AAPP-00064-2014

1/20 Procedimiento Nº AP/00064/2014 RESOLUCIÓN: R/00795/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00064/2014, instruido por la Agencia Española de Protección de Datos a la XUNTA DE GALICIA, Consellería de Traballo e Benestar, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de enero de 2014 tiene entrada en esta Agencia un escrito de Dª. A.A.A.), en el que denuncia que, el Punto de encuentro de A Coruña, cuyo responsable es la Xunta de Galicia, es gestionado en la actualidad por la Fundación Meniños, no obstante, hasta el año 2012 lo gestionaba la Asociación Fonseca, dicho Punto de Encuentro fue cerrado y trasladados sus expedientes al actual Punto de Encuentro. Se desconoce el paradero de los expedientes de menores que no se han derivado al nuevo Centro. Asimismo, denuncia, que a la entrada del Punto de Encuentro se coloca un LibroRegistro donde han de anotar los datos del menor, nombre del progenitor y fecha y hora, es un registro manual, sin comprobación de identidad a la vista de todas las personas que allí acuden, quedando dicha información a la vista de cualquier persona que asista. Además, manifiesta que a la entrada del Centro existe una cámara de video visible, no existiendo información ni autorización de los usuarios. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fechas 22 y 23 de octubre de 2014, se realiza visita de inspección en las instalaciones de la Consellería de Trabajo y Bienestar de la Xunta de Galicia, encontrándose presente la Directora Técnica de la Fundación Meniños, poniéndose de manifiesto los siguientes hechos: 2. La representante de la Xunta de Galicia realiza las siguientes declaraciones ante las cuestiones planteadas por las inspectoras 2.1. La Consellería de Traballo e Benestar de la Xunta de Galicia (en adelante la Conselleria), como responsable en exclusiva en materias de asistencia social, entre las que se encuentra la gestión autonómica de los sectores de familia, menores e inclusión social, tenía firmado un Acuerdo con la Compañía de Jesus para la gestión del Punto de Encuentro Familiar FONSECA, el cual prestó sus servicios en el periodo comprendido entre el año 2002, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 aproximadamente y 2012, fecha en la que manifestó su deseo de cesar en sus funciones. 2.2. En ese momento el edificio de la Consellería Santiago Apóstol, se estaba reconvirtiendo en un Centro de Atención a personas con discapacidad, quedando espacio libre, por lo que se decidió ubicar allí el nuevo Punto de Encuentro Familiar (en adelante P.E.F). 2.3. Para su gestión, la Conselleria suscribe un Convenio de colaboración con la Fundación Meniños, con fecha 31 de diciembre de 2012, con la finalidad del desarrollo de un programa de orientación y mediación familiar a través de un servicio de Punto de Encuentro en la ciudad de A Coruña. La Fundación Meniños es la encargada de toda la gestión llevada a cabo en dicho P.E.F. Dicho Convenio es renovado cada año, no obstante en el contrato suscrito con fecha 1 de enero de 2014 falta un anexo relativo a protección de datos y autorización a la Fundación Meniños a la subcontratación de servicios. No obstante, hablarán con la Sede de Santiago de Compostela con relación a este aspecto. Todos los usuarios del P.E.F. son remitidos desde los Juzgados, mediante una Orden judicial o bien desde los servicios de protección de menores de la Xunta de Galicia. 2.4. Para poder comenzar con la gestión, con fecha 18 de diciembre de 2012, el responsable del Punto de Encuentro FONSECA, traslada toda la documentación existente en sus instalaciones, en archivadores cerrados, excepto los expedientes necesarios para su funcionamiento hasta el 31 de diciembre, fecha en la que concluían sus servicios. Con fecha 2 de enero de 2013, desde el Centro FONSECA se procede al traslado de los expedientes que aún estaban en su poder, junto con un CD que contenía el listado completo de expedientes entregados por FONSECA. Desde esa fecha todos los expedientes se encontraban custodiados en el P.E.F. que gestionaba la Fundación Meniños, ningún expediente fue trasladado a otro lugar. Desde la Consellería se remitió carta a todos los Juzgados que habían emitido Órdenes Judiciales en este sentido, informándoles del cambio de gestión de servicio. 