E-07698-2013

1/7 Expediente Nº: E/07698/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el GRUPO PARLAMENTARIO POPULAR DE LA ASAMBLEA DE MADRID, y la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de noviembre de 2013, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., diputado y Portavoz adjunto del Grupo Parlamentario Unión Progreso y Democracia en la Asamblea de Madrid, en el que declara que, el día 23 de octubre de 2013 a las doce horas, tuvo lugar una sesión de la Comisión de Educación y Deporte de la Asamblea de Madrid, y en el orden del día que acompañó a la citada convocatoria se incluía la tramitación de la siguiente Comparecencia a solicitud del Grupo Parlamentario Unión Progreso y Democracia: “C 1107/13 RGEP 13497 de la Sra. Dña. B.B.B., a petición del Grupo Parlamentario Unión Progreso y Democracia, al objeto de informar sobre situación de los profesionales cualificados que han atendido en cursos pasados a niños con necesidades educativas especiales. (Por vía del artículo 211 del Reglamento de la Asamblea).” El denunciante manifiesta que durante la tramitación de la citada comparecencia, el Portavoz del Grupo Parlamentario Popular utilizó información relativa a la vida laboral de Doña B.B.B., la Compareciente, en su intervención. Aporta copia del acta de la citada Comisión, y vídeo, en formato DVD de la misma, indicando que a partir de la marca 03:07:00 del vídeo (folio 25355 del Diario de Sesiones), el Diputado del Grupo Popular realiza las siguientes afirmaciones: “(...) pero usted sabe muy bien —y ellos también, pese a que no lo digan- que no es así, puesto que ustedes rotan y cambian de lugar. Usted, por ejemplo, ha estado. . . uno, dos, tres, cuatro, cinco, seis, siete. . .en unos 10 u 11 lugares, por cierto, haciéndolo magníficamente, por lo cual le felicito, como seguro que todos sus compañeros lo harían magníficamente (...) “. El denunciante indica que como puede observarse de forma clara en el vídeo de la intervención, a pesar de que no pueda apreciarse por el detalle de la grabación, el Sr. Diputado disponía de un listado con los destinos en los que había servido la compareciente a lo largo de su carrera profesional en la Comunidad de Madrid. Lo más grave es que, cuestionado acerca del origen de tal información en su poder, lo justifica “en que lo he pedido, pedidlo vosotros”, dejando claro que tal solicitud se había dirigido “a la Consejería, me lo han dado”, insistiendo en que se pidan esos datos “pedidlos, pedidlos “, siendo este extremo corroborado por la Presidenta de la Comisión “a lo mejor no los pedís”. Por último el denunciante hace notar que la Compareciente es una persona física sin ninguna vinculación con el Gobierno de la Comunidad, ni los organismos de que se compone su Administración, ni con la Asamblea ni los grupos políticos que la configuran, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 más allá de la relación estrictamente profesional, como personal laboral no docente que trabaja en centros educativos de la Comunidad de Madrid. Por tanto, los datos que fueron utilizados por el Grupo Popular son datos personales, pertenecientes a la esfera estrictamente privada de una persona física determinada, información que en ningún caso le sería facilitada a los Diputados de los Grupos de la oposición de la Asamblea, por parte de la Consejería de Educación, Juventud y Deporte, al carecer de toda legitimación para el acceder a datos estrictamente personales de personas físicas determinadas, ajenas al ámbito de la Cámara. En ese sentido, ni siquiera es admisible realizar preguntar parlamentarias que se refieran expresamente a personas que no tengan una trascendencia pública en el ámbito de la Comunidad de Madrid, tal y como establece el Reglamento de la Asamblea de Madrid, en su artículo 192.3.b)." SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se verifica que en el aportado Diario de Sesiones de la Asamblea de Madrid, (num.461) de 23 de octubre de 2013, figura el siguiente texto (pág. 25355): “Por otra parte, estos señores, que no usted, respecto a la situación creada - a mi juicio, se tiene que dar una solución; yo soy el primero que creo que se tiene que dar una solución al problema que usted plantea - , han ligado la permanencia del profesor - la única portavoz en decirlo ha sido la señora Vaquero- a la permanencia del trabajo, como si ustedes supusieran -que acaso debería ser así, vaya por delante - las personas lazarillos que llevan a los alumnos afectados a través de todo su proceso educativo, pero usted sabe muy bien - y ellos también, pese a que no lo digan - que no es así, puesto que ustedes rotan y cambian de lugar. Usted, por ejemplo, ha estado en unos 10 u 11 lugares, por cierto, haciéndolo magníficamente, por lo cual le felicito, como seguro que todos sus compañeros lo harían magníficamente. (La Sra. C.C.C.: Pero, bueno, ¿cómo tiene esa información? Usted tiene un informe laboral.