PS-00010-2022

1/19  Expediente N.º: EXP202102452 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 03/08/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERIA DE SANIDAD de la JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el afectado reclama la ausencia de confidencialidad en las notificaciones de los distintos actos administrativos relacionados con expedientes administrativos abiertos en el citado organismo, de los que es parte interesada, (…), al serle entregada documentación afecta a dichos procedimientos en sobre abierto con conocimiento de terceros, personal del organismo, con la posible vulneración de la normativa en materia de protección de datos de carácter personal. SEGUNDO: De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, el 24/09/2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 05/11/2021 el reclamado dio respuesta al requerimiento desmintiendo la ausencia de confidencialidad y que, en las notificaciones realizadas en el expediente ***EXPEDIENTE.1, teniendo en cuenta los precedentes provocados en otros expedientes de diversa naturaleza relacionados con el afectado, se optó porque existiera siempre un testigo de estas. El reclamado ha indicado que el reclamante no utilizo el procedimiento establecido al dirigir la denuncia al órgano que no era competente según el protocolo establecido para dichos casos y que ha sido el propio reclamante el que ha hecho partícipe de su denuncia a personas ajenas al Comité de Asesor para situaciones de ***ASUNTO.1 No obstante, el reclamante insiste en nuevos escritos de 17/11/2021 y 24/11/2021 en reclamar la entrega de documentación con vulneración de la confidencialidad que requieren los actos relacionados con los expedientes administrativos de los que es parte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 TERCERO: El 03/11//2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 29/04/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción por las presuntas infracciones de los artículos 5.1.

1. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
2. a)y 83.4.
3. a)del citado RGPD y sancionada conforme a lo dispuesto en el artículo 77 de la LOPDGDD. QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 16/05/2020 presento escrito de alegaciones manifestando lo siguiente: Que aunque el Protocolo de Prevención, Identificación y Actuación (…) en la Administración de la Junta de Comunidades de Castilla-La Mancha y sus organismos autónomos fue aprobado con anterioridad a la entrada en vigor efectiva del RGPD, posteriormente ha sido objeto de una nueva publicación; que funcionario que interpone la reclamación no ha utilizado el procedimiento establecido en el protocolo que lo regula dirigiendo la denuncia al órgano que el protocolo no atribuye la competencia en los casos de ***ASUNTO.1; sin perjuicio de lo anterior, la denuncia fue trasladada al “Comité Asesor para situaciones de ***ASUNTO.1 del personal funcionario y laboral de administración general”; que en las notificaciones personales son efectuadas, con carácter general, por personal adscrito a los Servicios en los que por razón de la materia concreta son competentes para su tramitación; que no ha habido ningún tratamiento no autorizado y, menos ilícito, en materia de protección de datos de carácter personal, por lo que no se ha producido la vulneración del artículo 5.1.
4. f)ni tampoco del artículo 32.1 del RGPD. SEXTO: Con fecha 08/08/2022 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados que forman parte del procedimiento E/10035/2021. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado y la documentación aportada. - Se solicita al reclamado para que aporte Declaración jurada tanto del funcionario/s que efectuaron las notificaciones al reclamante como del personal que actuaba en condición de testigo en los mencionados actos. En fecha 18/08/2022 el reclamado dio respuesta a la prueba solicitada cuyo contenido obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 SEPTIMO: El 21/12/2022 fue notificada al reclamado Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción de los artículos 5.1.
5. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
6. a)y 83.4.
