E-03681-2020

1/12  Procedimiento Nº: E/03681/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por reclamante 1, tiene entrada con fecha 27 de octubre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra PODEMOS PARTIDO POLÍTICO, con NIF G86976941 (en adelante el reclamado). Los motivos en que basa la reclamación son, en síntesis, los siguientes: <<Desde ***FECHA.1 es responsable de protección de datos en el partido, siendo nombrado Delegado de Protección de Datos (en lo sucesivo DPD) en ***FECHA.2. Sus funciones son las establecidas en el RGPD y en la LOPDGDD. No depende orgánicamente de nadie para desempeñar sus funciones de forma independiente. También desarrolla las funciones de abogado en el Equipo Legal del partido. Es el responsable de Seguridad de la información. En el año 2019, Podemos nombró un nuevo Gerente y un nuevo Secretario de la Organización Estatal, y desde ese momento ha sufrido interferencias en su trabajo: le han apartado de grupos de trabajo, como Telegram, en el que se van a tratar datos personales; no le metieron en las guardias del mes de agosto de 2019; y ha recibido instrucciones que han interferido en su trabajo como DPD. Durante el desarrollo de la página web del Perfil del contratante de Podemos, no quería poner el aviso legal la Gerente, aduciendo la urgencia de su publicación. Como él se oponía empezó a acosarle y desacreditarle. Acompaña correos electrónicos que se cruzaron, de los que el deduce que no les importa incumplir la normativa de protección de datos. La segunda interferencia fue cuando cesaron a una abogada del Equipo Legal, amiga de la Gerente, y el pidió el cese automático de la autorización para tratar datos personales y acceder a expedientes judiciales; suprimiendo el acceso a las herramientas digitales, como marca el protocolo de seguridad. Al enterarse la Gerente, dio la orden de que no se cumpliera las instrucciones que él había solicitado como DPD. En otra ocasión, encontró a un jurista del Congreso de los Diputados sentado en un ordenador de una abogada del equipo legal, indicando que lo estaba utilizando para gestionar candidaturas para las elecciones generales de 2019. La abogada cuyo ordenador se estaba usando fue despedida a los pocos días. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Asimismo, han dificultado el acceso, como DPD, a un expediente de la Agencia Española de Protección de Datos recibido en octubre de 2019. El retraso injustificado y no explicado en la entrega del documento puede ser interpretado como falta de colaboración con la AEPD. Se creó un nuevo Equipo Legal coexistiendo los dos y dependientes de distintas secretarías. Como se negó a traspasar todos los asuntos al nuevo equipo, el Secretario de la Organización le acusó de desobediencia intencionada y negligencia grave, para doblegar su voluntad. Como Delegado de Protección de Datos del partido político PODEMOS, reclama por incumplimiento de las obligaciones establecidas en el artículo 38 del Reglamento General de Protección de Datos por parte de las personas reclamadas, responsables de dos departamentos del partido, y que podrían ser constitutivas de infracción tipificada como grave en el artículo 73

1. w)de la Ley Orgánica de Protección de Datos.>> SEGUNDO: Con fecha 14 de noviembre de 2019, el reclamante 1 presenta los documentos adjuntos a la denuncia presentada con anterioridad. Acompaña las conversaciones referidas a la publicación de la página web del perfil del contratante sin aviso legal; el correo que envió a informática para dar de baja los equipos y los accesos a la abogada que dejó el departamento legal; y el último correo, en que reiteraba la baja de una abogada del equipo legal y la necesidad de que se adecuase la situación para evitar accesos. Las conversaciones con la Gerente para volver a incluir a la abogada cesada del equipo legal en las aplicaciones informáticas que usaba. Con fecha 15 de noviembre, el reclamante 1 presenta la conversación sobre el uso del ordenador de una abogada del Equipo Legal por un abogado del Congreso de los Diputados; correos en los que se constata en retraso en facilitarle el traslado de la reclamación enviada por la AEPD para que contestase como DPD; contestación del DPD a un Burofax, remitido por el SOE de Podemos, sobre sus funciones. TERCERO: Con fecha 5 de diciembre de 2019, se recibe una reclamación de reclamante 2, en el que indica que, a través de la prensa, ha sabido que el DPD de Podemos ha sido despedido por cumplir sus funciones. Indica que se investiguen los hechos y solicita que se tenga por personada a la Asociación Española de DPD en defensa de los DPD y del despedido en particular. CUARTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/10770/2019, con fecha 10 de diciembre de 2019, se dio traslado de la primera reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El representante del Partido Podemos presentó alegaciones en la que, en síntesis, expone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 <<El ahora reclamante fue contratado para prestar sus servicios por cuenta ajena, como asesor jurídico y profesional el Partido, el día ***FECHA.1. Entre ***FECHA.2 y el ***FECHA.3, ha compaginado su puesto con el de DPD de la organización. El día ***FECHA.4, el máximo órgano de dirección del partido decidió nombrar Jefe del Equipo Legal al Secretario de Organización Estatal, por lo que el equipo jurídico pasó a depender de él. En los días posteriores a la toma de posesión del equipo, comenzó a notar lo que presuntamente podía ser acos por parte del reclamante 1 a una abogada del equipo (a la que se ha aludido en las exposiciones del reclamante 1), tema en el que no se entra por estar sub judice en la vía penal. Sobre la página web del perfil del