- El Sr. D.D.D.: Esto es muy grave. Tiene un informe de su vida laboral.- El Sr. E.E.E.: He ido a la Consejería a pedirlo y me lo han dado.). La Sra. PRESIDENTA: Señorías, por favor. Un respeto a la persona que está ahora compareciendo. (El Sr. D.D.D.: Quiero que consten en acta las palabras del señor E.E.E..) Señorías, por favor. (La Sra. F.F.F.A mí no me dicen ni el número de plazas.) A lo mejor es que no lo pedís. (La Sra. C.C.C.: ¡Hombre, que lo pedimos! Es que no nos lo dan, y no deben darlo.).” 2. Solicitada información al Grupo Parlamentario Popular de la Asamblea de Madrid, así como copia del mencionado informe de vida laboral, sus representantes han manifestado lo siguiente: “le informo que el diputado del Grupo Parlamentario Popular no dijo en ningún momento que dispusiera del informe de vida laboral, sino que fueron manifestaciones de los diputados de la oposición, y así se aclaró en la Mesa de la Comisión de Educación y Deporte de 26 de noviembre de 2013 en la que, por unanimidad, todos los portavoces dieron por zanjada la cuestión planteada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 escrito del Portavoz de UPyD en la citada comisión con n° Reg. 14927/13. […] Asimismo, le comunico que el Grupo Parlamentario Popular no ha obtenido en ningún momento ni dispone del informe de vida laboral de D B.B.B., ni de ninguna otra persona.” Adjuntan acta de la comisión así como el escrito de UPyD de referencia RGEP 14927/13. En el acta en su acuerdo CUARTO se cita: “La Ilma. Sra. Presidenta da cuenta del escrito RGEP 14927/13, formalizado por el Ilmo. Sr. Diputado D. A.A.A., y del Acuerdo adoptado por la Mesa de la Cámara en su sesión del día 23 de octubre de 2013. La Mesa, oídos los Portavoces, y por unanimidad de los asistentes da por zanjada la cuestión planteada, procediendo al archivo del escrito sin ulterior trámite. 3. Por otro lado del examen del video aportado por el denunciante no se ha podido determinar el tipo de documento que obraba en poder del aludido Sr. Diputado, ni su fecha, procedencia, o si se trataba de anotaciones manuscritas. 4. Se ha solicitado información a la Inspección de Servicios de la Tesorería General de la Seguridad Social sobre el registro de posibles accesos a los datos de la afectada en fechas anteriores y próximas a los hechos denunciados, ante lo que informan que, realizadas auditorías de control de accesos a datos de la afiliada mencionada, se comprueba lo siguiente: Mediante las transacciones ATI61 (Consulta General Afiliados INEM), y NRD6I (Consulta Datos TC/2 y TC/1), se han efectuado consultas desde el Servicio Público Estatal de Empleo, Delegación Provincial de Madrid, por el código de usuario 28NU1266. Las indicadas consultas fueron efectuadas el día 16 de octubre de 2013, a las 9 horas 18 minutos, 9 horas 19 minutos, 9 horas 24 minutos, 9 horas 45 minutos y 13 horas 14 minutos. Por ello, se ha solicitado al Servicio Público Estatal de Empleo (SEPE) justificación de los accesos registrados descritos, habiendo respondido dicho organismo en los siguientes términos: - El código de usuario 2SNU1266 pertenece a una usuaria de la Oficina de Prestaciones de Goya, cuyo puesto de trabajo es el de “Atención, información y reconocimiento de prestaciones y subsidios por desempleo”. Para poder realizar este trabajo es imprescindible tener acceso a las transacciones de la TGSS de consulta de afiliación y cotizaciones. - sobre la identificación de la persona a la que se entregó la información consultada indican que no es necesaria la entrega de documentación ya que el acceso a la Vida Laboral ha sido necesario para poder reconocer las prestaciones por desempleo, dado que esta persona es perceptora desde el 9 de octubre de 2013 y tiene reconocida la prestación hasta el 6 de noviembre de 2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En caso de haber entregado la misma, es imposible que la trabajadora de la Oficina pueda recordar a quien se entregó, ya que este dato no queda reflejado en ningún archivo. - En cuanto a la justificación para el acceso y posible fotocopia indican que está totalmente acreditado el acceso a dichas transacciones para reconocer el derecho, al igual que el resto de trabajadores de la Dirección Provincial del SEPE que realizan estas funciones de Información-Tramitación de Prestaciones por Desempleo. 