AAPP-00056-2017

1/7 Procedimiento Nº AP/00056/2017 RESOLUCIÓN: R/03494/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00056/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOCALIDAD.1 , vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 10 de agosto de 2017, tuvo entrada en esta Agencia un escrito remitido por D. A.A.A. (en lo sucesivo el denunciante) en el que declara que el Ayuntamiento de ***LOCALIDAD.1 (en lo sucesivo el denunciado) remitió, con fecha 17 de octubre de 2016, un correo a los habitantes del municipio con información de las actividades culturales y de ocio, desde la dirección de correo ***EMAIL.1. Adjuntos a dicho correo se enviaron 5 archivos con los carteles de las actividades y entre ellos figuraba un documento en el que se recoge la información relativa a la demanda de divorcio del denunciante y las medidas solicitadas en el mismo. En este documento constan los nombres del denunciante, de su excónyuge y de los dos hijos menores de ambos, la dirección familiar y las condiciones de dicho divorcio. El denunciante manifiesta que se personó en el Ayuntamiento donde le informaron que no se había iniciado ningún procedimiento para depurar responsabilidades por estos hechos. Aporta el denunciante el acta del pleno del Ayuntamiento del día 3 de noviembre de 2016 en la que se recogen estos hechos calificándolos de graves. Ante estos hechos el denunciante y su excónyuge presentaron sendas denuncias, incoándose Diligencias Previas por el Juzgado de Instrucción nº 3 de Santander. Con fecha 24 de mayo de 2017 se dicta Auto de Sobreseimiento provisional y archivo de la causa. Con fecha 21 de julio de 2017, por Providencia del mismo Juzgado, se acuerda dar testimonio de las actuaciones y su remisión a la Agencia Española de Protección de Datos por si hubiera lugar a depurar responsabilidades en el ámbito de aplicación de la LOPD. El Oficio de remisión de las actuaciones del Juzgado de Instrucción nº 3 de Santander tuvo entrada en esta Agencia con fecha 31 de julio de 2017. SEGUNDO: Con fecha 2 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE ***LOCALIDAD.1 , Cantabria, por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el AYUNTAMIENTO DE ***LOCALIDAD.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “Nos encontramos ante unos hechos que han sido cometidos involuntariamente, y que fueron ya reconocidos ante el propio Juzgado. (…) El error producido, que condujo a la difusión de los datos personales de los interesados, obedece al envío por esa vecina de una foto del citado documento, que realizó con el móvil, y que la funcionaria procedió a guardar en un archivo, en formato jpg, en el escritorio de su ordenador de trabajo. Con el fin de evitar que en el futuro pueda producirse una infracción del artículo 10 de la LOPD, por motivos como éste, se ha impartido la siguiente instrucción (se acompaña como DOCUMENTO ANEXO 2): 1°) Siempre que contengan datos de carácter personal, la remisión electrónica de documentos por parte de los interesados en un determinado expediente, sólo se admitirá si se realiza a través de las plataformas de la sede electrónica municipal. Consecuentemente, ningún documento de ese tipo que haya de obrar en un expediente municipal será remitido a un funcionario o autoridad pública de manera directa a través de su dirección electrónica. 2°) Cualquier documento que se descargue de la sede electrónica o que se genere por los respectivos órganos o servicios, que pudiera contener datos de carácter personal, deberá alojarse en carpetas aparte, en las que se haga constar ese extremo. En estos momentos, con la finalidad de subsanar las deficiencias puestas de manifiesto, se está en contacto con una empresa especializada para elaborar una auditoria de gestión de datos de carácter personal e implantar las medidas de seguridad que procedan.” Concluye el escrito de alegaciones solicitando que se proceda al archivo del expediente de infracción de administraciones públicas o, subsidiariamente, se tomen en consideración las medidas de orden interno adoptadas al objeto de impedir que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD. CUARTO: Al haberse reconocido la responsabilidad por la entidad denunciada, procede la aplicación de lo dispuesto en el artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva a la Directora de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: El 10 de agosto de 2017, se ha denunciado en esta Agencia que, con fecha 17 de octubre de 2016, el Ayuntamiento de ***LOCALIDAD.1 envió un correo a los habitantes