contratante, los correos aportados solo demuestran lo que sucede en el día a día del trabajo; pero nada más lejos de impedir cumplir la normativa de protección de datos. Su participación en el asunto demuestra que la Gerente no impedía su trabajo. La segunda injerencia relatada se refiere al cese de la abogada Doña A.A.A. en el Equipo Legal, amiga íntima de la Gerente, impidiéndole dar de baja las herramientas informáticas a su nombre. La abogada nunca fue cesada de su puesto y no se le quitaron los poderes de representación; de hecho, continuó representando al partido. Continúa señalando que un jurista del Congreso de los Diputados trabajaba en el ordenador de una persona del Equipo Legal. No hay motivo para creer que no era cierta la contestación que se le dio al interesarse por el asunto. Y de haber pensado que era una incidencia de seguridad o una brecha, hubiese sido su obligación comunicarlo a la AEPD. Acerca del retraso en facilitarle el documento para información remitido por la AEPD, hay que señalar que cuando se recibió el partido estaba inmerso en plena campaña electoral y por ese motivo se demoró la entrega en 5 días, entre medias con un fin de semana, cuando el plazo de contestación a la solicitud era de un mes. Cuando el Secretario de Organización Estatal solicitó los expedientes judiciales, lo hizo al comenzar a desempeñar el puesto de Jefe del Equipo Legal. En base a lo expuesto, solicitan el archivo de la reclamación.>> QUINTO: Con fecha 14 de enero de 2020, reclamante 1 presentó ampliación de la reclamación enviada en el mes de octubre de 2019, contra el Partido Político Podemos y su Gerente. En esta ampliación señala, en resumen, lo siguiente: <<Denuncia que, como consecuencia de la reclamación presentada en la AEPD en el mes de octubre de 2019, fue cesado de forma fulminante el 2 de diciembre del mismo año, además por estar investigando actuaciones, presuntamente ilícitas en materia de protección de datos. No puede ser cesado si no hay una negligencia grave o dolo en el ejercicio de su trabajo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Estaba investigando una brecha de seguridad a raíz de la recepción de mails por parte de Mas País a militantes de Podemos ofreciéndoles microcréditos; pudiendo haber facilitado los correos algún trabajador de Podemos. También se podría haber producido una cesión de datos a Facebook para publicidad y recopilación de datos sobre opiniones políticas. Le preguntaron y contestó que no era posible, pero en octubre de 2019 se enteró que habían pagado 700.000 euros a Facebook para la campaña electoral. De haberse producido la cesión, el presunto responsable sería el Secretario de Comunicación del Partido. Se ha podido producir una presunta manipulación de los resultados de las votaciones internas de Podemos, cancelando datos personales de afiliados. Se ha producido un tratamiento de datos personales de forma paralela al tratamiento del censo de afiliados, según criterios estadísticos de participación, sin informar y para manipular el número de afiliados con derecho al voto. Se ha podido producir una vulneración del secreto del voto en las consultas internas, desde la consulta por (...) por parte de B.B.B. e C.C.C.. Tuvo conocimiento de que D.D.D. había dado órdenes para averiguar quién votaba a favor de (...) y además conocer las tendencias de voto por municipios. Se ha podido producir un acceso indebido al ordenador de Doña A.A.A. y sustracción del contenido del disco duro. El DPD nombrado es el presunto responsable de los hechos que estaba investigando; además por su trato personal con el DPD nombrado estima que carece de los requisitos exigidos para un DPD en la normativa de protección de datos.>> SEXTO: Con fecha 23 de enero de 2020, se recibe reclamación remitida por Don E.E.E., en la cual se hace eco de las noticias que los medios de comunicación están recogiendo como se manipulan datos especialmente protegidos para fines no autorizados, del partido Podemos. Las tres noticias que acompañan su reclamación recogen las mismas manifestaciones realizadas a esta Agencia por reclamante 1, en fecha 14 de enero de 2020, e indican que la fuente es el propio reclamante y otra persona cesada del equipo legal. En las noticias también aparece la contestación de Podemos señalando que desde la dirección del partido desmienten las acusaciones que, aseguran, no tienen ningún fundamento. SÉPTIMO: Con fecha 13 de marzo de 2020, reclamante 1 presenta escrito en el que indica que ha tenido acceso a las alegaciones que Podemos ha aportado a este expediente por haberlo acompañado a un procedimiento judicial. <<Quiere aclarar que siempre ha trabajado de forma independiente como abogado del Equipo Legal y como DPD. Fue el 17 de octubre de 2019 cuando Don F.F.F. tomo posesión como jefe del Equipo Legal, y no era algo público y notorio. El partido quiere tergiversar los hechos y que parezca que actuó por venganza, cuando no es así. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 El actual DPD falta a la verdad cuando dice que Doña A.A.A. nunca fue cesada del Equipo Legal. Siguió trabajando en el partido, pero no en el Equipo Legal. No eludió sus obligaciones como DPD puesto que no se produjo una brecha de seguridad, sino una incidencia.