E-04959-2020

1/5  Procedimiento Nº: E/04959/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 25/10/2019 en la Agencia Española de Protección de Datos. La reclamación se motiva porque en el anuncio que se publica en el portal de la contratación pública de la Comunidad de Madrid, de 10/07/2019 para el Servicio de mantenimiento integral de equipos de Electromedicina en el Hospital Universitario Puerta de Hierro de Majadahonda, Madrid han sido expuestos datos personales derivados del procedimiento de gestión de adjudicación en distintos actos administrativos producidos a instancias de las partes. En el anuncio figura como como entidad adjudicadora, la Consejería de Sanidad, Servicio Madrileño de Salud, Hospital Universitario Puerta de Hierro. Aporta copia de una acta notarial de 24/10/2019 en la que entrando esa mañana en la web madrid.org, portal de contratación pública, expediente ***EXPEDIENTE.1, Apartado de la parte inferior derecha denominados recursos interpuestos clicando el link de acceso y se abre una página que se denomina recurso interpuesto por agenor abriéndose un descargable en PDF que coincide con el aportado por la manifestante considerando acreditado que la documentación aportada es la que aparece insertada en la citada dirección de internet siendo pública y pudiendo acceder a ella cualquier persona aportando imagen en la que se ve la página y el descargable así como el recurso integro Se aprecia que en el mismo se contienen diferentes datos personales no sólo del que presenta la reclamación, con su NIF, e mail corporativo sino también referencia a datos de empleados identificados en distintos e mails. Estos empleados a través de dicho medio efectúan consultas al órgano de contratación. Como ejemplo los datos de nombre y apellidos con el cargo de “gestora de compras” y el correo institucional de la reclamada, que lleva su nombre personal en el inicio solicitando una información del expediente. También figuran referenciados empleados en cuadros de valoración profesional, citados solo con sus iniciales. Además, también denuncia que los días 28 y 29/08/2019 aparece publicado en el portal respuestas a aclaraciones solicitadas por los distintos interesados, ofreciendo pantallazos de correos electrónicos en los que se pueden ver el nombre y el correo de la persona. Aporta copia de correos de dos empresas participantes en las que se ve en un e mail, la consulta al servicio de contratación y direcciones e mail, contratación con el dominio de la empresa, y en el otro, puede verse el cargo y nombre y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 apellidos de la persona que remite el correo, bajo dirección e mail institucional que no contiene directa referencia a sus datos de nombre o apellidos . -Copia de escrito dirigido al Servicio de contratación administrativa del hospital Puerta de Hierro de fecha 23/10/2019 poniendo de manifiesto los hechos incluyendo la visibilidad del recurso que interpusieron el 17/10/

1. Indica que se apercibieron porque el 23/10/2019 “recibieron aviso por parte del portal” de que se había publicado un nuevo documento sobre el expediente. Declaran que se pueden ver datos de “Nombres completos y sus DNI, domicilios, correos electrónicos, teléfonos y firmas” Manifiesta que de acuerdo con el artículo 56.3 de la Ley de contratos de SP “el recurso solo debía hacerse llegar a los restantes interesados en el procedimiento” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/11185/2019, el 2/12/2019 se dio traslado de dicha reclamación a Consejería de Hacienda y Función Pública, y a la Consejería de sanidad de la Comunidad de Madrid. TERCERO: Con fecha 8/01/2020 se recibe escrito de la Dirección General de sistemas de información y equipamientos sanitarios que acompaña escrito del SERVICIO MADRILEÑO DE SALUD, Consejería de Sanidad, manifestando: Requirieron a la Gerencia del Hospital Universitario Puerta de Hierro como responsable de los datos objeto de la reclamación que llevaran a cabo las oportunas investigaciones para determinar los motivos que ocurrieron . Aporta dos informes emitidos por la citada hospital como anexo 1 y
2. En el primero se indica ante otros extremos la alusión al artículo 63 de la ley 9/2017 de 8/11 de contratos del sector público, LCSP, que establece que serán objeto de publicación en el perfil del contratante… la interposición de recursos, por lo que consideran que la publicación no infringiría la normativa vigente. No obstante, el 25/10/2019 desde la Dirección General de Patrimonio y Contratación se remitió al Hospital un correo electrónico en el que se trasladaba que era suficiente con publicar en el referido espacio el escrito del Tribunal administrativo de contratación por lo que como medida cautelar y para atender la petición de AGENOR, se procedió a retirar el texto del recurso de la plataforma. En cuanto a la constancia en