E-05268-2017

1/11 Expediente Nº: E/05268/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la Secretaría de Estado de la Seguridad Social, la Secretaría General de Sanidad, el Instituto Nacional de Estadística, la Agencia Estatal de Administración Tributaria, y la Secretaría de Estado de Seguridad, en virtud de las denuncias presentadas por las personas relacionadas en el Anexo que acompaña esta resolución, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de septiembre de 2017, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que denuncia que como consecuencia de la publicación de la Ley del Referéndum de Autodeterminación publicada en el Boletín del Parlamento de Cataluña, ha advertido que se incumple la normativa de protección de Datos. En esta Ley se establece que se va a elaborar un censo electoral y el Gobierno de la Comunidad Autónoma de Cataluña no dispone de datos personales para la creación de ese censo. En la norma se pretende crear un mecanismo que habilite las cesiones ilegales de datos personales que se han de producir para confeccionar el censo para el referéndum. Añade que todas las personas que elaboren un censo ilegal estarán accediendo ilícitamente a los datos personales de los que integren el censo. De igual manera, todas las Administraciones Públicas que cedan datos de forma ilegal a la denominada administración electoral de la Generalitat de Catalunya incumplirán la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo LOPD). SEGUNDO: Desde el día 21 de septiembre de 2017 hasta el 17 de abril de 2018, se recibieron en esta Agencia Española de Protección de Datos 77 denuncias más referidas a hechos relacionados con el referéndum mencionado; los hechos denunciados se concretaban en el tratamiento de datos sin consentimiento de los denunciantes, no solo para la confección de la base de datos utilizadas con la pretensión de ofrecer información desde diferentes páginas web sobre el lugar de votación que les correspondería, sino también sobre otras cuestiones relacionadas con el desarrollo de la jornada del 1 de octubre, como por ejemplo, la formación de las llamadas “mesas electorales” o el funcionamiento del llamado “censo universal”. Asimismo, algunas de las denuncias hacían referencia a que la página web a la cual accedían para conocer el lugar de votación, estaba ubicada en países fuera de la Unión Europea, pudiendo haberse realizado una transferencia internacional de datos. TERCERO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados: 1 Se solicitó información a la Secretaria de Estado de la Seguridad Social referida a los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 o Si les consta que se haya producido algún acceso o tratamiento a sus ficheros sin que haya una base legal para ello por otra entidad, organismo o persona física. o Si se han realizado cesiones de datos a ayuntamientos situados en la Comunidad Autónoma de Cataluña y/o a la Generalidad de Cataluña; en caso afirmativo, las fechas en las que se realizaron dichas cesiones, el propósito alegado para realizar dichas cesiones de datos y el plazo temporal establecido para su tratamiento. La Secretaria de Estado de la Seguridad Social informó que había consultado a todas las entidades gestoras. Las cesiones o accesos a las bases de datos del Instituto Nacional de la Seguridad Social, de la Tesorería General de la Seguridad Social, Gerencia de Informática de la Seguridad Social, y del Instituto Social de la Marina están habilitados por convenios de colaboración entre Administraciones, con finalidades tasadas; son accesos para el desarrollo de funciones del Departamento de salud de la Generalitat de Catalunya, del Servicio de Ocupación de Cataluña, y del Departamento de Trabajo de la Generalitat de Catalunya. No existe posibilidad de accesos o tratamiento de datos de los ficheros de la Intervención General de la Seguridad Social y del Servicio Jurídico de la Seguridad Social. Acompañaron un documento con todos y cada uno de los servicios de intercambio de información que han tenido con organismos catalanes. 