1/9 Procedimiento Nº: AP/00055/2018 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Entre las fechas 9 a 17/04/2018 se reciben escritos de CUATRO DENUNCIANTES, que se enumeran en ANEXO 1, en los que denuncian a la DIRECCIÓN GENERAL DE JUSTICIA (XUNTA DE GALICIA ), manifestando: Con fecha ***FECHA.1 se desarrolla una huelga indefinida de funcionarios de la Administración de Justicia de la Comunidad Autónoma de Galicia, convocada por diferentes organizaciones sindicales. Con fecha ***FECHA.2, se publica en el Diario digital LA VOZ DE GALICIA, una noticia titulada: ***TÍTULO.1 pasan a la Xunta facturas con dietas de viajes y comidas”, acompañando un listado que recoge las dietas solicitadas, con los datos de los sindicalistas. Dicho listado es un documento interno elaborado, presumiblemente por la Dirección Xeral de Xustizia de la Xunta de Galicia, para proceder al pago de las facturas correspondientes. Se anexa la siguiente documentación: Impresiones en hoja excel, de la información que se publicó en el citado Diario, donde figura el listado de sindicalistas, Sindicato, fecha, motivo (“comité de huelga”), Delegación. Impresión de la noticia en el diario digital. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la XUNTA DE GALICIA, DIRECCIÓN GENERAL DE JUSTICIA, teniendo conocimiento de la respuesta de 28/06/2018 que precisa: 1-El documento publicado por el citado Diario, se refiere a funcionarios liberados sindicales y contiene datos de indemnizaciones tramitadas por razón de servicio. En relación don dicho documento, se recibió oficio del Juzgado de Instrucción número 1 de Santiago de Compostela, abriendo Diligencias Previas de Procedimiento Abreviado ***PROCEDIMIENTO.1, por delito de descubrimiento o revelación de secretos por funcionario público, se acompaña oficio de diligencias previas. 2-Con relación al contenido del documento, se hace constar que viene conformado por información incluida en la Ley 1/2016, de 18/01, de transparencia y buen gobierno de Galicia (Diario Oficial de Galicia nº 30, de 15/02), aplicable al sector público y autonómico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 y a los restantes entes, corporaciones, asociaciones y organismo que se recogen en su ámbito subjetivo de aplicación. La citada Ley en su artículo 10, indica que, además de la información que se debe hacer pública según la normativa básica en materia de transparencia, los sujetos citados en artículo 3.1 en el ámbito de sus competencias, también publicarán: “Los permisos para la realización de funciones sindicales, liberados y liberadas sindicales tanto de carácter institucional como las dispensas sindicales, distribuidos según relación nominal de personas y organizaciones sindicales a las que están vinculados, así como todos los costes que estas originan(…)”. En base al contenido del apartado anterior, el documento con la información de dietas de los sindicalistas, están sujetos a publicidad de acuerdo con las normas de rango legal que los rigen. 3- Añade que la tramitación que efectúa para el abono de indemnizaciones por razón del servicio correspondiente a los liberados sindicales, se realiza a medida que se reciben las solicitudes. TERCERO: Con fecha 3/09/2018, la Directora de la AEPD acordó:
- a)INICIAR PROCEDIMIENTO DE DECLARACIÓN DE INFRACCIÓN DE ADMINISTRACIONES PÚBLICAS a la XUNTA DE GALICIA, DIRECCION GENERAL DE JUSTICIA con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción del artículo 10 de dicha norma, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica.
- a)SUSPENDER el procedimiento en virtud de los artículos 31 de la LRJSP y de la LPACAP: artículos 22.1.
