E-06701-2020

1/5  Procedimiento Nº: E/06701/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 13/12/2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra MINISTERIO DE DEFENSA, con NIF S2801407D (en adelante, el reclamado). Los motivos en que basa la reclamación son que en el marco de un procedimiento disciplinario que se le inició por el Ministerio de Defensa, el instructor del procedimiento al efectuar un requerimiento de información el 17/01/2018 a Correos y Telégrafos S.A. revela que la información solicitada se encuentra relacionada con un expediente disciplinario por falta grave incoado al reclamante revelándose todos sus datos identificativos. El reclamante solicita que sea declarada la infracción “muy grave”. Junto a la reclamación aporta -Oficio del Ministerio de Defensa 16/01/2018 en el margen figura la unidad que solicita el escrito, destinatario: correos y telégrafos-RRHH, asunto expediente disciplinario, con su número. En el literal del escrito indica “habiendo tenido conocimiento este instructor que por el servicio de correos y telégrafos, departamento de recursos humanos se siguen investigación con motivo de los avisos de llegada recibidos por doña B.B.B. en el acuartelamiento aéreo de ***ACUARTELAMIENTO.1, se interesa de ese departamento “remita a este órgano instructor informe del resultado de la citada investigación. Todo ello a fin de sustanciaron expediente disciplinario por falta grave número…(que coincide con la reseña del escrito) seguido por los mismos hechos contra el ***PUESTO.1 del Ejército del aire…”, nombre y apellidos del reclamante. El escrito lo firma el instructor designado. -Copia de escrito de correos con entrada en Ministerio de Defensa, (…) de 15/02/2018, en el que se indica qué adjunto se remite el citado informe, “habiéndose disociado los datos personales que contenían el mismo”. En el mismo figuran hechos relacionados con la investigación llevada a cabo “por la reclamación de B.B.B. en relación con avisos de llegada con la intención de molestar y dañar el honor y la imagen de la destinataria” . -Copia de acuerdo de inicio expediente disciplinario por falta grave al reclamante de 6/02/2018 por “actos que, de cualquier modo atenten contra la intimidad, la dignidad personal” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 18/02/2020 se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Figura recibida la notificación electrónica el 19/02/2020, sin que haya presentado escrito alguno. TERCERO: Con fecha 6/08/2020, se acuerda la admisión a trámite de la reclamación. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El Tribunal Constitucional, en la Sentencia 292/2000, define el derecho de protección de datos: “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” Como regla general, el tratamiento de datos ha de llevarse a efecto cuando lo prevea la norma, solo cuando sea necesario y a través de los datos mínimos y estrictamente necesarios. III El origen de los hechos se debe a que una trabajadora de la base recibe avisos de llegada de correos presuntamente manipulados con la intención de molestar y que podría suponer un ataque a su dignidad por parte de un tercero. El centro en el que presta servicios el reclamante le inició procedimiento disciplinario, y en uno de sus trámites es cuando tiene lugar el documento objeto de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Los hechos suceden en enero 2018, por lo que le resultaría de aplicación la normativa entonces vigente, la LOPD y el RLOPD. En la LOPD se establece en el artículo 10 el deber de secreto, con el siguiente literal: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” La infracción figura tipificada como grave en el artículo 44.3.

1. d)de la LOPD que indica: ”La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” El artículo 43.1 de la LOPD indicaba: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3 de la LOPD definía: “
2. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
3. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento” “
4. i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” En el presente caso, el derecho de protección de datos también sería aplicable en el seno de los procedimientos disciplinarios que se tramitan (artículo 13.1 h de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), “derechos de las personas en sus relaciones con las administraciones públicas”: “
5. h)A la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas.” En este supuesto se ha podido producir una cesión de datos a un tercero, el Servicio de Correos, al que se le ponen de manifiesto los datos del reclamante, para darle a conocer que se le está incoando en relación con los hechos con los que se piden los documentos, un expediente disciplinario. El reclamado no ha informado de los motivos por los que se producen los hechos, lo cual puede restar eficacia a efectos de la puesta en práctica de las medidas a implantar para que hechos como el denunciado no se reiteren. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 IV Se observa que las infracciones graves, de acuerdo con el principio general del derecho, prescriben, dejan de poder perseguirse a efectos de sanción, cuando transcurre un tiempo determinado. Su fundamento se encuentra en la seguridad jurídica, e implica un límite al ejercicio de ius puniendi, de modo que desde el punto de vista del supuesto infractor, tiene derecho a no ser imputado ni impuesta sanción transcurrido el plazo de prescripción, Establece el artículo 47.1 de la LOPD: "1 Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor". Sin embargo en derecho español no cabe sanción económica por la actuación de la administración pública, estableciendo el artículo 46 de la LOPD: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” Considerando que la infracción se comete el 16/01/2018, la denuncia se presenta el 13/12/2019, la fecha a partir de la cual no se puede entrar a declarar la infracción es 16/01/2020, sin que se considere que las actuaciones efectuadas interrumpan el plazo (SAN 9-4-2008 Rec. 328.2006 por todas, que el cómputo de tal plazo de la prescripción de las infracciones no puede considerarse interrumpido con la presentación de la denuncia ni tampoco con la práctica de cualesquiera "diligencias previas"” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
6. c)de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es