E-05334-2013

1/7 Expediente Nº: E/05334/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERIA DE SALUD Y BIENESTAR SOCIAL, SERVICIO ANDALUZ DE SALUD -SAS- en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 31 de julio de 2013, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que, identificándose con código de usuario y contraseña, actualizó sus datos curriculares en la bolsa de trabajo del SAS a través de su página web en fecha 28 de octubre de 2012. Al comprobar que no existía información sobre su persona en las listas provisionales presenta una reclamación en enero de 2013 y le indican que el motivo por el que no aparece en las mencionadas listas es debido a que su registro en la bolsa de trabajo se encontraba en situación de “baja” que el denunciante no ha realizado y que la entidad no ha acreditado. Adjunta a la denuncia ha aportado, entre otra documentación: certificado de la Junta de Andalucía respecto del Registro de Entrada de Documentos en fecha 25/01/2013 a nombre del denunciante, reclamaciones de fechas 21 de junio y 21 de julio de 2013 respecto de no encontrarse incluido en la lista provisional de 2012, impresión de pantalla donde figura un número de registro de fecha 28 de octubre de 2012 en el que se indica que el usuario no tiene solicitud. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, solicitándose información al SAS, en fecha 17 de marzo de 2014, Consejería de Igualdad, Salud y Políticas Sociales de la Junta de Andalucía, y del escrito de respuesta de fecha 10 de abril de 2014, se desprende: 1. El Servicio Andaluz de Salud manifiesta que la identificación y autentificación del usuario se puede realizar de dos manera, a través de un código de usuario y una contraseña elegida por el propio usuario cuando se registra en la web del SAS (www.juntadeandalucia.es...............) o utilizando un certificado digital. 2. El SAS aporta copia del manual donde constan los procedimientos para realizar la inscripción en la Bolsa de Empleo Temporal (“Apuntes sobre la aplicación de la Bolsa de Empleo temporal”), que se encuentra en la ‘Zona Pública” de la pantalla principal de la aplicación informática “Bolsas empleo UNICA” a la que se accede desde la página web del SAS (www.juntadeandalucia.es...............), concretamente el enlace denominado “Manual para la inscripción”. 3. En dicho Manual consta el siguiente procedimiento para la inscripción:  Si es la primera vez debe dar de alta sus datos personales así como el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 código de usuario y contraseña para la Bolsa de Empleo. Una vez finalizada esta fase, debe de registrar distintas áreas: gestión de méritos, gestión de solicitudes, alegaciones e informes. Si se va a utilizar como identificación y autenticación un certificado digital éste será validado y se procederá a dar paso al registro de datos personales y profesionales.  Una vez que se realiza la identificación y autenticación del usuario, ya sea por código de usuario y contraseña o por certificado digital se tiene acceso a todos los procedimientos de alta, modificación y actualización de datos. 4. En los Sistemas de Información del SAS constan los datos personales, de cursos y de méritos del denunciante. Asimismo consta una pantalla con los registros realizados por el denunciante, entre ellos el registro de fecha 28/10/2012 a las 18:30:32. 5. Respecto de los contactos y reclamaciones que se han mantenido con el denunciante en relación con una baja de sus datos personales por terceros, el SAS, manifiesta que:  El Certificado aportado por el denunciante de la Junta de Andalucía respecto del Registro de Entrada de Documentos en fecha 25/01/2013 corresponde con la entrega de documentación dirigida a la Comisión de Valoración de la categoría de celador-conductor, ya que se produce dentro del plazo habilitado al afecto para acreditar documentalmente los requisitos y méritos registrados.  En relación con la reclamación del denunciante respecto de que “por un error informático le han desaparecido las categorías que tenía registradas”, según la información aportada por los servicios informáticos del SAS el motivo de pérdida de categorías es que el día 20/06/2011 a las 14:19 se realiza un borrado de categorías de la solicitud web del denunciante, siendo efectivo con posterioridad al registro de fecha 28/10/2012 a las 18:30h., por lo que en el periodo de valoración de méritos del 31/10/2012 en la solicitud telemática se indica que no tiene categorías registradas.  Aunque el denunciante manifiesta que el problema se subsanó en enero de 2013, lo que ocurrió es que en esa fecha realizó la inclusión de la categoría de celador-conductor en su solicitud, por tanto el presunto error que manifiesta no quedó subsanado para el corte 2012, ya que el periodo de actualización de méritos tiene carácter anual cada 31 de octubre. Esta acción asegura —de no hacer modificaciones posteriores- que estaría inscrito en dicha categoría para el corte 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7  Por último, manifiesta el interesado que el sistema informático no le permitió formular ninguna reclamación en el periodo de alegaciones que estaba abierto a 21/06/2013. Sobre este particular señalar que el periodo de alegaciones al que se refiere corresponde al listado provisional tras la baremación por parte de la Comisión. El candidato no estaba inscrito en dichas listas, puesto que desde el inicio ni siquiera figuraba en el primer listado de aspirantes admitidos publicado el 20 de diciembre de 2012. El plazo de alegaciones de 10 días naturales de celador-conductor, estuvo abierto del 14/06/2013 al 24/06/2013, se recibieron un total de 776 alegaciones telemáticas registradas para las tres categorías que compartían esa publicación, por lo que no existió error ni incidencia alguna. 6. El Servicio Andaluz de Salud manifiesta que no consta que se haya producido incidencias en el borrado de datos en la aplicación informática que sustenta la Bolsa de Empleo Temporal. Asimismo manifiestan que no tienen conocimiento de que se haya producido baja de datos por terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante expone que actualizó sus datos curriculares en la ”bolsa de trabajo” del SAS a través de su página web. en fecha 28 de octubre de 2012, y al comprobar que no existía información sobre su persona en las listas provisionales presentó una reclamación en enero de 2013, indicándole que el motivo por el que no aparece en las mencionadas listas es debido a que su registro en la bolsa de trabajo se encontraba en situación de baja, baja que el denunciante no ha realizado y que la entidad no ha acreditado. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
2. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo condición que reúne el expediente disciplinario ya sea soporte papel o automatizado. Por su parte el artículo 3.
3. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
4. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
5. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
6. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
7. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
8. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma, correspondiendo a los ficheros que contengan datos sobre infracciones administrativas y penales el nivel medio . Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. III La cuestión a dilucidar lleva a contraponer la afirmación sin contraste del denunciante de que se ha procedido a la baja de sus datos en la categoría profesional de celador-conductor sin su consentimiento y la argumentación del SAS que argumenta que consta en su sistema un registro de que el día 20 de junio de 2011 se procedió a la baja en la citada categoría. La LOPD en su artículo 40 reconoce a la AEPD la “potestad inspectora” y en su apartado 1, recoge: “Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” En el presente caso, se han realizado diligencias previas al objeto de la comprobación de los hechos denunciado, desprendiéndose los siguientes hechos acreditados: .
9. a)El SAS ha acreditado la necesidad de “identificación y autentificación” del usuario que se puede realizar a través de un código de usuario y una contraseña elegida por el propio usuario cuando se registra en la web del SAS (www.juntadeandalucia.es...............) o utilizando un Certificado digital, a cuyo efecto aporta una copia del Manual donde constan los procedimientos para realizar la inscripción en la Bolsa de Empleo Temporal (“Apuntes sobre la aplicación de la Bolsa de Empleo temporal”), que se encuentra en la ‘Zona Pública” de la pantalla principal de la aplicación informática “Bolsas empleo UNICA” a la que se accede desde la referenciada página web del SAS, concretamente el enlace denominado “Manual para la inscripción”. Dicho Manual es comprensivo del siguiente procedimiento de inscripción: (
10. i)Si es la primera vez debe dar de alta sus datos personales así como el código C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 de usuario y contraseña para la Bolsa de Empleo. Una vez finalizada esta fase, debe de registrar distintas áreas: gestión de méritos, gestión de solicitudes, alegaciones e informes. Si se va a utilizar como identificación y autenticación un certificado digital éste será validado y se procederá a dar paso al registro de datos personales y profesionales. (
11. ii)Una vez que se realiza la identificación y autenticación del usuario, ya sea por código de usuario y contraseña o por certificado digital se tiene acceso a todos los procedimientos de alta, modificación y actualización de datos.
12. b)En el Sistema de Información del SAS constan los datos personales de cursos y de méritos del denunciante y una pantalla con los registros del denunciante, entre ellos el registro de fecha 28/10/2012 a las 18:30:32 de actualización.
13. c)Los servicios informáticos del SAS argumentan que el motivo de pérdida de categorías es que el día 20/06/2011 a las 14:19 se realiza un “borrado” de categorías de la solicitud web del denunciante, siendo efectivo con posterioridad al registro de fecha 28/10/2012 a las 18:30h., por lo que en el periodo de valoración de méritos del 31/10/2012 en la solicitud telemática se indica que no tiene categorías registradas. Y respecto a la alegación del denunciante que el problema quedó subsanado en enero de 2013, el SAS contesta que, si bien en esa fecha realizó la inclusión de la categoría de celador-conductor en su solicitud, el error que manifiesta no quedó subsanado para el corte 2012, ya que el periodo de actualización de méritos tiene carácter anual cada 31 de octubre y estaría inscrito en dicha categoría para el corte 2013.
14. d)Por último, el SAS manifiesta que no constan que se hayan producido borrado de datos en la aplicación informática que sustenta la Bolsa de Empleo Temporal y que no les consta incidencias relativas a que se hayan producido bajas de datos por terceros. Pues bien, una ponderación de las pruebas constantes e de ambas partes, cabe concluir de un proceso lógico la inexistencia de motivos para atribuir una inadecuación a las medidas de seguridad en el SAS por cuanto el sistema empleado para el acceso a la Bolsa de trabajo exige, en todo caso, del usuario la identificación y autentificación mediante clave y contraseña o certificado digital; que se produjo con fecha 20 de junio de 2011 el borrado ( involuntario) de la categoría laboral correspondiente a lista provisional , perdida que perduro en el tiempo impidiendo la baremación del denunciante en el año 2012. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la CONSEJERIA DE SALUD Y BIENESTAR SOCIAL -SERVICIO ANDALUZ DE SALUD- y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es