AAPP-00060-2016

1/8 Procedimiento Nº AP/00060/2016 RESOLUCIÓN: R/03210/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00060/2016, instruido por la Agencia Española de Protección de Datos a la Dirección General de Salud Pública - Consejería de Sanidad de la Junta de Castilla y León, vista la denuncia presentada por Dª B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17 de noviembre de 2015 tiene entrada en esta Agencia un escrito de Dª B.B.B., en adelante la denunciante, en el que manifiesta que: 1. Sus datos personales (nombre, apellidos y NIF) aparecieron publicados el 1 de abril de 2015 en el Boletín Oficial de la Junta de Castilla y León (BOCYL) en relación con una notificación de la Dirección General de Salud Pública, por la que se le comunica una propuesta de resolución del expediente disciplinario ***EXPTE.1 del que es interesada. 2. El 6 de abril de 2015 solicitó que se adoptasen las medidas oportunas para impedir que los datos personales que constan en la propuesta pudieran ser recuperados a través de motores de búsqueda desde fuera de la página web del BOCYL, dado que según se le informó en ningún caso podían eliminarse los datos del propio boletín. 3. La notificación de la propuesta citada en el punto 1 se intentó practicar el 6 de marzo de 2015 mediante correo certificado en el domicilio situado en la calle A.A.A., donde se le habían notificado las anteriores actuaciones del expediente ***EXPTE.1. La carta fue devuelta con indicación de ausente el día 23 de marzo de 2015 pero sin diligencia alguna en el documento de acuse de recibo, motivo por el que se procedió a notificar mediante anuncio en el tablón de edictos del Ayuntamiento de Valladolid, donde estuvo expuesta del 1 al 20 de abril de 2015, y en el BOCYL. 4. Entiende que la actuación descrita en el punto precedente no se ajusta a la dispuesta en la Ley 30/1992, de 26 de noviembre, ya que según lo dispuesto en el artículo 59.2 de la norma, debería de haber intentado la notificación por dos veces en el domicilio de la interesada, en una hora distinta dentro de los tres siguientes. 5. Entiende la denunciante que la publicación de sus datos atenta contra la obligación de mantenerlos en secreto del responsable del fichero, ya que al no haber cumplido con las exigencias normativas en su notificación por correo certificado, no disponía de habilitación legal para publicarlos en el tablón de edictos del Ayuntamiento de Valladolid ni en el BOCYL. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 1. El 10 de agosto de 2016 se constata que: 1.1. Los datos de la denunciante (nombre, apellidos y NIF) aparecen publicados en el BOCYL de 1 de abril de 2015. 1.2. Realizada una búsqueda en el buscador del BOCYL utilizando como criterio el apellido “ B.B.B.” y el periodo del 30 de marzo al 3 de abril de 2015 no se obtienen resultados. 1.3. Al realizar dos búsquedas mediante el buscador Google en la versión electrónica del BOCYL utilizando como criterios el nombre y los apellidos de la denunciante (una exigiendo orden estricto de los apellidos y otro sin requerirlo), se obtiene un único enlace que corresponde con un boletín de fecha 9 de septiembre de 2006 y cuyo contenido no tiene relación con los hechos denunciados. 2. Requerida información en relación a los hechos denunciados a la Dirección General de Salud Pública de la Consejería de Sanidad de la Junta de Castilla y León, en adelante DGSP, se aportan los siguientes datos: 2.1. Se aporta copia del acuse de recibo del intento de notificación citado en el punto 3 de los antecedentes, con código CD*******. El área de “Entrega domiciliaria” incluye un número de empleado y la firma de éste. Como fecha y hora de entrega se incluye únicamente registro de un intento de entrega, realizado el 06/03/2015 a las 12:35 horas, con la marca “ausente de reparto”. El acuse tiene sello de devolución con fecha 23 de marzo de 2015 con motivo “No retirado”. 2.2. Se aporta copia del escrito de 24 de marzo de 2015 mediante el que se practica la notificación por medio del tablón de anuncios y del ayuntamiento del último domicilio de la denunciante y el BOCYL. 2.3. Se aporta copia de una diligencia en la que consta que el 14 de abril de 2015 la denunciante solicitó y obtuvo copia de la propuesta de resolución de 4 de marzo de 2015. 