1/6 Expediente Nº: E/03830/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el SERVICIO PÚBLICO DE EMPLEO ESTATAL -SEPE- en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de mayo de 2015, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante) en el que denuncia que el día 29/4/2015 se personó en la Oficina de Empleo de Alcorcón 2 del SEPE donde observa que una tercera persona está fotografiando el tablón de anuncios observando que contiene unos listados a la vista de todo el público además de que esos mismos listados están en la mesa de al menos 8 empleados del centro. Esos listados tienen los siguientes datos: número de cita, hora, DNI, nombre y apellidos, fecha cita y modo de obtención de la cita. Entiende que nadie debería ver públicamente esos datos en un tablón de anuncios y aporta una fotografía del tablón de anuncios con los listados objeto de la denuncia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, solicitándose, con fecha 6/10/2015, información a la Oficina Alcorcón II del SEPE y de la respuesta facilitada por la Dirección Provincial del SEPE l de Madrid el día 23/10/2015 se desprende lo siguiente: 1. La solicitud de información recibida en la Oficina de Prestaciones de Alcorcón fue trasladada a la Dirección Provincial el día 14/10/2015. 2. Respecto a la ubicación de los listados donde se contiene el informe de citas previas de los usuarios de servicios públicos, los mismos se hallan en el interior de las instalaciones, es decir, no existe exposición abierta en la puerta de entrada de la Oficina de Prestaciones o en los muros externos del recinto que atraiga su atención a las personas que no sean los interesados. 3. Respecto del motivo por el cual se exponen los mismos, manifiestan que el sistema de “cita previa” se caracteriza por la sencillez de uso tanto para los ciudadanos como para el personal de las oficinas. Es un sistema basado en una asignación consecutiva de citas, habitualmente, en los cinco primeros días hábiles posteriores a la fecha de solicitud, con lo que se evitan plazos largos de espera. La flexibilidad en la configuración posibilita establecer la duración de los trámites: información/tramitación de aproximadamente 15 minutos, otras gestiones aproximadamente 5 minutos y configurar hasta 4 tramos horarios por trámite o fijar el número posible de puestos de gestión simultáneos en cada tramo horario. 4. La razón de exponer los listados controvertidos radica en que cada usuario pueda comprobar los datos para acceder a la prestación del servicio, habida cuenta el flujo elevado de demandantes de prestaciones por desempleo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 subsidios y toda la dinámica que conlleva el ejercicio de los derechos, opciones deseadas y horas aproximadas de tratamiento de la gestión. 5. Manifiestan que es habitual que las personas muestren incertidumbre o inseguridad en la selección de los tiempos, inclinándose la Dirección Provincial en exponer los listados para su contraste. 6. Asimismo, también manifiestan que desde el punto de vista de la protección de datos personales, la Dirección Provincial adoptó al igual que otras Direcciones Provinciales del SEPE, las medidas técnicas y organizativas necesarias que impidieran el acceso por parte de terceros a la información contenida en el sistema de cita previa. En sintonía con esto, los listados expuestos en la Oficina de Alcorcón, utilizan únicamente como dato de control el número de DNI, no incluyendo otros datos personales. Dado que, según se observa, en la fotografía aportada por el denunciante, la oficina de prestaciones de Alcorcón publica un listado diferente del aportado por Dirección Provincial del Servicio Público de Empleo Estatal de Madrid, con fecha 2 de noviembre de 2015 se solicita a la Oficina Alcorcón II, información sobre el motivo por el cual publica el listado aportado por el denunciante en lugar de publicar el listado aportado por la Dirección Provincial del Servicio Público de Empleo Estatal de Madrid, adjuntándose en la solicitud de información copia de ambos listados. Con fecha 17/11/2015 se recibe respuesta nuevamente desde la Dirección Provincial del Servicio Público de Empleo Estatal de Madrid y de la lectura de la misma se desprende lo siguiente: - Respecto del documento publicado por la Oficina Alcorcón II reconoce que el listado representaría uno de los soportes documentales donde vienen consignados datos personales de los usuarios de servicios públicos para la finalidad que se ha dado a conocer en su escrito anterior. No reconoce e incluso rechaza que los mismos se pongan en las paredes de las instalaciones, al venir siendo utilizados única y exclusivamente por el empleado público que controla la gestión de los expedientes. - Por todo ello, la Dirección Provincial del Servicio Público de Empleo Estatal de Madrid piensa que las fotografías se habrían captado invadiendo el espacio personal de trabajo del empleado público, aprovechando instantes profesionales de éste fuera de la mesa de su ubicación (como por ejemplo, ausentándose momentáneamente a consultar datos extraídos de ordenadores con impresoras no esclavas a la unidad de trabajo) transmitiendo la falsa creencia de una exposición contraria a la normativa de protección de datos cuando no es así. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Denuncia que personado el denunciante en la Oficina de Empleo de Alcorcón 2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 del SEPE observa que una persona está fotografiando el tablón de anuncios que contiene unos listados a la vista de todo el público, además de que esos mismos listados están en la mesa de al menos 8 empleados del centro, que tienen los siguientes datos: número de cita, hora, DNI, nombre y apellidos, fecha cita y modo de obtención de la cita. La LOPD en el artículo 6 regula el principio del consentimiento del interesado para el tratamiento de sus datos, en el que se dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…;” En el presente caso, el tratamiento de datos de las personas físicas que se ponen en contacto con el SEPE para acordar la “cita previa” comporta el establecimiento de una relación contractual entre ambas partes, por la que el SEPE está habilitado para el tratamiento de los datos de los solicitantes para la cumplimentación de dicha finalidad. Otra cosa es la “difusión” de datos personales contenidos en los listados sobre “cita previa”, disponiéndose de dos tipos :
