AAPP-00070-2016

1/9 Procedimiento Nº AP/00070/2016 RESOLUCIÓN: R/01495/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00070/2016, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE CASTILLEJA DE LA CUESTA, vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de mayo de 2016, tiene entrada en esta Agencia un escrito remitido por Don B.B.B., en el que denuncia que, con fecha 25 de enero de 2016, el Ayuntamiento, donde presta sus servicios, le notifica una Resolución de pase a “Segunda Actividad” por disminución de aptitudes psicofísicas. En dicha notificación se incluye el cambio de situación administrativa de otros dos XXXXX. En dicha Resolución figura información sobre que dicho pase se refiere a “causas médicas descritas en el R.D. 135/2003”. Dicho Decreto incluye una serie de disminuciones tasadas, que obligatoriamente debe padecer el trabajador, para Decretar esa nueva situación Administrativa. Manifiesta el denunciante que la Administración y el Concejal Delegado de Personal, indican que no desean facilitar al denunciante, tras su ejercicio de derecho de acceso, los datos médicos que obran en el expediente del mismo. El denunciante expone que le notificaron la Resolución de la Alcaldía el 25 de enero de 2016, y entre otra, anexa la siguiente documentación: - Copia de la notificación de la Resolución de la Alcaldía de 22 de enero de 2016, donde constan los datos de otras dos personas. - Copias de los ejercicios de derecho de acceso a sus datos personales, efectuados con fechas 28 de enero de 2016 y 2 de marzo de 2016, en los que solicita el acceso a su expediente por el que se resuelve su pase a segunda actividad, incluidos los informes médicos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 22 de noviembre de 2016, se recibe escrito del Ayuntamiento de Castilleja de la Cuesta en el que se pone de manifiesto que: 1. La solicitud de pase a segunda Actividad del denunciante fue iniciada de Oficio, no así el de las otras dos personas que figuran en la Resolución, ya que en estos casos fue a solicitud de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 2. Los informes médicos que han servido de base para el pase a la segunda Actividad, no se facilitan al Ayuntamiento, al que se dirige únicamente una carta de aptitud, donde se comunica, por parte de la Sociedad de Prevención, además del Apto o no, se informa de posibles restricciones o medidas a tomar, si las hubiera, en base a la Ley 31/1995, de 8 de noviembre de Prevención de Riesgos Laborales: “el empresario y las personas u órganos con responsabilidad en materia de prevención, serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación a la aptitud del trabajador para el desempeño de su puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva”. Se adjunta informe de la Sociedad de Prevención. 3. Expone el Ayuntamiento en su escrito que no disponen de la información con datos médicos y por ello no se ha hecho entrega al denunciante de la misma, que se han notificado a los interesados todas las resoluciones que les afectan y han tenido acceso a sus expedientes completos. TERCERO: Con fecha 20 de enero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Castilleja de la Cuesta por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el apartado

1. d)del artículo 44.3 de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 13 de febrero de 2017, el Ayuntamiento de Castilleja de la Cuesta presentó escrito de alegaciones en el que, en síntesis, manifestaba que el acuerdo de inicio recibido no concreta con claridad los hechos que pudieran constituir la infracción administrativa que se imputa. Si se le imputase no haber facilitado datos médicos al denunciante, precisamente se ha aclarado que no se tenía tales datos médicos, ya que solo se les informa de si el trabajador es Apto o no Apto. Si se propone sancionar al Ayuntamiento por haber informado al denunciante del pase a segunda actividad junto con otros dos compañeros, alegar que el Decreto 135/2003, de 20 de mayo, indica en su apartado 5 que los puestos de trabajo pertenecientes al área de seguridad o a cualquier otra área municipal, destinados a segunda actividad, deberán figurar en la Relación de Puestos de Trabajo de las Respectivas Corporaciones. Por su parte, el artículo 74 del Texto Refundido del Estatuto Básico del Empleado Público dispone: Las Administraciones Públicas estructurarán su organización a través de relaciones de puestos de trabajo u otros instrumentos organizativos similares que comprenderán, al menos, la denominación de los puestos, los grupos de clasificación profesional, los cuerpos o escalas, en su caso, a que estén adscritos, los sistemas de provisión y las retribuciones complementarias. Dichos instrumentos serán públicos. Por último, el artículo 21 de la Ley Orgánica 9/2015, de 28 de julio, de Régimen de Personal de la Policía Nacional, dispone: 1. Los Policías Nacionales, cualquiera que sea su situación administrativa, deberán figurar en una relación escalafonal y circunstanciada, en la que se ordenarán por categorías y, dentro de cada una de ellas, por su antigüedad en la misma, entendiendo como tal el servicio efectivo prestado en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 categoría de que se trate y atendiendo, en su caso, al número de promoción obtenido en el acceso a dicha categoría. Esta relación se mantendrá actualizada y se publicará al menos anualmente, en la forma que reglamentariamente se establezca. 2. Los Policías Nacionales en situación de segunda actividad figurarán en un anexo de la citada relación. Si se ha notificado a los tres funcionarios el pase a la segunda actividad es porque se acumularon al guardar identidad sustancial o intima conexión, como establece al artículo 73 de la Ley 30/1992, de 26 de noviembre. Por todo ello, se solicita el archivo de este procedimiento. QUINTO: Con fecha 20 de febrero de 2017, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas los documentos que obran en las actuaciones previas de investigación, E/03876/2016, así como la documental aportada por el Ayuntamiento de Castilleja de la Cuesta. SÉXTO: Con fecha 11 de abril de 2017, la Directora de la Agencia Española de Protección de Datos acordó el cambio de Instructor del presente procedimiento sancionador, notificándose a la entidad denunciada. SÉPTIMO: Con fecha 18 de abril de 2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE CASTILLEJA DE LA CUESTA ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. SEGUNDO: Con fecha de