1/6 Expediente Nº: E/04115/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el DELEGADO ESPECIAL DE LA AGENCIA TRIBUTARIA EN CATALUÑA y DIRECCION GENERAL DE LA POLICIA en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de enero de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en adelante denunciante) en el que manifiesta su oposición a que sus datos fiscales aparecieran y se visualizaran en la página interna de la Dirección General de la Policía ya que no había prestado su consentimiento para la cesión a través de otras administraciones públicas que no fuese la propia Agencia Estatal de Administración Tributaria – AEAT--. Expone que dado que éste enlace se abre y permanece activo durante el periodo de realización del Impuesto sobre la Renta de las Personas Físicas (IRPF) y que esta disponibilidad obedece a un convenio firmado entre la Agencia Tributaria y la Dirección General de la Policía, resulta que no sólo el propio interesado sino que terceras personas pueden acceder a la información tributaria de carácter personal que consta en la Agencia Tributaria, siendo dichos hechos puestos en conocimiento de la Agencia Tributaria, el 12 de marzo de 2012, no habiendo obtenido respuesta. Con fecha de 20 de mayo de 2013 el denunciante reitera que nuevamente están disponibles sus datos personales en el enlace de la Dirección General de la Policía. SEGUNDO: El Director de la AEPD, con fecha de 15 de julio de 2013, resuelve desestimar la reclamación formulada por el denunciante, referencia R/01615/2012 – TD/0275/2013, contra la Agencia Tributaria ya que la pretensión del reclamante queda fuera del ámbito competencial de esta Agencia, ya que su solicitud es que una página web interna de un organismo no pueda mostrar el enlace de la Agencia Tributaria. No obstante, al objeto de analizar el procedimiento descrito se abren las presentes actuaciones de investigación E/04115/
- TERCERO La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas, de suerte que la Dirección General de la Policía ha informado a la Inspección de Datos, con fecha de 22 y de 29 de abril de 2014, en relación con el acceso a los datos del IRPF que constan en la Agencia Tributaria por parte de sus funcionarios lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 - No existe ningún convenio entre la Dirección General de la Policía y la Administración Tributaria para el acceso a los datos fiscales en la página Web (intranet), siendo el acuerdo verbal y en base al aplicado con otras Administraciones Públicas. - Ningún funcionario ha tenido acceso a los datos del Inspector D. A.A.A. ya que para acceder a los mismos, es necesario su carnet profesional personalizado y una clave o password que garantiza su privacidad. - No les consta ninguna irregularidad en el acceso a los datos fiscales de la Agencia Tributaria desde la Jefatura Superior de Policía de Cataluña y no existe constancia que dicho funcionario haya presentado denuncia por los hechos acaecidos. - El motivo de permitir el acceso a los datos fiscales consiste en facilitar el trámite a los funcionarios para que se puedan descargar el borrador de la declaración del IRPF desde las dependencias en donde prestan sus servicios. - Desde la página web interna de la Dirección General de la Policía efectivamente es posible que cada funcionario de la misma pueda acceder única y exclusivamente al borrador de su propia declaración del IRPF y nunca a la de un tercero. Para ello se ha de conectar a una aplicación interna denominada portal de la policía que permite a cada funcionario ver sus propios datos que obran en el Registro Central de Personal (puestos de trabajo, destinos, historial, permisos, datos de nómina, etc.), la cual facilita el acceso al funcionario a la Administración Tributaria. El acceso a esta aplicación solo es posible si el funcionario está debidamente autenticado con su carnet profesional o DNI, que contienen certificados digitales (en ambos casos se ha de introducir el mismo en un lector de tarjetas criptográficas) o mediante el nombre de usuario, e introduciendo en todos los casos su correspondiente clave de acceso. - En ningún caso, nadie puede acceder al borrador de la declaración del IRPF de otro funcionario. - El procedimiento establecido para las comunicaciones entre la Administración Tributaria y la Dirección General de la Policía es mediante servicios web, debidamente autenticados y a través de canales seguros, en los que se facilita el identificador del funcionario que expresamente solicita el borrador de su declaración, y la Administración Tributaria