- a)Listado en el que aparecen el nombre y apellidos, DNI y demás datos referentes a la cita previa aportado con la denuncia y,
- b)el modelo de listado de “citas previas” facilitado por la Oficina Provincial del SEPE que recoge, exclusivamente, el DNI, nº asignado y otros datos de la cita. La LOPD en su artículo 10, prevé: “ El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Y su artículo 11, recoge: 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. El deber de secreto (profesional) que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la Sentencia del Tribunal Constitucional 292/2000 y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. III En el objetivo de contrastar los hechos denunciados, es decir si el SEPE difunde en su tablón de anuncios listados con el nombre y apellidos y dni de los citados o sin datos identificativos como se afirma, se realizaron diligencias previas con el resultado que obra en el Hecho segundo de la presente resolución. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21/12, en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora, aprobado por el R. D. 1398/1993, de 4/08, en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” Dilucidar la exposición de uno u otro listado con datos identificativos o sin ellos lleva a analizar las pruebas aportadas por el denunciante, que consisten en diferentes fotografías:
- i)en una de ellas se visiona, al parecer, el tablón de anuncios de la oficina de Alcorcón del SEPE, siendo la documentación incluida en el mismo ilegible;
- ii)y otras tres fotografías (en ellas se aprecia a una persona obteniéndolas) en las que se visionan listados con nombres, apellidos y DNI, sin vislumbrarse el menor atisbo de que se encuentren en el tablón de anuncios del SEPE, por lo que puestas en relación la fotografía del tablón con las otras con listados en modo alguno son prueba de “cargo” ni indiciaria de que los listado identificativos fueran objeto de difusión a través del tablón de anuncios de la oficina del SEPE. Ante la falta de acreditación de los hechos denunciados y que por la Dirección Provincial del SEPE se afirma que el listado que se difunde en el tablón a efectos de “cita previa” es el del modelo aportado que recoge, exclusivamente, el DNI, datos sobre la hora aproximada y fecha de caducidad, una adecuada ponderación del conjunto de alegaciones lleva a asumir la tesis del organismo, que afirma que los listados con datos identificativos como nombre y apellidos y DNI corresponden a documentación interna en poder y uso de los funcionarios que puede haber sido facilitada por algún usuario para un hecho aislado y en el ámbito interno de la oficina de Alcorcón, sin que ello suponga un fallo en las medidas de seguridad adoptadas en el SEPE que por otra parte, ni se han cuestionado ni son objeto de la inspección. Habida cuenta lo expuesto, el escrito de denuncia se presenta como insuficiente para acreditar la supuesta vulneración al deber de secreto, en la medida que las fotografías no son concluyentes del hecho denunciado, debiendo señalarse que para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 declararse la infracción más allá de una sospecha es necesario fundamentar la acusación realizada. A este respecto, hemos de tener en cuenta que al derecho administrativo sancionador le son de aplicación, dada su especialidad y las consecuencias gravosas que en su desarrollo se pueden derivar para los administrados, los principios del derecho penal y, entre ellos el principio de presunción de inocencia, que determina que, no se podrá imputar una actividad ilegítima a alguien, en tanto en cuanto no existan elementos probatorios con suficiente entidad que lo permitan, como así nos dicen sentencias, como aquella del Tribunal Constitucional de 20 de febrero de 1989 que indica que: “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” También se ha manifestado la Sala de lo Contencioso Administrativo de la Audiencia Nacional en sentencia de 10 de mayo de 2006, en términos parecidos, ante la falta de pruebas de la apropiación de ficheros, ante contactos empresariales con clientes comunes: “Sin embargo, el hecho de que se remitiera dicha invitación a una empresa propietaria de vehículos Mercedes, no permite extraer como única conclusión posible, que los codemandados hubiesen extraído dichos datos de los ficheros de la empresa demandante en la que trabajaban con anterioridad, ya que ese conocimiento pudo deberse a múltiples factores: reflejo en los citados vehículos del nombre de la empresa titular, conocimiento por residir desde tiempo atrás en el mismo ámbito geográfico etc. Además del examen del documento número 3 adjuntado al acta de inspección, páginas amarillas on line, se constata marcada con una cruz la citada empresa Pascual Martínez S.L., lo que parece evidenciar que el domicilio de dicha empresa se extrajo de la guía telefónica, guía a la que hubiera sido innecesario acudir si dichos datos se hubieran recabado del fichero de la empresa demandante. No puede obviarse, un dato de gran trascendencia y es que en la diligencia de inspección practicada en la sede de la demandada, en los ficheros de datos personales no aparecen otros nombres que los correspondientes a los clientes a los que se ha emitido alguna factura, no figurando en el citado fichero datos relativos a ninguna de las personas que figuran en la relación facilitada en su día por la denunciante Por todo lo cual, no cabe sino colegir la falta de acreditación de la utilización por parte de la sociedad denunciada, de datos personales obtenidos de los ficheros de Talleres Argimiro Pardo S.L. no habiéndose constatado tampoco en consecuencia la vulneración del deber de secreto imputado, estimándose por ello inobjetable la resolución impugnada respecto los hechos denunciados” . Por tanto, ante la falta de prueba de un hecho concreto y determinante, no cabría activar un procedimiento sancionador, al no poder acreditarse suficientemente vulneración alguna de la LOPD, no existiendo, por tanto, soporte documental adicional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 para enervar el derecho a la presunción de inocencia de la denunciada que permita entender que se apropió del fichero de la clínica que contaban en común. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al SERVICIO PÚBLICO DE EMPLEO ESTATAL –SEPE- . y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es