E-05942-2021

1/5  Procedimiento Nº: E/05942/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 15 de febrero de 2021 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE ALMASSORA, con NIF P1200900G y B.B.B., ***PUESTO.1 (en adelante el reclamado). Los motivos en que basa la reclamación son los siguientes: - El reclamante, que es agente de la Policía Local en el AYUNTAMIENTO DE ALMASSORA (CASTELLÓ), denuncia que éste ha revelado información personal suya a otros trabajadores que, al igual que él, habían sido denunciados por la Jefatura en relación con una serie de hechos sucedidos durante su desempeño profesional. - Dicha información fue recopilada en el contexto de un procedimiento de solución autónoma de conflictos relacionados con la violencia en el trabajo, presentada por el reclamado, y, según le consta al afectado, ha estado circulando por las oficinas del organismo, y han sido muchas las personas que han podido tener acceso a la documentación y haberla leído. - El incidente cobra especial gravedad por hallarse incluidos entre dicha información datos personales de carácter médico, sindical y laboral, especialmente protegidos por la normativa. Se ha producido una violación del deber de secreto y confidencialidad de la información manejada. - El propio organismo reclamado, consciente de la negligencia cometida, ha obligado a los receptores de la información, a destruirla. - El reclamado se ha valido de su puesto de trabajo para acceder a documentos que constaban en los archivos: quejas, expedientes disciplinarios, rechazo de vacaciones… Acompaña copia de la denuncia presentada por el reclamado, en la que constan los documentos a los que se refiere. También la solicitud de informe al DPD del Ayuntamiento y la contestación del mismo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/03038/2021, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El Ayuntamiento contesta en el sentido siguiente: - El ***PUESTO.1 del Ayuntamiento denunció a dos policías por una supuesta situación de acoso en el trabajo. La denuncia fue escaneada por parte del personal de Registro de Entrada del Ayuntamiento y remitida al destinatario indicado por el ***PUESTO.1 en su escrito, a saber, el Comité de Seguridad y Salud. Tras acreditar este comité la legitimación del solicitante a efectos de iniciación del procedimiento de solución autónoma de conflictos relacionados con la violencia en el trabajo admitió a trámite la denuncia y se dio traslado del expediente completo de forma electrónica a los dos denunciados, para un adecuado ejercicio de su derecho de defensa. Aun así, se les advirtió en el momento de trasladarles la documentación, acerca de su obligación de guardar la más estricta confidencialidad con respecto a los datos personales tratados en el procedimiento - A raíz de una consulta dirigida a la Alcaldía por parte de uno de los agentes denunciados, la DPD empezó a investigar el asunto. Entre tanto, el Ayuntamiento, de forma preventiva, decidió requerirles a ambos agentes, de manera inmediata, la destrucción de la documentación proporcionada, y la presentación de una declaración escrita de que la orden fue ejecutada. - Con fecha 10 de noviembre de 2020, la DPD dio respuesta a la cuestión planteada: puesto que el expediente podría contener datos personales de alguno de los agentes a los que no tenían por qué tener acceso todos ellos, la información a facilitar a cada uno de ellos debía haber estado limitada a lo necesario en relación con su derecho de defensa. Afortunadamente, y como medida preventiva, ya se había procedido al requerimiento de destrucción de la información trasladada. Los dos agentes enviaron sus correspondientes declaraciones de destrucción, que se han aportado al presente expediente. - En el informe de la DPD se indicaba: El ***PUESTO.1, como usuario de los sistemas de información del Ayuntamiento que trata información de carácter personal en el desempeño de las funciones y tareas que legalmente tiene encomendadas. En este sentido existen unas normas de obligado cumplimiento respecto al uso de los sistemas informáticos a su alcance, así como de los soportes o documentos en papel, y que regula el acceso y tratamiento de los datos de carácter personal que estos soportes o documentos contienen. Entre estas normas, se incluye la prohibición de utilizar, copiar o transmitir información contenida en los sistemas de información para uso privado o cualquier otra finalidad distinta del servicio para el que esta fue recabada y al que está destinada. Asimismo, el ***PUESTO.1 no podía obviar la obligación de guardar el debido secreto y confidencialidad respecto a la información accedida por los empleados públicos por razón de