E-05045-2013

1/7 Expediente Nº: E/05045/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONFEDERACION SINDICAL UNION GENERAL DE TRABAJADORES (UGT), y la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, en virtud de denuncia presentada por Don A.A.A. y Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 21/03/2013, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. y Doña B.B.B., denunciando el acceso a la base de datos de afiliación y cotización de la Seguridad Social para consultar sus datos personales y posteriormente hacerlos públicos mediante correo electrónico. Aportan copia de los correos electrónicos de los que se desprende lo siguiente:  el 14/10/2012 se remitió a direcciones de correo electrónico de múltiples organismos del sindicato UGT un mensaje anónimo, en el que constan datos personales de Don A.A.A. (Secretario Gral. de CHTJ-UGT), en concreto, datos de afiliación a la Seguridad Social, indicando altas en empresas según la Tesorería General de la Seguridad Social (TGSS).  El 17/10/2012 se remitió un nuevo mensaje de manera masiva a direcciones de correo electrónico de diversos organismos de UGT reiterando los referidos datos sobre afiliación. Estos dos mensajes fueron remitidos desde la dirección “.............@gmail.com”.  En un correo, de fecha 18/10/2012, una persona que dice ser afiliada a UGT y llamarse C.C.C. reconoce la remisión de los citados correos, desde un ordenador de su casa, y “con un correo mío que da la casualidad que es de mi padre”.  El correo de 17/10/2012 se vuelve a remitir el mismo día, horas después, desde la dirección “.............1@gmail.com”.  El 04/03/2013 se remite un nuevo correo comentando datos laborales de Doña B.B.B., indicando “como consta en el régimen de la Tesorería de la Seguridad Social”. El correo se remite desde “.........eroski@..........”  El 13/03/2013 se remite un nuevo correo comentando datos laborales de ambos denunciantes, tales como puestos de trabajo desempeñados en distintas empresas. El correo, con el asunto “A CANDIDO MENDEZ, SECRETARIO GENERAL DE UGT LA ETICA”, expresa quejas sobre ambos denunciantes por incumplimiento del código ético de UGT, siendo enviado, como los demás correos, fundamentalmente a direcciones de correo electrónico de diversos organismos de UGT. El correo se remite también desde la dirección “.........eroski@..........”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Los denunciantes afirman que, a raíz de sus reclamaciones se inició un expediente en la TGSS, habiéndose detectado accesos no autorizados al Sistema de Información de la TGSS por parte de un empleado público, con objeto de la consulta de sus datos de afiliación, indicando que esta Agencia debe dirigirse a dicho organismo para ser informada de las actuaciones que se practicaran. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se solicitó a la Inspección de Servicios, Auditoria y Protección de Datos de la TGSS información sobre los accesos registrados al Sistema de Información de la Seguridad Social con el objeto de la consulta de los datos de afiliación de los denunciantes, habiéndose recibido contestación en los siguientes términos: “Esta Inspección de Servicios de la Tesorería General de la Seguridad Social, manifiesta que con fecha 16/04/2013, se inició expediente informativo en relación a posibles accesos efectuados a datos de carácter personal de los afiliados antes mencionados y conforme a la solicitud efectuada por los mismos. Las auditorías realizadas, sobre las que se informó debidamente a los interesados mediante oficio de esta INSPECCIÓN DE SERVICIOS, en fecha 16/07/2013, establecían la existencia de consultas a datos de afiliación de trabajadores, efectuados por la Inspección Provincial de Trabajo y Seguridad Social de Málaga. Consultas sobre las que fue solicitada la correspondiente información a fin de conocer y justificar las circunstancias que concurrían en la realización de las mismas y de las que se adjunta una copia a los efectos oportunos.” Adjuntan el informe emitido al respecto por la Inspección Provincial de Trabajo y Seguridad Social de Málaga en el que se cita que los accesos fueron realizados por Don D.D.D., así como que: “1) Las funciones que desempeña son dentro del departamento de informática, como coordinador de dicho departamento. 2) En las fechas de las consultas, 01/08/2012 y 05/02/2013, el mencionado funcionario se encontraba prestando servicios en dicho departamento. 3) Su trabajo habitual, además de las funciones propias como coordinador de informática, en ocasiones, por petición verbal de algún funcionario de esta Inspección Provincial, que no conocen el acceso a los datos informáticos, efectúa alguna consulta a los datos obrantes en la Tesorería General de la Seguridad Social, se le ha hecho saber al mismo de la necesidad de solicitar al funcionario que efectúe la petición, en caso de no disponer de clave de acceso actualizada por el mismo, que señale la OS que justifique la petición. 4) En cuanto a la existencia de algún documento que justifique el acceso, solamente tenemos constancia de cuatro escritos presentados, en las oficinas de la Inspección de Trabajo y S. Social, por los que menciona en su escrito (D. A.A.A. y D B.B.B.), dichos escritos de fechas de registro 07/08/2012, 13/09/2012, 09/10/2012 y 24/01/2013, algunos de ellos o fueron vía fax sin cumplir los requisitos que para la cumplimentación de denuncias señala el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 artículo 9.1.