7. a)del RGPD, con sendos apercibimientos. Transcurrido el plazo establecido el reclamado, al tiempo de la presente Resolución, no había presentado escrito de alegación alguna. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 03/08/2021 y el 17/08/2021 tienen entrada en la Agencia Española de Protección de Datos escritos del afectado reclamando por la ausencia de confidencialidad en las notificaciones llevadas a cabo por el reclamado de los distintos actos administrativos relacionados con dos procedimientos administrativos abiertos y en los que es parte interesada ((…)), al serle entregada documentación vinculada a los mismos en sobre abierto con conocimiento de terceros, personal del organismo que intervenían en las citadas notificaciones, por lo que considera que se ha vulnerado de la normativa en materia de protección de datos de carácter personal. SEGUNDO. Consta aportado por el reclamante Oficio remitiendo a la Delegada Provincial de Sanidad, en sobre cerrado para su entrega al interesado, la Resolución de la Secretaria General de fecha 26/07/2021, asunto ***ASUNTO.1. Asimismo, se señala que: “Deberán entregar dicho sobre a la persona interesada y devolver el presente escrito con el recibí, en el que se haga constar fecha y hora de su entrega”. TERCERO. Consta aportada Acta del Comité Asesor para situaciones de ***ASUNTO.1, en el que se acuerda “Por unanimidad de los asistentes, suspender el plazo de 15 días previstos en la Resolución citada para tomar una decisión sobre la comunicación de ***ASUNTO.1 y hasta que el funcionario denunciante presente la documentación que anuncia y notificar esta decisión a la jefatura superior de personal de la Consejería de Sanidad”. CUARTO. Constan aportados el Oficio y el Acta del Comité Asesor para situaciones de ***ASUNTO.1 anteriormente mencionados con el recibí firmado por el reclamante en fechas 02/08/2021 y 23/06/2021 QUINTO. Consta aportada la Resolución de 19/04/20XX, de la Dirección General de la Función Pública, por la que se da publicidad al Protocolo de Prevención, Identificación y Actuación (…) en la Administración de la Junta de Comunidades de Castilla-La Mancha y sus organismos autónomos. SEXTO. Consta aportado Resolución de la Delegada Provincial de Sanidad en ***LOCALIDAD.1 por la que se desestima la recusación planteada por el reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 en el expediente ***EXPEDIENTE.1 contra la instructora del procedimiento y la secretaria del mismo. SEPTIMO. Consta aportado Pliego de Cargos ***EXPEDIENTE.1 en la que es parte el reclamante. relativo al Expediente OCTAVO. El reclamado mediante escrito de 05/11/2021 ha manifestado en relación con el ***EXPEDIENTE.1 que: “Este tratamiento está inscrito en el Registro de Actividades de Tratamiento de esta Administración regional, disponible en https://rat.castillalamancha.es/detalle/XXXX. Este tratamiento se corresponde con el protocolo de prevención, identificación y actuación frente (…), aprobado como Resolución de 19/04/20XX, de la Dirección General de la Función Pública, por la que se da publicidad al Protocolo de Prevención, Identificación y Actuación (…) en la Administración de la Junta de Comunidades de Castilla-La Mancha y sus organismos autónomos, y publicado en el Diario Oficial de Castilla-La Mancha” “Este protocolo establece que la tramitación debe realizarse mediante formulario específico disponible en la sede electrónica de esta Administración” (…) Además de ser objeto de una publicación en el Diario Oficial de Castilla-La Mancha, este protocolo se encuentra publicado en el Portal de Empleado con la finalidad de darle la difusión necesaria”. El funcionario que interpone la reclamación no ha utilizado el procedimiento establecido en el protocolo que lo regula y que está publicitado tanto en el Diario Oficial de Castilla- La Mancha como en el propio Portal del Empleado… Utilizando el formulario de propósito general, el reclamante dirigió la denuncia a la Delegación Provincial de Sanidad en ***LOCALIDAD.1 que no es el órgano al que el protocolo atribuye la competencia (…). Por tanto, ha sido el propio reclamante el que ha hecho partícipe de su denuncia a personas ajenas al Comité de Asesor para ***ASUNTO.1. (…) Sin perjuicio de lo anterior, la denuncia fue trasladada al “Comité Asesor para ***ASUNTO.1 del personal funcionario y laboral de administración general” de la provincia de ***LOCALIDAD.1, que es el competente para la realización, cuando