1/12 Procedimiento Nº AP/00075/2015 RESOLUCIÓN: R/00401/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00075/2015, instruido por la Agencia Española de Protección de Datos a la CONSEJERÍA DE HACIENDA Y ADMINISTRACIONES PÚBLICAS DEL GOBIERNO DE ARAGÓN, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de febrero de 2015, tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante) en el que denuncia que la CONSEJERÍA DE HACIENDA Y ADMINISTRACIONES PÚBLICAS DEL GOBIERNO DE ARAGÓN (en lo sucesivo la Consejería y/o la denunciada) ha publicado en el Boletín Oficial de Aragón (BOA), de fecha 03/02/2015, la Relación de Puestos de Trabajo (RPT) de todos sus trabajadores. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia realizaron las siguientes Diligencias: 1. Diligencia de la Inspección de fecha 16 de marzo de 2015, en la que se obtiene impresión de la siguiente información obtenida a través de Internet: • Resultado del acceso a la página web del Boletín Oficial de Aragón en la dirección www.boa.araqon.es, donde se ha comprobado la publicación en el BOA del día 3/02/2015 la relación de puestos de trabajo de los departamentos del Gobierno de Aragón incluyendo NIF, nombre y apellidos de los trabajadores. 2. Diligencia de la Inspección de fecha 1 de diciembre de 2015, en la que se obtiene impresión de la siguiente información obtenida a través de Internet: • Resultado del acceso al Boletín Oficial de Aragón “ Orden de 30 de enero de 2015, del Departamento de Hacienda y Administraciones Públicas por la que publica la Relación de Puestos de Trabajo del Departamento de Sanidad, Bienestar Social y Familia y sus Organismos Autónomos, Servicio Aragonés de Servicios Sociales, Instituto Aragonés de la Mujer e Instituto Aragonés de la Juventud” en la que se hace público la relación de Puestos de Trabajo del Departamento Los datos publicados son los siguientes: nombre, apellidos, NIF, denominación del puesto, características y tareas encomendadas, titulación académica, formación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 específica, complementos salariales y observaciones. TERCERO: Con fecha 21 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONSEJERÍA DE HACIENDA Y ADMINISTRACIONES PÚBLICAS DEL GOBIERNO DE ARAGÓN por la presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3.
- b)y 44.3.d), respectivamente, de dicha norma. CUARTO: Con fecha 23 de diciembre de 2015, se procedió a la notificación del acuerdo de inicio a la denunciada, según consta en el acuse emitido por el Servicio de Correos. Notificado el acuerdo de inicio a la denunciada, la Consejería de Hacienda no ha presentado alegaciones al respecto. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.”. HECHOS PROBADOS PRIMERO: Don A.A.A. denunció ante esta AEPD que la Consejería de Hacienda y Administraciones Públicas del Gobierno de Aragón ha publicado en el Boletín Oficial de Aragón (BOA), de fecha 03/02/2015, la Relación de Puestos de Trabajo (RPT) de todos sus trabajadores (folios 1 y 6-12) SEGUNDO: Con fechas 16 de marzo y 1 de diciembre de 2015, la Inspección de Datos comprobó mediante Diligencia que continuaba colgada la citada RPT en las siguientes direcciones: • C/ Jorge Juan, 6 28001 – Madrid Resultado del acceso a la página web del Boletín Oficial de Aragón en la dirección www.boa.araqon.es, donde se ha comprobado la publicación en el BOA del día 3/02/2015 la relación de puestos de trabajo de los departamentos del Gobierno de Aragón incluyendo NIF, nombre y apellidos de los trabajadores. www.agpd.es sedeagpd.gob.es 3/12 • Resultado del acceso al Boletín Oficial de Aragón “Orden de 30 de enero de 2015, del Departamento de Hacienda y Administraciones Públicas por la que publica la Relación de Puestos de Trabajo del Departamento de Sanidad, Bienestar Social y Familia y sus Organismos Autónomos, Servicio Aragonés de Servicios Sociales, Instituto Aragonés de la Mujer e Instituto Aragonés de la Juventud” en la que se hace público la relación de Puestos de Trabajo del Departamento. (folios 13-85). TERCERO: Con fecha 23 de febrero de 2016, se accede al Boletín Oficial de Aragón de fecha 03/02/2015, en el que consta lo siguiente: 1. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo de la Presidencia del Gobierno de Aragón. 2. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Presidencia y Justicia. 3. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Hacienda y Administración Pública. 4. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Economía y Empleo y su Organismo Autónomo Instituto Aragonés de Empleo. 5. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Obras Públicas, Urbanismo, Vivienda y Transportes. 6. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Política Territorial e Interior. 7. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Agricultura, Ganadería y Medio Ambiente y del Instituto Aragonés de Gestión Ambiental. 8. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Industria e Innovación y del Centro de Investigación y Tecnología Agroalimentaria. 9. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Educación, Universidad, Cultura y Deporte. 