1/9 Procedimiento Nº AP/00057/2015 RESOLUCIÓN: R/00804/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00057/2015, instruido por la Agencia Española de Protección de Datos a la entidad DIPUTACION DE GRANADA, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 29/10/14 tiene entrada en esta Agencia un escrito del Ayuntamiento de Salobreña, en el que comunican que, con fecha 18/10/14, una unidad de la Policía Local de Salobreña ha detectado, junto a la calzada de la carretera de la Playa Granada, un importante número de recibos de liquidaciones de la tasa de tratamiento de residuos sólidos, expedidos por la Excma. Diputación Provincial de Granada. Una vez inventariados, ascienden a 499 recibos. Se acompaña también relación de los titulares de los mismos. Con fecha 12/11/14 se recibe escrito de la Diputación de Granada, Servicio Provincial Tributario, solicitando la remisión los originales encontrados por la Policía Local. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/7063/14: Concluyéndose la investigación con el siguiente informe de la Inspección de Datos de fecha 17/3/15: <<<<< Con fecha 19 de noviembre de 2014, se remite a la Diputación de Granada (Servicio Provincial Tributario), los originales de la documentación encontrada por la Policía Local de Salobreña Con fecha 30 de diciembre de 2014, se recibe en esta Agencia escrito de la Diputación Provincial de Granada, Servicio Provincial Tributario, en el que se pone de manifiesto que: Los recibos encontrados en la vía pública por la Policía Local de Salobreña, no están destinados a su destrucción, sino al reparto por parte de un funcionario público a los correspondientes destinatarios, sujetos pasivos con domicilio fiscal en dicho municipio. En la actualidad se está tramitando un expediente disciplinario a dicho funcionario. La Diputación tiene suscrito contrato de prestación de servicios con la empresa REISSWOLF SUR, con la finalidad de destrucción de documentación, estando centralizada ésta en el Servicio de Informática >>>>> TERCERO: Por parte de la Directora de la Agencia se dictó Acuerdo de Inicio de Declaración De Infracción De Administraciones Públicas a DIPUTACIÓN DE GRANADA por la presunta infracción de los art. 9 y 10 de la LOPD. CUARTO: Notificado el citado acuerdo de inicio se presentó escrito de alegaciones manifestando, en síntesis, lo siguiente: * Que a raíz de los hechos se tramitó un expediente disciplinario, declarando la responsabilidad de un funcionario por el extravío de 536 recibos que le encomendados para su reparto domiciliario en el municipio de Salobreña C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 * Que se tratan de cartas-recibos obligatorios que no pueden ser calificados de operaciones o procedimientos técnicos, así como tampoco cesiones da datos. Ni tampoco las cartas encontradas se podían considerar ficheros * Que se trataban de cartas cerradas en el momento que las encontraron, en cuyo interior se contenían la liquidación de la tasa de tratamiento de residuos sólidos, apareciendo únicamente en el exterior los siguientes datos relativos a los contribuyentes: nombre, apellidos y domicilio * Ni se ha producido difusión alguna de los datos personales ya que fueron halladas por funcionarios públicos que remitieron la documentación directamente a esta Agencia * Que no se trata de datos especialmente protegidos. SEXTO: Con fecha de 22/12/15 por el instructor del procedimiento se dictó diligencia en la que se hizo constar que se daban reproducidos, a efectos probatorios, las denuncias interpuestas su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante DIPUTACION DE GRANADA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07063/2014 SEPTIMO: Con fecha 1/2/16 se dictó la siguiente propuesta de resolución, <<<<< Que por parte de la Directora de la Agencia de Protección de Datos se declare el archivo del presente procedimiento de declaración de infracción de administraciones públicas, abierto a la DIPUTACION DE GRANADA por la infracción de los artículos 9 y 10 de la LOPD. >>>>> HECHOS PROBADOS 1º Consta escrito del Ayuntamiento de Salobreña, de 27/10/14, acompañando informe de la Policía Local de 18/10/14, relativo a la localización junto a la calzada de la carretera de la Playa Granada de 499 recibos de liquidaciones de la tasa de tratamiento de residuos sólidos expedidos por la Diputación de Granada. 2º Consta reportaje fotográfico del lugar de la localización y relación de los recibos localizados. 3º Consta copia de algunos de dichos recibos que estaban en sobres, figurando en los mismos “Diputación de Granada. Servicio provincial Tributario”, “tasa trat. Residuos sólidos periodo 2014. Salobreña”. Y el nombre y apellidos del destinatario así como su domicilio. 4º Constan manifestaciones de la Diputación de Granada en el sentido que dichos recibos no estaban destinados a su destrucción, sino a su reparto por un funcionario público a los correspondientes destinatarios. 5º Que a raíz de los hechos se tramitó expediente disciplinario a un funcionario de la citada Diputación, resolviéndose con fecha 9/10/15 “Declarar la responsabilidad del funcionario (…….) en el extravío de un total de 536 recibos que fueron encomendados entre el 30dejnunio y el 21 de julio de 2014 por el Responsable de impresión del Servicio provincial Tributario para su reparto domiciliario….” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/07063/2013, se determinó, salvo prueba en contrario, que la localización de documentación con datos de carácter personal que ha estado accesible a terceros, puede suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos; así como el deber de guardar secreto profesional: hechos de los que es responsable, salvo prueba en contrario, la Diputación Provincial de Granada. III La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso la DIPUTACION DE GRANADA es responsable de los ficheros y tratamientos, derivados de su actividad, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. Se debe partir de la definición de datos de carácter personal, tal como lo establece el art. 3.