2.4. Se aporta copia del escrito de 21 de abril de 2015 mediante el cual el Ayuntamiento de Valladolid remitía a la DGSP copia del anuncio expuesto en el tablón de edictos. 2.5. Desde el servicio de Correos se les ha informado de que la información del localizador del envío de la notificación de la propuesta de resolución solo está disponible durante 6 meses. 3. El sitio web de Correos dispone de una consulta que proporciona información sobre los envíos al proporcionar el código del mismo. Al tratar de acceder el 24 de octubre de 2016 a los datos del envío CD******* el sistema no devuelve información alguna. Consultado el servicio de atención al cliente de Correos sobre el envío, se indica que el periodo durante el que se conserva información sobre los envíos es de 6 meses, ya que es aquel durante el cual pueden realizarse reclamaciones. TERCERO: Con fecha 14 de noviembre de 2016, se acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Dirección General de Salud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Pública, Consejería de Sanidad de la Junta de Castilla y León por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la Dirección General de Salud Pública, Consejería de Sanidad de la Junta de Castilla y León presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “… si atendemos al principio de calidad expuesto, recogido en la propia LOPD en su artículo 4.1, los datos personales publicados en el B.O.C.y L han sido adecuados y no excesivos, habiéndose publicado, en cumplimiento de lo dispuesto en el artículo 61 de la LRJAP-PAC, los datos mínimos e imprescindibles que posibilitasen el conocimiento por parte de la denunciante de la existencia de una propuesta de resolución en materia disciplinaria, a los efectos de garantizarla todas las acciones derivadas de su derecho a la defensa que, por otra parte, ejerció, pero sin contener dicha notificación las presuntas infracciones y sanciones disciplinarias por las que se la abrió un expediente disciplinario. (…) En definitiva, y por los argumentos expuestos, se estima que esta Administración no ha vulnerado el deber de secreto o confidencialidad respecto de los datos de carácter personal de la denunciante, por tanto, no ha infringido el artículo 10 de la LOPD, salvaguardando el derecho fundamental a la tutela judicial efectiva consagrado en el artículo 24 de la Constitución Española de la denunciante, con la menor injerencia en su derecho fundamental a la protección sus datos personales en los términos expuestos. (…) En relación con si la práctica de la notificación se ha efectuado de forma defectuosa, en primer lugar, se estima que la vía apropiada para plantear los posibles defectos de forma acaecidos en el procedimiento disciplinario es a través de los diferentes medios de defensa de los que dispone la interesada y que ha hecho valer los mismos a lo largo del procedimiento disciplinario, conforme lo dispuesto en Ley 7/2005, de 24 de mayo, de Función Pública de Castilla y León y el Real Decreto 33/1986, de 10 de enero, por el que se aprueba el Reglamento de Régimen Disciplinario de los Funcionarios, así como a través de la interposición del correspondiente recurso contencioso administrativo y presentación de demanda ante los tribunales del orden jurisdiccional contencioso administrativo, que también ejercitó la interesada. Respecto de dicha cuestión, ya se ha pronunciado el propio Juzgado de lo Contencioso Administrativo n° 1 de Segovia, en Sentencia n° ***/2016, de 7 de marzo de 2016, desestimando todas las alegaciones de defectos formales y materiales del procedimiento disciplinario planteadas por la denunciante y declarando ajustada a derecho la Resolución de la Secretaría General de la Consejería de Sanidad de 15 de mayo de 2015, (…) En definitiva, y por todos los argumentos expuestos, se solicita el archivo del expediente sancionador abierto contra la Consejería de Sanidad de la Administración General de la Comunidad de Castilla y León, por no haber vulnerado el artículo 10 de la LOPD, al haber habilitado todas las medidas necesarias para salvaguardar los dos derechos fundamentales en juego de la denunciante, como son su derecho fundamental a la protección de sus datos personales