1/8 Expediente Nº: E/01279/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la AGENCIA TRIBUTARIA, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de febrero de 2015, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que declara lo siguiente: “Que en diferentes medios de comunicación, se han publicado datos fiscales de este ciudadano, (se adjuntan a este escrito de denuncia las publicaciones referidas), cuando el artículo 95 de la Ley General Tributaria señala el carácter reservado de los datos fiscales. Que por medio del presente escrito vengo a denunciar las filtraciones sobre mis datos fiscales y tributarios publicados en la prensa realizadas por el Ministerio de Hacienda y Administraciones Públicas, en la persona de su máximo responsable Sr. B.B.B., o persona en quien haya delegado” En dicho escrito hace referencia a dos noticias publicadas en los siguientes diarios: “En el periódico “XXXX” el día DD de MM de AA se publica lo siguiente: “A.A.A. que está siendo investigado por la Agencia Tributaria por un presunto delito fiscal, recibió 425.150 euros a finales de 2013 en su cuenta personal por un supuesto trabajo de consultoría política...” “El día DD de MM de AA, en el “YYYYY.es” se reseña: “Si A.A.A. ha presentado una declaración complementaria y ha pagado 200.000 euros al fisco, implícitamente está admitiendo que antes hizo algo mal.” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se levantó diligencia de que la siguiente información se encontraba disponible en Internet: Noticia publicada por XXXX en la edición digital dYYYYY En la URL: http://www.................. Fechada el DD de MM de AA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Titulada: A.A.A. acumula 700.000 euros en sus tres cuentas en España En la que aparece el siguiente párrafo: “A.A.A., que está siendo investigado por la Agencia Tributaria por un presunto delito fiscal, recibió 425.150 euros a finales de 2013 en su cuenta personal por un supuesto trabajo de consultoría política -que habría sido pagado a un precio extraordinario- para un organismo supranacional que forman Venezuela, Cuba, Nicaragua, Honduras, Ecuador y Bolivia, transfiriendo ese dinero un día después a la cuenta de su empresa Caja de Resistencia Motiva 2”. Noticia publicada por YYYYY en la edición digital dYYYYY en la URL: http://www..................1 Fechada el DD de MM de AA de 2015 En la que aparece el siguiente párrafo: “Si A.A.A. ha presentado una declaración complementaria, está admitiendo que antes hizo algo mal” 2. Se cursó la siguiente solicitud de información a la Agencia Tributaria en relación a las noticias publicada en los medios de comunicación: a. Si la información publicada corresponde con la que figura en los expedientes de la Agencia Tributaria. b. Los registros de acceso a los expedientes de Don A.A.A. que, con fecha anterior al DD de MM de AA de 2015, figuran en los sistemas de información de la Agencia Tributaria. c. Que se identifique en dichos accesos cuáles de ellos corresponden al personal de la Agencia Tributaria que tenía a su cargo la tramitación de dicho expediente y personal con justificación y acreditación a nivel orgánico y de funciones. d. Las actuaciones realizadas en la Agencia Tributaria, si las hubo, para determinar el origen de la información publicada en los periódicos. e. El informe y los resultados de las actuaciones anteriores, si estas se han llevado a cabo. Con fecha de entrada en el registro de la AEPD de 11 de junio de 2015, la Agencia Tributaria responde: “En respuesta a su solicitud, le comunico que se están llevando a cabo por los órganos competentes de la Agencia Tributaria las averiguaciones y demás actuaciones pertinentes acerca de los diversos extremos a los que alude en su escrito.” Esta respuesta se completa con el envío, con fecha de entrada en la AEPD de 25 de junio de 2015, de un informe en el que se expone lo siguiente: Están registrados todos los accesos a los datos de “Información Individual” del denunciante entre el 1 de enero de 2015 y el DD de MM de AA de 2015. Están justificados los accesos por parte de los funcionarios registrados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 en función de sus competencias y de las tareas que tenían asignadas en relación a las investigaciones en curso sobre el denunciante. No se había realizado ninguna investigación por parte de la Agencia Tributaria en relación a una posible filtración de la información objeto de esta inspección anterior a la llevada a cabo para responder a la solicitud de información de la AEPD. La información aparecida en el diarios los días ** y DD de MM de AA en relación a la recepción de una cantidad de dinero por parte del denunciante, ya aparecía con carácter previo en otro diario el día 18 de enero de 2015 y que fue origen del inicio de actuaciones por parte de la Agencia Tributaria. Adjuntan a la respuesta el contenido del registro de acceso a los sistemas de información de la Agencia Tributaria en relación al NIF del denunciante desde el 1 de enero al DD de MM de AA de 2015, en el que se constata que los accesos registrados son todos posteriores al 20 de enero de 2015. 