del municipio con información de las actividades culturales y de ocio, desde la dirección ***EMAIL.1. Adjuntos al correo se enviaron 5 archivos con los carteles de las actividades y entre ellos figuraba un documento en el que se recoge la información relativa a la demanda de divorcio del denunciante y las medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 solicitadas en el mismo. En este documento constan los nombres del denunciante, de su excónyuge y de los dos hijos menores de ambos, la dirección familiar y las condiciones de dicho divorcio. SEGUNDO: El denunciante manifiesta que se personó en el Ayuntamiento donde le informaron de que no se había iniciado ningún procedimiento para depurar responsabilidades por estos hechos. Aporta el denunciante el acta del pleno del Ayuntamiento del día 3 de noviembre de 2016 en la que se recogen estos hechos calificándolos de graves. TERCERO: El denunciante y su excónyuge presentaron sendas denuncias, incoándose Diligencias Previas por el Juzgado de Instrucción nº 3 de Santander. Con fecha 24 de mayo de 2017 se dicta Auto de Sobreseimiento provisional y archivo de la causa. Con fecha 21 de julio de 2017, por Providencia del mismo Juzgado, se acuerda dar testimonio de las actuaciones y su remisión a la Agencia Española de Protección de Datos por si hubiera lugar a depurar responsabilidades en el ámbito de aplicación de la LOPD. El Oficio de remisión de las actuaciones del Juzgado de Instrucción nº 3 de Santander tuvo entrada en esta Agencia con fecha 31 de julio de 2017. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
3. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
4. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se difundieron los datos de carácter personal del denunciante por el correo electrónico del Ayuntamiento denunciado, sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales del denunciante por parte del Ayuntamiento de ***LOCALIDAD.1 , Cantabria. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en el correo electrónico enviado el 17 de octubre de 2016 por el Ayuntamiento denunciado se envió, a los vecinos del municipio, un correo electrónico que incluía un documento adjunto con información relativa a la demanda de divorcio del denunciante en el que constan los datos personales del denunciante, de su excónyuge y de los dos hijos menores de ambos y la dirección familiar. El alcalde del Ayuntamiento de ***LOCALIDAD.1 , en las alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción, ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 reconocido la responsabilidad de los actos denunciados y manifiesta que los hechos se produjeron por error y de forma involuntaria. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente basada en el mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
5. d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En definitiva, se ha producido por parte del Ayuntamiento de ***LOCALIDAD.1 una difusión de los datos personales del denunciante, al incluir un documento en un correo electrónico que se envió a los habitantes del municipio, de manera que no actuó con la diligencia debida, por ello debe considerarse que se ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados, atribuible plenamente al Ayuntamiento de ***LOCALIDAD.1 de acuerdo con las circunstancias antes expresadas. Expone en sus alegaciones el Ayuntamiento que han adoptado medidas de orden interno para evitar futuras infracciones del deber de secreto. Se aporta una Instrucción del Alcalde sobre cómo actuar con documentos que contengan datos de carácter personal y expone que se va a realizar una auditoría de gestión de datos personales por una empresa especializada. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 La conducta de la denunciada se incardina en el artículo 44.3.
6. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del Ayuntamiento de ***LOCALIDAD.1 , se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes al denunciante, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOCALIDAD.1 ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
7. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR al AYUNTAMIENTO DE ***LOCALIDAD.1 la adopción de medidas correctoras, toda vez que se ha constatado que ya se han adoptado medidas correctoras adecuadas para evitar en el futuro una nueva infracción del artículo 10 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 TERCERO: NOTIFICAR ***LOCALIDAD.1 . la presente resolución al AYUNTAMIENTO DE CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es