1/3 Expediente Nº: E/00237/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MINISTERIO DE DEFENSA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/07/2018, tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el denunciante) contra el MINISTERIO DE DEFENSA manifestando que el 14/10/2016, como consecuencia de una solicitud para la realización de un reconocimiento médico para valorar su aptitud para trabajar, se remitió un correo electrónico por la aplicación interna del Ministerio de Defensa a distintos destinatarios que no se encuentran habilitados para acceder a dicha información, por lo que el reclamante afirma que el contenido del mensaje revela datos médicos y que dicha actuación vulnera las instrucciones internas del Ministerio. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El reclamante aporta copia del mensaje remitido al Director del Hospital, al Director de asistencia y al personal del Ejército de Tierra. En la solicitud enviada consta "Solicitud reconocimiento en la especialidad de Psiquiatría". FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 III El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), regula el deber de secreto estableciéndose que “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Por otro lado, el artículo 11.1 de la LOPD establece que “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” Asimismo, el artículo 11.3. de la LOPD que “será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” Continúa diciendo el artículo 11.4, de la LOPD que “el consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable.” IV En este caso concreto, se manifiesta la presunta vulneración del deber de secreto por parte del MINISTERIO DE DEFENSA, ya que como consecuencia de la solicitud que presentó el reclamante para la realización de un reconocimiento médico y así valorar su aptitud para trabajar, el 14/10/2016, se remitió un correo electrónico desde la aplicación interna del Ministerio de Defensa a distintos destinatarios que no se encontraban habilitados para acceder a dicha información, por lo que el reclamante considera que el contenido del mensaje atenta contra sus derechos, ya que revela datos médicos sensibles y que dicha actuación vulnera las instrucciones internas del Ministerio. Los hechos expuestos podrían suponer una infracción del artículo 10 en relación con el artículo 11 de la LOPD, que señala que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, tipificada como grave en el artículo 44.3
- d)de dicha norma, que considera como tal grave, “tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo“. Sin embargo, dicha infracción habría prescrito de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD, el cual indica que las infracciones graves prescriben a los dos años, por lo tanto, el plazo de prescripción de la comisión de dicha infracción concluyó el 14/10/2018. En este sentido señalar que aunque su escrito de denuncia tiene como fecha de entrada en esta Agencia el 20/07/2018, es decir, es de fecha anterior a la prescripción de la supuesta infracción, la proximidad entre ambas fechas no permitió a este Organismo realizar las actuaciones previas de investigación necesarias para con las garantías exigidas por ley realizar el acuerdo de apertura del oportuno procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a MINISTERIO DE DEFENSA y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es