1. f)del Real Decreto 928/98 de 14 de Mayo, identificación personal del denunciante lo que justifica la necesidad de contactar con los mismos para pedir su identificación.” 2. Se solicitó a la CONFEDERACION SINDICAL UNION GENERAL DE TRABAJADORES DE ESPAÑA (UGT) información sobre la afiliación a ese sindicato de las personas cuyos nombres aparecen mencionados en el expediente, Don D.D.D. y Doña C.C.C., resultando haber sido ambos afiliados, el primero hasta 30/12/2996 y la segunda hasta 07/05/2013. Ambos pertenecían a la misma Federación de UGT que los denunciantes y ambos residen en Málaga. Se ha solicitado también a ese sindicato información sobre reclamaciones interpuestas por estas personas contra los denunciantes, así como información sobre la autoría de los correos electrónicos difundidos a diversas direcciones de UGT, manifestando los representantes del sindicato que hasta la fecha no consta ninguna reclamación por parte de esas personas. Indican que el correo de asunto “A CANDIDO MENDEZ, SECRETARIO GENERAL DE UGT LA ETICA” nunca fue recibido en la Comisión Ejecutiva Confederal, ya que de la lectura de las distintas direcciones de correo electrónico que figuran en el campo “para” ninguna pertenece a la del Sr. Cándido Méndez o a cualquier miembro o trabajador de la Comisión Ejecutiva Confederal, al terminar todas en @cec.ugt.org y no confederal.ugt.org como aparece en la lista de correos electrónicos que aparecen en el campo “para”. 3. Por último, la Inspección de Servicios, Auditoria y Protección de Datos de la TGSS ha remitido a esta Agencia un informe de otro Organismo con acceso a datos de afiliación de la TGSS, del que también se encontraron accesos a datos por parte de una de sus empleadas públicas, pero justificando los accesos realizados. Esta empleada, además, no consta afiliada a UGT, según la información facilitada por ese sindicato. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Por lo que respecta a las medidas de seguridad por parte de la TGSS, la LOPD en su artículo 9 dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. En lo que respecta a las medidas de seguridad implantadas por la TGSS en el fichero de afiliación, es importante señalar que consta acreditado que la TGSS, como responsable del fichero dispone de las medidas técnicas y organizativas precisas y necesarias para garantizar la seguridad de los datos y que tiene establecidos controles operativos de acceso con diferentes niveles a las Bases de Datos, basados en procedimientos técnicos que garantizan que el acceso a las mismas se realice únicamente por los usuarios previamente identificados y autenticados, que dispongan de credencial de acceso, otorgada por el responsable del fichero, a los datos que, exclusivamente, sean necesarios para el cumplimiento de sus cometidos. En el supuesto presente, hay que señalar que, ante la denuncia de accesos indebidos, la TGSS ha informado a esta AEPD que se realizó una auditoría sobre los accesos realizados a los datos de la vida laboral de los denunciantes efectuados por la Inspección Provincial de Trabajo y Seguridad Social de Málaga, concluyendo que en el caso de la funcionaria, Subinspectora de Empleo y Seguridad Social, el acceso estaba justificado como consecuencia de actuaciones de comprobación encomendadas por orden superior. Asimismo, en el caso del funcionario Don D.D.D., han informado a esta Agencia que desempeña sus funciones en el departamento de informática como coordinador, habiendo consultado en dos ocasiones los datos de los denunciantes; añadiendo que, en ocasiones, por petición verbal de algún funcionario de esta Inspección Provincial, que no conocen el acceso a los datos informáticos, efectúa alguna consulta a los datos obrantes en la Tesorería General de la Seguridad Social, se le ha hecho saber al mismo de la necesidad de solicitar al funcionario que efectúe la petición, en caso de no disponer de clave de acceso actualizada por el mismo, que señale la OS que justifique la