procede, de la fase de investigación -Anexo II del Protocolo-. Este órgano limitó su actuación a solicitar la suspensión de las actuaciones al órgano competente para ello. Se indica también que el Protocolo dispone lo siguiente “8. Confidencialidad. Las personas que intervengan en el procedimiento tienen obligación de guardar una estricta confidencialidad y reserva y no deben transmitir ni divulgar información sobre el contenido de las comunicaciones (…) presentadas o en proceso de investigación”. (…) Por tanto, la forma de notificación al denunciante fue la prevista con carácter general, y tal y como indica el propio secretario provincial en su informe “En ningún caso, el testigo ha tenido conocimiento del contenido de los actos notificados, como no podría ser de otra manera, ya que el contenido de estos actos, teniendo en cuenta que se encuentra incursos en un expediente (…) deben realizarse con la mayor reserva, discreción y sigilo y es así como se hizo”. NOVENO. Constan aportadas Declaraciones Juradas de Dña. B.B.B., en condición de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 secretaria del procedimiento ***EXPEDIENTE.1, D. C.C.C. en calidad de testigo de las notificaciones llevadas a cabo en el procedimiento anterior y D. D.D.D., en calidad de notificante mediante entrega en mano al reclamante de diversa documentación relativa a los procedimientos en los es parte interesada, funcionarios todos ellos del reclamado. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos denunciados se concretan según manifestaciones del reclamante en facilitar el reclamado el acceso indebido por parte de terceros a documentos contenidos en expedientes en tramitación en los que es parte interesada vulnerando el principio de confidencialidad de los datos lo que supone infracción a la normativa sobre protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
8. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)” El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 (…)
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” III 1. La documentación obrante en el expediente permite constatar que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al posibilitar el acceso a los datos carácter personal del reclamante por parte de terceros, personal integrante del organismo. El deber de confidencialidad, con anterioridad deber de secreto, ha de entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. El deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. El RGPD viene a señalar que las medidas que se adopten deben ir orientadas a impedir el acceso o uso no autorizado de dichos datos. En ese mismo sentido el Considerando 39 señala que “…Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Se refuerza este principio en el considerando 49 del RGPD, al señalar que el tratamiento de datos personales se realizará …”en la medida estrictamente necesaria y proporcionada para garantizar la seguridad de la red y de la información, es decir, la capacidad de una red o de un sistema información de resistir, en un nivel determinado de confianza, a acontecimientos accidentales o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos personales conservados o transmitidos (…).” Por tanto, se estima que el reclamado es responsable de la infracción del artículo 5.1.
10. f)del RGPD, infracción tipificada en su artículo 83.5.
11. a)del citado reglamento. 2. Por Resolución de 19/04/20XX, de la Dirección General de la Función Pública, se dio publicidad al Protocolo de Prevención, Identificación y Actuación (…) en la Administración de la Junta de Comunidades de Castilla-La Mancha y sus organismos autónomos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 El Comité Regional de Seguridad y Salud Laboral, creado por Acuerdo de la Mesa General de Negociación de los Empleados Públicos de XX/07/20XX, en su reunión de 04/04/20XX aprobó el Protocolo de prevención, identificación y actuación (…) en la Administración de la Junta de Comunidades de Castilla-La Mancha y sus Organismos Autónomos, que resulta de aplicación a la totalidad de su personal empleado público, cualquiera que sea su régimen jurídico, y cuyo objeto es establecer un procedimiento de prevención, identificación, evaluación e intervención (…) en el lugar de trabajo. El objeto de este protocolo es establecer un procedimiento de prevención, identificación, evaluación e intervención (…) en el lugar de trabajo en los términos establecidos, en el ámbito de la