- g)y 77.4, por tramitarse Diligencias Previas, Procedimiento Abreviado ***PROCEDIMIENTO.1, que se tramita el JUZGADO DE INSTRUCCIÓN 1 SANTIAGO al apreciar la existencia de identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal objeto de tales Diligencias Previas. CUARTO: En fecha 12/07/2019, se recibe escrito de JUZGADO DE INSTRUCCIÓN 1 SANTIAGO en el que se señala que las actuaciones DP ***ACTUACIONES.1 constan archivadas por auto por el que se acuerda el sobreseimiento de la causa, sin que conste interposición alguna de recurso. Con fecha 23/07/2019 se acuerda por la Directora de la AEPD levantar la suspensión del procedimiento. QUINTO: Transcurrido el plazo de alegaciones que se concedió en el acuerdo de inicio del procedimiento AP/00055/2018, se acordó el 22/08/2019, abrir periodo de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Se ACUERDA practicar las siguientes pruebas: 1) Dar por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, y los documentos obtenidos y generados por los Servicios de Inspección. 2) Además, se decide solicitar a la reclamada que informe o aporte: a. Copia de hoja de listado Excel confeccionado por esa Administración objeto de esta denuncia, que se corresponda con la que continúa expuesta en el diario (hemeroteca). La hoja excel continúa figurando en la VOZ DE GALICIA si se consulta con el literal ***TÍTULO.1 pasan a la Xunta facturas con dietas de viajes y comidas”, dando como resultado la noticia objeto de la difusión de los datos, así como la hoja Excel que se puede guardar como imagen, apreciándose claramente los datos personales. La petición de pruebas consta recibida el 22/8/2019. Con fecha 10/09/2019 se recibe escrito de la reclamada en el que no aporta la hoja. a. Informen respecto de la misma hoja, las fechas que abarcan las comisiones o indemnizaciones, la fecha en que se comienza a confeccionar dicha hoja y su finalidad, que Dirección General la confecciona y el iter y cronología por el que pasa dicho documento (dependencias por las que pasa y motivo y finalidad por el que pasan a las mismas), fecha de abono de las indemnizaciones a los beneficiarios. Si dicho documento lleva alguna fecha identificativa de su elaboración, impresión etc. Manifiestan que se tramita por la D. Gral. de Justicia y a medida que se reciben las correspondientes solicitudes y se produce la verificación del derecho a la dieta solicitada. El resto de lo solicitado no es contestado. b. Concreten que medidas de seguridad en cuanto a manejo de dicha hoja, circulación, envío, etc. se implementaron sobre dicho documento que contiene datos de carácter personal. Manifiestan que “se han reforzado las medidas desde 2018”, “estableciendo barreras físicas para el uso reservado de espacios de trabajo por el personal de oficina” y se “han puesto cerraduras en todas las puertas de acceso e indicado al personal que preste especial atención a la protección de todo tipo de documentos que tramitan”. Sobre lo que se solicitaba del documento no se respondió. 3) Se accede por el Instructor el 22/08/2019 en GOOGLE al diario de Galicia y se consulta con el literal TÍTULO.1 pasan a la Xunta facturas con dietas de viajes y comidas”, dando como resultado la noticia objeto de la difusión de los datos, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 como el listado excel que se puede guardar como imagen, apreciándose claramente los datos personales. 4) Se accede a GOOGLE el 22/08/2019 y en búsqueda se introduce nombre y apellido de algunas personas que aparecen en el listado, ejemplo denunciante 4, verificándose al menos en las dos primeras páginas de resultados, que no lleva a la noticia del diario. SEXTO: Con fecha 4/11/2019 se emite propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare la comisión por la DIRECCION GENERAL DE JUSTICIA (XUNTA DE GALICIA), con NIF S1511001H, de la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la LOPD.” En la parte dispositiva, fundamento de derecho II se contemplaba que “La reclamada habrá de acreditar las medidas organizativas y técnicas de que disponga para que documentos como el que confecciona, que contiene datos personales, por las medidas impuestas sea de difícil materialización otra vez.” Frente a la propuesta, no se reciben alegaciones. HECHOS PROBADOS 1) Con fecha ***FECHA.1 se desarrolla una huelga indefinida de funcionarios de la Administración de Justicia de la Comunidad Autónoma de Galicia, convocada por diferentes organizaciones sindicales. 