2.5. Con respecto a los usuarios de dichos servicios, la representante de la Consellería manifiesta, que desde el Centro FONSECA, se dio información verbal a los mismos, además se colocaron carteles informativos, remitidos desde la propia Conselleria, ya que en muchos casos no disponían de las direcciones de los interesados en los expedientes. 2.6. La Conselleria cuenta con un fichero inscrito en el Registro General de Protección de Datos, denominado GESTION DE SERVICIOS SOCIALES, donde se incluyen, entre otros, las bases de datos generadas desde el P.E.F. en la recogida de datos de sus usuarios. 3. La representante de la Fundación Meniños, manifiesta que: 3.1. En la actualidad el P.E.F. custodia aproximadamente 500 expedientes cerrados y unos 130 activos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 3.2. Para la gestión del P.E.F., La Fundación Meniños contaba con una aplicación que utilizaba sus propios servidores para el almacenamiento de la información. No obstante, con fecha 1 de junio de 2014, suscribió un “CONTRATO DE SERVICIOS INFORMÁTICOS EN LA NUBE”, con la empresa INXENIALAB, S.L., con la finalidad de gestión y mantenimiento de la información de los usuarios del P.E.F., así como del alta de usuarios y perfiles de los trabajadores que acceden a la aplicación. Asimismo, ofrecen el servicio de software y hardware. 3.3. La información es almacenada en los servidores que se encuentran alojados en el Centro de Datos de INTERXION, en Madrid, cuya comercializadora es Dinahosting, con quien INXENIALAB, S.L., suscribió un Acuerdo para el alojamiento de la información en el CPD de INTERXION. No cuentan con el correspondiente contrato, pero si cuentan con la copia de las facturas abonadas por INXENIALAB a Dinahosting, emitidas a nombre del titular de la entidad pagadora. 4. Las inspectoras de la Agencia se trasladan al P.E.F. ubicado en la (C/........1) de A Coruña, con la finalidad de realizar comprobaciones sobre las medidas de seguridad implantadas y el funcionamiento de la aplicación. La representante de Meniños realiza las siguientes declaraciones: 4.1. En el P.E.F. solo trabajan tres técnicos, que son los que llevan a cabo toda la gestión de los usuarios del P.E.F., únicamente ellos tienen acceso tanto al sistema informático como a los archivos de los expedientes en papel. Además, todos ellos han firmado una cláusula de confidencialidad al suscribir sus contratos de trabajo. 4.2. Cuando los usuarios son derivados al P.E.F. desde los Juzgados o servicios de menores, se realiza una primera entrevista para recabar toda la información necesaria para la gestión de los servicios que allí se prestan. Asimismo se les informa de un Reglamento de régimen interno, y se les entrega una copia, en el que figura unas normas de funcionamiento de los servicios, entre los que se encuentran la prohibición de grabar voz, imágenes o hacer fotografías, dentro de las instalaciones del P.E.F. 4.3. Asimismo, son informados sobre el tratamiento de los datos de carácter personal, así como del ejercicio de los derechos de acceso, rectificación, cancelación y oposición, debiendo firmar el documento, que se adjunta con el Acta de inspección. 5. Con relación a la información proporcionada a los usuarios sobre el contenido del documento que suscriben como usuarios del P.E.F. y con relación al fichero donde se incluyen sus datos, que según consta en el impreso aparece como fichero de la Fundación, la representante de la Fundación Meniños manifestó que en las fechas en las que se realiza la inspección, se encuentran en fase de revisión, ya que el responsable del fichero es la Conselleria, por lo que han procedido a cambiar dicha información y van a proceder a solicitar a todos los usuarios del P.E.F. que los vuelvan a suscribir. 