AAPP-00066-2015

1/6 Procedimiento Nº AP/00066/2015 RESOLUCIÓN: R/03283/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00066/2015, instruido por la Agencia Española de Protección de Datos al SERVICIO ANDALUZ DE EMPLEO, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de noviembre de 2014 el Director de la Agencia Española de Protección de Datos resolvió declarar que el Servicio Andaluz de Empleo ha infringido lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. En el mismo acuerdo el Director resolvió requerir al Servicio Andaluz de Empleo, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite, en el plazo de un mes desde este acto de notificación ante esta Agencia, haber adoptado las medidas necesarias para que el personal de las Unidades de Orientación conozca de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones, así como haber dado instrucciones precisas para que los encargados del tratamiento de los datos contenidos en el fichero ASESORAMIENTO Y ORIENTACIÓN, del que es responsable, adopten el resto de medidas a las que se refiere el artículo 12 de la LOPD, desarrolladas en el Título VIII del Real Decreto 1720/2007. Al objeto de comprobar el cumplimiento de dicho requerimiento se abre expediente de actuaciones previas B.B.B.. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD SEGUNDO: Con fecha 9 de diciembre de 2014 el Defensor del Pueblo acusó recibo de la Resolución dictada al Servicio Andaluz de Empleo en el procedimiento AP/00032/2014 y solicita que se le informe de las actuaciones que lleve a cabo esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado. TERCERO: En fecha 7/01/2015 se recibe escrito en esta Agencia del Servicio Andaluz de Empleo de 22/12/2014, en el que comunicaban: “Con fecha de registro de entrada de 25 de noviembre de 2014 se ha recepcionado en esta Agencia Servicio Andaluz de Empleo, Resolución de 18 de noviembre de 2014, del Director de la Agencia Española de Protección de Datos, con n° R/02126/2014 recaída en el procedimiento de referencia, que ha sido instruido en virtud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 de denuncia presentada por D. A.A.A.. […] En respuesta a dicho requerimiento, les comunicamos que desde el Servicio Andaluz de Empleo se está trabajando en la elaboración de un documento de características similares a la Guía de Buenas Prácticas en el Servicio Andaluz de Empleo en materia de Protección de Datos Personales, de la cual adjuntamos una copia a modo de ejemplo, como Anexo 1. El documento que se encuentra en elaboración contendrá las instrucciones precisas para que los encargados del tratamiento de los datos contenidos en el fichero ASESORAMIENTO Y ORIENTACIÓN, fichero del que es responsable el Servicio Andaluz de Empleo, adopten las medidas establecidas en la LOPD y en su normativa de desarrollo, tal y como se nos requiere, mediante un lenguaje sencillo y accesible, con el que se pretende concienciar y trasladar la cultura de Protección de Datos Personales de una manera altamente comprensible, subrayando la obligación que nos compete a todos de cumplir con la normativa vigente en materia de Protección de Datos Personales. Este documento que se encuentra en elaboración, será remitido a la Agencia Española de Protección de Datos tan pronto como sea posible, dando con ello cumplida respuesta al requerimiento recibido…” CUARTO: Con fecha 27/08/2015 el Subdirector General de Inspección de Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00032/2014, exponiendo: <<…En fecha 7/01/2015 se recibe escrito en esta Agencia de ese Servicio Andaluz de Empleo de 22/12/2014 (…), en el que comunicaban (…) En el marco de las presentes actuaciones de inspección, B.B.B., que caducarán el próximo 19 de noviembre, y sin que hasta la fecha se haya recibido el referido documento, se solicita, en uso de las facultades conferidas por el artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que en el plazo de diez días hábiles remitan a esta Agencia documentación acreditativa de que se ha atendido el requerimiento contenido en la citada Resolución del Director… >> Dicho escrito fue notificado a la citada entidad por el Servicio de Correos con acuse de recibo de 4 de septiembre. QUINTO: Con fecha 9/11/2015 se recibe correo electrónico del Servicio Andaluz de Empleo remitiendo copia de escritos trasladando copia de la GUÍA DE BUENAS PRÁCTIAS EN SEGURIDAD DE LA INFORMACIÓN que con la misma fecha enviaban por correo ordinario y que tuvieron entrada en esta esta Agencia el 16 y 17 de noviembre de 2015. En la citada Guía se establece en el apartado 6: “…Correo Electrónico: (…) 5. En caso de que tengas que enviar un correo a más de una dirección, no olvides poner a los destinatarios en copia oculta (BCC ó CCO)…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 SEXTO: Con fecha 13 de noviembre de 2015 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio Andaluz de Empleo por la presunta infracción del artículo 37.1.
2. f)de la LOPD, tipificada como grave en el artículo 44.3.