2 Se solicitó información a la Secretaria General de Sanidad y Consumo referida a los siguientes extremos: o Si les consta que se haya producido algún acceso o tratamiento de las bases de datos de las tarjetas sanitarias sin que haya una base legal para ello por otra entidad, organismo o persona física. o Si se han realizado cesiones de datos a ayuntamientos situados en la Comunidad Autónoma de Cataluña y/o a la Generalidad de Cataluña; en caso afirmativo, las fechas en las que se realizaron dichas cesiones, el propósito alegado para realizar dichas cesiones de datos y el plazo temporal establecido para su tratamiento. El Secretario General de Sanidad y Consumo acompañó un informe de la Subdirección General de Tecnologías de la Información del Ministerio de Sanidad, Servicios Sociales e Igualdad en el cual se indica que tras analizar los movimientos desde enero de 2014 hasta el 31 de agosto de 2017, así como los registros de incidentes de seguridad, se concluye que no se puede deducir que se hayan producido accesos ni tratamiento de las bases de datos de TSI-SNA sin que haya base legal para ello. Los patrones de movimientos y uso son compatibles con los permitidos por la legislación. Tampoco consta que se hayan realizado cesiones de datos a Ayuntamientos situados en la C.A. de Cataluña ni a la Generalidad de Cataluña, más allá de los habilitados legalmente. 3 C/ Jorge Juan, 6 28001 – Madrid Se solicitó información al Presidente del Instituto Nacional de www.agpd.es sedeagpd.gob.es 3/11 Estadística referida a los siguientes aspectos: o Si les consta que se haya producido algún acceso o tratamiento del Censo Electoral sin que haya una base legal para ello por otra entidad, organismo o persona física. o Si se han realizado cesiones de datos a ayuntamientos situados en la Comunidad Autónoma de Cataluña y/o a la Generalidad de Cataluña; en caso afirmativo, las fechas en las que se realizaron dichas cesiones, el propósito alegado para realizar dichas cesiones de datos y el plazo temporal establecido para su tratamiento. El Instituto Nacional de Estadística informó detalladamente sobre los ficheros que tratan y la legislación que habilita las comunicaciones de los datos. Concluyen que no les constan accesos o tratamientos del Censo Electoral sin base legal, y que la cesión de los censos se realizan antes de las elecciones (generales, locales, autonómicas y al Parlamento Europeo). Se produjo una cesión del censo cerrado a 1 de marzo de Sabadell, a ese Ayuntamiento con motivo de las actuaciones de control de los cambios masivos del seccionado censal que estaban realizando. El censo electoral se facilitó a la Generalidad de Cataluña el 3 de septiembre de 2015 para las elecciones al Parlamento de Cataluña 2015; el 7 de mayo de 2015 para las elecciones locales 2015, y el 29 de abril de 2014 para las elecciones al Parlamento Europeo 2014. 4 Se solicitó información al Director General de la Agencia Estatal de Administración Tributaria referida a los siguientes aspectos: o Si les consta que se haya producido algún acceso o tratamiento de las bases de datos tributarias sin que haya una base legal para ello por otra entidad, organismo o persona física. o Si se han realizado cesiones de datos a ayuntamientos situados en la Comunidad Autónoma de Cataluña y/o a la Generalidad de Cataluña; en caso afirmativo, las fechas en las que se realizaron dichas cesiones, el propósito alegado para realizar dichas cesiones de datos y el plazo temporal establecido para su tratamiento. La Agencia Estatal de Administración Tributaria informó detalladamente sobre el marco normativo aplicable a las cesiones de información por la Agencia Tributaria; concluyendo que no les consta que se hayan producido algún acceso o tratamiento de bases de datos tributarias sin que hubiese base legal para ello. 5 Se solicitó información a la Secretaría de Estado de Seguridad referida a los siguientes aspectos: o Ubicaciones físicas, URLs y direcciones IP de los servidores web y la app que se han puesto en funcionamiento para permitir a los ciudadanos consultar el colegio electoral y las mesas que les han asignado en el referéndum del 1 de octubre en Cataluña. o Si les consta quiénes han podido hacer posible el funcionamiento de estos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 servidores. En contestación a preguntas formuladas, se informa que la Unidad de Policía Judicial de la Zona de Cataluña está instruyendo diligencias de investigación relacionadas directamente con las cuestiones efectuadas, por presuntos delitos de los que está conociendo el Juzgado de Instrucción número 13 de Barcelona. Al estar abiertas las actuaciones