6. Cuando un usuario llega a las instalaciones del P.E.F. debe cumplimentar una hojaregistro con los siguientes datos: Hora, Iniciales de nombre y apellidos del menor, Iniciales de Nombre y Apellidos del adulto, Relación con el menor (parentesco materno o paterno) y firma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 7. Las inspectoras de la Agencia solicitan el acceso a la NUBE, donde se encuentra toda la información relativa al P.E.F. y sus usuarios, realizándose las siguientes comprobaciones: 7.1. Se verifica que en la NUBE.MENINOS.ORG. entrada a la aplicación figura el literal 7.2. Se verifica que es necesario identificarse con usuario y contraseña para poder acceder a la misma. 7.3. Se verifica que existe la opción de acceso a otros servicios de la NUBE y a la aplicación MENIÑOS, donde también es necesario identificarse con usuario y contraseña, para poder acceder. 7.4. Se verifica que existe la opción de “Nuevo expediente” y “Búsqueda de expediente”. Se comprueba que en el menú lateral existen diferentes opciones para todas las fases de tramitación de los expedientes, desde la Admisión hasta la creación de Informes de seguimiento e Informes finales. 7.5. Los Informes emitidos son guardados en un fichero ubicado en la NUBE fuera de la aplicación MENIÑOS. 7.6. En la actualidad no cuentan con el registro de los accesos a la aplicación que gestiona los datos de los usuarios del P.E.F. La representante de la Fundación Meniños, se pone en contacto con el representante de la empresa INXENIALAB, ante lo que manifiesta que en la actualidad solo se conservan durante siete días, pero que se están realizando modificaciones en la aplicación para mantenerlos dos años. 8. Con relación al Archivo de expedientes en papel, la representante de la Fundación Meniños, manifiesta que: 8.1. Los expedientes que no están activos se encuentran en un armario cerrado con llave, ubicado dentro del recinto donde se encuentran las oficinas del P.E.F. Se verifica que para acceder al armario, hay que abrir la puerta del recinto, que se encuentra cerrada con llave y luego acceder al armario el cual también está cerrado con llave. Asimismo, se verifica que en el interior del armario, se encuentran varias carpetas ordenadas por años, las cuales contienen expedientes, que según manifiesta la representante de la Fundación Meniños, corresponden a los usuarios tanto del actual P.E.F. como del Centro FONSECA. La representante del P.E.F. manifiesta que hasta el momento no se ha destruido ningún expediente. 8.2. Los expedientes con Procedimientos Abiertos, se encuentran almacenados en archivadores metálicos en el despacho donde tienen su puesto de trabajo los tres técnicos. Se verifica que existen tres archivadores metálicos cerrados con llave. 8.3. Únicamente los tres técnicos tienen acceso a dichos expedientes, no obstante no se registran estos accesos, aunque como se está realizando una auditoria, tienen pensado generar un documento donde se registre que usuario accede a cada expediente, el día y la hora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 9. Las inspectoras de la Agencia solicitan información a la representante de Fundación Meniños, con relación a una cámara, que al parecer se encontraba instalada en las instalaciones, ante lo que manifiesta que en las instalaciones del P.E.F. nunca ha existido una cámara, hecho que se verifica en ese momento. 10. Con relación al Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde consten las medidas de seguridad establecidas para asegurar la salvaguarda y confidencialidad de los datos que obran en su poder, para el servicio prestado, se verifica la existencia de dicho Documento de Seguridad, que en la actualidad se encuentra en proceso de actualización. El nuevo Documento fue remitido a la Agencia por la Fundación Meniños, con fechas 07/11/2014. 11. Con relación al Acuerdo entre la Conselleria y la Fundación, donde se implementa la cláusula de Protección de Datos y la Autorización a la Fundación para la subcontratación de servicios, hasta la fecha no ha sido remitido por la Xunta de Galicia en la Sede de Santiago de Compostela. TERCERO: Con fecha 19 de diciembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas la XUNTA DE GALICIA, Consellería de Traballo e Benestar por la presunta infracción de los artículos 9.1 y 12.2 de dicha norma, tipificadas como grave y leve en los artículos 44.3.

1. h)y 44.2.