3. i)de dicha norma. SÉPTIMO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 9 de diciembre de 2015 se recibió en esta Agencia escrito de alegaciones del Servicio Andaluz de Empleo manifestando: “…Que con fecha de registro de salida de 9 de noviembre de 2015 y en relación al Procedimiento AP/00032/2014, se remitió oficio mediante el que se adjuntaba la Guía de Buenas Prácticas en Seguridad de la Información elaborada por el Servicio Andaluz de Empleo, esperando dar cumplida respuesta al requerimiento contenido en la Resolución del Director de la Agencia R/02126/2014, recaída en el procedimiento AP/00032/2014. Se adjunta copia del citado oficio, a los efectos oportunos. Asimismo se manifiesta que (…) se ha mantenido conversación telefónica (…), por lo que es probable que se haya producido un cruce de fechas entre ambos documentos…” HECHOS PROBADOS PRIMERO: Con fecha 18 de noviembre de 2014 el Director de la Agencia Española de Protección de Datos resolvió declarar que el Servicio Andaluz de Empleo ha infringido lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
4. d)de dicha norma. En el mismo acuerdo el Director resolvió requerir al Servicio Andaluz de Empleo, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite, en el plazo de un mes desde este acto de notificación ante esta Agencia, haber adoptado las medidas necesarias para que el personal de las Unidades de Orientación conozca de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones, así como haber dado instrucciones precisas para que los encargados del tratamiento de los datos contenidos en el fichero ASESORAMIENTO Y ORIENTACIÓN, del que es responsable, adopten el resto de medidas a las que se refiere el artículo 12 de la LOPD, desarrolladas en el Título VIII del Real Decreto 1720/2007. Al objeto de comprobar el cumplimiento de dicho requerimiento se abre expediente de actuaciones previas B.B.B.. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD (folios 1 a 15). SEGUNDO: Con fecha 9 de diciembre de 2014 el Defensor del Pueblo acusó recibo de la Resolución dictada al Servicio Andaluz de Empleo en el procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 AP/00032/2014 y solicita que se le informe de las actuaciones que lleve a cabo esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado (folio 16). TERCERO: En fecha 7/01/2015 se recibe escrito en esta Agencia del Servicio Andaluz de Empleo de 22/12/2014, en el que comunicaban: “Con fecha de registro de entrada de 25 de noviembre de 2014 se ha recepcionado en esta Agencia Servicio Andaluz de Empleo, Resolución de 18 de noviembre de 2014, del Director de la Agencia Española de Protección de Datos, con n° R/02126/2014 recaída en el procedimiento de referencia, que ha sido instruido en virtud de denuncia presentada por D. A.A.A.. […] En respuesta a dicho requerimiento, les comunicamos que desde el Servicio Andaluz de Empleo se está trabajando en la elaboración de un documento de características similares a la Guía de Buenas Prácticas en el Servicio Andaluz de Empleo en materia de Protección de Datos Personales, de la cual adjuntamos una copia a modo de ejemplo, como Anexo 1. El documento que se encuentra en elaboración contendrá las instrucciones precisas para que los encargados del tratamiento de los datos contenidos en el fichero ASESORAMIENTO Y ORIENTACIÓN, fichero del que es responsable el Servicio Andaluz de Empleo, adopten las medidas establecidas en la LOPD y en su normativa de desarrollo, tal y como se nos requiere, mediante un lenguaje sencillo y accesible, con el que se pretende concienciar y trasladar la cultura de Protección de Datos Personales de una manera altamente comprensible, subrayando la obligación que nos compete a todos de cumplir con la normativa vigente en materia de Protección de Datos Personales. Este documento que se encuentra en elaboración, será remitido a la Agencia Española de Protección de Datos tan pronto como sea posible, dando con ello cumplida respuesta al requerimiento recibido…” (folios 32 a 45). CUARTO: Con fecha 27/08/2015 el Subdirector General de Inspección de Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00032/2014, exponiendo: <<…En fecha 7/01/2015 se recibe escrito en esta Agencia de ese Servicio Andaluz de Empleo de 22/12/2014 (…), en el que comunicaban (…) En el marco de las presentes actuaciones de inspección, B.B.B., que caducarán el próximo 19 de noviembre, y sin que hasta la fecha se haya recibido el referido documento, se solicita, en uso de las facultades conferidas por el artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que en el plazo de diez días hábiles remitan a esta Agencia documentación acreditativa de que se ha atendido el requerimiento contenido en la citada Resolución del Director… >> Dicho escrito fue notificado a la citada entidad por el Servicio de Correos con acuse de recibo de 4 de septiembre (folios 52 a 55). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 QUINTO: Con fecha 9/11/2015 se recibe correo electrónico del Servicio Andaluz de Empleo remitiendo copia de escritos trasladando copia de la GUÍA DE BUENAS PRÁCTIAS EN SEGURIDAD DE LA INFORMACIÓN que con la misma fecha enviaban por correo ordinario y que tuvieron entrada en esta esta Agencia el 16 y 17 de noviembre de 2015. En la citada Guía se establece en el apartado 6: “…Correo Electrónico: (…) 5. En caso de que tengas que enviar un correo a más de una dirección, no olvides poner a los destinatarios en copia oculta (BCC ó CCO)…” (folios 73 a 95). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
6. f)de la LOPD señala que “son funciones de la Agencia de Protección de Datos:
7. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento y de la información remitida por el Servicio Andaluz de Empleo se desprende que han adoptado las medidas correctoras solicitadas y que han atendido el requerimiento efectuado en la resolución de 18 de noviembre de 2014 del Director de la Agencia Española de Protección de Datos, con anterioridad a la apertura del presente procedimiento de Declaración de Infracción de Administraciones Públicas, por lo que procede el archivo del mismo. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad al SERVICIO ANDALUZ DE EMPLEO, por los hechos imputados en el presente procedimiento de Declaración de Infracción de Administraciones Públicas. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO ANDALUZ DE EMPLEO y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es