E-02320-2015

1/7 Expediente Nº: E/02320/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la DIRECCION GENERAL GUARDIA CIVIL, Comandancia Guardia Civil de A Coruña, en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 25 de febrero de 2015 tuvo entrada en esta Agencia un escrito de D. A.A.A. en el que denuncia que el 16/10/2014 solicitó mediante una instancia ante el Coronel Jefe de la Comandancia de A Coruña, tal y como dictamina el procedimiento administrativo común, reducción de jornada para el cuidado de un hijo menor de 12 años, adjuntando información personal y médica de su hija, motivo por el que solicita dicha reducción. Continua que, el 29/11/2014,recibe una llamada personal de un compañero que le informa que se ha recibido en el destacamento de seguridad del Aeropuerto de Lavacolla, con copia a la compañía de Santiago de Compostela, un correo electrónico enviado por la Comandancia de Coruña de fecha 28/11/2014 donde viene la contestación que se le realiza y en el mensaje aparecen datos de interés personal y médico que cree que solo pueden interesarle a él y se mencionan datos médicos relativos a su hija. Manifiesta que al correo acceden 16 personas de su unidad además de otras que pudieran haber accedido y que ahora conocen su situación personal y a los problemas médicos de su hija. Posteriormente, recibe el mismo la resolución enviada a través de correo electrónico. Aporta copia de la resolución que tiene número registro de salida 19979 y copia del correo denunciado donde puede comprobarse que hace referencia también al documento con número registro de salida

1. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados solicitándose, con fecha 19/5/2015, información a la Comandancia Guardia Civil de A Coruña (en adelante la Comandancia) en relación al correo electrónico objeto de la denuncia. De la respuesta facilitada por la Comandancia se desprende lo siguiente:
2. Que el denunciante, Guardia Civil, presentó una instancia en la que solicitaba la petición de reducción de jornada de forma personal en su Unidad de destino, de forma que la resolución a la instancia fue el documento remitido por correo electrónico. La instancia fue presentada ante el Cabo 1º que ejercía el cargo de Jefe del destacamento del Aeropuerto de Lavacolla y el interesado la entregó “abierta” sin ningún tipo de reserva y confidencialidad respecto a las circunstancia de la petición, las condiciones familiares, la situación médica que afectaba a su hija, motivo por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 realizaba la petición y sin hacer por parte del interesado ningún tipo de reserva.
3. Respecto del motivo por el cual se remite la resolución por el correo electrónico, manifiestan que el uso del correo electrónico según la Ley 30/1992, se emplea para el desarrollo de la actividad y ejercicio de competencias de los órganos administrativos. Se remite el correo por tanto con el fin de hacer llegar la resolución adoptada al destacamento de Lavacolla donde tiene su destino el denunciante y una vez allí, por el Jefe de dicha Unidad se procede, personalmente, a realizar la notificación al peticionario, siendo su objeto dar conocimiento de la resolución al interesado así como al Jefe de su destacamento, en tanto que los términos de la resolución adoptada tienen efectos en la organización el trabajo de dicho destacamento derivados de la reducción de jornada concedida. Siendo este el medio habitual para realizar este tipo de comunicaciones, dada la distancia entre la unidad de destino y el centro emisor, que se encuentran geográficamente separados por 62 km, lo que permite ahorro y reducción de tiempos.
4. Respecto del consentimiento del denunciante para enviar la resolución a la dirección electrónica denunciada, manifiestan que no se considera preceptivo dicho consentimiento ya que la citada cuenta de correo no es personal del interesado sino una cuenta corporativa de correo interno de la Guardia Civil, adjudicada exclusivamente al destacamento donde se encuentra destinado y de acceso restringido. Por tanto, no se remitió la resolución directamente al interesado, sino desde el órgano emisor a la Unidad donde se encuentra destinado, en la cual, por el Jefe del destacamento, se procedió a su notificación de forma personal al citado Guardia Civil.