2. d)respectivamente de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Pública, la XUNTA DE GALICIA, Consellería de Traballo e Benestar presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “TRATAMIENTO DE DATOS PERSONALES. 1.- El 31 de diciembre de 2012, se firma el primer convenio de colaboración entre la Consellería de Trabajo y Bienestar y la Fundación Meniños para la gestión del Punto de Encuentro Familiar (PEF) de A Coruña. En la cláusula novena de dicho convenio se señala que ambas partes garantizan la total confidencialidad de los datos personales y familiares a los que tengan acceso como consecuencia de las actividades a realizar, de acuerdo con la Ley orgánica 15/1999, de 13 de diciembre. 2.- Para dar cumplimiento a dicha cláusula, y en cumplimiento del artículo 12 de la Ley orgánica 15/1999, de 13 de diciembre, en esta misma fecha (31 de diciembre de 2012), se firma el contrato sobre protección de datos del punto de encuentro familiar de A Coruña, entre la Secretaría General Técnica de la Consellería de Trabajo y Bienestar, como responsable del fichero, y la Fundación Meniños. En ese contrato se señala como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 encargado del tratamiento de datos dicha Fundación Meniños. Para la realización de dicho servicio es necesario que el encargado del tratamiento acceda a la información contenida en los ficheros cuya titularidad es del responsable del fichero. El encargado del tratamiento tratará los datos de conformidad con las instrucciones del responsable del fichero y sólo con la finalidad y uso exclusivamente necesario para la realización del convenio de colaboración o contrato necesario, no pudiendo ser usados para un fin distinto. Los datos personales a los que tenga acceso la encargada del tratamiento no serán comunicados a terceros, ni siquiera para su conservación. El encargado del tratamiento responderá directamente, conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del fichero. (…) MEDIDAS DE SEGURIDAD. (…) Tal como consta en el acuerdo de inicio de procedimiento de declaración de infracción, únicamente los tres técnicos contratados por la Fundación Meniños para la gestión del PEF tienen acceso a los expedientes. Estos técnicos han firmado una cláusula de confidencialidad al firmar sus contratos de trabajo. Teniendo en cuenta la existencia de medidas de seguridad, por lo que respecta al archivo de expedientes concretamente en papel, se ha implementado un sistema de acceso (ya existente en el tratamiento informatizado), en el que se genera un documento en el cual se registra el usuario que accede a cada expediente, el día y la hora (se aporta con este escrito de alegaciones el sistema implementado). (…) PRINCIPIO DE PROPORCIONALIDAD. (…9 Se ha actuado en todo momento de buena fe, tratando de cumplir con la normativa vigente en materia de protección de datos y con la convicción de que las actuaciones eran conforme a derecho, así consta en el expediente que se han observado la mayoría de las medidas de seguridad contempladas en la legislación vigente, y se ha colaborado diligentemente en la corrección de los posibles incumplimientos detectados. En virtud de lo expuesto, SOLICITO, que teniendo por presentado el presente escrito con las alegación que en él se contienen, en el plazo establecido, junto con los documentos que se acompaña, se dicte propuesta de archivo de las actuaciones por no haber lugar a la Declaración de Infracciones de Administraciones Públicas.” Se adjuntan al escrito de alegaciones los siguientes documentos: - Contrato sobre protección de datos do punto de encontró familiar da Coruña, de 31 de diciembre de 2012. - Documento administrativo de formalización do contrato do servizo denominado punto de encontró familiar da Coruña polo procemento aberto e tramitación urxente (expte.: 70/2014) - Control de accesos a soportes no automatizados de nivel alto para todo el equipo humano de Meniños. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 QUINTO: Con fecha 30 de marzo de 2015 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/00675/2014, así como la documental aportada por la Consellería de Traballo e Benestar de la Xunta de Galicia. SEXTO: Con fecha 21 de abril de 2015, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la XUNTA DE GALICIA, Consellería de Traballo e Benestar ha infringido lo dispuesto en el artículo 9.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
3. h)de la citada norma y que se archiven las actuaciones respecto a la vulneración del artículo 12.2 al no quedar acreditada la misma, así como que no se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la mencionada Ley porque ya han sido adoptadas. SÉPTIMO: Con fecha de entrada en la Agencia 22 de mayo de 2015, la XUNTA DE GALICIA realizó alegaciones frente a la citada propuesta de resolución en la que comunica: “Con respecto a este punto, cabe reiterar que con el escrito de alegaciones presentado por esta Secretaría General Técnica, la Consellería de Traballo e Benestar, aporta, para los expedientes en papel, un sistema de registro de accesos en el que se genera un documento en el cual se registra el usuario que accede a cada expediente, el día y la hora. Anexo al escrito de alegaciones