3. Se adjunta a las presentes actuaciones diligencia de contenido y fecha de la publicación del diario “MMMM” el día 18 de enero de 2015 de la siguiente noticia: “[El denunciante] factura 425.150 euros en dos meses con una empresa de la que es único propietario y que no tiene ni trabajadores ni estructura Según los expertos financieros consultados por MMMM.COM, Caja de Resistencia Motiva 2, que obtuvo una rentabilidad del 86% y no ha devengado IVA, podría estar fundada para 'importar' cobros desde el extranjero” 4. Con fecha 9 de junio de 2015 se cursa la siguiente solicitud de información a la Fiscalía de Madrid: a. Copia de la denuncia presentada por el denunciante. b. Copia de la documentación aportada para el inicio de las actuaciones judiciales o, en su caso, para su archivo. c. Si cabe, testimonio de las decisiones adoptadas por ese órgano, con objeto de determinar la existencia de identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal, y no interferir así en las actuaciones judiciales que se están practicando. d. Les solicitamos comuniquen a esta Agencia los trámites subsiguientes que se realicen para su consideración en la tramitación de la denuncia presentada en esta Agencia. 5. Con fecha de registro de entrada en la AEPD de 19 de junio de 2015 se recibe escrito del Fiscal Superior de la Fiscalía de Madrid en el que se manifiesta que, si bien con fecha 20 de febrero de 2015 se presentó denuncia en la Fiscalía Provincial de Madrid por parte del denunciante del presente expediente, que dio lugar a diligencias de investigación penal, éstas fueron archivadas con fecha 2DD de MM de AA de 2015 al entenderse que los hechos no revestían indiciariamente el carácter de un delito. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la filtración de los datos fiscales del Sr. A.A.A. en diferentes medios de comunicación; señalando que las filtraciones han sido realizadas por el Ministerio de Hacienda y Administraciones Públicas. El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, en el caso de que no prevalezcan otros derechos como la libertad de información, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. El artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Las medidas de seguridad están pormenorizadas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 91 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. III Mediante las actuaciones previas de investigación, se ha constatado que la Agencia Tributaria tiene incorporadas las medidas de seguridad adecuadas al tipo de datos personales que trata. La Agencia Tributaria ha efectuado una auditoría de todos los accesos registrados a los datos de “información individual” del denunciante, efectuados desde el día 1 de enero hasta el DD de MM de AA de 2015; verificando que todos ellos estaban justificados en función de las competencias y tareas que tenían asignadas los funcionarios que accedieron, en relación con las investigaciones que se hacían sobre el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Hay que tener en consideración, la Sentencia de la Sala Primera de lo contencioso administrativo de la Audiencia Nacional, de fecha 4 de marzo de 2013, en la que se fundamenta lo siguiente: “Consta por el INSS que ha comprobado la identidad del personal que ha accedido a sus datos, y que confirma que se trataba de personal con justificación y acreditación a nivel orgánico y de funciones, por lo que de esta forma se está garantizando el uso al que se someten los datos personales.” No existe, por otra parte, constancia de que alguno de estos funcionarios filtrase los datos a los medios de comunicación. De igual forma, la denuncia planteada por los mismos hechos ante la Fiscalía de Madrid fue archivada al entenderse que no había indicios del delito de revelación de secretos por lo que no procede realizar consideraciones adicionales sobre los hechos denunciados al no haberse constatado. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la AGENCIA TRIBUTARIA, al MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es