responde con un fichero (formato pdf) conteniendo el borrador de la misma, correspondiente a dicha persona. De acuerdo con ello no existe cesión de dichos datos por cuanto solo y exclusivamente puede acceder a los datos del borrador, el propio funcionario en las condiciones de seguridad descritas anteriormente, siendo necesario además que el funcionario pinche en la pestaña correspondiente y confirme expresamente que desea acceder a dichos datos del borrador. - Por lo que no es posible acceder a los datos de otro funcionario, salvo que exista una usurpación de la identidad del mismo, es decir que se posea físicamente el DNI o carnet profesional de la persona y su correspondiente clave; o bien que disponga del nombre de usuario y de la contraseña del funcionario. Todos los accesos son auditados, constando en los registros de auditoría que los accesos realizados con el usuario con DNI ***DNI.1, correspondiente al denunciante, en el año 2014 al apartado de datos del borrador del IRPF son cinco. Por otra parte, la AEAT no ha dado respuesta a los requerimientos de la Inspección de Datos en los que se le solicitaba diversa información referente al acceso por parte de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Dirección General de la Policía de los datos relativos al IRPF y que fueron entregados en destino el día 28 de marzo y 7 de mayo de
- FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Con carácter previo señalar que el presente procedimiento, E/4115/2013, tiene por objeto, a consecuencia de la denuncia consistente en que un tercero puede acceder a los datos fiscales del titular a través de la intranet de la Dirección General de la Policía, la comprobación del sistema obrante en la Dirección General de la Policía sobre si se producen accesos indebidos a datos fiscales a terceros ajenos a los mismos. También, indicar que no constan en el expediente no se aportó por el denunciante documento que corrobore la denuncia. La LOPD en su artículo 10, dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se facilite información sobre datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 14/09/2001, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. Y el artículo 9 de la LOPD, establece: “
- El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El responsable de fichero y del tratamiento, la AEAT está obligada al secreto profesional de los datos que disponga para el cumplimiento de sus fines así como a mantener las medidas de seguridad para que no se produzcan accesos indebidos a cuyo efecto se realizó una inspección documental para el esclarecimiento de los hechos. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” III En el presente caso, de la inspección realizada se desprende que en la Dirección General de la Policía, como en otros muchos organismos públicos de las AAPP, la AEAT da acceso a los interesados en el período de Declaración de la Renta de las personas Físicas a los datos fiscales de los sujetos pasivos a través de canal seguro y, en el caso, de la intranet de la Dirección General de la Policía. Y también se concluye que el procedimiento de acceso (Hecho Segundo) a los datos tributarios a través de la intranet de la Dirección General de la Policía precisa del carnet profesional personalizado del usuario y una clave o password que garantiza su privacidad y que, con independencia de que en momento alguno el denunciante ha acreditado documentalmente que se produzcan accesos de terceros a datos fiscales, el procedimiento mantiene la confidencialidad de los datos y las medidas de seguridad para que no se produzcan accesos indebidos como el denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Es más, consta que todos los accesos son auditados, constando en los registros de auditoría que los accesos realizados con el usuario con DNI ***DNI.1, correspondiente al denunciante, en el año 2014 al apartado de datos del borrador del IRPF son cinco. Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “
- Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En el caso que nos ocupa, no se han hallado indicios razonables de que se hubieran producido los hechos denunciados y sí que el acceso a los datos fiscales a través de la intranet de la Dirección General de la Policía cumple con el deber de secreto y mediadas de seguridad atinentes a que no se produzcan accesos indebidos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución a DELEGADO ESPECIAL DE LA AGENCIA TRIBUTARIA EN CATALUÑA, DIRECCION GENERAL DE LA POLICIA y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es