y su derecho fundamental a la tutela judicial efectiva, que en el presente caso ha quedado garantizado en todo momento, como así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 ha quedado reconocido por la Sentencia nº ***/2016, de 7 de marzo de 2016, del Juzgado de lo Contencioso Administrativo nº 1 de Segovia, que ha adquirido firmeza.” HECHOS PROBADOS PRIMERO: El 1 de abril de 2015 se publicó en el Boletín Oficial de la Junta de Castilla y León (BOCYL) la notificación de una propuesta de resolución del expediente disciplinario ***EXPTE.1 de la Dirección General de Salud Pública, en la que figuran los datos personales (nombre, apellidos y NIF) de la denunciante de este procedimiento. El 6 de abril de 2015 la denunciante solicitó que se adoptasen las medidas oportunas para impedir que los datos personales que constan en la propuesta pudieran ser recuperados a través de motores de búsqueda desde fuera de la página web del BOCYL. SEGUNDO: El 10 de agosto de 2016 la inspección de datos de esta agencia constató los hechos denunciados: la publicación en el BOCYL de 1 de abril de 2015 con los datos personales de la denunciante. En el buscador del BOCYL se utilizó como criterio el apellido “ B.B.B.” y el periodo del 30 de marzo al 3 de abril de 2015 sin que se obtuvieran resultados. Con el buscador Google, se obtuvo un único enlace a un boletín de fecha 9 de septiembre de 2006 y cuyo contenido no tiene relación con los hechos denunciados. TERCERO: Requerida información a la Dirección General de Salud Pública de la Consejería de Sanidad de la Junta de Castilla y León, se aportan todos los datos correspondientes a la práctica de la notificación de la propuesta de resolución del procedimiento disciplinario ***EXPTE.1. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este caso ese deber de secreto implica que la Dirección General de Salud Pública de la Consejería de Sanidad de la Junta de Castilla y León no puede revelar ni dar a conocer datos personales a terceros no autorizados, salvo con consentimiento de los afectados o en los casos autorizados por la ley. En el caso presente se ha constatado, por la Inspección de esta Agencia Española de Protección de Datos, que en el BOCYL de 1 de abril de 2015 está publicada la notificación de una propuesta de resolución del expediente disciplinario ***EXPTE.1 de la Dirección General de Salud Pública, en la que figuran los datos personales (nombre, apellidos y NIF) de la denunciante de este procedimiento. La Dirección General de Salud Pública, Consejería de Sanidad de la Junta de Castilla y León ha manifestado a la apertura del procedimiento de declaración de infracción que no se ha vulnerado el artículo 10 de la LOPD porque los datos personales publicados en el BOCYL han sido adecuados y no excesivos, en cumplimiento de lo dispuesto en el artículo 61 de la LRJAPPAC y han sido los datos mínimos e imprescindibles que posibilitasen el conocimiento por parte de la denunciante de la existencia de la propuesta de resolución en materia disciplinaria. Expone que no se ha vulnerado el deber de confidencialidad de los datos personales de la denunciante sino que se ha salvaguardado el derecho a la tutela judicial efectiva con la menor injerencia en su derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 los datos personales. La Dirección General denunciada comunica en su escrito de alegaciones que en relación con la práctica de la notificación, estima que la vía apropiada para plantear los posibles defectos de forma en el procedimiento es a través de los diferentes medios de defensa de los que dispone y que ha hecho valer la interesada a lo largo del procedimiento disciplinario, así como a través de la interposición del correspondiente recurso contencioso administrativo, que también ejercitó la interesada. Respecto de esta cuestión, expone que ya se ha pronunciado el propio Juzgado de lo Contencioso Administrativo n° 1 de Segovia, en Sentencia n° ***/2016, de 7 de marzo de 2016, desestimando todas las alegaciones de defectos formales y materiales del procedimiento disciplinario planteadas por la denunciante y declarando ajustada a derecho la Resolución de la Secretaría General de la Consejería de Sanidad de 15 de mayo de 2015. Solicita la Dirección General denunciada, el archivo del procedimiento porque no se ha vulnerado el artículo 10 de la LOPD, y se han salvaguardado los derechos fundamentales de la denunciante: el derecho fundamental a la protección de sus datos personales y el derecho fundamental a la tutela judicial efectiva, como así ha reconocido la Sentencia nº ***/2016, de 7 de marzo de 2016, del Juzgado de lo Contencioso Administrativo nº 1 de Segovia, que ha adquirido firmeza. Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, vigente cuando se produjeron los hechos denunciados, expone en su artículo 59 todo lo referente a la práctica de la notificación, y en su punto 5 el procedimiento a seguir cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar. Por otra parte, el artículo 61 establece lo siguiente: "Indicación de notificaciones y publicaciones. Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario Oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento." Del examen de lo publicado por la Dirección General denunciada, en el BOCYL se considera que la información incluida se corresponde con lo previsto en el artículo 61 de la Ley 30/1992 LRJAPPAC, a saber: una somera indicación del contenido del acto, del lugar donde la interesada puede comparecer para conocer el contenido íntegro del acto en el plazo que se establece. El texto publicado en el Boletín Oficial es el siguiente: “NOTIFICACIÓN de la Dirección General de Salud Pública, por la que se comunica la Propuesta de Resolución del expediente disciplinario. Exte.: ***EXPTE.1.” Este contenido se estima asimilable a la “somera indicación del contenido del acto” que el citado artículo 61 establece cuando el órgano competente aprecie que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos. En el presente caso, la Dirección General denunciada consideró la concurrencia de esta circunstancia en la notificación a realizar, acogiéndose a lo previsto en la LRJPAC para estos casos. Por todo ello se considera proporcionada y no excesiva la publicación realizada. Consideración que, como acredita la Dirección General de Salud en sus alegaciones al acuerdo de inicio de este procedimiento, comparte el Juzgado de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Contencioso Administrativo n° 1 de Segovia, que en Sentencia n° ***/2016, de 7 de marzo de 2016, desestima todas las alegaciones de defectos formales y materiales del procedimiento disciplinario planteadas por la denunciante y declarando ajustada a derecho la Resolución de la Secretaría General de la Consejería de Sanidad de 15 de mayo de 2015. Por otra parte, en la consulta realizada por la Inspección de Datos se comprobó que los datos personales de la denunciante contenidos en la publicación, no eran accesibles desde los buscadores de internet. El artículo 6 de la LOPD que regula el principio del consentimiento del interesado para el tratamiento de sus datos y en su apartado 1 dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Visto lo que establece el artículo 61 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en vigor cuando se produjeron los hechos denunciados, cabe concluir que la Dirección General de Salud Pública, Consejería de Sanidad de la Junta de Castilla y León se encuentra legitimada para la publicación realizada en el BOCYL de los datos personales de la denunciante de este procedimiento sin que sea preciso su consentimiento porque una ley habilita dicho tratamiento de datos personales. En consecuencia, la entidad denunciada se encuentra habilitada legalmente para la publicación de los datos personales de la denunciante realizada el 1 de abril de 2015 en el BOCYL sin contar con su consentimiento. Por tanto se concluye que no se aprecian indicios de vulneración de la normativa vigente en materia de protección de datos, por lo que se procede al archivo de las presentes actuaciones. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las actuaciones seguidas a la Dirección General de Salud Pública, Consejería de Sanidad de la Junta de Castilla y León por infracción del artículo 10 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la Dirección General de Salud Pública, Consejería de Sanidad de la Junta de Castilla y León. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es