2) Con fecha ***FECHA.2, se publica en el diario digital LA VOZ DE GALICIA, una noticia titulada: ***TÍTULO.1 pasan a la Xunta facturas con dietas de viajes y comidas”, acompañando un listado tipo excel que recoge los datos de los representantes de los trabajadores (nombre y apellidos y sindicato, fecha de la dieta, motivo (comité de huelga) importe, delegación y concepto Km, peaje) 3) Las dietas con los gastos que se pasan a la Xunta son por desplazamientos a las reuniones que están manteniendo los miembros que forman parte del comité que organiza la huelga, precisando que las dietas pasadas al cobro corresponden a gastos que han venido realizando. “Todos han presentado facturas”. No queda acreditado que las dietas fueran por comidas, sino por kilometraje. 4) El Decreto 144/2001 de 7/06 sobre indemnizaciones por razón del servicio al personal con destino en la Administración autonómica de Galicia regula las circunstancias que dan derecho a percibir dietas y su importe, siendo los “gastos de viaje la cantidad que se abona por la utilización de cualquier medio de transporte por razón del servicio.” 5) El listado contiene agrupados los nombres de personas por fechas, desde 28/11/2017, de 12/2017 días 7, 12 y 20, de 1/2018 días 3, 9, 19 y 31, de 2/2018 días 2, 19 y 20 y el ultimo de 9/03/2018. Figura el Sindicato de cada persona y “comité de huelga”, delegación a la que pertenece y cantidad a abonar por kms-peaje o parking. 6) La reclamada informó que la hoja Excel de dietas expuesta en el diario, se va C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 confeccionando cuando se van completando los datos, de modo acumulativo. El listado contenía datos de liberados sindicales. 7) El listado de los datos aparece en una noticia del diario digital LA VOZ DE GALICIA el ***FECHA.2 en noticia titulada: ***TÍTULO.1 pasan a la Xunta facturas con dietas de viajes y comidas”. Puede no solo consultarse viéndolo, sino que se puede guardar, y sigue estando en dicha página, al momento de practicarse las pruebas, 22-08-2019, poniendo el nombre de la noticia en el buscador de GOOGLE . No consta que el responsable de elaboración de dicho documento se haya dirigido al medio para solicitar la supresión de la hoja. 8) La reclamada no detalla las medidas de control sobre tiempo, personas y procesos que intervienen en la elaboración de la hoja Excel que se divulgó en el diario digital, ni explica cómo ha podido suceder que aparezca en el diario un documento tratado por la reclamada. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 10 de la LOPD, señala “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.”, tipificada como grave en el artículo 44.3.
- d)de dicha norma, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” El documento que se expone en el diario procede de la reclamada, que tiene la obligación de custodiar los datos personales bajo secreto, habiendo sido un documento que confeccionó, gestionó y guardó. Sobre la manifestación de la reclamada de que el contenido del documento expuesto en el diario, del que ella es su autor, puede ser objeto de difusión y conocimiento por la aplicación de la Ley 1/2016, de 18/01 de transparencia y buen gobierno de Galicia en su artículo 10, se debe indicar que dicho artículo indica: “Obligaciones específicas de información en materia de personal”: Además de la información que debe hacerse pública según la normativa básica en materia de transparencia, los sujetos citados en el artículo 3.1, en el ámbito de sus competencias, también publicarán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
- a)Las relaciones de puestos de trabajo, plantillas y demás instrumentos de ordenación de personal de los ámbitos de función pública, sanitario y docente.
- b)Los efectivos de personal funcionario, laboral, sanitario y docente, así como la información sobre los efectivos de personal eventual en los términos previstos en el artículo 32 de la Ley 2/2015, de 29 de abril , del empleo público de Galicia.