5. El denunciante no es afectado ni titular de los datos, no habiéndose recibido denuncia de la afectada. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la supuesta exhibición de la vida laboral de Doña B.B.B. por parte del Portavoz del Grupo Parlamentario Popular durante la comparecencia celebrada el día 23 de octubre de 2013. Al preguntar al Portavoz la forma en qué había obtenido dicha vida laboral, informó que se lo había facilitado la Consejería de Educación, Juventud y Deporte. Posteriormente, y al solicitar información al Grupo Parlamentario Popular, indicaron que en la Mesa de la Comisión de Educación y Deporte, celebrada con posterioridad a la denuncia presentada en esta Agencia, se aclaró que no disponían del informe de la vida laboral de Doña B.B.B. ni de ninguna otra persona. Al objeto de verificar si se había accedido a la vida laboral de Doña B.B.B., el Inspector de Datos responsable de la realización de estas Actuaciones Previas de Investigación solicitó a la Inspección de Servicios de la Tesorería General de la Seguridad Social información sobre tales accesos. La Tesorería advirtió de un acceso efectuado por el Servicio Público Estatal de Empleo. Tras solicitar información al Servicio Público Estatal de Empleo sobre el acceso efectuado, contestó que el acceso estaba totalmente acreditado ya que la finalidad del acceso era reconocer el derecho a la prestación por desempleo. El artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El citado artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, con la finalidad de evitar, entre otros aspectos, el acceso no autorizado por parte de ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que: - Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. - Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD. - La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se establecen en normas reglamentarias, de modo que se eviten accesos no autorizados. - El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
2. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece de manera pormenorizada las medidas de seguridad que han de tener incorporadas en sus ficheros los responsables del tratamiento de datos personales. El artículo 91 de dicho Reglamento regula el control de accesos en los ficheros, indicando lo siguiente: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. El Servicio Público Estatal de Empleo tiene incorporadas tales medidas de seguridad; habiendo informado que tras verificar los usuarios que habían accedido a los datos de la vida laboral objeto de denuncia concluyó que las acciones realizadas están incluidas en las funciones que habitualmente desarrolla la persona que accedió a la vida laboral desde su puesto de trabajo; esto es, dentro de los roles (perfiles) asignados y con causa en acciones que se corresponden con las funciones que tienen atribuidas. La Audiencia Nacional en Sentencia de 4 de marzo de 2013, recurso número 443/2011, indica lo siguiente: “En relación con este caso, se debe recordar, como se ha declarado en sentencias anteriores de esta Sala, entre otras la reciente SAN de 23 de noviembre de 2012, rec. 343/2011, que, en virtud del art. 6.2 LOPD "no será preciso el consentimiento, cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias". Asimismo de acuerdo con el artículo 11.2 LOPD: "el consentimiento exigido en el apartado anterior no será preciso: cuando la cesión esté autorizada en una ley". También en este caso se debe hacer referencia a lo establecido en el artículo 7: "No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para… la gestión de servicios sanitarios… siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto". Considera la Sala, que los datos no han sido cedidos a terceros, o tal cuestión se trataría en su caso de cuestión de cesión ajena a este recurso –en este sentido STS 274-2010, rec. 6371/2006-. Consta por el INSS que ha comprobado la identidad del personal que ha accedido a sus datos, y que confirma que se trataba de personal con justificación y acreditación a nivel orgánico y de funciones, por lo que de esta forma se está garantizando el uso al que se someten los datos personales”. En consecuencia, no habiéndose constatado que se haya producido un acceso indebido al informe de vida laboral de Doña B.B.B., cabe concluir que no concurren los elementos indiciarios necesarios para acordar la apertura de un procedimiento sancionador. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al GRUPO PARLAMENTARIO POPULAR DE LA ASAMBLEA DE MADRID y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es