1/5 Expediente Nº: E/06684/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Ayuntamiento de ***LOC.1, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 13 de noviembre de 2017, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que expone lo siguiente: Con fecha 30 de octubre de 2017 fueron remitidos, vía fax, sin cifrar, desde Servicios Sociales del Ayuntamiento de ***LOC.1, varios informes con datos personales y de salud entre los que se encontraban los correspondientes a un menor, al Juzgado de Instrucción núm. X.1 de ***LOC.2, en el número ***TELF.1, desde el número ***TELF.2, lo cual hace que pudieran acceder a la información, personas no destinatarias del mismo. Así mismo manifiesta haber pedido la cancelación de sus datos ante los correspondientes departamentos del Ayuntamiento de ***LOC.1, mediante correo electrónico de fecha 2 de octubre de 2017. Anexa, entre otra la siguiente documentación: Copia de los correos donde solicita la cancelación de sus datos. Copia del envío de documentos efectuado, en fecha 30 de octubre de 2017, vía fax, dirigido al Juzgado de Primera Instancia nº X.1 de ***LOC.2, entre los que se encuentra un Informe psicológico del menor. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 28 de diciembre de 2017, tiene entrada en esta Agencia un escrito del Ayuntamiento de ***LOC.1, con el que remiten dos informes, uno de ellos elaborado por el Departamento de nuevas Tecnologías y otro emitido por el Centro de Servicios Sociales del Ayuntamiento, en los que se pone de manifiesto que: 1.1. Según el Informe de los Servicios Sociales, el día 25 de octubre de 2017, recibieron un oficio del Juzgado, por un procedimiento en el que estaba implicado el denunciante, en materia de Familia, interesando que informaran si el menor está o no en una situación de riesgo que justifique un cambio de custodia. 1.2. El día 26 de octubre de 2017, se recibe una llamada telefónica del secretario judicial, requiriendo los informes para el día 31 de octubre de 2017, en que estaba fechada la vista. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 1.3. Con la finalidad de que estuviesen en el Juzgado el día 30 de octubre de 2017, desde el Juzgado se indica que hagan la remisión por fax, facilitándoles un número de teléfono con esa finalidad. Acordaron remitirlo el día 30 de octubre 1.4. Por este motivo, se atendió la petición judicial por la vía y fecha acordada. No obstante, esta no es la forma de envío habitual, siempre se realiza por correo certificado, excepto en casos de mandato judicial. 1.5. Con relación al número de teléfono desde el que se enviaron los informes ***TELF.2, manifiestan que tras la verificación del mismo, se informa que ese número se utiliza exclusivamente para recibir o enviar faxes del área de Servicios Sociales por conexión a través del cableado estructurado del edificio desde el PTR proporcionado por Telefónica de España. 1.6. Con relación a las Medidas de Seguridad, informan que, en el Centro de Servicios Sociales del Ayuntamiento, solo en casos excepcionales remite información por fax. 1.7. El envío se realiza de forma coordinada mediante llamadas telefónicas al receptor, en este caso el Juzgado de 1ª Instancia núm. X.1 de ***LOC.2, que de inmediato asegura haber recepcionado el envío y la documentación interesada. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III La denuncia se concreta en el envío realizado mediante fax desde el CAF y Centro de Asuntos Sociales del Ayuntamiento de ***LOC.1 al Juzgado de 1ª Instancia, nº X.1 de ***LOC.2, de varios informes sobre su hijo menor; incumpliendo las medidas de seguridad establecidas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos sensibles o especialmente protegidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Igualmente el art. 104 del citado Reglamento, en relación con las medidas de seguridad de nivel alto establece: “Telecomunicaciones. Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” IV La falta de medidas de seguridad constituye una infracción tipificada como grave en el artículo 44.3.
- h)de la LOPD, que considera como tal: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. En el presente caso, se ha producido la falta de una concreta medida de seguridad establecida en el artículo 104 del Reglamento de desarrollo de la LOPD. No obstante, durante las actuaciones previas de investigación se ha comprobado que el envío por fax del informe solicitado por el Juzgado se realizó de esta forma por el plazo tan corto que había para su remisión y de forma excepcional. El envío se realizó de forma coordinada mediante llamadas telefónicas al receptor, en este caso el Juzgado de 1ª Instancia núm. X.1 de ***LOC.2, que de inmediato aseguró haber recibido el envío y la documentación interesada. Es decir, la información no fue accedida por ningún tercero que es la finalidad del cumplimiento de las medidas de seguridad. Debe señalarse que, si bien los hechos denunciados serían identificados como contrarios a la LOPD, lo anterior conllevaría el inicio de un Procedimiento de Declaración de infracción de Administraciones Públicas al responsable, por infracción en materia de protección de datos, no es menos cierto que dicho procedimiento tiene como objeto la reparación de la infracción producida, mediante el requerimiento de medidas correctoras sobre los hechos denunciados, estando ante correcciones que, de hecho, no se pueden exigir al haberlas realizado ya, y que harían innecesario el desarrollo del referido procedimiento, en la medida en que, tal y como se desprende de la documentación aportada la remisión de documentación por fax no se realiza salvo en casos muy excepcionales y con un seguimiento muy estricto para evitar acceso indebidos a la documentación remitida. Ha de ponerse de manifiesto, por tanto, que dado que la potestad administrativa con la que cuenta esta Agencia tiene una dimensión reparadora más allá de las capacidades sancionadoras que integran sus competencias en materia de protección de datos, y dado que nos encontramos ante una situación en la que se produjo, de forma excepcional, la falta de una concreta medida de seguridad, sería contrario a los principios de intervención mínima y de proporcionalidad, como principios que informan el ejercicio de la potestad sancionadora, el iniciar el citado procedimiento de infracción por los hechos denunciados, dado que éste tiene como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 objeto la reparación de la situación contraria a la LOPD, hecho que ya se ha producido de antemano, de ahí que, al haberse reparado la situación controvertida, no quepa en el presente caso activar el citado procedimiento. A ello debemos añadir que en la conducta del Ayuntamiento de ***LOC.1 no se observa elemento subjetivo de culpabilidad al haber actuado en la confianza legítima de que procedía conforme a las instrucciones del Juzgado de Instrucción destinatario del documento; principio de confianza y buena fe recogido en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al Ayuntamiento de ***LOC.1, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es