1/6 Procedimiento Nº: E/09709/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE ALFAFAR en virtud de la reclamación presentada por D.A.A.A. (en adelante, el reclamante) y en consideración a los siguientes HECHOS PRIMERO: La reclamación interpuesta por el reclamante y seis personas más - cuyos nombres y número de DNI, así como la firma de cada uno de ellos, consta al pie del escrito de reclamación- tiene entrada en la Agencia Española de Protección de Datos (AEPD) en fecha 03/08/2018. La reclamación se dirige contra el AYUNTAMIENTO DE ALFAFAR, con NIF P4602200J (en adelante, el reclamado) y se funda en la presunta revelación de sus datos personales efectuada por la Agencia de Empleo y Desarrollo Local (AEDL) del reclamado a terceras personas, quienes junto a los reclamantes participaron en un curso sobre “Atención al Cliente y Cajero” organizado por la AEDL. Los reclamantes han manifestado que siendo alumnos del Curso organizado por la AEDL “fuimos conscientes de que por parte del personal de la AEDL se había filtrado información nuestra de diversa índole a los participantes”. Añaden que esa información “iba desde datos de carácter personal (domicilio, familia, estado civil o parentesco) hasta socioeconómica (beneficiarios de ayudas municipales, situación laboral o riesgo de exclusión social)”. Señalan que “esta filtración fue realizada por la becaria de la AEDL a una de las participantes del curso, en el ámbito de la confianza que les une, pues se ha confirmado que son amigas personales” y que “al ser conocedores de estos hechos tan graves” los pusieron en conocimiento de la Agente de Empleo y Desarrollo Local responsable de la organización del curso, quien minimizó la importancia de los hechos, y del Alcalde, de los Concejales de Personal y de Bienestar Social y del Presidente de la Mesa de Comercio de quienes no han obtenido respuesta. El único documento aportado con el escrito de reclamación es la copia del DNI del reclamante. SEGUNDO: En fecha 04/10/2018, de conformidad con el artículo 9.4 del Real Decreto Ley 5/2018, vigente entonces, se dio traslado al reclamado de la reclamación presentada para que procediese a su análisis y diera respuesta a los reclamantes y a esta Agencia en el plazo de un mes, con número de referencia E/06953/2018. La notificación al reclamado se efectuó a través de la aplicación notific@ siendo rechazada automáticamente el 15/10/2018. La notificación se reiteró por correo postal y resultó entregada en fecha 23/10/2018. Asimismo, en fecha 04/10/2018 se informó al reclamante del traslado de su reclamación al reclamado y del requerimiento informativo hecho a éste para que en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del escrito al reclamante se efectuó el 11/10/2018, fecha en la que consta entregada. TERCERO: Con fecha 05/11/2018 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: Con fecha 09/11/2018 tiene entrada en la AEPD la respuesta del reclamado al requerimiento informativo. Manifiesta que no se ha divulgado información de ningún tipo ni se ha vulnerado la normativa de protección de datos de carácter personal. Respecto a las causas que han motivado la incidencia que ha originado la reclamación, remite copia del informe que emitió sobre la cuestión la Agente de Desarrollo de Empleo encargada de la organización del curso al que el reclamante alude. En el informe consta que “no existió ningún problema ni divulgación de ningún tipo respecto de datos protegidos” y se indica que los datos recogidos se limitaron a la información básica y necesaria para cumplimentar el acceso al referido curso “sin que dicho formulario, ni la información existente en el mismo se haya divulgado, quedando sometido al control, custodia y deber de sigilo de la documentación e información que integra el expediente administrativo”. Añade que la información de carácter personal que presuntamente habría sido revelada por la Agencia de Desarrollo Local ni siquiera obra en poder de esa Administración, como puede constatarse tras el examen de los formularios que los participantes del curso debieron cumplimentar. A tal fin se remite a esta Agencia copia de los formularios relativos a las personas que suscribieron la reclamación y los documentos que aportaron anexos a ella. Un examen de los formularios mencionados confirma que los datos que a través ellos se recaban son el nombre y apellidos, NIF, dirección postal y dirección electrónica, así como su condición de demandante de empleo. Las personas que suscribieron la reclamación anexaron a sus solicitudes de admisión al curso organizado por la AEDL estos documentos: el DNI y el documento de inscripción en el SERVEF en el que se especifica su situación de demandante de empleo y la fecha de la próxima renovación. Se aporta copia de los formularios, y de los documentos anexos mencionados, relativos a D.ª B.B.B.; Dª. C.C.C.; D.ª D.D.D.; D.ª E.E.E.; D.ª F.F.F. y D. G.G.G. El reclamado aporta también una copia de la carta que dirigió al reclamante (con fecha de salida de esa Administración el 14/08/2018) en la que acusa recibo de un escrito que el reclamante presentó en el Ayuntamiento en fecha 27/07/2018 (número XXXXXXXXXX) relativo a la filtración de información por una becaria de la Agencia de Desarrollo de Empleo y en la que le comunican que “para poder tomar medidas desde el ayuntamiento y poder abrir el correspondiente expediente de oficio necesitaríamos pruebas de lo que nos informa” ya que efectuadas las comprobaciones pertinentes no se constatan los hechos denunciados. El reclamado manifiesta en su respuesta a la AEPD que pese a esta comunicación al reclamante no ha aportado ninguna documentación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver la Directora de la Agencia Española de Protección de Datos. II El artículo 5 del RGPD versa sobre los “Principios relativos al tratamiento” y menciona entre ellos el de “integridad y confidencialidad”. El apartado 1 de la citada disposición establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito o contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)” El artículo 83.5.
