1/4 Expediente Nº: E/00997/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por la DIRECCION GENERAL DE LA GUARDIA CIVIL relativo a la ejecución del requerimiento de la resolución de referencia R/00398/2016 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de declaración de infracción e las Administraciones Públicas AP/00051/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento declaración de infracción e las Administraciones Públicas AP/00051/2015, a instancia de TRES DENUNCIAS de DENUNCIANTES que se identifican en el ANEXO GENERAL y en cada ANEXO para cada denunciante. Se acordó por Resolución de la Directora de la Agencia Española de Protección de Datos de 29/02/2016: “PRIMERO: DECLARAR que la DIRECCION GENERAL GUARDIA CIVIL ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la DIRECCION GENERAL GUARDIA CIVIL , de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, en las citaciones a reconocimientos médicos, y en la gestión del listado de actualización de “útiles con limitaciones”, para lo que se abre expediente de actuaciones previas E/00997/2016. Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. “ Con objeto de realizar el seguimiento de las medidas a adoptar la Directora de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/00997/2016. SEGUNDO: Con motivo de lo instado en la resolución, la denunciada remitió a esta Agencia con fecha de entrada 8/04/2016 en el en síntesis se argumenta: -La Ley 29/2014, de 28/11 de Régimen del personal de la Guardia Civil, prevé la realización de reconocimientos médicos y pruebas psicológicas de carácter obligatorio para determinar la insuficiencia de condiciones psicofísicas de los componentes de la guardia Civil. Dichas pruebas se llevan a efecto por el personal de los Servicios de Sanidad y Psicología del Cuerpo desde donde se viene citando a los miembros de la Institución, canalizando las mimas por conducto hasta llegar a las Unidades donde prestan servicios los destinatarios de las mismas. También se refiere al envío a las Unidades de los listados del personal en situación “útil con limitaciones” Hasta la fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 indican que dichas notificaciones se venían utilizando por canales telemáticos como el correo electrónico corporativo o el Sistema de Gestión Operativa-SIGO- a los que accede el personal autorizado para dichos fines. Con objeto de implantar medidas adicionales de seguridad a fin de que el conocimiento de los citados hechos lo sea solo por el personal autorizado para su tratamiento y el mismo interesado van a implantar un PROTOCOLO que consiste: o Las actualizaciones del personal “Útil con limitaciones” y las citaciones dirigidas a personal con objeto de pasar reconocimientos médicos o psicológicos, se enviaran por vía telemática a las distintas Unidades del Cuerpo en DOCUMENTO CIFRADO adjunto al mismo. Se dirigirá para su exclusiva recepción por el personal encargado de su gestión en la Unidad de destino del interesado o en exclusiva al que corresponda la gestión del listado de actualizaciones. El emisor del correo electrónico expresará el número de teléfono al que tienen que dirigirse desde la unidad destinataria para obtener la contraseña. En cuanto a la recepción de las citaciones o actualizaciones, se indica que “únicamente el Jefe de la Unidad a la que se dirija el Correo indicado o encargado de la correspondencia de la misma está facultado para descifrar el adjunto referido en dicho punto una vez obtenida la contraseña por vía telefónica”. Con carácter general, solo “se comunicaran los datos de citaciones o del personal útil con limitaciones a los propios interesados así como al personal concreto que requiera de dicha información para el desarrollo de sus funciones, por ejemplo el nombramiento diario del Servicio”. Añade que “el Jefe de la unidad deberá informar personalmente de la justificación existente, a todo aquel personal destinado en la misma que en su caso, y de manera individual pueda pedir explicaciones por la existencia de trato respecto a la fijación del servicio que se pueda estar otorgando al personal calificado de “útil con limitaciones”, limitándose dicha información y sin dar más datos, a la circunstancia consistente en que el afectado tiene reconocidas determinadas limitaciones que justifican dicho trato diferenciado.” Agrega que también las comunicaciones o notificaciones que contengan datos de salud se llevaran a cabo cifrando la información que se remitirá adjunta al correo electrónico dirigido a la Unidad haciendo uso de contraseñas mediante las que se garantizará que solo pueden tener acceso a dicha información cifrada el interesado o persona a quien va dirigida la comunicación o personas legalmente autorizadas por el mismo, a quienes se facilitara la contraseña por vía telefónica una vez personadas en la unidad receptora del mensaje cuyo personal dejara constancia de la notificación así practicada mediante la correspondiente diligencia en la que en ningún caso se deberá reflejar dato alguno de salud. Finaliza indicando que “En ningún caso se utilizara SIGO para llevar a efecto notificaciones o comunicaciones contenidas en el presente protocolo” y que este protocolo se aprobará por la Dirección General como norma básica de seguridad. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II En el presente supuesto, del examen de las medidas adoptadas por la DIRECCION GENERAL DE LA GUARDIA CIVIL, se constata que las medidas a tomar partiendo del envío de las comunicaciones/citaciones y listados surge directamente desde el Organismo competente, y que solo se envíen a la Unidad diferenciada para el despacho del asunto y en archivo cifrado, supone junto a la desaparición para dichos tramites de la aplicación SIGO una modalidad válida para el cumplimento de las medidas impuestas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la DIRECCION GENERAL DE LA GUARDIA CIVIL, adjuntando ANEXO GENERAL, a DENUNCIANTE 1 indicado en el ANEXO 1, con el ANEXO 1, a DENUNCIANTE 2 indicado en el ANEXO 2 junto al ANEXO 2, y a DENUNCIANTE 3 indicado en el ANEXO 3, con el ANEXO 3, y al DEFENSOR DEL PUEBLO (expte. ***EXPTE.1). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es