1/4 Procedimiento Nº: E/00027/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el representante de Doña A.A.A. (en adelante, la reclamante) tiene entrada, con fecha 17 de diciembre de 2018, en la Agencia Española de Protección de Datos. La reclamación se dirige contra el COLEGIO SAN JOSE HIJAS DE LA CARIDAD - GUARNIZO EL ASTILLERO, con NIF G39042759 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el día 7 de marzo de 2017, desde la dirección ***EMAIL.1, se envió un correo electrónico a 43 personas, informándoles de su incorporación al puesto de trabajo tras finalizar su baja por IT y el cumplimiento de la sanción de 14 días por resolución judicial. Entiende que se ha incumplido los artículos 10 y 11 de la LOPD, al facilitarse información de su situación, sin su consentimiento y sin que hubiese causa legitimadora de la cesión de datos. Concluye indicando que se ha vulnerado el deber de secreto referido a datos de su salud y que hay infracción del artículo 10 de la LOPD. Acompaña copia del correo electrónico remitido. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/00409/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El Colegio denunciado presentó alegaciones indicando que la reclamante no se ha dirigido en todo el tiempo transcurrido al Colegio para aclarar el asunto. El correo se envió en el marco de los interesados por la incorporación laboral a los efectos de organizar el trabajo. No se ha producido cesión a terceros, sino que se comunica una información a trabajadores del centro. No se trata de datos de salud. Solicitan el archivo de las actuaciones, o subsidiariamente apercibimiento o sanción en cuantía mínima. Con fecha 4 de abril de 2019, comunican al representante de la reclamante la contestación sobre la reclamación, para que se facilite a la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 TERCERO: Con fecha 6 de mayo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Es aplicable la LOPD puesto que los hechos denunciados se produjeron en el mes de marzo de 2017, cuando todavía era la norma en vigor en España. II En el supuesto presente, la denuncia se concreta en que el reclamado ha enviado un correo electrónico a 43 personas relacionadas con el Colegio informando que la reclamante se incorporaba a su trabajo tras finalizar su baja por IT y finalizar el cumplimiento de la sanción de 14 días por resolución judicial. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. La documentación aportada por la reclamante es un correo electrónico remitido desde la dirección ***EMAIL.1 y dirigido a 43 compañeros del Colegio con la información reseñada. Esa actuación por parte del Colegio reclamado podría suponer una vulneración del deber de secreto al informar sobre la situación de IT y el cumplimiento de una resolución judicial. La conducta del Colegio denunciado se incardina en el artículo 44.3.
- d)de la LOPD, que tipifica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” No obstante, hay que señalar que el artículo 47 de la LOPD relativo a la prescripción, determina lo siguiente en sus tres primeros apartados: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” En consecuencia, la posible infracción cometida, tipificada como grave, por el Colegio reclamado habría prescrito el día 7 de marzo de 2019. Dado que la reclamación se interpuso cuando faltaban menos de tres meses para que se produjese la prescripción, se produjo la misma durante las primeras investigaciones realizadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al representante de la reclamante y al reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es