- a)del RGPD tipifica como infracción la vulneración de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6, 7 y 9” III La reclamación que examinamos versa sobre la vulneración del principio de confidencialidad en la que presuntamente habría incurrido la AEDL del ayuntamiento reclamado respecto a los datos personales de los reclamantes, todos ellos participantes en un curso organizado por esa Agencia municipal. Un examen de la reclamación formulada evidencia que en ella no se especifica qué información habría sido divulgada, qué datos personales de los reclamantes habrían sido, presuntamente, revelados a terceras personas. En el escrito de reclamación se alude a numerosas y variadas categorías de datos y, paralelamente, se constata que no todas las categorías de datos a las que aluden los reclamantes obraban en poder del ayuntamiento reclamado por lo que difícilmente pudieron ser comunicados a terceros. Así, el escrito de reclamación señalaba que la información que había sido revelada “iba desde datos de carácter personal (domicilio, familiar, estado civil o parentesco) hasta socioeconómicos (beneficiarios de ayudas municipales, situación laboral o riesgo de exclusión social”. En ningún caso se determinaba qué datos en particular habían sido revelados ni tampoco se aportaon con él documentos que permitan, al menos, extraer indicios racionales de la comisión de la conducta infractora C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 atribuida al reclamado. El reclamante no ha aportado ningún documento que sirva de fundamento a los hechos objeto de la reclamación pese a que consta acreditado que el reclamado le remitió un escrito en el que acusaba recibo de su reclamación y le solicitaba documentación que sirviera de fundamentos a sus afirmaciones. Llegados a este punto se ha de recordar que en el Derecho Administrativo sancionador rigen -con alguna matización, pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución Española. Principio que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. Nos remitimos a tal fin a la Sentencia del Tribunal Constitucional, 76/1990. También a la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público en cuyo artículo 28 se establece que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, (…) que resulten responsables de los mismos a título de dolo o culpa”. En su Sentencia 76/1990 el Tribunal Constitucional afirma que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El Tribunal Supremo (STS de 26/10/1998) advierte que la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En el supuesto analizado no existe una prueba de cargo que desvirtúe el principio de presunción de inocencia ni obran en el expediente indicios que permitan desvirtuar la presunción de inocencia sobre la base de una prueba indiciaria. El único elemento en el que se sustenta la vulneración del RGPD que es objeto de la reclamación es la manifestación del reclamante cuya veracidad niega el reclamado. En definitiva, únicamente se dispone de dos versiones contradictorias entre sí -del reclamante y reclamado- y ningún indicio razonable o elemento probatorio pese a las peticiones que en ese sentido se hicieron al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Respecto a la posibilidad de que la declaración del afectado pueda por sí sola desvirtuar el principio de presunción de inocencia se ha pronunciado el Tribunal Constitucional (201/89, EDJ 1989/10791), así como el Tribunal Supremo (por todas STS de 30/01/1999, EDJ 1999/1652), que señala como pautas para dotar de validez de prueba de cargo a la sola declaración de la víctima las siguientes: "A) Ausencia de incredibilidad subjetiva, derivadas de las previas relaciones acusado-víctima, que pongan de relieve un posible móvil espurio de resentimiento, venganza o enemistad, que pueda enturbiar la sinceridad del testimonio, generando un estado de incertidumbre, incompatible con la formación de una convicción inculpatoria asentada en bases firmes. B) Verosimilitud del testimonio, que ha estar rodeado de algunas corroboraciones periféricas de carácter objetivo obrantes en el proceso. C) Persistencia en la incriminación, que debe ser prolongada en el tiempo, reiteradamente expresada y expuesta, sin ambigüedades, ni contradicciones." La STS de 08/06/2005 ha señalado: "En efecto, hemos dicho en Sentencia 1305/2004, de 3 de diciembre (y últimamente, en Sentencias de 25 de marzo , y 25 de abril de 2005 ), que la declaración incriminatoria de la víctima, es prueba, por sí misma, suficiente, para enervar la presunción de inocencia de los procesados, siempre que aparezca rodeada de los parámetros interpretativos para su apreciación, que esta Sala ha declarado de forma muy reiterada (ausencia de incredibilidad subjetiva derivada de alguna situación, que la incapacite por razones personales, la misma verosimilitud de la versión ofrecida por la víctima, y persistencia en su testimonio), pero es también necesario que la declaración de la víctima, se encuentre rodeada de datos corroboradores, externos y objetivos, que la doten de una especial potencia convictiva” Así las cosas, en tanto no se han aportado por el reclamante elementos de los que pueda inferirse que efectivamente el reclamado incumplió la obligación de confidencialidad que le impone el RGPD respecto a datos personales concernientes a los reclamantes, al amparo del principio de presunción de inocencia, procede el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al AYUNTAMIENTO DE ALFAFAR, con NIF P4602200J y a D. A.A.A.. 3. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es