figuran varias hojas en las que se relacionan, en un formato tabla, las colunmas de: fechas del acceso, hora de inicio y finalización del acceso, n° expediente, persona que accede y firma de la persona que accede (como consta en la propia resolución). De esta forma se considera que ya han sido aportadas las medidas que garanticen la seguridad de los datos de carácter personal. (…) En el acuerdo de iniciación del expediente y en la propuesta de resolución no se acredita en ningún momento que el comportamiento del denunciado ocasionara un perjuicio grave para los usuarios como para motivar la imposición de la sanción, ni la existencia de intencionalidad, por cuanto, se están adoptando las medidas necesarias para poder adaptarse a la normativa de protección de datos. Más aún, a raíz de la inspección se fortalecieron dichas medidas, incorporando un registro de control de acceso de las personas autorizadas como técnicos para la gestión de usuarios del PEF. Se ha actuado en todo momento de buena fe, tratando de cumplir con la normativa vigente en materia de protección de datos y con la convicción de que las actuaciones eran conforme a derecho. Así consta en el expediente que se han observado la mayoría de las medidas de seguridad contempladas en la legislación vigente, y se ha colaborado diligentemente en la corrección de los posibles incumplimientos detectados. De conformidad con las medidas expuestas, esta Secretaría General Técnica aporta los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 registros de accesos a datos contenidos en ficheros no automatizados de datos, concernientes a los meses de enero a abril.” Concluye el escrito de alegaciones solicitando que se dicte resolución en la que se acuerde no haber lugar a la Declaración de Infracción de las Administraciones Públicas. Se solicita también copia de varios documentos del expedinte. HECHOS PROBADOS PRIMERO: La Consellería de Traballo e Benestar de la Xunta de Galicia, es la responsable en materias de asistencia social entre las que se encuentra la gestión autonómica de los sectores de familia, menores e inclusión social. Tenía firmado un Acuerdo con la Compañía de Jesus para la gestión del Punto de Encuentro Familiar FONSECA, que prestó sus servicios en el periodo comprendido entre el año 2002, aproximadamente y 2012, fecha en la que esa entidad manifestó su deseo de cesar en sus funciones. SEGUNDO: En la visita de inspección de esta Agencia llevada a cabo los días 22 y 23 de octubre de 2014, las inspectoras constataron que la Conselleria suscribió un Convenio de colaboración con la Fundación Meniños, con fecha 31 de diciembre de 2012, con la finalidad de desarrollar un programa de orientación y mediación familiar a través de un servicio de Punto de Encuentro Familiar en la ciudad de A Coruña. La Fundación Meniños es la encargada de toda la gestión llevada a cabo en dicho P.E.F de A Coruña. Este Convenio se renueva cada año de manera que el 1 de enero de 2014 se firmó otro y el 1 de julio de ese mismo año se firmó una adenda. Durante la inspección se advirtió que faltaba un anexo relativo a protección de datos personales. TERCERO: La Conselleria cuenta con un fichero de datos personales inscrito en el Registro General de Protección de Datos, denominado GESTION DE SERVICIOS SOCIALES, donde se incluyen, entre otros, los datos personales generados desde el P.E.F. en la recogida de datos de sus usuarios. CUARTO: En el curso de la visita de inspección de esta Agencia los días 22 y 23 de octubre de 2014, las inspectoras de la Agencia se trasladan al P.E.F. situado en la (C/........1) de A Coruña, para la comprobación de las medidas de seguridad implantadas y el funcionamiento de la aplicación. La representante de la Fundación Meniños realiza las siguientes declaraciones: La gestión del PEF se lleva a cabo por los tres técnicos que trabajan en él, que son quienes únicamente tienen acceso tanto al sistema informático como a los archivos de los expedientes en papel. Todos ellos han firmado una cláusula de confidencialidad al suscribir sus contratos de trabajo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 QUINTO: Durante la inspección se accedió al fichero automatizado donde se encuentran los datos personales del P.E.F., realizándose las siguientes comprobaciones: Que en la entrada a la aplicación figura el literal NUBE.MENINOS.ORG y que es necesario identificarse con usuario y contraseña para poder acceder. La representante de la Fundación Meniños, se pone en contacto con el representante de la empresa INXENIALAB, quien manifiesta que en la actualidad los registros de los accesos a la aplicación solo se conservan durante siete días, pero que se están realizando modificaciones para mantenerlos dos años. SEXTO: Con relación al Fichero no automatizado, se comprueba que: Los expedientes que no están activos se encuentran en un armario cerrado con llave, en las oficinas del P.E.F, según manifiesta la representante de la Fundación Meniños, corresponden a los usuarios tanto del actual P.E.F. como del Centro FONSECA. La representante del P.E.F. manifiesta que hasta el momento no se ha destruido ningún expediente. Los expedientes con procedimientos abiertos, se encuentran almacenados en archivadores