de seguridad alto. (…) CUARTA. - Actuaciones de reparación En este orden de cosas, señalar que el Colegio siempre ha tenido voluntad de cumplir rigurosamente con la normativa y los principios de la protección de datos personales y tiene aplicado un protocolo de cumplimiento de la LOPD y se somete a revisiones periódicas y a las correspondientes auditorías bienales por parte de especialistas externos. Asimismo, a raíz de este hecho, el Colegio está preparando un protocolo de actuación para sus empleados para el caso de encontrarse en un futuro una situación similar, donde se instará a los mismos a no utilizar las telecomunicaciones como medio de envío, si éstos pueden contener datos de nivel de seguridad alto. Tal como hemos resaltado en la alegación primera, el Colegio no trata por regla general datos de salud, por lo que no ha adoptado ningún medio de envío cifrando o con mecanismo similar y, el hecho denunciado es excepcional, ya que para otros casos puntuales que hayan podido ocurrir, no se ha utilizado esta vía como medio de envío, sino por medio de la entrega personal al destinatario. Asimismo, se ha procedido a registrar la incidencia en el registro de nuestro documento de seguridad, a disposición de su Agencia por si lo consideran oportuno.” Concluyen las alegaciones solicitando que se acuerde archivar y dejar sin efecto el procedimiento sancionador iniciado. CUARTO: Al haberse reconocido la responsabilidad por la entidad denunciada, procede la aplicación de lo dispuesto en el artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva a la Directora de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: Se ha comunicado a esta Agencia que el Colegio Oficial de Psicólogos de Andalucía Occidental envió al denunciante, por correo certificado el día 3 de noviembre de 2016, una notificación informándole de que había sido denunciado ante la Comisión Deontológica de ese Colegio. SEGUNDO: El denunciante manifiesta que al día siguiente se puso en contacto telefónico con la Secretaría de ese Colegio Profesional para advertirles de que le faltaba la información de la denuncia. Expone que le pidieron disculpas por el error y le dijeron que le enviaban toda la documentación de forma urgente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 TERCERO: El denunciante ha aportado las cabeceras del correo electrónico que el día 4 de noviembre de 2016, el Colegio Oficial de Psicólogos de Andalucía Occidental envió, a la cuenta de correo de la consulta en la que trabaja, en el que le comunican la interposición de la denuncia contra su ejercicio profesional y se adjunta un documento en formato pdf que incluye un informe psicológico pericial de dos menores atendidos por él en su consulta. El correo electrónico se envió sin cifrar y sin utilizar cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
- b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
- c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. En los hechos de este procedimiento, consta probado que el día 4 de noviembre de 2016, el Colegio Oficial de Psicólogos de Andalucía Occidental envió al denunciante, un correo electrónico en el que le comunican la interposición de una denuncia contra su ejercicio profesional y se adjunta un documento en formato pdf que incluye un informe psicológico pericial de dos menores atendidos por él en su consulta. El correo electrónico se envió sin cifrar los datos por medio de contraseña y sin utilizar otros mecanismos que garanticen que la información no sea inteligible ni manipulada por terceros. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81 apartado 3 determina lo siguiente: “Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal: a Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual. b Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. c Aquéllos que contengan datos derivados de actos de violencia de género.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Igualmente el art. 104 del citado Real Decreto, en relación con las medidas de seguridad de nivel alto establece: “Telecomunicaciones. Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” Esta es la concreta medida de seguridad de las legalmente previstas en la que se observa la vulneración del principio de seguridad de los datos, dado que se ha constatado que el Colegio Oficial de Psicólogos de Andalucía Occidental realiza comunicaciones de datos personales relacionados con la salud, sin que se cifre la información por medio de contraseña para evitar que sea manipulada por terceros. El Colegio Oficial de Psicólogos de Andalucía Occidental manifiesta en las alegaciones que se incurrió en un error al enviar la documentación sin adoptar las medidas de cifrado exigidas por el artículo 104 del RLOPD. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente basada en el mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
- d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En definitiva, se ha producido por parte del Colegio Oficial de Psicólogos de Andalucía Occidental un envío de un correo electrónico con datos de salud sin las debidas medidas de seguridad, de manera que no actuó con la diligencia debida, por ello debe considerarse que se ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados, atribuible plenamente al Colegio Oficial de Psicólogos de Andalucía Occidental de acuerdo con las circunstancias antes expresadas. En las alegaciones presentadas por el Colegio Oficial de Psicólogos de Andalucía Occidental al acuerdo de inicio del presente procedimiento, se manifiesta que tiene aplicado un protocolo de cumplimiento de la LOPD y que se somete a revisiones periódicas y a las auditorías bienales por parte de especialistas externos. Expone también que los hechos denunciados son un caso excepcional porque en el Colegio no se tratan, por regla general, datos de salud y en otros casos puntuales la entrega se ha hecho por entrega personal al destinatario. Exponen también que a partir de este hecho, están preparando un protocolo de actuación para sus empleados donde se instará a los mismos a no utilizar medios telemáticos para envío de documentos que contengan datos de nivel de seguridad alto. El Colegio Oficial de Psicólogos de Andalucía Occidental informa que ha procedido a registrar la incidencia en el registro de su documento de seguridad, y que está a disposición de la Agencia. IV El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Colegio Oficial de Psicólogos de Andalucía Occidental carece de las medidas de seguridad que la Ley exige al responsable del fichero. De acuerdo con los fundamentos anteriores, se deduce que por parte del Colegio Oficial de Psicólogos de Andalucía Occidental se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el envío de un correo electrónico al denunciante sin las debidas medidas de seguridad, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Se acompaña relación de documentos obrantes en el procedimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el COLEGIO OFICIAL DE PSICOLOGOS DE ANDALUCIA OCCIDENTAL ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de una concreta medida correctora toda vez que ya se han adoptado medidas que impidan que vuelva a producirse una infracción como la denunciada. TERCERO: NOTIFICAR la presente resolución al PSICOLOGOS DE ANDALUCIA OCCIDENTAL. COLEGIO OFICIAL DE CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es