>> OCTAVO: Con fecha 4 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Se han vinculado en este expediente las reclamaciones recibidas en un corto espacio de tiempo, todas ellas contra el Partido Político Podemos, aunque referidas a distintas cuestiones. En primer lugar, se recibió una reclamación de la persona que, en ese momento, estaba nombrado como DPD de la mencionada organización. Todas las cuestiones planteadas por el reclamante, expuestas de manera muy pormenorizada en el primero de los hechos de este expediente, vienen a concluir que determinadas personas de la organización están interfiriendo en su trabajo como Delegado de Protección de Datos, incumpliendo lo establecido en el artículo 38 del RGPD. En la ampliación presentada por el DPD a su primera reclamación, motivada por el conocimiento de las alegaciones de Podemos, explica las investigaciones que estaba realizando, pero que no concluyeron referidas a una posible quiebra de seguridad, a una posible cesión de datos a Facebook, a interferencias en las votaciones internas del partido; concluyendo que el nuevo DPD no tiene la formación exigida por la normativa de protección de datos. El artículo 38 del RGPD indica lo siguiente: “1. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 2. El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados. 3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado. 4. Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento. 5. El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con el Derecho de la Unión o de los Estados miembros. 6. El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o encargado del tratamiento garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses.” Por otro lado, el artículo 39 del RGPD especifica las funciones del delegado de protección de datos, en el sentido siguiente: “1. El delegado de protección de datos tendrá como mínimo las siguientes funciones:
2. a)informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
3. b)supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
4. c)ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
5. d)cooperar con la autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
6. e)actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto. 2. El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.” De la denuncia presentada parece desprenderse que el reclamado no ha dejado hacer su trabajo al DPD porque entiende éste que no puede hacerse ninguna actuación por parte del responsable del tratamiento de los datos sin la autorización y control del DPD. Como se recoge en el artículo 39 del RGPD, las funciones del DPD son informar, asesorar, supervisar, auditar, comunicar posibles vulneraciones… Si el DPD informa a la organización que no se puede habilitar una web sin aviso legal y se publica sin dicho aviso legal, el responsable hubiese sido Podemos. Su función, al haber advertido la información que debe incluirse al recabar datos mediante una página web, sería la exigida al DPD. El hecho de que el responsable deba garantizar la independencia del DPD no es incompatible con que pueda organizar el trabajo y priorizar distintas actividades. Maxime si, como en este caso, el DPD era también un abogado del Equipo Legal del partido político. En cuanto a la ampliación de su reclamación, posterior a su despido disciplinario, expone aspectos que consideraba ilegales y que estaba investigando. No aporta ninguna acreditación de que se hayan producido las posibles infracciones a las que se refiere. III La segunda reclamación remitida por reclamante 2, indica que, a través de la prensa, ha sabido que el DPD de Podemos ha sido despedido por cumplir sus funciones. Solicita que se investiguen estos hechos. El artículo 36 de la LOPDGDD establece la Posición del delegado de protección de datos, indicando lo siguiente: <<1. El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias. 2. Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. Se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses. 3. En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto, incluyendo el previsto en el artículo 5 de esta ley orgánica. 4. Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento.>> El propio reclamante 1 en su ampliación a la primera reclamación indica que el Partido en el que trabajaba como DPD le ha cesado de forma fulminante mediante un despido disciplinario. Añade que el despido ha sido consecuencia de la primera denuncia que presentó y de las investigaciones que estaba realizando, no porque haya incurrido en dolo o negligencia grave en el desempeño de su trabajo. Hay que señalar que la cuestión planteada relativa al despido del DPD por la reclamada, excede de las competencias atribuidas a esta Agencia que no es otra que determinar si se han cumplido los requisitos legales establecidos en la normativa reguladora sobre protección de datos de carácter personal, por lo que la citada cuestión y sus causas, deberá ser sustanciada ante la jurisdicción correspondiente, en este caso, la social como no podría ser de otra forma. IV Por último, se recibe reclamación remitida por reclamante 3, señalando que Podemos ha vulnerado la norma en relación con datos de afiliación política. Se basa en noticias aparecidas en prensa sobre manipulación de censos para fines no autorizados (irregularidades en consultas –(…)). Los hechos recogidos en las noticias de prensa son los mismos a los que se refiere reclamante 1. Se trata de noticias que tienen relación con la polémica surgida entre el anterior DPD y otras personas de asesoría jurídica, también despedidas. Se informa sobre las denuncias formuladas ante los medidos por estas personas. La reclamación no aporta ninguna evidencia, al igual que la presentada por reclamante 1 por los mismos hechos. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador, en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a los reclamantes con su Anexo correspondiente, y al reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 ANEXO 1 Reclamante 1. DON G.G.G. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 ANEXO 2 Reclamante 2: H.H.H. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 ANEXO 3 Reclamante 3: Don E.E.E. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es