el portal de contratación de las preguntas y respuestas de los distintos licitadores consideran que la ley de transparencia 19/2013 habilita instrumentos como la plataforma de contratos del sector público para practicar la trazabilidad y transparencia en la toma de decisiones por la publicidad activa sobre los contratos y del proceso de licitación y establece que salvo que en el caso concreto prevalezca la protección de datos, se concederá el acceso a la información que contenga datos meramente identificativos relacionados con la organización, funcionamiento de la actividad pública del órgano (artículo 15). Señala que en el supuesto aquí analizado se acredita que la información se corresponde con datos de contacto correo electrónico y teléfono corporativo que pertenecen a la esfera profesional y no personal del trabajador qué constan en el pie de firma de un correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 corporativo desde que se plantearon las preguntas por lo que consideran que hay apoyo legal tanto en la relación contractual establecida como en el cumplimiento de una obligación legal del artículo 6.c del RGPD. También el artículo 133 de la ley de contratación de sector público establece que las empresas han de indicar motivadamente de forma expresa en una memoria o informe los documentos o qué parte de la información está comprendida en prohibiciones relacionadas con la ley de Protección de Datos conforme a su parecer y que deban ser considerados confidenciales y que de no aportarse esa declaración se consideraría que ningún documento o datos posee dicho carácter no habiéndose trasladado por la reclamante esta indicación. CUARTO: Con fecha 20/04/2020 se diligencia la constancia que “con fecha de 17 de abril de 2020, se encuentra accesible el enlace objeto de denuncia en la presente reclamación, según el volcado de pantalla que se adjunta.” en un pdf de 112 páginas. ***URL.1 QUINTO: Con fecha 5/06/2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. SEXTO: Con fecha 10/06/2020 se recibió escrito del reclamante e indica que se ha eliminado del portal el documento del recurso y se ha sustituido por un acuerdo de 30/10 de octubre del 2019 del Tribunal administrativo de contratación pública de la Comunidad de Madrid anulándose el conocimiento de la información que contenía, no sólo los datos personales sino de otros extremos de contenido comercial y técnico que no interesaban a terceros. Manifiestan que recibido el escrito de admisión a trámite de su reclamación emitido por la Agencia Española de Protección de Datos, considera que su pretensión ha sido satisfecha, instando el desistimiento de su reclamación. SÉPTIMO: Con fecha 28/08/2020 se accede a la web con la misma dirección url con la que se hizo en la diligencia de 20/04/2020, hallándose el recurso pdf como resultado, sin referencia al portal. De hecho en el portal no resulta posible el acceso al recurso habiéndose sustituido por una nota del tribunal económico administrativo. La referencia que resulta podría deberse a la indexación que el motor de búsqueda efectúa, al no haberse completado técnicamente el proceso adecuado cuando se retiró de la plataforma en su día. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de la misma a la reclamada para que procediese a su análisis y diera respuesta a esta Agencia en el plazo de un mes. Una vez analizadas las razones expuestas por la reclamada, se ha constatado que al recurso interpuesto por el reclamante no es posible su acceso en la plataforma de contratación y que la toma de medidas se inicia el 25/10/2019 como respuesta a la reclamación que el reclamante presenta ante el Hospital, quitando el recurso en el que se visionaba el DNI del administrador que presentaba la reclamación. Desconociéndose el motivo de que salga el documento en el buscador, podría deberse a que el contenido se ha indexado por los motores de búsqueda, por lo que sería conveniente como medida proactiva que la reclamada al objeto de evitar la indexación por los buscadores, realizara las acciones tendentes a evitar que salga el documento por parte de los buscadores mediante la activación de un robot TXT que evite la captación por los motores de búsqueda de internet y no puedan asociarlo. Considerando la circunstancia de que puede verse directamente el pdf solo cuando se introduce directamente la extensa url referida en el buscador, sin remitir al portal de contratación, la consideracion del reclamado sobre la retirada del documento en la plataforma, y que se recomienda la toma de la medida tecnica del robot txt, se procede al archivo de la reclamación al haberse subsando la irregularidad. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 ración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y a la CONSEJERÍA DE SANIDAD DE LA COMUNIDAD DE MADRID. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es