5. La dirección de correo electrónico es un correo corporativo interno de la Guardia Civil al que no tienen acceso ningún organismo ajeno a la Guardia Civil, ni personas particulares, sólo miembros autorizados. La transmisión por este correo corporativo se realiza directamente dsde la cuenta del órgano emisor, Negociado de Personal de la Comandancia de A Coruña, a la cuenta de registro de la Unidad destinataria (destacamento de seguridad de Lavacolla), siendo los encargados de las cuentas, responsables de su tratamiento, personal administrativo por parte del órgano emisor y el Jefe del Destacamento de Lavacolla, como receptor, los que pudieron tener acceso a dicho correo electrónico ya que el Jefe de la Unidad es el responsable de la cuenta y el encargado de abrir los correos que se reciben y dar cumplimiento a lo que se le ordene, sin que se pueda producir ninguna difusión a terceros no implicados en el asunto.
6. Las personas que tuvieron acceso por tanto a este correo fueron, como máximo, las mismas que tuvieron acceso a la documentación presentada libremente y en abierto por el Guardia Civil. En el órgano emisor tuvo conocimiento la personal del Negociado de recursos humanos de la Comandancia, receptora de la documentación aportada por el denunciante y que tiene encomendada la tramitación del procedimiento consecuente con estas solicitudes. En el órgano receptor, el Jefe del Destacamento de seguridad del aeropuerto de Lavacolla, para que efectuase la notificación al peticionario y para el cumplimiento de los términos establecidos en la resolución y que afectasen a la organización del trabajo. En los órganos intermedios, el Capitán de la compañía y personal administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Plana Mayor de la Compañía para conocimiento y control del servicio, como Unidad superior a la del peticionario y resultar necesario su informe sobre la valoración que la concesión puede tener en la realización del servicio encomendado a la unidad de destino. Dicho procedimiento está conforme a la Orden General 14/2001 sobre implantación y empleo del correo electrónico de la Guardia Civil.
7. Finalmente manifiestan que las solicitudes se presentan por escrito mediante instancia en las Unidades subordinadas, remitiéndose a la Jefatura de Comandancia por conducto regular, a través de la compañía a la que pertenece dicha unidad, que es el órgano intermedio dentro de la distribución territorial y estructura jerarquizada de la Guardia Civil en el ámbito provincial que abarca la Comandancia, con los informes correspondientes, de afectación al servicio y otras circunstancias que deban ser valoradas para la concesión o denegación. Una vez adoptada la resolución procedente, se remite por correo electrónico en duplicado ejemplar para notificación al interesado y se remite a la cuenta de correo corporativo interno de registro de la unidad de destino de cada peticionario, al objeto de que el jefe de dicha unidad proceda a su notificación en persona a los peticionarios. Esta comunicación permite el conocimiento de dicho jefe a los efectos que puedan corresponder en el nombramiento del servicio. La utilización del correo electrónico corporativo se realiza en aras de la eficacia y eficiencia administrativa amparada por la citada Orden General.
8. Manifiestan que la resolución transmitida por esta vía no contiene datos personales confidenciales ni especialmente protegidos por la Ley Orgánica 15/1999 y son circunstancias muy conocidas en el entorno de las personas en que se producen estas circunstancias. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia expone que el denunciante solicitó ante el Coronel Jefe de la Comandancia de A Coruña, la reducción de jornada para el cuidado de un hijo menor de 12 años adjuntando información personal y médica de su hija con discapacidad y, posteriormente, recibe una llamada personal de un compañero que le informa que se ha recibido en el correo corporativo de su destacamento, con copia a la compañía de Santiago de Compostela, enviado por la Comandancia de Coruña que contiene la contestación que se le realiza a su petición y en la que aparecen datos de interés personal y médico relativos a su hija menor. Manifiesta que al correo corporativo receptor de la contestación acceden, al menos, 16 personas de su unidad además de otras que pudieran haber accedido y que ahora conocen su situación personal y a los problemas médicos de su hija. Lo hechos relatados podrían comportar por parte del responsable de fichero la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Guardia Civil -G.C- una falta al deber de secreto de datos especialmente protegidos sobre la salud de una menor de edad al ser tratados por un medio inadecuado como el correo corporativo a los que, a su juicio, pudieron acceder personas ajenas a la titularidad de los datos, esto es otros miembros del Cuerpo. El Art. 10 de la LOPD, precepto presuntamente infringido, recoge : "El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fíchero o, en su caso, con el responsable del mismo". Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de los datos del artículo 18.4 de la CE. Derecho fundamental este último que, a tenor de la STC 292/2000, de 30 de noviembre, "persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino", e impide que se produzcan situaciones atentatorias frente a su dignidad. Deber de secreto profesional que incumbe a los responsables de ficheros, tal y como esta Sala y Sección ha mantenido en sentencias, entre otras muchas, de 10-1-2005 (Rec. 178/2004), 12-9-2007 (Rea 98/2006) y 7-5-2008 (Rec. 228/2006) y que comporta que el responsable de los datos almacenados no puede revelar ni dar a conocer su contenido teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Deber que constituye una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, implica que los datos tratados informáticamente, como nombre, apellidos, domicilio y otros no puedan ser conocidos por ninguna persona o entidad distinta de su titular, pues en eso consiste precisamente el secreto. Aplicando la anterior doctrina, se trata en de resolver si el traslado efectuado en el seno de la G.C. a través del su correo corporativo para la resolución por el órgano competente de la solicitud del denunciante con datos de salud de la hija menor al que, según se afirma, pudieron acceder 16 personas vulnera o no el derecho del artículo 10 de la LOPD en los términos que se acaban de exponer. III La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa en el presente caso, se realizaron dichas actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 previas con el resultado expuesto en el Hecho segundo de la presente resolución. Con carácter previo, es necesario observar según información de la G.C. que el denunciado presentó la instancia de reducción de jornada en el lugar de trabajo, destacamento del Aeropuerto de la Lavacolla, ante el Cabo 1º que ejercía el cargo de Jefe del Destacamento y la entregó “abierta” sin ningún tipo de reserva y confidencialidad en la que se reflejaban claramente las circunstancia de la petición, las condiciones familiares y la situación médica que afectaba a su hija así como el motivo por el que realizaba la petición sin hacer por parte del interesado ningún tipo de reserva, circunstancias que “ab initio” llevan a cuestionar la exigencia de confidencialidad que el denunciante no empleó y que exige a la G.C en el tratamiento de los datos de su hija menor para la tramitación de su instancia. Por lo que, se puede afirmar la inconsistencia de la denuncia ya que no es dable exigir confidencialidad a la contraparte cuando el afectado no hace uso de su privacidad de sus datos y de su familia. La G.C, también, detalla el procedimiento utilizado para la tramitación de este tipo de instancias entre unidades superiores y subordinadas. Informa que la tramitación de las solicitudes de los miembros del Cuerpo en unidades intermedias como la del denunciante por medio de la utilización del correo electrónico corporativo se realiza, en aras de la eficacia y eficiencia administrativa, en base a una Orden General 14/2001 sobre implantación y empleo del correo electrónico de la Guardia Civil, de forma que la solicitud se presenta por escrito en las Unidades subordinadas, remitiéndose a la Jefatura de Comandancia por conducto regular, a través de la compañía a la que pertenece dicha unidad, que es el órgano intermedio dentro de la distribución territorial y estructura jerarquizada de la Guardia Civil en el ámbito provincial que abarca la Comandancia, con los informes correspondientes de afectación al servicio y otras circunstancias que deban ser valoradas para la concesión o denegación. Una vez adoptada la resolución procedente, se remite por correo electrónico en duplicado ejemplar para notificación al interesado y se remite a la cuenta de correo corporativo interno de registro de la unidad de destino de cada peticionario, al objeto de que el jefe de dicha unidad proceda a su notificación en persona a los peticionarios. Esta comunicación permite el conocimiento de dicho jefe a los efectos que puedan corresponder en el nombramiento del servicio. IV Expuestas las alegaciones de la G.C sobre la forma de presentación de las instancias y fluidez en la tramitación en las diferentes unidades, se pasan a