10. ORDEN de 30 de enero de 2015, del Departamento de Hacienda y Administración Pública, por la que se publica la Relación de Puestos de Trabajo del Departamento de Sanidad, Bienestar Social y Familia y sus Organismos Autónomos: Servicio Aragonés de Salud, Instituto Aragonés de Servicios Sociales, Instituto Aragonés de la Mujer e Instituto Aragonés de la Juventud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Asimismo, se accede al Boletín Oficial de Aragón comprobándose que continúa publicada la “ Orden de 30 de enero de 2015, del Departamento de Hacienda y Administraciones Públicas por la que publica la Relación de Puestos de Trabajo del Departamento de Sanidad, Bienestar Social y Familia y sus Organismos Autónomos, Servicio Aragonés de Servicios Sociales, Instituto Aragonés de la Mujer e Instituto Aragonés de la Juventud” en la que se hace público la relación de Puestos de Trabajo del Departamento. (folios 91-102) CUARTO: Los datos personales publicados son los siguientes: nombre, apellidos, NIF, número de RPT, asociados a denominación del puesto, grupo, características y tareas encomendadas, titulación académica, formación específica, complementos salariales y observaciones (Atención continuada; Abierto a Cuerpo de Gestión Procesal; Turnicidad; Disponibilidad viajes …) (folios 13-85) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en la notificación del acuerdo de inicio del procedimiento. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción (Art. 16.3 del citado Real decreto) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” IV Por lo que respecta a las infracciones imputadas a la Consejería de Hacienda y Administraciones Públicas del Gobierno de Aragón, el artículo 6 de la LOPD, recoge: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”; En segundo lugar, el artículo 10 de la LOPD dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. El Tribunal Superior de Justicia de Madrid, en su sentencia de 16 de octubre de 2001, reitera que “el TC en su Sentencia 76/1990, de 26 de abril, nos recuerda que, aún sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho; manifestando la STC 246/1991, de 19 de diciembre, que es inadmisible en el ámbito del derecho administrativo sancionador una responsabilidad sin culpa. La Ley 30/92 ha pretendido regular la cuestión en su artículo 130.1 al consagrar el principio de responsabilidad como uno de los informadores del ejercicio de la potestad sancionadora, estableciendo que “sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia”; el último inciso “aún a título de simple inobservancia” no es muy preciso puesto que pudiera pensarse que consagra una responsabilidad objetiva sin dolo o culpa del sujeto, por lo que deberá interpretarse conforme a la doctrina aludida, así como señala la más reciente jurisprudencia del Tribunal Supremo (SS 16 y 22 de abril de 1991 y 5 de febrero de 1992) uno de los principales componentes de la infracción administrativa es el elemento culpabilista, del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.- Probablemente, el legislador de la Ley 30/92 haya pretendido aludir a que serán sancionables las infracciones meramente formales, aunque no produzcan un resultado dañosos al interés público e, igualmente, que será incriminable la culpa inconsciente o sin representación, atendiendo al aspecto normativo de la culpabilidad según el cual puede reprocharse no haber previsto lo que se podía y debía prever.” Consiguientemente, aún en el supuesto en que se hubiera padecido algún tipo de error, el mismo constituiría una falta de diligencia plenamente imputable a la entidad sancionada, con claro incumplimiento del artículo 10 (...) tipificado correctamente y sancionado como falta grave (...).” En el presente caso, partimos del hecho constatado de que el Boletín Oficial de Aragón publicó, con fecha 3 de febrero de 2015, la Relación de Puestos de Trabajo de los diferentes Departamentos y Organismos autónomos de la Comunidad Autónoma de Aragón, que aparece publicada en la dirección de Internet www.boa.araqon.es, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 información en la que figuran los datos personales de los trabajadores. La información publicada es la siguiente: nombre, apellidos, NIF, número de RPT, denominación del puesto, grupo, características y tareas encomendadas, titulación académica, formación específica, complementos salariales y observaciones (Atención continuada; Abierto a Cuerpo de Gestión Procesal; Turnicidad; Disponibilidad viajes …) (Hechos Probados Tercero a Quinto). Asimismo, consta acreditado que, con fecha 23 de febrero de 2016, dicha información continua publicada (Hechos Probados Cuarto y Quinto) Por otra parte, la Consejería de Hacienda y Administraciones Públicas del Gobierno de Aragón no ha acreditado ante esta Agencia que contara con el consentimiento de sus trabajadores para la publicación que se detalla más arriba. En consecuencia, la Consejería al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir los datos personales de funcionarios y trabajadores de la Comunidad Autónoma relativos a nombre, apellidos, NIF, número de RPT y asociados a la denominación del puesto, grupo, características y tareas encomendadas, titulación académica, formación específica, complementos salariales y observaciones (Atención continuada; Abierto a Cuerpo de Gestión Procesal; Turnicidad; Disponibilidad viajes …). Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales de cientos de personas en poder de la Consejería de Hacienda y Administraciones Públicas fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. V Procede señalar que la Ley 8/2015, de 25 de marzo, de Transparencia de la Actividad Pública y Participación Ciudadana de Aragón establece en su artículo 4 que las entidades que integran la Administración de la Comunidad Autónoma, la Administración local y organismos autónomos, entre otros, están obligadas a facilitar y mantener actualizada la información específica de su organización y actividad, así como toda aquella que se considere de utilidad para la sociedad y la actividad económica. A este respecto, cita el artículo 11, relativo a la “Publicidad activa” y el artículo 12 que hace referencia a la “Información institucional y organizativa”, en concreto en su apartado 2) que recoge lo siguiente: “asimismo, las entidades a las que se refiere el artículo 4 publicarán:
- a)las relaciones actualizadas de puestos de trabajo, catálogos de puestos o documento equivalente referidos a todo tipo de personal con indicación de sus retribuciones anuales, desglosando los diferentes complementos, en su caso, y la retribución total”. A este respecto procede señalar que el artículo 10 de la citada Ley 8/2015, recoge lo siguiente: “10. Límites a las obligaciones de transparencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 1. El acceso a la información pública podrá ser limitado por razón de la seguridad o defensa del Estado, la averiguación de los delitos, la intimidad de las personas, la protección de datos de carácter personal, la propiedad intelectual y demás límites establecidos en la legislación básica. 2. En todo caso, el principio de transparencia se considerará prevalente y cualquier limitación deberá tener fundamento en un límite o excepción establecido por norma con rango de ley e interpretarse en su aplicación de forma restrictiva”. Como ya se ha señalado en un reciente informe del Gabinete jurídico de esta AEPD respecto de otro supuesto similar: “…la Ley 19/2013, de 9 de diciembre de Transparencia, Acceso a la Información Pública y Buen Gobierno, se aplica según su artículo 2.1.
- a)a las Administraciones de las Comunidades Autónomas. Y dentro del Capítulo dedicado a la publicidad activa el artículo 5.2 recuerda que “Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad”… … Por tanto, en el supuesto planteado existe una habilitación legal para la comunicación de datos en virtud del artículo 13.2 de la Ley 15/2014, en relación con el artículo 11.2.
- a)LOPD. Tal habilitación legal comprende la publicación de los datos a que se refiere el precepto indicado, esto es las relaciones de trabajo, plantillas, catálogos o documento equivalente referidos a todo tipo de personal. Y en ellas, la propia Ley murciana ha considerado que se incluirán a “sus ocupantes”, esto es, los empleados públicos que cubren los puestos de trabajo, así como la relación jurídica que les liga con la Administración y sus retribuciones anuales. Ahora bien, toda la información que sea suministrada por la vía de publicidad activa de la transparencia deberá cumplir los parámetros de la normativa sobre protección de datos… Por lo tanto deberá efectuarse una previa ponderación entre la pertinencia de publicar la información y la necesaria de la protección de datos personales… En este sentido, recordemos de nuevo que el artículo 5.3 de la Ley 19/2013 de 9 de diciembre sobre Transparencia, Acceso a acceso a la Información Pública y Buen Gobierno obliga a tomar en consideración, también en el ámbito de la publicidad activa, los limites derivados de la protección de datos de carácter personal, regulado en el artículo 15. Precepto que obliga a distinguir entre datos especialmente protegidos y los que no lo son; y que entre estos últimos, obliga a considerar las circunstancias del caso concrete. En particular sus apartados 2 y 3 establecen un principio general de acceso cuando aparezcan datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano; y en los restantes casos, una ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal ofreciendo una serie de criterios para llevar a cabo la ponderación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Deberían, por tanto, considerarse las circunstancias del caso concreto, para poder ponderar entre la prevalencia del derecho a la protección de datos y la transparencia en su vertiente de publicidad activa… …así se ha venido entendiendo por los dictámenes conjuntos evacuados por esta Agencia y el Consejo de Transparencia y Bueno Gobierno de 23 de marzo y 24 de junio de 2015 relativos a los datos de retribuciones de los empleados públicos. Tales dictámenes ya indican que los mismos se refieren al ejercicio del derecho de acceso, y no específicamente a la publicidad activa… Así, el dictamen de 23 de marzo de 2015 tiene en cuenta que "el criterio general debe atemperarse