- a)LOPD, como “cualquier información concerniente a personas físicas identificadas o identificables”. Y de tratamiento de datos (según el art 3.
- c)como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la Diputación de Granada actúa como responsable del tratamiento, definido en el artículo 3.
- d)LOPD, como la “persona física o jurídica, de naturaleza pública o privada, u órgano C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el mismo sentido, el artículo 5.1.
- q)RDLOPD señala que será responsable del fichero o del tratamiento la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. Y como tal responsable del tratamiento deberá tener creados sus ficheros en la forma prevista en la LOPD, y debidamente inscritos en el Registro de esta Agencia. IV El el artículo 3
- a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para interpretar cuándo ha de considerarse que nos encontramos ante un dato de carácter personal, esta Agencia ha venido siguiendo el criterio sustentado por las distintas Recomendaciones emitidas por el Comité de Ministros del Consejo de Europa, en las que se indica que la persona deberá considerarse identificable cuando su identificación no requiere plazos o actividades desproporcionados. Queda fuera de toda duda que tanto el nombre y apellidos, como la dirección son datos de carácter personal, siendo en todo caso suficientes para considerar que por parte de la entidad denunciada se ha infringido lo dispuesto en la LOPD. Debe tenerse en cuenta la definición de documento, que establece el artículo 5.2.f del Reglamento de desarrollo de la LOPD como “todo escrito, gráfico, sonido, imagen o cualquier clase de información como una unidad diferenciada”, la documentación encontrada en la vía pública entra en la consideración de documento de trabajo, incorporando información derivada de un fichero automatizado, que contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros.: En consecuencia la norma establece una equivalencia entre registro en soporte físico y fichero aunque, si bien, para que una actuación manual sobre datos personales (recogida, grabación, conservación, elaboración, modificación, bloqueo ...) tenga la consideración de “tratamiento de datos” sujeto al sistema de protección de la Ley Orgánica 15/1999 es necesario que dichos datos estén contenidos o destinados a ser incluidos en un fichero, esto es, en un conjunto estructurado u organizados de datos con arreglo a criterios determinados. Si no es así, el tratamiento manual de datos personales quedará fuera del ámbito de aplicación de la ley, no será un “tratamiento de datos personales” según el concepto normativo que la ley proporciona. V La localización de los recibos encontrados en la vía pública, procedentes de dicho organismo, constituye la base de facto para fundamentar, en primer lugar, la imputación de la infracción del artículo 9 de la LOPD que establece lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El artículo 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Procede analizarse las medidas de seguridad que debieron adoptase por la Diputación de Granada, con el fin de considerar si fueron adecuadas o no de acuerdo a la LOPD. A tal fin hay que acudir al Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la ley Orgánica 15/1999, de 13/12, de protección de datos de carácter personal, (RLOPD) El artículo 81 del RLOPD dispone en lo relativo a la aplicación de los niveles de seguridad: “1. Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico. 2. Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal:
- a)Los relativos a la comisión de infracciones administrativas o penales.
- b)Aquellos cuyo funcionamiento se rija por el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre.
- c)Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias.
- d)Aquéllos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros.
- e)Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.
- f)Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos. 3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:
- a)Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.
- b)Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas.