puesta en el Servicio de Correos de 12 y 15 de mayo de 2017, de entrada en la Agencia el día 18 del mismo mes y año, el AYUNTAMIENTO DE CASTILLEJA DE LA CUESTA realizó alegaciones frente a la citada propuesta de resolución en el que expone lo siguiente: el pase a segunda actividad está regulado en la Ley 13/2001 y el Real Decreto 135/2003. Los puestos que desempeñaran han de formar parte de la RPT y se desarrollaran preferentemente en el área de seguridad. Las RPT son públicas. El procedimiento de los tres Policías que pasaban a segunda actividad se acumuló. No se ha vulnerado el deber de secreto ya que es una información de conocimiento general, al menos para todos los policías de la plantilla. HECHOS PROBADOS PRIMERO: Don B.B.B. es ***EMPLEADO.1 en el Ayuntamiento Castilleja de la Cuesta. SEGUNDO: Con fecha 22 de enero de 2016, el Ayuntamiento Castilleja de la Cuesta notificó al Sr. B.B.B. la Resolución por el que pasaba a “segunda actividad”. TERCERO: En la notificación mencionada consta lo siguiente: “Vista al respecto la situación administrativa personal y funcionarial de los XXXXX, C.C.C. y A.A.A., así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 como del Oficial, B.B.B., ello con referencia a lo dispuesto en los artículos 15 y siguientes del expresado Decreto por causas de disminución de las aptitudes psicofísicas para el desempeño de la función policial. Vista las evaluaciones efectuadas sobre el particular por los servicios médicos y facultativos designados por este Ayuntamiento, obrantes en los respectivos expedientes de su razón, conforme a los cuales y para los mencionados funcionarios en los respectivos dictámenes se expresa que “para realizar su trabajo habitual de ***EMPLEADO.1 es No Apto” y que “el trabajador presenta causas médicas descritas en el R.D. 135/2003, de 20 de mayo, que originan el pase a la situación administrativa de segunda actividad”, o que “para realizar el trabajo habitual de ***EMPLEADO.1 en Oficina/Policía en 2ª Actividad es Apto”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El Ayuntamiento denunciado alega en primer lugar que el acuerdo de inicio del procedimiento de declaración de infracción es poco claro y no permite determinar los hechos que se le imputan. El artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, referido a los Acuerdo de iniciación en los procedimientos de naturaleza sancionadora, establece lo siguiente: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
4. a)Identificación de la persona o personas presuntamente responsables.
5. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
6. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
7. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
8. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 puedan adoptar durante el mismo de conformidad con el artículo 56.
9. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados.” El acuerdo de iniciación del procedimiento notificado al Ayuntamiento de Castilleja de la Cuesta recoge los apartados señalados; si bien se pormenorizan en la propuesta de resolución. III El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
10. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
11. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el tratamiento de datos denunciado se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 IV El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por el Ayuntamiento de Castilleja de la Cuesta, que resulta de la divulgación de los datos personales del denunciante a otros dos compañeros; los datos relativos, en particular, al motivo de una causa médica de las descritas en el Real Decreto 135/2003, de 20 de mayo, por el que se produce el pase a una segunda actividad. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar varias Sentencias dictadas por la Audiencia Nacional, que en sus Fundamentos de Derecho señalan: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
12. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el caso que nos ocupa, ha quedado acreditado que el Ayuntamiento de Castilleja de la Cuesta envió a tres Policías una sola Resolución acordando el pase a segunda actividad de los tres XXXXX, incluyendo, en concreto, que el denunciante presenta causas médicas descritas en el R.D. 135/2003, de 20 de mayo, que originan el pase a la situación administrativa de segunda actividad; mientras que en el caso de los otros dos compañeros solo hace referencia a la Aptitud para el desempeño de su trabajo habitual. Consta incorporada a las actuaciones una copia de la notificación dirigida por el Ayuntamiento de Castilleja de la Cuesta al denunciante y a sus dos compañeros; además el propio Ayuntamiento reconoce su envío. Si bien el Ayuntamiento estaba habilitado para la notificación conjunta, no lo está para indicar los motivos del pase a segunda actividad de uno de los Policías a sus dos compañeros. En definitiva, la comunicación a los dos XXXXX del motivo del pase a segunda actividad del denunciante, supone una vulneración de lo dispuesto en el citado artículo 10 de la LOPD por parte del Ayuntamiento de Castilleja de la Cuesta, entidad sobre la que recae el deber de secreto que impone dicho precepto. V La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
13. d)de la LOPD. En este precepto se establece lo siguiente: “
14. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, consta acreditado que los datos personales del denunciante referidos a causas médicas que originaban el pase a la segunda actividad, fueron divulgados a dos compañeros por el Ayuntamiento de Castilleja de la Cuesta sin que dispusiera del consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
15. d)de la LOPD. El Ayuntamiento de Castilleja de la Cuesta puede acumular los procedimientos si se dan las causas establecidas legalmente, como en la Resolución objeto de este procedimiento; lo que ha infringido la normativa de protección de datos es la inclusión del motivo del pase a segunda actividad del denunciante. Debió omitir que se trataba de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 causas médicas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE CASTILLEJA DE LA CUESTA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
16. d)de la citada Ley Orgánica. SEGUNDO: REQUERIR al AYUNTAMIENTO DE CASTILLEJA DE LA CUESTA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/03299/2017. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE CASTILLEJA DE LA CUESTA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es