- c)Los permisos para la realización de funciones sindicales, liberados y liberadas sindicales tanto de carácter institucional como las dispensas sindicales, distribuidos según relación nominal de personas y organizaciones sindicales a las que están vinculados, así como todos los costes que estas originan. Crédito horario total que tiene cada organización sindical y su distribución según relación nominal de personas, así como todos los costes que estas originan. En primer término, se debe indicar que la publicación no deviene del Sindicato, ni de la Administración, sino de un medio privado digital, que no es el cauce propio para el contenido y encauzamiento de la información. En segundo lugar, lo que la norma autonómica permite es la difusión para el conocimiento del coste de los permisos relacionados con el ejercicio de las funciones sindicales, liberados sindicales, es decir no se refiere a gastos de dietas de representantes sindicales. El Decreto núm. 144/2001, de 7/06, sobre indemnizaciones por razón del servicio al personal con destino en la Administración autonómica de Galicia indica en su artículo 14 “Toda comisión de servicio dará derecho a viajar por cuenta de la Administración autonómica en el medio de transporte que se determine al autorizar la comisión y se procurará que el desplazamiento se efectúe por líneas regulares.” En la DISPOSICION FINAL Primera se indica: “Cada consellería, entidad u organismo sufragará las indemnizaciones y demás compensaciones que tengan derecho a percibir por la prestación de los servicios que de ellos dependan, cualquiera que sea el órgano u organismo de la Administración de la comunidad autónoma a la que pertenezca el personal que tenga que realizarlos. No obstante, la asistencia de los representantes de las organizaciones sindicales a órganos de negociación y demás reuniones sobre asuntos de interés general que afecte al conjunto de empleados públicos que sean convocados por las consellerías de Presidencia, Administraciones Públicas y Justicia y de Hacienda, serán sufragadas, en su caso, por las consellerías o centros donde los representantes sindicales tengan su destino.” La infracción cometida por al reclamada se tipifica como grave en el artículo 44.3.
- d)de la LOPD que indica: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 La infracción del deber de secreto de los datos aparece relacionada con la puesta en funcionamiento de “medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado”, que se mencionan en la LOPD y se potencian en el RGPD. En la LOPD se relacionaban con los accesos a los datos, su manejo y cadena de custodia, aspectos que no han sido completados por la reclamada en la petición de pruebas con el fin de conocer la creación y circulación del documento y las debilidades a nivel de seguridad de datos de que pueda adolecer. En este supuesto y como ejemplo, se tendrían que documentar los empleados o áreas que participan en el tratamiento de datos de forma autorizada, la cadena de custodia, la anotación de la incidencia de seguridad, modo en que los empleados conocían las medidas de seguridad, cursos o acciones formativas que han recibido, por señalar solo algunas cuestiones sobre la seguridad en la elaboración y gestión del documento. La LOPD establecía la exigencia del documento de seguridad, artículo 88 y ss. del RLOPD y elementos de seguridad a tener en cuenta cuando se tratase de documentos en papel. El artículo 46 de la LOPD establece: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” La reclamada habrá de acreditar las medidas organizativas y técnicas de que disponga para que documentos como el que confecciona, que contienen datos personales, por las medidas impuestas sea difícil que se vuelva a producir una filtración como la analizada. Para ello, ha de tener en cuenta la adecuación a la normativa de protección de datos del RGPD y sus principios de aplicación, entre otros, la minimización de datos, y el diseño por defecto. PRIMERO: DECLARAR que la XUNTA DE GALICIA, DIRECCION GENERAL DE JUSTICIA, con NIF S1511001H, ha cometido una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 SEGUNDO: Requerir a La XUNTA DE GALICIA, DIRECCION GENERAL DE JUSTICIA, que informe en el plazo de un mes desde la recepción de este acuerdo, de las medidas organizativas y técnicas impuestas para que materialización de otra infracción como la analizada sea de difícil realización. Para ello, ha de tenerse en cuenta la adecuación a la normativa de protección de datos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y sus principios de aplicación, entre otros, la minimización de datos, y el diseño por defecto. Se abre procedimiento E/011454/2019 para el seguimiento y verificación del cumplimiento del requerimiento impuesto TERCERO: NOTIFICAR la presente resolución a XUNTA DE GALICIA, DIRECCION GENERAL DE JUSTICIA, adjuntando ANEXO 1. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 ANEXO I DENUNCIANTE 1: A.A.A. DENUNCIANTE 2: B.B.B. DENUNCIANTE 3: C.C.C. DENUNCIANTE 4: D.D.D. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es