- c)Aquéllos que contengan datos derivados de actos de violencia de género.” En conclusión cabe señalar que el Reglamento viene a establecer tres niveles de seguridad atendiendo a la naturaleza de la información tratada en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma, con independencia de la finalidad en virtud de la cual se haya procedido al tratamiento de los datos personales. Hay que tener en cuenta, en relación al alcance que ha de darse a la expresión "ficheros que contengan datos relativos a Hacienda Pública", contenida en el artículo 81.2.c del Reglamento, que esta Agencia ha considerado que la expresión anteriormente citada se refiere exclusivamente a los ficheros cuya titularidad corresponda a la Hacienda Pública, debiendo entenderse esta expresión como aplicable a aquellos ficheros cuyo responsable sea una Administración Pública que ostente potestades en materia tributaria; lo que implica que en esta caso sea aplicable aquellos ficheros cuyo responsables las Comunidades Autónomas en materia de Tributos, correspondientes a los tributos locales, de los que son responsables las Haciendas Locales, como por ejemplo los regulados en los artículos 77.1 y 91.1 de la Ley 39/1988, de 28 de diciembre, Reguladora de las mismas . Y en consecuencia las medidas aplicables de seguridad a los referidos ficheros serían los de nivel medio. El art 89 del RLOPD establece: “1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento. 2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.” Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.” Artículo 92 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” En el presente supuesto, la falta de medidas de seguridad deviene de la acción de un funcionario de dicha Diputación; al que se le encomendó el reparto domiciliario de 536 recibos en virtud de su relación administrativa y funcional, debiendo de haber cumplido en el ejercicio de las atribuciones de su puesto las funciones encomendadas, consistentes en el reparto domiciliario de los mismos. Contraviniendo las instrucciones recibidas con el resultado que dicha documentación resultara abandonada en la vía pública. Se deduce por tanto, que la localización de esa documentación, no se deriva del incumplimiento por parte de la Diputación de Granada de alguna medida de seguridad, de las contempladas reglamentariamente, que debía tener implementada, sino por la actuación de un funcionario con la obligación de guardar el debido sigilo sobre los documentos y trámites que realizaban. Las medidas de seguridad imponen una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En este caso, se hubiera producido el resultado cualquiera que hubiera sido la medida adoptada pues es prácticamente imposible asegurar que cualquier funcionario no pudiera abandonar dicha documentación en vez de entregarla a sus destinatarios por lo que debe decaer la imputación de infracción del artículo 9 sobre medidas de seguridad. VI En segundo lugar procede valorar si se ha producido una vulneración del deber de secreto, derivada del hecho de que documentación con datos de carácter personal, procedente de la Diputación Provincial, dejara de estar debidamente custodiada y apareciera abandonada en la vía pública. El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18 de enero de 2002, recoge en su Fundamento de Derecho Segundo, y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Ahora bien la obligación impuesta por el artículo 10 debe entenderse como una obligación de resultado, donde lo relevante, tal como lo ha entendido la Audiencia Nacional, entre otras en la sentencia de 18/06/09, es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto), que exista o no una omisión de las medidas de seguridad. En el caso que nos ocupa, aun cuando a entidad denunciada es responsable de la custodia de la documentación, la documentación fue recuperada por la policía local de Salobreña, pasando a ser custodiada por la misma por lo que no se puede considerar que fuera revelada a terceras personas vulnerando así el deber de secreto. Entendiéndose así que no se ha producido infracción del artículo 10 por parte de la entidad denunciada. VII El artículo 46.2 de la LOPD, señala, que además de la declaración de infracción que en su caso se hubiera cometido, el Director de la Agencia ostenta la potestad de proponer el inicio de expediente de actuaciones disciplinarias, con el siguiente tenor: “El Director de la Agencia podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 sobre régimen disciplinario de las Administraciones Públicas.” No obstante en este caso por la Diputación de Granada, en el uso de sus competencias se ha procedido a tramitar y resolver un expediente disciplinario que está desvinculado del expediente sancionador que se tramita contra la misma; si bien se sancione a un funcionario en relación a una infracción prevista en la LOPD. Por lo que no procede hacer uso de las facultades contempladas en el citado artículo. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: 1. Declarar el ARCHIVO del presente procedimiento de declaración de Administraciones Públicas. infracción de 2. NOTIFICAR la presente resolución a Diputación de Granada y a Ayuntamiento De Salobreña - Policía Local De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es