E-02793-2018

1/8 Expediente Nº: E/02793/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el MINISTERIO DE DEFENSA en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 3 de mayo de 2018, tuvo entrada en esta Agencia escrito de Dña. A.A.A., (en lo sucesivo, la denunciante) denunciando a la Base ***BASE.1, a los medios de prensa digital y escrita y páginas de Internet que a continuación se citan por los siguientes hechos, En su condición de ***PUESTO.1, ha participado en un proyecto de investigación en la Base ***BASE.1 de enero a marzo de 2018. En el periodo de realización del proyecto, se produjo un hecho interno que dio lugar a que le notificaran con fecha 11 de marzo de 2018, el incumplimiento del Código de Conducta. Aporta copia de la notificación, firmada por el Comandante Jefe de la Base en la que consta que:  Con fecha 22 de febrero se alojó en la Base ***BASE.1, del Ejército de Tierra, situada en ***LOCALIDAD.1.  Con fecha 23 de febrero el Jefe de la Base le informó del obligado cumplimiento de la Norma de Activación incluyendo el Código de Conducta.  Desde el 23 de febrero de 2018, se ha observado que porta un distintivo visible y permanente en las zonas comunes, con un lazo amarillo y un pin con la bandera “estelada”.  El día 28 de febrero el Jefe de la Base le comunicó verbalmente, ante dos testigos, que no debía llevar puesto a la vista el citado distintivo por constituir una continua manifestación política contraria al código de conducta y a la estricta neutralidad política que se debe exigir en una instalación del Ejército de Tierra.  A pesar de la comunicación, ha continuado exhibiendo el distintivo en todas las zonas comunes.  Que dicha conducta es contraria al Código de Conducta (Anexo B de la ***NORMA.1 del Ejército de Tierra) aprobada por la División de Operaciones del Ejército de Tierra y difundida en la página web del comité polar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8  Por lo que, se solicita al Comité Polar Español que tome las medidas oportunas para que los citados incumplimientos del Código de Conducta de la Base no se repitan en próximas campañas. La denunciante manifiesta que se trata de un documento privado correspondiente a un expediente administrativo en el que ella es la única parte interesada, además del firmante del mismo y del instructor del expediente. En los días siguientes, se han publicado, sin su consentimiento, en diversos medios de comunicación noticias sobre este hecho en las que se han divulgado sus datos personales y su D.N.I. Aporta copia impresa de las siguientes noticias publicadas.  Con fecha 13 de marzo en el diario digital ***PRENSA.1 con el título “***NOTICIA.1”. En el artículo se reproduce una copia del documento que incluye el nombre de la denunciante y el DNI.  Con fecha 13 de marzo en el diario digital ***PRENSA.2, con el título “***NOTICIA.2”. En la publicación se puede acceder al documento con los datos de la denunciante.  Con fecha 14 de marzo en la revista digital ***PRENSA.3, se reproduce parte del documento y en el artículo el resto del documento.  Con fecha 15 de marzo el diario ***PRENSA.4, publica la noticia con el título “Una científica independentista lleva su provocación a la base militar española de la Antártida” y también se publica el documento.  En la página web de la ***ASOCIACION.1 se hacen eco de la noticia publicada en ***PRENSA.4 y se reproduce el documento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, procediendo, con fecha 5 de junio de 2018, a trasladar la denuncia al Delegado de Protección de Datos del Ministerio de Defensa y a solicitarle información sobre los hechos denunciados. Con fecha 5 de julio de 2018, se recibe en la Agencia, contestación del Delegado de Protección de Datos, adjuntando el informe elaborado por el Ejército de Tierra sobre los hechos denunciados, y en el que pone de manifiesto: 1. En el marco de la pasada campaña Antártica, a partir del 22 de febrero de 2018, se alojaron en la ***BASE.1, varios científicos, entre los que se encontraba la denunciante. Durante su estancia, llevaba de forma visible y permanente sinos políticos (lazo amarillo y senyera estelada). 2. Dado que la exhibición de dichos símbolos contravenía el código de conducta establecido en la instalación, fue requerida verbalmente por el Comandante Jefe de la Base a retirarlos, a pesar de lo cual, la denunciante persistió en llevarlos. 