E-10191-2018

1/4 Expediente Nº: E/10191/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AYUNTAMIENTO DE O PORRIÑO—Pontevedra-- en virtud de denuncia presentada por Don A.A.A. y Doña B.B.B. y otros y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12/04/18 se presenta en esta Agencia reclamación del mencionado reclamante por medio de la cual plantea la siguiente reclamación: “acceso a datos de carácter personal por la Concejala-Delegada del Área de Bienestar Social a diversos datos de carácter personal contenidos en expedientes administrativos sin causa justificada (…) “Ante nuestra interpelación a la Concejala-Delegada para encontrar otra manera ajustada a Derecho, para que pueda cumplir con sus funciones de control y desarrollo de sus competencias (…) a día de hoy se siguen manteniendo las circunstancias descritas (…)” “La herramienta informática a través de la cual se está implementado la Administración electrónica no permite discriminar datos cuando un expediente administrativo tiene que ser compartido con otro Departamento municipal, de manera que empleados públicos tienen acceso a datos personales de ciudadanos (…)—folio nº 1--. Solicitan a la AEPD que actúen de la manera que consideren oportuna ante lo que entendemos como una vulneración de la actual normativa en materia de protección de datos de carácter personal” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Presenta escrito de reclamación que ya se recibió en esta Agencia el 6 de Noviembre de 2017 con número de registro 315087/2017, que dio lugar al expediente E/05866/2017 que no se admitió a trámite, y cuya resolución se publicó en el Boletín Oficial del Estado con fecha 26 de octubre de 2017, ante la devolución por “Desconocido” de la comunicación por correo postal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha de entrada en este organismo 12/04/2018 por medio de la cual traslada como “hecho” principal el siguiente: “acceso a datos de carácter personal por la Concejala-Delegada del Área de Bienestar Social a diversos datos de carácter personal contenidos en expedientes administrativos sin causa justificada (…)”—folio nº 1--. Cabe señalar que, analizada la base de datos de este organismo, consta asociado al denunciante el procedimiento con número de referencia E/05866/2017, en el que se procedió al Archivo del mismo ante la falta de evidencias que acreditasen la comisión de una infracción administrativa en el marco de la entonces vigente LOPD. La citada Resolución fue objeto de notificación en tiempo y forma a la siguiente dirección C/Antonio Palacios s/n 36400 O Porriño (Pontevedra) al ser esta la dirección a efectos de notificaciones administrativas indicada en la reclamación. Contra la misma no se interpuso recurso administrativo alguno a los efectos legales oportuno, por lo que la misma ha devenido en acto consentido y firme. Los “hechos” que traslada son idénticos a los que ya fueron objeto de análisis por esta Agencia, sin que variación alguna se haya producido al respecto. La Resolución indicaba lo siguiente: “En relación con la documentación que ha sido remitida a esta Agencia referida a AYUNTAMIENTO DE O PORRIÑO le confirmo, en primer lugar, su recepción. El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), establece la obligación que tienen tanto el responsable del fichero como el encargado del tratamiento de adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado. Las medidas de seguridad aplicables a cada fichero, con independencia de cuál sea su sistema de tratamiento, han sido desarrolladas reglamentariamente en el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre (RLOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Según lo previsto en estas normas, aquellos que participan en la gestión de ficheros, ya sea como responsables, encargados de tratamiento o trabajando para ellos, se encuentran obligados a aplicar las debidas medidas de seguridad para la custodia de datos, particularmente para evitar el acceso de terceros no autorizados a los datos almacenados en los ficheros. El artículo 10 de la LOPD, por su parte, establece que el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. La obligación de implantar medidas de seguridad requiere que estas sean las adecuadas para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, estableciendo sobre dicha obligación un deber de resultado, es decir, para entender que unas medidas de seguridad son ineficaces, es necesario acreditar que las mismas no son adecuadas para garantizar la seguridad de los datos sobre los que se aplican y que no responden a los parámetros marcados por la normativa de protección de datos, sin que la mera sospecha de su ineficacia o insuficiente implementación o de la falta de idoneidad de aquellos que pudieran acceder a los datos dentro de una organización sea elemento suficiente para entender la concurrencia de una infracción en dicho ámbito. Cuando los datos de carácter personal deban transmitirse a través de redes públicas o redes inalámbricas de comunicaciones electrónicas, el artículo 104 del RLOPD prevé determinados supuestos en los que la transmisión debe realizarse cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros. Así, estas medidas, calificadas de nivel alto, resultan legalmente exigibles solo cuando la información transmitida incluye datos de ideología, afiliación sindical, religión, creencias, origen racial, salud, vida sexual, datos recabados para fines policiales sin consentimiento de las personas afectadas o datos derivados de actos de violencia de género. La identificación de infracciones, por vulneración de medidas de seguridad o por ruptura del deber de secreto, se vincula generalmente con casos en los que la documentación con datos personales hubiera sido expuesta fuera del ámbito de protección que suponen las instalaciones donde son tratados los datos y también con la constatación de la existencia de una observación de los datos tratados por parte de terceros. En el escenario planteado, la vulneración del deber de guardar secreto y mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad podrían ser conductas constitutivas de infracción según lo previsto en los apartados 3 d) y h) del artículo 44 de la LOPD. No obstante, en el presente caso, del análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se aprecian indicios de infracción, por lo que SE ACUERDA no iniciar procedimiento administrativo. Contra este acto, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de este acto resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Permanecemos a su disposición para cualesquiera otras cuestiones que afecten al tratamiento de datos de carácter personal. Para una mayor información sobre el ámbito de actuación de la Agencia, le remito a las preguntas frecuentes en nuestra sede electrónica (https://sedeagpd.gob.es/sede-electronica-web). III De acuerdo con lo expuesto, dado que no se aportan nuevas pruebas o alegaciones que permitan reconsiderar el fondo del asunto planteado, procede declarar el Archivo del presente procedimiento. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la parte reclamante Don A.A.A. y Doña B.B.B. y otros. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es