policiales tienen la obligación de guardar riguroso secreto. CUARTO: La Agencia Española de Protección de Datos ha remitido copia a la Autoridad Catalana de Protección de Datos de las denuncias recibidas, de forma periódica, para el ejercicio de las funciones previstas en la Ley 32/2010, de 1 de octubre, que establece sus funciones. Asimismo, con fechas 18 de septiembre, 27 de septiembre, 5 de octubre, 10 de octubre, 19 de octubre, 24 de octubre, y 8 de noviembre de 2017, solicitó que se informase a esta Agencia de las actuaciones realizadas por la mencionada Autoridad por si pudiesen implicar conductas contrarias a esta Ley en relación con ficheros y tratamientos sometidos a la competencia de la AEPD. La Autoridad Catalana de Protección de Datos ha contestado a esta Agencia Española de Protección de Datos, señalando lo siguiente: - En fecha 28 de septiembre de 2017, señaló que la documentación remitida se había trasladado a la Asesoría Jurídica de la Autoridad Catalana de Protección de Datos para su análisis y emisión de informe. - Con fecha 2 de octubre de 2017, la Autoridad Catalana de Protección de Datos remitió el informe jurídico emitido por su Asesoría Jurídica relativo a las competencias de esa APDCAT en relación con las denuncias que le fueron remitidas por la Agencia Española de Protección de Datos. Asimismo, informó que se había iniciado una fase de información previa y estaban realizando las actuaciones correspondientes. - En fecha 16 de octubre de 2017, la Autoridad Catalana de Protección de Datos indicó que habían solicitado información al Ministerio Fiscal con la finalidad de que no se produjesen interferencias entre sus actuaciones y las de la Fiscalía. - Con fecha 25 de octubre de 2017, la Autoridad Catalana de Protección de Datos remitió un nuevo informe jurídico emitido por su Asesoría Jurídica, trasladando dos denuncias que pudieran ser competencia de esta Agencia al referirse a posibles transferencias internacionales de datos. - El día 30 de octubre de 2017, se recibió escrito de la Autoridad Catalana de Protección de Datos, trasladando dos nuevas denuncias e insistiendo en que cuando recibiesen respuesta del ministerio fiscal llevarían a cabo las actuaciones de inspección pertinentes y, en su caso, los procedimientos correspondientes, en ejercicio de las competencias encomendadas a esa Autoridad. - En fecha 15 de noviembre de 2017, la Autoridad Catalana de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Datos, en respuesta a la solicitud de esta Agencia relativa a las actuaciones que estaban llevando a cabo, reitera que cuando reciban respuesta del ministerio fiscal llevaran a cabo las actuaciones de inspección pertinentes. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Tras el estudio de los hechos expuestos en las denuncias recibidas en esta Agencia Española de Protección de Datos, se desprende que son competencia de la misma los posibles accesos indebidos a las bases de datos cuyos responsables son la Secretaría de Estado de la Seguridad Social, la Secretaría General de Sanidad, el Instituto Nacional de Estadística y la Agencia Estatal de Administración Tributaria. El artículo 9.1 de la LOPD señala que “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”; Por otra parte, el artículo 91 del Reglamento de desarrollo de la LOPD, sobre Control de acceso, señala: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Durante las actuaciones previas de investigación se ha solicitado información a la Secretaría de Estado de la Seguridad Social, la Secretaría General de Sanidad, al Instituto Nacional de Estadística y a la Agencia Estatal de Administración Tributaria acerca de si se había producido algún acceso o tratamiento de las bases injustificado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 en los meses anteriores al referéndum del 1 de octubre de 2017. Tras verificar los accesos que habían producido todos concluyeron que estaban justificados. III En cuanto a las posibles cesiones de datos a Ayuntamientos situados en la Comunidad Autónoma de Cataluña y/o a la Generalidad de Cataluña por parte de la Secretaría de Estado de la Seguridad Social, la Secretaría General de Sanidad, el Instituto Nacional de Estadística y la Agencia Estatal de Administración Tributaria; el artículo 11 de la LOPD dispone: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
5. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
6. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
7. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. En el presente caso, los responsables de la Secretaría de Estado de la Seguridad Social, la Secretaría General de Sanidad, del Instituto Nacional de Estadística y de la Agencia Estatal de Administración Tributaria han informado detalladamente de las cesiones efectuadas, todas ellas en el marco de las habilitaciones legales necesarias para el cumplimiento de funciones de los destinatarios. En definitiva, la actuación de los organismos públicos estatales investigados ha sido correcta, quedando acreditado que no se produjeron accesos o traslados de datos indebidos. IV Por último, en algunas de las denuncias recibidas se hace referencia a una posible transferencia de datos, ya que las páginas web en las que debían consultar el colegio electoral al que acudir a votar parecían estar ubicadas en países fuera de la Unión Europea. El artículo 41.1 de la LOPD establece lo siguiente: “Las funciones de la Agencia de Protección de Datos reguladas en el artículo 37, a excepción de las mencionadas en los apartados j),
8. k)y l), y en los apartados
9. f)y
10. g)[(g. Ejercer la potestad sancionadora en los términos previstos por el Título VII de la presente Ley)] en lo que se refiere a las transferencias internacionales de datos, así como en los artículos 46 y 49, en relación con sus específicas competencias serán ejercidas, cuando afecten a ficheros de datos de carácter personal creados o gestionados por las Comunidades Autónomas y por la Administración Local de su ámbito territorial, por los órganos correspondientes de cada Comunidad, que tendrán la consideración de autoridades de control, a los que garantizarán plena independencia y objetividad en el ejercicio de su cometido.” Por tanto, cualquier posible infracción referida a transferencias internacionales de datos corresponde tramitarla a la Agencia Española de Protección de Datos, con independencia de que pudiese haber sido cometida por entidades públicas de Comunidades Autónomas con su propia autoridad de control en materia de protección de datos. El artículo 33 de la LOPD indica: “1. No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas…” Al objeto de determinar si se habían producido las transferencias denunciadas, se solicitó información a la Secretaría de Estado de Seguridad acerca de las ubicaciones físicas, URLs y direcciones IP de los servidores web y la app que se han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 puesto en funcionamiento para permitir a los ciudadanos consultar el colegio electoral y las mesas que les han asignado en el referéndum del 1 de octubre en Cataluña; y si tenían constancia de quiénes habrían hecho posible el funcionamiento de esos servidores. Sobre estos hechos se están instruyendo diligencias de investigación por presuntos delitos, de los que está conociendo el Juzgado de Instrucción número 13 de Barcelona. Al estar abiertas las actuaciones policiales tienen la obligación de guardar riguroso secreto, no pudiendo informar al respecto. El artículo 122 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre establece lo siguiente: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” Tras las actuaciones de investigación efectuadas por esta Agencia no se han podido determinar, hasta este momento, las personas involucradas en las transferencias denunciadas, estando a la espera de que culminen las actuaciones judiciales. Con la finalidad de que no se produzca la caducidad de las actuaciones practicadas por el transcurso de un año, se procede al archivo de las mismas; sin perjuicio de la iniciación de nuevas actuaciones tendentes a verificar los hechos denunciados en lo relativo a las posibles transferencias internacionales realizadas, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 el número E/04713/2018 V El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Secretaría de Estado de la Seguridad Social, la Secretaría General de Sanidad, el Instituto Nacional de Estadística, la Agencia Estatal de Administración Tributaria, la Secretaría de Estado de Seguridad y a todas las personas relacionadas en el Anexo adjunto. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 ANEXO A.A.A. y DEMÁS RECLAMANTES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es