3. Ante su persistencia, el Jefe de la Base le notificó por escrito el requerimiento, comunicándole que informaba de los hechos al Comité Polar, la denunciante se negó a recoger el escrito, por lo que se le remitió la notificación por correo electrónico con fecha 10 de marzo de 2018, incluyendo como destinatarios a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 los puntos de contacto de la División de Operaciones (DIVOPE) del EME, del Buque Hespérides y del Comité Polar Español (CPE). 4. Respecto a las personas que han tenido acceso a la notificación además de la denunciante: En formato papel: El Comandante Jefe de la ***BASE.1, que fue el que elaboró el documento, para su entrega a la interesada, y encargado de custodiar el mismo. Los dos testigos a los que se hace referencia en el documento y la capitán encargada de la destrucción del documento al concluir la campaña (días después de la filtración). Mediante correo electrónico: Ejército de Tierra: DIVOPE Oficina Campaña Antártica (División de Operaciones), Armada (Comandante del Buque Hespérides) y el Comité Polar Español. 5. Según manifiestan, el Comité Polar Español depende del Ministerio de Economía Industria y Competitividad. La ***BASE.1 se gestiona por la División de Operaciones del Estado Mayor del ET y el Jefe de la Base se relaciona con el Comandante del Buque “Hespérides”. 6. Aportan copia del correo electrónico de fecha 13 de marzo de 2018, remitido por “B.B.B.” a otras dos personas, con el texto: Buenas tardes, este es el origen del tema. A esta hora este mensaje ha corrido por todo el Ejército”. En el mismo se reenvía el remitido a la denunciante con la notificación, en cuyo apartado CC consta remitido a otras tres direcciones de correo electrónico. 7. El correo inicial se remitió, con fecha 10 de marzo de 2018, por el Jefe de la Base al correo corporativo de la denunciante y se remitió con copia a: La cuenta corporativa genérica del Comité Polar Español, la cuenta corporativa personal del Teniente Coronel de la Oficina de Campaña Antártica y a la cuenta corporativa personal del Capitán de Fragata, comandante del Buque Hespérides. 8. Según manifiestan, tanto el remitente como el receptor del Ejército de Tierra han asegurado no haber reenviado la notificación objeto de la filtración. No obstante, el Ejército de Tierra no tiene capacidad de revisión del correo corporativo, por lo que no pueden certificar técnicamente este extremo. 9. La competencia del Ejército de Tierra para realizar las actuaciones con objeto de determinar la responsabilidad de los hechos está limitada a su personal, por lo que no se conocen las actuaciones del personal ajeno (Armada, Comité Polar o de la denunciante). 10. Respecto al procedimiento de custodia del documento, manifiestan que: el documento fue elaborado y archivado por el Jefe de la Base en formato electrónico en el ordenador situado en un local del Jefe de la Base con medidas de seguridad que impiden el acceso al mismo por otras personas. 11. El documento en papel, tras la negativa de la denunciante a recibirlo fue destruido por el Jefe de la Base. 12. Respecto al procedimiento establecido para la entrega de comunicaciones: habitualmente se realizan por correo electrónico o por teléfono. En el caso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 la denunciante se remitió por correo electrónico, tras su negativa a recogerlo en papel, tal y como se ha indicado anteriormente. 13. Respecto a la publicación del documento en diversos medios de comunicación desconocen las circunstancias por las que los medios han tenido acceso al documento. De la investigación que han realizado hasta la fecha no han podido determinar la cadena completa de origen y destino del mismo. 14. Con fecha 13 de marzo de 2018, por parte del DIVOPE, se tuvo conocimiento de la publicación en distintos medios de comunicación del documento y en algunos grupos de mensajería electrónica, ordenándose, inmediatamente, una investigación interna para determinar el origen de la filtración. 15. Se determinó que la filtración debió de producirse el 12 de marzo de 2019 y que se hizo viral ese día. La investigación duró aproximadamente dos días y se realizó mediante entrevistas personales. 16. No se realizaron acciones forenses de examen de correos electrónicos corporativos ya que esa capacidad reside en el organismo corporativo CCCA, dependiente del Centro de Sistemas y Tecnologías de Información y las Comunicaciones del Ministerio de Defensa. Aunque se evaluó la posibilidad de solicitar el análisis, de descartó ya que los criterios del CCCA para acceder a cuentas de correo electrónico corporativo son restrictivos y se limitan generalmente a casos judicializados. 