analizar otros aspectos considerados relevantes para la valoración de los hechos denunciados. El denunciante (conocedor de la normativa sobre el uso del correo electrónico en la G.C) denuncia que a consecuencia de su utilización entre las unidades, tuvieron acceso a la información sensible sobre su hija, a su decir, al menos 16 personas entre personal interno y que desconoce el personal externo. En primer lugar, respecto al uso del correo electrónico corporativo. para dar curso de la documentación, esta Agencia se ha pronunciado en el sentido de la justificación de su utilización en base, en resumen, al artículo 45 la Ley 30/1992 de LRJPAC que avala que en las AA.PP el uso de las técnicas y medios electrónicos y la Ley 1/2007 de Acceso Electrónico de los Ciudadanos a los Servicios Públicos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 fomenta las tecnologías de la información y preferentemente los medios electrónicos, ello siempre que se aseguren la integridad, autenticidad y confidencialidad de la información, extremos que, en el caso en cuestión, se puede afirmar no se produjeron por lo a continuación expuesto. En segundo lugar, en lo concerniente a las personas que tuvieron acceso a los datos de salud de su hija menor, según el denunciante alrededor de 16 personas y desconoce el personal ajeno, el denunciante no aporta prueba o indicio del nº de personas que accedieron ni que el ámbito de difusión fuera excesivo al acceder terceros ajenos al cuerpo. Por el contrario la G.C. sí especifica que las personas que tuvieron acceso al correo fueron como máximo las mismas que tuvieron acceso a la documentación presentada libremente y en abierto por el denunciante. Esto es, en el órgano emisor tuvo conocimiento el personal del Negociado de RR.HH de la Comandancia; en el órgano receptor, el Jefe del destacamento de seguridad del aeropuerto, para la notificación y el cumplimiento de los términos establecidos en la resolución que afectaba a la organización del trabajo; y en los órganos intermedios, el Capitán de la compañía y personal administrativo de la Plana Mayor de la Compañía, por lo que,. afirma que nadie fuera de los jefes y personal autorizado tuvieron acceso al correo corporativo, ello conforme a la Orden General 14/2001 sobre implantación y empleo del correo electrónico de la Guardia Civil En tercer lugar en el supuesto de que así se plantease , no se puede obviar la condición de “afectados” en la resolución adoptada del resto del personal del destacamento, dado que la reducción de jornada influía en el resto de los compañeros al ser un entorno profesional limitado en cuanto a efectivos que comportaba el cambio en las condiciones laborales, esto es de frecuencia de guardias y de turnos, de día a nocturno, por lo que en tal condición el resto de personal tiene interés legítimo en conocer la resolución y motivaciones de la decisión, como lo acredita la fundamentación de la resolución del Coronel Jefe de la Comandancia de A Coruña que recoge: “además, de aceptar, esta solicitud, el resto de personal, deberla, por una parte, aumentar el número de servicios que presta en horario de mañana y noche, lo que supondría un gravé perjuicio para ellos, especialmente en los horarios nocturnos , mucho más penosos,.…,. Por otra parte, deberían extenderse los horarios de! turne de mañana…..lo que supondría nombrar con habitualidad unos servicios demasiado largos…, con el evidente perjuicio para estos componentes. Conclusión obvia de todo ello, es que el detraer al peticionario en esa franja concreta del turno que solicita, solamente puede ser a costa de alguna de otras dos circunstancias: una disminución de la seguridad de la instalación… o un incremento del número de servicios que realicen el resto de componentes del destacamento..” Finalmente, de la lectura de la resolución de la Comandancia se observa que la resolución trasmitida por el correo contiene exclusivamente la causa alegada por el denunciante en la instancia habiendo aportado el denunciante en su petición mayor información, además de que eran circunstancias muy conocidas en el entorno de las personas en que se producen estas circunstancias pudiendo calificarse de hecho “notorio”. Tampoco, es relevante el pantallazo que el denunciante anexa a la denuncia ya que con independencia de su valor probatorio, solo afirma “… tener a su cargo un hijo menor de doce años..” Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7
9. PROCEDER AL ARCHIVO de las presentes actuaciones.
10. NOTIFICAR la presente Resolución a comandancia guardia civil de a coruña, DIRECCION GENERAL GUARDIA CIVIL y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es