E-00794-2019

1/6  Procedimiento Nº: E/00794/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes ANTECEDENTES PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 24 de mayo de 2016 en la Agencia Española de Protección de Datos. La reclamación se dirige contra D. G. DE LA GUARDIA CIVIL - PUESTO DE ***LOCALIDAD.1, (en adelante, el reclamado). Los motivos en que basa la reclamación son que el reclamado remitió correo a otras Unidades de la G.C. con la documentación que presentó para solicitar una comisión de servicios por cuidado de familiares (abuelos), que incluía informes sobre las enfermedades de éstos y grado de discapacidad. Que según el denunciante tuvieron lugar a fecha de 1 de junio de 2015 y, entre otra, anexa la siguiente documentación:  Solicitud de nombramiento de comisión de servicios presentada en la Comandancia de la Guardia Civil de ***LOCALIDAD.1  Queja formulada ante la Comandancia de la Guardia Civil de ***LOCALIDAD.1 por el tratamiento de los datos.  Respuesta de la Comandancia de la Guardia Civil de ***LOCALIDAD.1 a la queja formulada por la reclamante. SEGUNDO: como consecuencia de dicha reclamación se abrió el expediente E/03563/2016, acordándose el 26 de septiembre de 2016, no admitir a trámite la reclamación presentada por la reclamante. TERCERO: Con fecha de 2 de enero de 2017 se recibe en esta Agencia, con número de registro 001056/2017, escrito procedente de la AUDIENCIA NACIONAL - Sala de lo Contencioso Administrativo - SECCION 001, solicitando el expediente E/03563/2016, procediéndose a la apertura del expediente CA/00004/2017 CUARTO: Con fecha de 11 de enero de 2017, se remite copia del expediente solicitado foliado y con índice de documentos, junto a carta de emplazados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 HECHOS PRIMERO: Con fecha de 17 de diciembre de 2018 se recibe en esta Agencia, con número de registro 211018/2018, sentencia remitida por la Audiencia Nacional con el siguiente FALLO: “ESTIMAR el recurso contencioso-administrativo interpuesto por el Procurador B.B.B., en nombre y representación de A.A.A., contra la resolución de fecha 26 de septiembre de 2016. dictada por el Director de la Agencia Española de Protección de Datos. En el procedimiento E/03563/2016, por la que se acuerda no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, anulándola por resultar contraria a Derecho, condenando a la Administración demandada a incoar actuaciones inspectoras a fin de llevar a cabo las actuaciones previas de investigación necesarias para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador.” SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos:  Solicitada información a la Comandancia Civil de ***LOCALIDAD.1 sobre las personas que tuvieron acceso a la documentación remitida por correo a las otras unidades de la Guardia Civil y las medidas de seguridad y confidencialidad en este tipo de informaciones internas, con fecha de 9 de julio de 2020 se recibe en esta Agencia, con número de registro 024086/2020, contestación al requerimiento de información realizando las siguientes manifestaciones: Respecto a la documentación señalada en la reclamación En la documentación entregada por la reclamante no figura informe clínico alguno, ni se aporta documento que aluda a patologías, dolencias o enfermedades concretas, y que solo consta el porcentaje de discapacidad de los abuelos de la reclamante. La única mención específica a datos relacionados con la salud de sus abuelos la hace la reclamante en su escrito de solicitud, bajo un criterio estrictamente personal, siendo conocedora de que dichos datos van a ser recogidos y registrados para documentar el trámite solicitado. La aportación del informe de discapacidad, la realizó la reclamante de forma voluntaria ya que no es necesario para el trámite solicitado. - Señalan también, que en ningún momento la reclamada marcó la documentación como de especial confidencialidad, ni lo comunicó al agente de la oficina de registro. - Respecto a la circulación de la documentación La reclamante cursa su petición entregando documentación en papel en el Registro de la Comandancia, unidad distinta a aquella con competencia para resolver, siendo entregada a un agente quien ensobra la documentación para preservar la seguridad y confidencialidad en el tratamiento de la información contenida. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Que dada la naturaleza jerarquizada y militar de la Guardia Civil este agente remite la documentación mediante correo ordinario al Capitán Jefe de la Compañía de ***LOCALIDAD.1, unidad de la que depende funcionalmente, y este a su vez, remite la documentación mediante correo ordinario a la Compañía de Villalba. - Recibida la documentación en esta Compañía, un agente de la Guardia Civil, siguiendo directrices del mando, digitaliza la documentación y la remite vía correo electrónico a la dirección departamental correspondiente del Puesto de ***LOCALIDAD.2, unidad de destino de la reclamante, ya que es preceptivo el informe del Sargento Comandante de dicho puesto para el adecuado trámite de la solicitud formulada por la reclamante. Esta cuenta de correo no tiene como destinatario un agente, sino una unidad específica cuyos componentes están previamente autorizados y donde la información que se maneja es exclusivamente oficial. - El componente del Puesto de ***LOCALIDAD.2 que recibe la documentación a través de correo electrónico es la propia reclamante, como integrante de la Unidad, para la realización de servicios burocráticos. Aunque esta es eliminada del buzón de entrada de la cuenta de correo oficial de la Unidad sin que haya sido visualizada, a priori, por otros componentes de la misma, no es posible certificar de modo fehaciente si durante esos minutos que la documentación permaneció en el buzón de entrada de la cuenta de correo GroupWise, tuvo acceso a ella algún otro componente de la Unidad, pero, en caso afirmativo, se trataría de un usuario autorizado para la gestión y tramitación de la misma, de los que figuran habilitados para tal fin. - Respecto a las medidas de seguridad Se manifiesta que los equipamientos informáticos de la Guardia Civil (ordenadores, discos duros, impresoras, etc.), se someten a un riguroso proceso de “securización”, con el objetivo de conseguir un nivel alto de seguridad ante cualquier tipo de intromisión interna o externa. - Las cuentas de correo electrónico utilizadas para los trámites, dentro del entorno GroupWise (Micro Focus Int.), son la herramienta habitual y definida de comunicación entre las distintas unidades de la Guardia Civil. Por sus características, no es factible el intercambio de información, de entrada o de salida, procedente de o hacia otros servidores de internet. La utilización de este sistema de comunicación viene regulado en la Orden General número 14, dada en Madrid el día 2 de julio de 2001, que tiene por asunto “Normas para la implantación y empleo del correo electrónico en el Cuerpo”. - El uso del correo GroupWise está circunscrito, por tanto, a usuarios autorizados, realizándose el acceso tras entrar en el sistema mediante el empleo de usuario y contraseña, con una autenticación personal y los correspondientes perfiles de usuarios que son exclusivos de la habilitación que gestiona el Servicio de Informática. Con ello se pretende garantizar la seguridad de los datos de carácter personal, evitando su alteración, pérdida o tratamiento no autorizado. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Todas las personas que utilizan la herramienta GroupWise están obligadas, en cualquier fase del tratamiento de los datos de carecer personal de los interesados, al secreto profesional respecto de estos. En consecuencia, todas las personas que han accedido a los datos personales de la reclamante lo han hecho en el ejercicio de las funciones que tienen encomendadas y tienen la obligación de guardar secreto sobre ellos. - FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante manifestando que el reclamado ha vulnerado su derecho a la confidencialidad reconocido en el momento de los hechos en el artículo 10 de la LOPD, y en la actualidad en el artículo 5.1 f) del RGPD, precepto en el que se establece que los datos personales han de ser tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En segundo lugar, la reclamante manifiesta que el reclamado no ha adoptado las debidas medidas de seguridad, tal y como exigía el artículo 9 de la LOPD, en el momento en que los hechos sucedieron, actual artículo 32 del RGPD en relación con la seguridad del tratamiento los datos personales y la capacidad del responsable de garantizar la confidencialidad de sus sistemas y servicios. IV A través de las actuaciones de investigación practicadas, se ha constatado que en la documentación entregada por la reclamante no figura informe clínico alguno, sólo comentarios personales sobre la salud de sus familiares y que la manipulación de la documentación aportada se debe a la naturaleza jerarquizada de la Guardia Civil, así como para su digitalización para su remisión vía correo electrónico a la dirección departamental correspondiente del Puesto de Friol, unidad de destino de la reclamante, ya que es preceptivo el informe del Sargento Comandante de dicho puesto para el adecuado trámite de la solicitud formulada por la reclamante. Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es