metálicos en el despacho donde tienen su puesto de trabajo los tres técnicos. Se verifica que existen tres archivadores metálicos cerrados con llave. La representante de la Fundación Meniños manifiesta que únicamente los tres técnicos tienen acceso a dichos expedientes, que no se registran estos accesos, aunque como se está realizando una auditoria, tienen pensado generar un documento donde se registre el usuario que accede a cada expediente, el día y la hora. SÉPTIMO: En el curso de la inspección realizada por esta Agencia los días 22 y 23 de octubre de 2014, se comprobó que se disponía del Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde consten las medidas de seguridad establecidas para asegurar la salvaguarda y confidencialidad de los datos que obran en su poder, para el servicio prestado. Este documento se encontraba en ese momento en proceso de actualización y el 7 de noviembre de 2014 la Fundación Meniños envió a esta Agencia un nuevo Documento de Seguridad actualizado. OCTAVO: La Conselleria aporta, con las alegaciones al acuerdo de inicio del presente procedimiento, el “contrato sobre protección de datos del punto de encuentro familiar de A Coruña” suscrito con fecha 31 de diciembre de 2012 entre la Secretaría General Técnica de la Consejería y la Fundación Meniños. En este contrato se expone, entre otras cosas, según manifiesta en su escrito la Conselleria, que: “Para la realización de dicho servicio es necesario que el encargado del tratamiento acceda a la información contenida en los ficheros cuya titularidad es del responsable del fichero. El encargado del tratamiento tratará los datos de conformidad con las instrucciones del responsable del fichero y sólo con la finalidad y uso exclusivamente necesario para la realización del convenio de colaboración o contrato necesario, no pudiendo ser usados para un fin distinto. Los datos personales a los que tenga acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 la encargada del tratamiento no serán comunicados a terceros, ni siquiera para su conservación. El encargado del tratamiento responderá directamente, conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del fichero”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 12 de la LOPD, establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” De la lectura del citado artículo 12 se deduce que, para que concurra la figura de “el acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado permite que el responsable del fichero habilite el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de unas garantías para los afectados que el propio art. 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos para lo cual se exige que conste en un contrato. A este respecto, el art. 12 impone un requisito formal por cuanto que el contrato o bien debe constar escrito o, en todo caso, acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación. Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el art. 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En tercer lugar se impone como garantía para los afectados que no puedan producirse tratamientos ulteriores de dichos datos al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas. Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su Título VIII regula las medidas de seguridad en el tratamiento de datos de carácter personal. Para analizar esta cuestión, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
6. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 En el mismo sentido, el artículo 5.1.
7. i)del Reglamento de desarrollo de la LOPD define al encargado del tratamiento como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Igualmente, el artículo 5.1.
8. q)del Reglamento de desarrollo de la LOPD define al responsable del fichero o del tratamiento como “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Para que la relación entre el responsable y el encargado del tratamiento pueda darse y se ajuste a la Ley, es preciso que se cumplan los requisitos expresados en el artículo 12 de la LOPD. En el presente caso, la Consellería de Traballo e Benestar de la Xunta de Galicia como responsable en materias de asistencia social, entre las que se encuentra la gestión autonómica de los sectores de familia, menores e inclusión social, suscribió un primer Convenio de Colaboración con la Fundación Meniños, con fecha 31 de diciembre de 2012, con la finalidad de desarrollar un programa de orientación y mediación familiar a través de un servicio de Punto de Encuentro Familiar en la ciudad de A Coruña. Este Convenio se renueva cada año de manera que el 1 de enero de 2014 se firmó otro y el 1 de julio de ese mismo año se firmó una adenda. En la visita de inspección llevada a cabo los días 22 y 23 de octubre de 2014 por esta Agencia Española de Protección de Datos las inspectoras pudieron constar la ausencia de una referencia a los requisitos previstos en el artículo 12 de la LOPD en el convenio suscrito entre la citada Conselleria y la Fundación, relativo a la protección de datos. Por este motivo se imputa la infracción del artículo 12 de la LOPD en el acuerdo de inicio del presente procedimiento de declaración de infracción de Administraciones Públicas. La Conselleria aporta, con las alegaciones