E-01846-2013

1/6 Expediente Nº: E/01846/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad UNIVERSIDAD DE MURCIA en virtud de denuncia presentada por DÑA. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad UNIVERSIDAD DE MURCIA, en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00018/2012, que concluyó mediante resolución nº R/00677/2013, de fecha 22/03/2013, en la que se tuvieron por probados los siguientes hechos: <<PRIMERO: La Universidad de Murcia dispone de tablones de anuncios con sistema de cerradura, de uso restringido por las unidades o servicios para los que se habilitan. La citada Universidad ha declarado que el director de la unidad o departamento ejerce las funciones de representación, dirección o gestión ordinaria del mismo, según el Reglamento Marco de Régimen Interno, y decide los contenidos que se insertan en el tablón respectivo. SEGUNDO: Los departamentos de la Universidad de Murcia disponen de webs, dentro del dominio www.um.es, en las que insertan información de interés sobre organización, funciones y actividades específicas. La citada Universidad ha declarado que los contenidos que aparecen en estas webs están sujetos a una serie de formatos estándar de visualización, que el soporte informático es propiedad de la Universidad de Murcia y que los directores y secretaros de departamento son los encargados de administrar el contenido de esos sitios web. TERCERO: Los contenidos de las webs de los departamentos se gestionan través del Servicio de Información Universitaria (SIU), que recibe de los distintos departamentos, mediante correo electrónico, los archivos que desean insertar en la web; o directamente por los departamentos, como el de Ciencia Política, que está habilitados para “subir” y “bajar” los contenidos en la web, a la que accede mediante la correspondiente clave. CUARTO: Con fecha 21/02/2011, según consta en Acta de Presencia elaborada por Notario, en los tablones de anuncios del Departamento de Ciencia Política situado en la planta baja y superior del edificio que ocupa dicho departamento, instalados con dispositivo de cierre, figuraba expuesto un documento de fecha 08/02/2011, rotulado con la indicación “Carta abierta a la comunidad universitaria” y suscrito por diversos “profesores de ciencia política de la Universidad de Murcia”, en el que constan los datos personales de la denunciante relativos a nombre, apellidos, profesión, destino y otras circunstancias relacionadas con su situación laboral. QUINTO: Con fecha 21/02/2011, según consta en Acta de Presencia elaborada por Notario, en la dirección web “CPAUM. Recursos. Carta Profesorado” figuraba insertado el documento reseñado en el Hecho Probado Cuarto, accesible a terceros sin restricción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 SEXTO: Con fecha 08/03/2011, según consta en Acta de inspección elaborada por la Universidad de Murcia, en los tablones de anuncios del Departamento de Ciencias Políticas figuraba expuesto en documento reseñado en el Hecho Probado Cuarto. SÉPTIMO: Con fecha 17/03/2011, el Rector de la Universidad de Murcia dicta resolución en la que ordena la retirada de los tablones de anuncios y la web del Departamento de Ciencias Políticas del documento reseñado en el Hecho Probado Cuarto. OCTAVO: Con fecha 22/03/2011, según consta en Acta de Presencia elaborada por Notario, en el tablón de anuncios del Departamento de Ciencia Política situado en la planta superior del edificio que ocupa dicho departamento figuraba expuesto el documento reseñado en el Hecho Probado Cuarto. NOVENO: Con fecha 23/03/2011, mediante correo electrónico, el Secretario General de la Universidad de Murcia ordena al Servicio de Información Universitaria (SIU) que retire de la web del Departamento de Ciencias Políticas el documento reseñado en el Hecho Probado Cuarto, respondiendo el SIU que, en ese caso, la gestión de contenidos se lleva directamente desde el citado Departamento. DÉCIMO: Con fecha 23/03/2011, el Secretario General de la Universidad de Murcia ordena al auxiliar de servicio del edificio en el que se encuentra ubicado el Departamento de Ciencias Políticas que retire de los tablones de anuncios el documento reseñado en el Hecho Probado Cuarto. Dicha orden fue ejecutada el mismo día. DECIMOPRIMERO: Con fecha 24/03/2011, el Secretario General de la Universidad de Murcia ordena a los servicios informáticos que retiren de la web del Departamento de Ciencias Políticas el documento reseñado en el Hecho Probado Cuarto. Esta orden se ejecuta a las 9:12 horas del mismo día 24/03/2011>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 11/03/2014 se acordó lo siguiente: <<PRIMERO: DECLARAR que la entidad UNIVERSIDAD DE MURCIA ha infringido lo dispuesto en el artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.