petición. Por tanto, la TGSS tiene incorporadas las medidas de seguridad adecuadas en sus ficheros que impiden el acceso a personal no autorizado, así como para comprobar los accesos realizados. No tenemos constancia de que el funcionario haya sido sancionado por esta actuación. III En segundo lugar, se denuncia que esa información se ha facilitado a una persona que es la que ha enviado alguno de los mensajes denunciados en los que se indicaba la situación laboral del denunciante, finalizando con la frase: “Preguntarle todo esto en el próximo comité que vais a celebrar ya que yo como simple afiliado y al no pertenecer al Comité no tendré esa oportunidad, si dice que es mentira pedirle que entregue una vida laboral porque en la Tesorería de la Seguridad Social aparece dado de alta en estas dos empresas”; esta actuación podría suponer una vulneración del artículo 10 de la LOPD que dispone lo siguiente: “El responsable del fichero y quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. En el presente caso, partimos de las manifestaciones de los denunciantes que alegan que sin su autorización han consultado datos de su vida laboral vulnerando el deber de secreto ya que aportan correos en los que se indica que se inste al Sr. Domínguez a presentar su vida laboral ya que está dado de alta en dos empresas. La TGSS ha informado que los accesos efectuados por una Subinspectora están totalmente justificados; en cuanto a los accesos realizados por el coordinador de informática ha indicado que existen faxes de los dos denunciantes solicitando sus vidas laborales, que no cumplen todos los requisitos formales. Tampoco nos han informado del inicio de actuaciones disciplinarias contra el coordinador que accedió a su vida laboral, siendo ellos el órgano competente para hacerlo si entienden que se ha producido un acceso inconsentido y se ha informado de ello a terceros. UGT, que parece ser que es el Sindicato que conocía la información, también ha indicado que el Coordinador de informática dejó de ser afiliado a dicho Sindicato en el mes de diciembre de 1996. En resumen, consta acreditado que dos funcionarios han accedido a datos de la vida laboral de los denunciantes, aunque, en ningún momento ha quedado acreditado que se haya hecho un uso inadecuado de los mismos y menos que se hayan facilitado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 un tercero, por lo que no existe prueba fehaciente de la que se infiera la vulneración del deber de secreto. IV En el presente caso, en el que se denuncia la posible vulneración del deber de secreto por parte de funcionarios de la TGSS, por haber facilitado a terceros datos relativos a la vida laboral de los denunciantes, no consta acreditado que dichos datos hayan sido revelados, de modo que no existe prueba suficiente que permita a esta Agencia imputar una posible vulneración del artículo 10 de la LOPD ni a la TGSS ni a ninguna otra persona física o jurídica. No puede obviarse que al Derecho administrativo sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia e “in dubio pro reo” en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Asimismo, el mismo Tribunal Constitucional, en Sentencia 44/1989, de 20/02, indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya practicado una mínima prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Como conclusión, de las actuaciones realizadas por parte de la Inspección de Datos y del presente procedimiento en relación a los hechos denunciados y, en atención a lo expuesto, no se ha podido acreditar que los datos que dan soporte a la información supuestamente difundida hubieran sido facilitados por funcionarios que trabajan en la TGSS, frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, por lo que debe concluirse que no existe prueba de cargo suficiente, por lo que procede acordar en archivo del presente expediente. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL y a Don A.A.A. y Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es