al acuerdo de incoación del presente procedimiento, el “contrato sobre protección de datos del punto de encuentro familiar de A Coruña” suscrito con fecha 31 de diciembre de 2012 entre la Secretaría General Técnica de la Consejería y la Fundación Meniños. En este contrato se expone, entre otras cosas, según manifiesta en su escrito la Conselleria, que: “Para la realización de dicho servicio es necesario que el encargado del tratamiento acceda a la información contenida en los ficheros cuya titularidad es del responsable del fichero. El encargado del tratamiento tratará los datos de conformidad con las instrucciones del responsable del fichero y sólo con la finalidad y uso exclusivamente necesario para la realización del convenio de colaboración o contrato necesario, no pudiendo ser usados para un fin distinto. Los datos personales a los que tenga acceso la encargada del tratamiento no serán comunicados a terceros, ni siquiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 para su conservación. El encargado del tratamiento responderá directamente, conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del fichero”. Manifiesta también la Conselleria que en los sucesivos convenios de colaboración para la prestación del servicio del PEF que se han firmado con la Fundación, se ha considerado prorrogado en sus mismos términos el régimen de protección de datos entre las partes establecido en el referido contrato de 31 de diciembre de 2012. En el presente caso se considera que, con la aportación del “contrato de protección de datos del punto de encuentro familiar de A Coruña” suscrito por ambas entidades el 31 de diciembre de 2012, el acceso a los datos personales precisos para la gestión del Punto de Encuentro Familiar de A Coruña por parte de la Fundación Meniños se encuentra dentro del marco del artículo 12 de la LOPD. No obstante se recomienda la actualización de los términos del contrato de protección de datos firmado el 31 de diciembre de 2012 de manera que, en cada uno de los convenios que se firmen entre el responsable del fichero y del tratamiento, y el encargado del tratamiento, figure la preceptiva referencia a los términos previstos en el artículo 12 de la LOPD respecto del acceso a los datos por cuenta de terceros. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
9. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
10. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
11. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
12. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
13. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección de datos de carácter personal, el artículo 44.3.
14. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales citadas puede afirmarse que:
15. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
16. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
17. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
18. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
19. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, como establece el artículo 81.3.
20. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. En los hechos de este procedimiento, consta probado que la Consellería de Traballo e Benestar de la Xunta de Galicia como responsable en materias de asistencia social, entre las que se encuentra la gestión autonómica de los sectores de familia, menores e inclusión social, ha suscrito Convenios de Colaboración con la Fundación Meniños con la finalidad de desarrollar un programa de orientación y mediación familiar a través de un servicio de Punto de Encuentro Familiar en la ciudad de A Coruña. Esa Conselleria cuenta con un fichero de datos personales inscrito en el Registro General de Protección de Datos, denominado GESTION DE SERVICIOS SOCIALES, donde se incluyen, entre otros, los datos personales generados desde el P.E.F. en la recogida de datos de sus usuarios. De manera que la Conselleria, en su calidad de responsable del tratamiento de los datos de los usuarios del PEF de A Coruña, debe adoptar las medidas necesarias para garantizar la seguridad de los datos de carácter personal y evitar su alteración y pérdida. En la inspección llevada a cabo en octubre de 2014 se comprobó que, con respecto al fichero automatizado de datos personales del PEF, se dispone de una serie de medidas de seguridad tales como la necesidad de identificarse con usuario y contraseña para el acceso. Por otro lado se constató también que se disponía del preceptivo Registro de Accesos previsto en el artículo 103 del Reglamento de la LOPD. Respecto del fichero no automatizado se comprobó que se encuentra protegido su acceso por medio de llave, que la representante de la Fundación encargada del tratamiento de los datos manifiesta que solo los tres técnicos que trabajan en la Fundación tienen acceso a los expedientes y que no se identifican los accesos. Las medidas de seguridad del fichero de datos personales denominado GESTION DE SERVICIOS SOCIALES cuyo responsable es la Consellería de Traballo e Benestar de la Xunta de Galicia, están calificadas como de nivel alto y como tales deberá cumplir con las medidas de seguridad de nivel básico, medio y alto. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que, en la inspección realizada por esta Agencia en octubre de 2014 se constató que el fichero no automatizado no dispone de un mecanismo que permita identificar los accesos realizados al mismo. El artículo 113 del Reglamento de la LOPD, respecto del acceso a la documentación para los ficheros no automatizados establece: “1. El acceso a la documentación se limitará exclusivamente al personal autorizado. 2. Se establecerán mecanismos que permitan identificar los accesos realizados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 el caso de documentos que puedan ser utilizados por múltiples usuarios. 3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad.” En el presente caso como ya se ha visto al tratar el artículo 12 de LOPD la Conselleria ha aportado, con las alegaciones al acuerdo de incoación del presente procedimiento, el “contrato sobre protección de datos del punto de encuentro familiar de A Coruña” suscrito con fecha 31 de diciembre de 2012 entre la Secretaría General Técnica de la Consellería y la Fundación Meniños. En el artículo 12 LOPD se establece respecto de las medidas de seguridad, que “…en el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. En el contrato sobre protección de datos ahora aportado por la Conselleria, se expone cual es la Orden por la que se regulan los ficheros de datos de carácter personal de la Conselleria, y que en ella se dispone que el fichero tiene un nivel de seguridad alto por lo que será precisa la aplicación de las medidas de seguridad previstas en el título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la ley orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal. Por otra parte se ha acreditado la adopción de las medidas de seguridad que se consideraron incumplidas en la inspección llevada a cabo por esta Agencia en la sede de la Fundación Meniños. En las alegaciones al acuerdo de inicio del presente procedimiento se aporta, para los expedientes en papel, un sistema de registro de accesos en el que se genera un documento en el cual se registra el usuario que accede a cada expediente, el día y la hora. Anexo al escrito de alegaciones figuran varias hojas en las que se relacionan, en un formato tabla, las columnas de: fechas del acceso, hora de inicio y finalización del acceso, nº expediente, persona que accede y firma de la persona que accede. En el escrito de alegaciones a la propuesta de resolución se reitera que “se están adoptando las medidas necesarias para poder adaptarse a la normativa de protección de datos. Más aún, a raíz de la inspección se fortalecieron dichas medidas, incorporando un registro de acceso de las personas autorizadas como técnicos para la gestión de usuarios del PEF”. De esta forma se considera que ya han sido adoptadas las medidas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuesto, ya provengan de la acción humana o del medio físico o natural. Sin embargo en la inspección llevada a cabo en octubre de 2014 por esta Agencia, previamente al inicio del presente procedimiento, se comprobó que, con respecto al fichero no automatizado no se disponía de un sistema por el que se identificaran los accesos. La Audiencia Nacional, en sus sentencias de 13 de junio de 2002 y de 7 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 febrero de 2003, entre otras, ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva ...”. Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos”. En definitiva, la Consellería de Traballo e Benestar de la Xunta de Galicia, no actuó con la diligencia debida al no disponer, previamente a la apertura del presente procedimiento, de las medidas de seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal, por ello, debe considerarse que ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
21. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que la Consellería de Traballo e Benestar de la Xunta de Galicia carece de las medidas de seguridad que la Ley exige al responsable del fichero, dado que se ha constatado que no se disponía de un sistema por el que se identificaran los accesos al fichero no automatizado de los datos personales de los usuarios del Punto de Encuentro Familiar de A Coruña. De acuerdo con los fundamentos anteriores, se deduce que por parte de la Consellería de Traballo e Benestar de la Xunta de Galicia se ha producido una vulneración del principio de seguridad de los datos, infracción que procede calificar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la Consellería de Traballo e Benestar de la Xunta de Galicia ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
22. h)de la citada Ley Orgánica. SEGUNDO: ARCHIVAR las actuaciones practicadas contra la Consellería de Traballo e Benestar de la Xunta de Galicia al no quedar acreditada la vulneración del artículo 12.2 de la LOPD. TERCERO: No requerir a la Consellería de Traballo e Benestar de la Xunta de Galicia, la adopción de medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la Ley Orgánica 15/1999, toda vez que se ha acreditado que ya han sido adoptadas. CUARTO: NOTIFICAR la presente resolución a la Consellería de Traballo e Benestar de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 la Xunta de Galicia y a Dª. A.A.A.. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es