1. d)de dicha norma, en su redacción vigente en el momento en que tuvieron lugar los hechos denunciados, 2.- REQUERIR a la entidad UNIVERSIDAD DE MURCIA de acuerdo con lo establecido en el artículo 46 de la LOPD para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículos 6 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a respetar el deber de secreto, y a evitar en el futuro la difusión sin restricciones a través de la página web de la entidad de documentos en los que se contengan datos de carácter personal, habilitando espacios de acceso restringido en la web u otros medios similares, en caso de que estos espacios se consideren necesarios. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando escrito en el que se detallen las normas adoptadas, así como aquellos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior y se declare expresamente haber eliminado la documentación objeto de la denuncia>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01846/2013. CUARTO: Con motivo de lo instado en la resolución, la denunciada, UNIVERSIDAD DE MURCIA, ha remitido, con fecha de entrada en esta Agencia de 26/11/2014, escrito en el que informa sobre las medidas adoptadas en los siguientes términos: “Como consecuencia de la Resolución 22 de marzo de 2013, de la Agencia Nacional de Protección de Datos, Procedimiento N° AP/00018/2012, en la que se da la consideración de Falta Grave al incidente relacionado con la exposición en el tablón de anuncios y Web del Departamento Mixto de un escrito, firmado por una serie de miembros del mismo, en el que se vertieron determinadas aseveraciones sobre la calidad docente de una compañera… (la denunciante), desde la Secretaría General se adoptaron diversas medidas, que afectaron a distintos ámbitos. 1. Ámbito disciplinar. Actuaciones disciplinares, con apertura de Expediente n°… En cualquier caso, en cuanto se detectó que se había dado publicidad al escrito en los medios referidos, desde Secretaría General se ordenó, y así se hizo, la retirada de los mismos... 2. Ámbito formativo. Como consecuencia de la situación referida, se han promovido una serie de actuaciones formativas, orientadas tanto a paliar los déficits detectados en el ámbito del conocimiento sobre los deberes y derechos relacionados con la Protección de Datos, como para su prevención. En este sentido, se han impartido los siguientes cursos: - Curso protección de datos web 2.0 y redes sociales. - Curso protección de datos y menores. - Curso protección de datos y relaciones laborales. - Curso videovigilancia y protección de datos. - Especialista universitario en protección de datos y privacidad. - Curso 7FG; “Protección de datos y seguridad de los sistemas de información” Además, y específicamente orientados al personal de la UM, el Centro de Formación y Desarrollo Profesional de la Universidad de Murcia impartió los siguientes cursos formativos relacionados con esa misma temática: 2013… - La web 2.0 y la seguridad informática. 20 h. - Administración Electrónica en la UM. 10 h. - Buenas prácticas en la Introducción profesional de la e-administración. 120 h. 2014… - Protección de datos y seguridad de los sistemas de información. 45 h. - Laboratorio de Administración Electrónica. 20 h. - Iniciación a la Administración Electrónica 2.0. 45 h. - La evaluación en la Web 2.0 y seguridad informática. 20 h. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 3. Ámbito organizacional. Bajo el auspicio del Consejo Asesor de Administración Electrónica, se han adoptado diferentes medidas en este mismo ámbito, además de dar cumplimiento a toda la normativa sobre protección de datos ya vigente en esta Universidad; así, el orden del Día de su reunión de 12 de diciembre de 2013, es especialmente ilustrativo al respecto: 1. Documento de Política de Gestión Documental de la Universidad de Murcia. Presentación del documento. 2. Informe al Consejo de diferentes actuaciones llevadas a cabo en el ámbito de la Administración Electrónica, entre ellas el Documento de Política de Seguridad. Además, se procedió a la revisión de los criterios empleados en la confección y visibilización de datos del directorio de la UM. Así, con fecha 15 de febrero de 2014, se dio orden de impedir dicho acceso en abierto, que desde entonces queda limitado a los datos de filiación administrativa del personal, que siguen estando en abierto en la medida en que se trata de empleados públicos de una Administración Pública. 4. Medidas Técnicas. Se aporta el informe del servicio de Información Universitaria sobre Gestión de web de departamentos”. La UNIVERSIDAD DE MURCIA aporta el “Documento de política de gestión de documentos electrónicos”, aplicable tanto a los documentos electrónicos como a los documentos en soporte papel que convivan con aquellos en a la organización, en el que se establecen, entre otros aspectos, los responsables de la gestión, los niveles de acceso, las reglas para la destrucción o eliminación de los documentos, así como la realización de auditorías. Asimismo, aportó el documento denominado “Política de seguridad de la información”, que sienta las bases con que los sistemas de información prestarán sus servicios y custodiarán la información, sin que ésta pueda llegar al conocimiento de personas no autorizadas, y el documento denominado “Gestión de web de departamentos”, relativo a la gestión de contenidos, permisos y responsables de dichas web. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, la UNIVERSIDAD DE MURCIA hizo pública en su página web “www.um.es” un documento de fecha 08/02/2011, rotulado con la indicación “Carta abierta a la comunidad universitaria” y suscrito por diversos “profesores de ciencia política de la Universidad de Murcia”, en el que constaban los datos personales de la denunciante relativos a nombre, apellidos, profesión, destino y otras circunstancias relacionadas con su situación laboral. Dicha información permaneció en la página web de la Universidad, al menos, desde el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 21/02/2011 al 24/03/2011, que fue retirada por los servicios informáticos a petición de la Secretaría General de la Universidad. En consecuencia, los datos de carácter personal de la denunciante fueron tratados por la UNIVERSIDAD DE MURCIA, al llevar a cabo las acciones señaladas, por lo que se imputó a dicha entidad una infracción de lo dispuesto en el artículo 6 de la LOPD, por el incumplimiento del principio del consentimiento que resulta de la utilización de los datos personales de la denunciante contenidos en el documento reseñado y por someter dicho documento a un tratamiento automatizado, convirtiéndolo en un archivo informático que fue insertado en la página web de la entidad, accesible a terceros. Se trata de un procedimiento técnico que permite la recogida, grabación y conservación de los datos. Para que el tratamiento de datos efectuado por parte de la UNIVERSIDAD DE MURCIA resultara conforme con los preceptos de la LOPD hubieran debido concurrir en el supuesto examinado los requisitos contemplados en el artículo 6 de la mencionada norma. Sin embargo, en el presente caso, dicha entidad no acreditó disponer del preceptivo consentimiento prestado al efecto por la titular de los datos. La falta de acreditación del consentimiento de los denunciantes para el tratamiento de datos personales realizado y la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, al no concurrir ninguno de los supuestos del artículo 6.2 de la LOPD que permiten excepcionar la obtención del consentimiento para el tratamiento de datos, motivó la calificación de la actuación de la UNIVERSIDAD DE MURCIA como constitutiva de una infracción por vulneración del repetido artículo 6.1 de la LOPD. Por otra parte, se analizaron las responsabilidades las responsabilidades que se derivan de la revelación de datos efectuada por la citada entidad, resultado de la exposición en sus tablones de anuncios de un documento en el que figuraban los datos personales de la denunciante; así como por la inserción del mismo documento en el sitio web “um.es”, que determinaron la imputación de una infracción por vulneración del deber de secreto establecido en el artículo 10 de la LOPD. En este caso, quedó acreditado que la UNIVERSIDAD DE MURCIA, responsable de la custodia de los datos en cuestión, vulneró este deber de confidencialidad en relación con los datos personales de la denunciante contenidos en la información publicada en la página web de la Universidad objeto de la denuncia, así como por difundir el citado documento mediante su exposición en los tablones de anuncios asignados al Departamento Mixto, Área de Ciencia Política y de la Administración, sin restricción de acceso a terceros en ambos casos. Esta información no puede ser facilitada a terceros, salvo consentimiento de la afectada o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, quedó acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de la denunciante. Finalmente, se tuvo en cuenta que UNIVERSIDAD DE MURCIA no comunicó a esta Agencia la adopción de ninguna medida correctora, por lo que se requirió a la misma la adopción de las adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de similar naturaleza, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso los datos personales a garantizar el respeto al principio del consentimiento y la confidencialidad de los datos, comprometiéndose expresamente a respetar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 deber de secreto. En respuesta a este requerimiento, se recibe de la denunciada, UNIVERSIDAD DE MURCIA, la información y documentación que se detalla en el Antecedente Cuarto, en la que se expresan las acciones formativas realizadas para el conocimiento de la normativa de protección de datos por parte del personal de la entidad, la política de gestión documental y de seguridad adoptada, así como para la gestión de las web de departamentos. Por tanto, en el supuesto presente, del examen de las medidas adoptadas por la entidad UNIVERSIDAD DE MURCIA se constata que reúnen los requisitos anteriormente descritos para atender las exigencias previstas al efecto en la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad UNIVERSIDAD DE MURCIA y a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es