E-01027-2015

1/5 Expediente Nº: E/01027/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL en virtud de denuncia presentada por D.ª A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de octubre de 2014, tuvo entrada en esta Agencia escrito de D.ª A.A.A. en el que denuncia que el día 18 de julio de 2014 un funcionario de la Tesorería General de la Seguridad Social -TGSS- accedió a sus datos personales y de vida laboral a solicitud de una tercera persona a quien facilitó los mismos. Aporta copia de un oficio que le remite la TGSS con fecha 1/10/2014 donde se pone de manifiesto que se ha llevado a cabo una investigación de los rastros de acceso a sus datos, resultando que aparecen varios usuarios de su sistema informático estando todos ellos justificados y conformes, a excepción de varias consultas que realiza, siempre la misma persona el día 18/7/2014. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, de suerte que con fecha 11 de marzo de 2015 se solicita información a la Tesorería General de la Seguridad Social relacionada con la persona que realizó las consultas el día 18/7/2014 y de la respuesta facilitada se desprende lo siguiente: 1 .Aportan los datos personales de la funcionaria que realizó los accesos y manifiestan que es la persona destinada en el Área de Atención al usuario del sistema RED de la Dirección Provincial de A Coruña. 2. Según el informe de la Dirección Provincial cuya copia adjuntan, “…. No existe documentación alguna incorporada a ningún expediente que ampare el acceso realizado. Preguntada al respecto a la indicada funcionaria, la misma manifiesta lo siguiente “simplemente me imagino que el usuario RED llamó para aclarar algún dato (algo que suele pasar todos los días) o la manera de codificar alguna situación / peculiaridad. De hecho aquí tenemos mucho cuidado con las consultas porque sabemos que puede pasar esto ….. siento no poder dar otro tipo de explicación”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 II Se denuncia el acceso de los datos de la denunciante por funcionario de la TGSS relativos a la afiliación y a la vida laboral que fueron facilitados a un tercero. La LOPD en el Artículo 6, prevé: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento Y el artículo 4, recoge: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. Dicho artículo 4.2 se inspira en el artículo 6. 1.
2. b)de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos, que exige que los datos personales sean "recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines". En cuanto a la interpretación de la expresión "finalidades incompatibles" la SAN, Sec. 1ª, de 11/02/2004 (Rec.119/2002 ), que a su vez sigue el criterio de la de 8-2-2002 (rec.1067/2000 ), señala «En relación con la interpretación de la expresión finalidades incompatibles que establece el art 4.2 de la Ley Orgánica 15/1999 , esta Sala no puede compartir el criterio que postula el recurrente, pues aunque el artículo 4.2 de la Ley 5/1992 , ya no se refiere a "finalidades distintas", sino a "finalidades incompatibles", revelando una ampliación de la posibilidad de utilización de los datos, sin embargo la interpretación sistemática del precepto y la ambigüedad del término finalidades incompatibles avalan la interpretación realizada en el acto administrativo impugnado. En efecto, según el diccionario de la Real Academia "incompatibilidad" significa "repugnancia que tiene una cosa para unirse con otra, o de dos o más personas entre si", por tanto una interpretación literal ampararía el uso de los datos para cualquier fin abriendo una gama indefinida e ilimitada de finalidades, pues es muy difícil imaginar usos que produzcan la repugnancia que evoca la incompatibilidad, por lo que "semejante interpretación conduce al absurdo y como tal ha de rechazarse Teniendo en cuenta, además, que dicho término se introduce en la Ley de 1999, como ha declarado la doctrina, por una traducción poco precisa del artículo 6 de la Directiva 46/1995, de 24 de octubre." Conclusión igualmente avalada por la interpretación sistemática aludida, pues como señalábamos en la citada sentencia de febrero de 2002 , "semejante prescripción no puede ser entendida sino como un enunciado de carácter general, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 no puede prevalecer sobre la regulación específica de una materia" citando al efecto el artículo 6 de la citada Ley, y añadiendo que la interpretación de dicho Art 6.2 , a sensu contrario, impone "que cuando los datos se usen con otra finalidad distinta se precisará el consentimiento del afectado". Y no parece que el Art 4.2 , venga a efectuar una ampliación sobre la posibilidad de utilización de los datos, porque ello supondría dejar sin contenido el Art 6.2, cuya redacción en este punto es igual a su homónimo de la Ley 5/92 » La TGSS ha informado de la funcionaria que realizó las consultas a la vida laboral de la denunciante con fecha 18/07/2014, resultando estar destinada en el Área de Atención al Usuario de la Dirección Provincial de La Coruña y respecto a la justificación de la consulta , si bien aclara que no existe documentación que ampare el acceso, preguntada la funcionaria en cuestión manifiesta que es usual por ocurrir todos los días que un usuario RED llamase para aclarar cualquier dato o la manera de codificar alguna “situación o peculiaridad” y señala la precaución observada con las consultas a realizar para evitar hechos como los denunciados. Por otra parte, respecto a la “cesión” de los datos de la denunciante obtenidos de los ficheros de la TGSS no se aporta prueba alguna de su entrega a terceros. III De lo anteriormente expuesto, se desprende la falta de una prueba de “cargo” para imputar al responsable del fichero la TGSS y/o usuario, el tratamiento de datos para una finalidad incompatible con la que se facilitaron. Se ha de tener en consideración que el Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de Ley 30/1092, de 26/11. de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común – LRJPAC- que : “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de “cargo” acreditativa de los hechos que motivan esta imputación. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL y a D.ª A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es