también con la situación particular del empleado público y, en especial con el hecho de que la revelación de su identidad y circunstancias pudiera situarle en una situación de especial riesgo", recordando que "a estos efectos, debe recordarse to dispuesto en el art. 19.3 de la LTAIBG [Ley 19/2003] y habría de concedérseles un plazo de 15 días para que los afectados realicen las alegaciones que estimen oportunas, o bien optar directamente por la disociación de los datos". Seria así procedente dar trámite previo a los empleados públicos que pudieran verse afectados por la publicación de la información para que puedan alegar si en ellos concurre alguna circunstancia especial que deba ser tomada en consideración en la ponderación pretendida. Además, "en todo caso, a la hora de conceder el acceso habrá de informarse expresamente al interesado de to dispuesto en el art. 15.5 de la Ley 19/2003, esto es, de que la normativa de protección de datos personales será en todo caso de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso"…. Sin embargo, y como ya se ha señalado más arriba de la publicación en la página web de la Consejería de los datos personales de los solicitantes relativos a su nombre, apellidos y DNI, asociados al resto de información contenida en la RPT se deduce información excesiva cuya publicación no está prevista en la citada Ley 8/2015, de Transparencia de la Actividad Pública y Participación Ciudadana de Aragón, ya que en ningún caso se contempla en dicha norma la publicación de los datos personales de los empleados públicos ni de los “ocupantes” que cubren los puestos de trabajo, por lo que debería haberse ponderado la prevalencia del derecho a la protección de datos y la transparencia en su vertiente de publicidad activa, evitando la publicación referida a los datos identificativos tales como nombre, apellidos, DNI o, incluso, el número de registro de personal. Por tanto, no existe habilitación legal y aunque existiera el informe requiere la adopción de una serie de medidas para garantizar la protección de datos de carácter personal, tales como la notificación previa a los interesados dando plazo con posibilidad de oposición. VII El artículo 44.3.
- d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, hay que entender que, por parte de la Consejería de Hacienda y Administración Pública del Gobierno de Aragón, se incumplió el deber de secreto con la revelación de datos personales a terceros con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 motivo de la publicación en cuestión, quedando acreditado en el expediente que los datos personales de cientos empleados públicos en poder de la Consejería de Hacienda y Administraciones Públicas fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOP, y que procede calificar la infracción como infracción grave. VIII La otra infracción producida es la de violación de custodia de los datos de carácter de cientos empleados públicos por parte de la Consejería de Hacienda y Administraciones Públicas que debe ser la que guarde los mismos y restrinja la puesta en conocimiento a terceros de dichos datos. En este caso se infringe el artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El hecho constatado de la exposición de los dos documentos en la web de la denunciada establece la base de facto para fundamentar la imputación de las infracciones de los artículos 6.1 y 10 de la LOPD, constituyendo prueba de cargo suficiente para desvirtuar la presunción de inocencia de la denunciada. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. Esto es, si se exponen en la web documentos con datos a la vista y acceso de cualquier persona, se están tratando los datos sin consentimiento de los afectados, y como consecuencia, conociéndose por terceros. Por lo tanto, aplicando el artículo 4.4 del Real Decreto 1398/1993, de 4/08, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora (REPEPOS) indica “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida.”. El citado precepto viene a regular el denominado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 concurso ideal de infracciones que se resuelve mediante la imposición de la sanción correspondiente a la infracción más grave cometida, procede pues subsumir ambas infracciones en una. Dado que, en este caso, ambas infracciones están tipificadas como graves, se considera que procede imputar únicamente la infracción del artículo 6.1 de la LOPD como infracción originaria que ha implicado la comisión de otra. IX Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE HACIENDA Y ADMINISTRACIONES PÚBLICAS DEL GOBIERNO DE ARAGÓN ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la CONSEJERÍA DE HACIENDA Y ADMINISTRACIONES PÚBLICAS DEL GOBIERNO DE ARAGÓN, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/01043/2016. En concreto: deberá proceder a retirar de la página web la publicación de las RPT denunciadas, procediendo, en todo caso, a la anonimización de los datos personales de los empleados públicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE HACIENDA Y ADMINISTRACIONES PÚBLICAS DEL GOBIERNO DE ARAGÓN y a Don A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es