E-05565-2016

1/6 Expediente Nº: E/05565/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el CEIP Federico García Lorca, en virtud de denuncia presentada por Don A.A.A., y por la POLICÍA MUNICIPAL DE MADRID - DPTO. GESTIÓN ADMINISTRATIVA, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de septiembre de 2016, se recibió una denuncia de un ciudadano, en la que manifiesta que ha tenido conocimiento, a través del programa televisivo “Punto de Mira” del canal Cuatro, del hallazgo de documentación relativa a menores en el vehículo de un transportista-cartonero, perteneciente a varios colegios entre los que se encontraba el colegio B.B.B., del que su hijo es alumno. La Policía Municipal de Madrid remitió, con fecha 7 de octubre de 2016, una denuncia con la que adjunta un informe realizado tras un control de documentación a conductores de vehículos, en el que manifiesta que, dentro del interior de uno de los vehículos inspeccionados, se ha encontrado diversa documentación perteneciente a tres colegio de la localidad de Alcorcón, entra la que se encuentran datos de menores, datos bancarios, fotografías, etc. Tras consultar al conductor, éste les comunica que es una práctica habitual de uno de los colegios (CEIP García Lorca). No obstante, manifiesta que no recuerda como ha obtenido la documentación de los otros dos colegios. Toda la documentación intervenida, consistente en 5 cajas se traslada a la Unidad de Vicálvaro, donde quedan custodiadas. A la vista de lo mostrado en el Programa de Televisión “Punto de Mira”, el Centro escolar Amanecer, remitió escrito a esta Agencia, con fecha 4 de octubre de 2016, en el que manifiesta que ha intentado, mediante contacto con los medios de comunicación, saber de qué documentación se trataba, no habiendo podido acceder a la misma. No obstante, expone que ha revisado y aumentado su protocolo de medidas de control, en especial las relativas a la destrucción de documentación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 16 de noviembre de 2016, se solicita a la Policía Municipal, copia de una muestra de la documentación encontrada, con el fin de poder realizar las investigaciones pertinentes. 2. Con fecha 9 de enero de 2017, informan que ellos no tienen la documentación requerida y remiten al Inspector de Datos responsable de la investigación al Juzgado de Primera Instancia e Instrucción nº 3 de Alcorcón, ya que las cajas encontradas se encuentran precintadas, y se está tramitando un Procedimiento de Diligencias Previas en dicho Juzgado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 3. Con fecha 24 de febrero de 2017, se remitió escrito al Juzgado de Primera Instancia e Instrucción nº 3 de Alcorcón, solicitando el traslado de la documentación encontrada por la Policía Municipal, a esta Agencia. 4. Con fecha 23 de marzo de 2017, se recibe escrito de Primera Instancia e Instrucción nº 3 de Alcorcón, con el que nos dan traslado de un Oficio remitido a la Policía Municipal de Madrid, para que nos hagan entrega de la documentación. 5. Con fecha 30 de marzo de 2017, la Policía Municipal hace entrega en esta Agencia de 5 cajas con la documentación objeto de esta denuncia. TERCERO: Con fecha 22 de febrero de 2017, se recibió contestación del CEIP Federico García Lorca, al requerimiento de información efectuado, en el que pone de manifiesto que: a. El procedimiento establecido por el Colegio para la destrucción de la documentación, se hace a través de dos máquinas destructoras de papel situadas, una de ellas en Secretaría y la otra en la Sala de Profesores, cuya existencia conoce todo el personal, el cual es informado de las medidas de seguridad relativas a la Ley 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, al comienzo de cada curso escolar. b. No tienen constancia de que se hubiera producido los hechos denunciados en la fecha en que tuvieron lugar los hechos, 6 de septiembre de 2016, y que fueron divulgados en el programa televisivo. c. En el momento en que se produjeron los hechos, no existía relación contractual con ninguna empresa para la realización de dicho trámite. No obstante, han sido informados desde el Ayuntamiento, de que tienen derecho a que la empresa que realiza la recogida de papel en la localidad, ESMASA EMPRESA DE SERVICIOS MUNICIPALES DE ALCORCÓN, recoja el mismo papel que se utiliza para reciclaje, por lo que a día de hoy el colegio se ha incluido en dicha ruta. d. No se realizó nuevo requerimiento de información a dicho Colegio con copia de documentación perteneciente al mismo, ya que al recibir en la Agencia la documentación encontrada por la Policía Municipal, no se advirtió que ninguno de los documentos llevara el anagrama del Centro. Únicamente existían unas fotografías de menores contenidas en un sobre figurando el nombre del colegio en el exterior. No obstante, no se pudieron identificar como pertenecientes a dicho Centro, al estar los documentos mezclados. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Se denuncia por la Policía Municipal de Madrid el hecho de que una persona portase en una furgoneta numerosa documentación de tres colegios ubicados en la localidad de Alcorcón. En relación con la destrucción de documentación que contiene datos de carácter personal, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Sintetizando las previsiones legales puede afirmarse que:
2. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
3. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
4. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 autorizados.
5. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Entre las medidas de seguridad de nivel básico, el Reglamento expone en su artículo 92, respecto de la gestión de soportes y documentos, que: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Por tanto, el CEIP Federico García Lorca debe tener establecidas las medidas de seguridad, tanto técnicas como organizativas, adecuadas para que cuando se proceda a la destrucción de documentos con datos personales que ya no sea necesario custodiar (exámenes, fotografías para las fichas de los profesores, etc) tales medidas eviten la sustracción, pérdida o acceso indebido a la información. El Colegio mencionado tiene destructoras de papel situadas en la Secretaría y en la Sala de profesores; siendo conocida su función y ubicación por todo el personal. III El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado que: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el caso que nos ocupa, la documentación habría sido facilitada a la persona que la recogió y la cargo en su furgoneta, sin que mediase un contrato de prestación de servicios cuyo objeto fuese la destrucción de la documentación que contuviese datos personales. V No obstante, tras un estudio detenido de la documentación facilitada por la Policía Municipal de Madrid, se ha constatado que no hay documentos conteniendo datos personales que provengan del CEIP Federico García Lorca, por lo que no se puede sancionar por el incumplimiento de las medidas de seguridad que dio lugar a una vulneración del deber de secreto. Debe añadirse que aunque el Ayuntamiento recoja papel para reciclaje en esa localidad, los documentos que tienen datos de carácter personal deben destruirse por el propio Colegio (como parece que sucede) o suscribir un contrato de prestación de servicios con todas las singularidades establecidas en el artículo 12 de la LOPD y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 normas de desarrollo. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al CEIP Federico García Lorca, y a la POLICÍA MUNICIPAL DE MADRID - DPTO. GESTIÓN ADMINISTRATIVA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es