17. Teniendo en cuenta lo indicado en el punto anterior, se dio por finalizada la investigación por los siguientes motivos: a. Tres de los cuatro destinatarios del primer correo (notificación) son ajenos al Ejército de Tierra. b. Los destinatarios del Ejército de Tierra aseguraron que no había reenviado el mensaje a nadie. c. La mayoría de los datos personales publicados relativos a la denunciante eran de nivel básico y algunos de ellos accesibles en diversas páginas web (nombre y apellidos y DNI). d. Los datos relativos a la adscripción política de la denunciante habían sido publicados por la misma, tanto en la Base (motivo de la notificación), como a través de varios medios públicos. e. No se puede determinar si la filtración se ha producido en los otros organismos (ARMADA y COMITÉ POLAR ESPAÑOL) a los que se remitió el correo electrónico. Con fecha 26 de julio de 2018, el Delegado de Protección de Datos del Ministerio de Defensa remite a la Agencia informe realizado por el Estado Mayor de la Armada, en relación con los hechos denunciados, en el que se pone de manifiesto: 1. La comunicación del Jefe de la Base fue tramitada por correo electrónico para informar a la Cadena de Mando Naval y para solicitar el asesoramiento e informe oportuno con vistas a la posterior elevación de un informe similar elevado por la Comandancia del Buque Hespérides al Comité Polar Español. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 2. Al documento tuvieron acceso: El Jefe del Gabinete Técnico del AJEMA, el Secretario General del Estado Mayor de la Armada, El Jefe de la Sección de Operaciones del Estado Mayor de la Armada, el Jefe de Estado Mayor de la Fuerza de Acción Marítima, el Comandante del Mando de Acción Marítima de Cartagena, el Capitán del Centro de Desarrollo de Conceptos y el Segundo Comandante del Buque Hespérides. 3. La comunicación no fue archivada por no tratarse de documento oficial y el correo fue borrado. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los hechos denunciados podrían constituir infracción a lo dispuesto en el artículo 10 de la LOPD, precepto que establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el presente caso, a través de la documentación presentada por la denunciante y del resultado de las comprobaciones efectuadas durante las actuaciones de inspección practicadas, consta acreditado que los datos personales de la afectada contenidos en la notificación del Incumplimiento del Código de Conducta de la Base Antártica Española que le fue entregada por el Comandante Jefe de dicha Base, con fecha 11 de marzo de 2018, fueron posteriormente publicados en diversos medios de comunicación digital y en la página web de la AME. De este modo, tanto el nombre, apellidos, DNI y condición de investigadora de la afectada, como los mismos datos identificativos referidos a otra científica y personal militar de la Base, también incluidos en dicha notificación, fueron difundidos a terceros no interesados en la tramitación de dicha notificación, toda vez que cualquier usuario de Internet que accediese a la información divulgada a través de los medios citados por la denunciante podía visualizar, sin restricción alguna, la información de carácter personal concerniente a la denunciante que aparecía en la reseñada notificación, publicada sin anonimizar en los mismos. Sentado lo anterior, conviene precisar que el resultado de las actuaciones previas de investigación practicadas no ha permitido obtener elementos de prueba que permitan determinar los autores de la filtración al parecer producida el día 12 de marzo de 2018 que ha dado lugar, a través de las mencionadas publicaciones, a la revelación a terceros de la información de carácter personal contenida en el reseñado documento. Así, no ha podido fijarse la cadena completa de transmisión del documento al que diversos destinatarios tuvieron acceso en papel o vía electrónica, dos de los cuales no pertenecían al Ministerio de Defensa. En consecuencia, no ha sido posible identificar al responsable de la vulneración del deber de guardar secreto de los datos personales reseñados contenidos en la notificación objeto de difusión. IV Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
2. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a los preceptos citados, y habida cuenta que no se han obtenido elementos probatorios o indicios razonables que permitan fijar la identidad del responsable del tratamiento de datos denunciado, procede acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución al MINISTERIO DE DEFENSA y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es