su cargo, sin que puedan hacer uso de la misma, para beneficio propio o de terceros [art. 53.12 del Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Por todo ello, concluyó la DPD que, si se constataba que el ***PUESTO.1, como usuario de los sistemas de información personal de la entidad, había extraído datos personales obrantes en el expediente profesional de los agentes con el fin de reforzar la acusación de acoso sobre su persona, habría hecho así un uso indebido de la información a la que tenía acceso por razón de su cargo. Esto generó que, internamente, el Ayuntamiento comenzara a investigar la extracción de la información por parte del ***PUESTO.1 y le requiriera la destrucción de las copias de la documentación, así como una nueva formulación de las denuncias sin adjuntar documentación en la que figure datos personales de terceros. - El Ayuntamiento discrepa de la afirmación del reclamante, de que han sido muchas personas las que han podido tener acceso a la documentación, ya que, con excepción del Comité al que iba dirigida la denuncia (cuyos miembros ni accedieron a la documentación ni les fue expuesta, al no ser imprescindible para la toma de decisión sobre el tema que se trataba), sólo han tenido acceso al expediente los dos agentes involucrados, que ya fueron avisados de su deber de estricta confidencialidad. - El Ayuntamiento manifiesta que en ningún momento tuvo intención de vulnerar la normativa en materia de protección de datos. Admite un error involuntario, puntual y sin precedentes, por el cual la información del reclamante se habría puesto a disposición de los dos agentes denunciados por presunto acoso, pero defienden que, en cuanto fue consciente del mismo, lo puso de inmediato en conocimiento de la DPD, se dirigió a todos los implicados y adoptó las medidas de contención oportunas. Asimismo, se comenzó a trabajar en las medidas correspondientes para evitar que se produzcan incidentes similares. Por un lado, van a recordar al personal de la organización, de que, como usuarios de los sistemas de información del Ayuntamiento, que tratan información de carácter personal en el desempeño de sus funciones, deben atender las obligaciones establecidas en sus normas de uso. Así mismo, están trabajando en un comunicado interno con instrucciones precisas para no revelar datos de terceras personas en el marco de los procedimientos administrativos, y están revisando el procedimiento de solución de conflictos. Por último, han iniciado la elaboración de un plan de formación para los empleados sobre Protección de Datos Personales, incluyendo a los miembros del Comité y del Registro de Entrada. - Terminan detallando las medidas que tienen implantadas (entre las que se incluyen las que dicta el Esquema Nacional de Seguridad) para demostrar su alto compromiso con el cumplimiento de la normativa. TERCERO: Con fecha 5 de mayo de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Es necesario señalar, que la misma reclamación presentada ha dado lugar a dos investigaciones sobre los mismos hechos, la referida a la actuación del Ayuntamiento y la referida a la actuación del reclamado, el ***PUESTO.1 Jefe que presentó una denuncia acompañando documentos conteniendo datos de carácter personal. La reclamación que evaluó la actuación del Ayuntamiento fue inadmitida a trámite, en fecha 23 de abril de 2021, al entender que se había solventado la incidencia. El artículo 70 de la LOPDGDD determina los sujetos responsables, a los que se puede dirigir un procedimiento sancionador, en el sentido siguiente: “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica: a) Los responsables de los tratamientos. b) Los encargados de los tratamientos. c) Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea. d) Las entidades de certificación. e) Las entidades acreditadas de supervisión de los códigos de conducta. 2. No será de aplicación al delegado de protección de datos el régimen sancionador establecido en este Título.” En el supuesto presente, el ***PUESTO.1 reclamado es un usuario del sistema de información, como señala el DPD del Ayuntamiento, y como tal actúa en el ámbito de su relación laboral. Es el Ayuntamiento en el que presta servicio el que debe determinar si su actuación es susceptible de ser sancionada o se soluciona de otra manera. Así, al tener conocimiento de lo sucedido, generó que, internamente, el Ayuntamiento comenzara a investigar la extracción de la información por parte del ***PUESTO.1 y le requiriera la destrucción de las copias de la documentación, así como una nueva formulación de las denuncias sin adjuntar documentación en la que figure datos personales de terceros. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es