Administración de la Junta de Comunidades de Castilla-La Mancha. El apartado 2 se refiere a los principios generales que deben inspirar la acción preventiva (…), señalándose en el punto 2.1 la confidencialidad; y en el punto 2.3 se señala que las actuaciones que se desarrollen al amparo de este protocolo se ajustarán entre otras a la garantía de confidencialidad. El punto 6 regula el Procedimiento de actuación, y en el apartado 1, señala que: “El procedimiento de actuación se inicia con una comunicación (…) que se cumplimentará según el modelo establecido como anexo I, que irá dirigido al órgano administrativo que ostente la jefatura superior de personal, que en todas la fases de tramitación de este procedimiento será el que figura en el anexo V del presente protocolo, para ello se arbitrarán los mecanismos para que en la presentación de la comunicación se garantice la confidencialidad, que no el anonimato de la misma y evitar la difusión de la información contenida en esta más allá del ámbito estricto de las personas que intervengan en este procedimiento”. El apartado 8, Confidencialidad, establece que: “Las personas que intervengan en el procedimiento tienen obligación de guardar una estricta confidencialidad y reserva y no deben transmitir ni divulgar información sobre el contenido de las comunicaciones (…) presentadas o en proceso de investigación. Toda la documentación de estos procedimientos se custodiará por el órgano administrativo que ostente la jefatura superior de personal y gozará de idéntica protección que cualquier otra referente a la salud de las personas. 3. En relación con el procedimiento ***PROCEDIMIENTO.1, el reclamante ha manifestado que el 11/06/2021 cursó denuncia para inicio del procedimiento establecido en el Protocolo de Prevención, Identificación y Actuación (…); posteriormente el 23/07/2021 le fue entregada Acta del Comité Asesor para ***ASUNTO.1 y que el citado documento le fue entregado por el personal de la Delegación Provincial de Sanidad. Es cierto que el Protocolo establece que la tramitación debe realizarse mediante un formulario específico (Anexo I) y que el reclamante no lo utilizó, aportando un formulario general disponible para “presentar solicitudes genéricas para los que no existe un formulario específico aprobado al efecto” y según el reclamado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 “ha sido el propio reclamante el que ha hecho partícipe de su denuncia a personas ajenas al Comité de Asesor para ***ASUNTO.1”. Sin embargo, tal manifestación no puede ser sostenida puesto que haya o no utilizado el formulario propio o el genérico el reclamante no puede verse privado de sus derechos por ese desliz y es la Administración la que ha de garantizar la confidencialidad del procedimiento y que este discurra por los cauces establecidos; además, la reclamación no se presentó por el hecho de que alguien pudiera haber tenido acceso a los datos en función de la gestión interna de la denuncia, sino por el modo en que se practicaron las notificaciones. No obstante, la denuncia fue trasladada al Comité Asesor para ***ASUNTO.1 de la provincia de ***LOCALIDAD.1, órgano competente para la realización de la fase de investigación (Anexo II), limitándose a solicitar la suspensión de las actuaciones al órgano competente para ello. En relación con la notificación al denunciante de los documentos integrantes del expediente relacionado con el procedimiento ***PROCEDIMIENTO.1 en el lugar de trabajo, el 23-07-20XX se le notificó personalmente al reclamante el Acta del Comité Asesor para Situaciones (…) y según sus propias manifestaciones por el funcionario D. E.E.E., adscrito a la Secretaria de la Delegación de Sanidad de ***LOCALIDAD.1. El reclamado señala que el citado documento no contenía más información de la denuncia formulada que el acuerdo de los miembros del Comité de suspender el plazo para tomar una decisión sobre la comunicación (…) y hasta que el funcionario denunciante presentara determinada documentación y que la documentación se hizo llegar en sobre cerrado conteniendo el documento a entregar y el oficio de remisión del mismo, todo ello a su vez en otro sobre cerrado. En primer lugar, consta aportado el documento conteniendo el recibí firmado por el reclamante, lo que evidencia que el citado documento una vez firmado tuvo que ser recogido/entregado al funcionario notificante, cuya declaración jurada por cierto figura ausente en la comunicación remitida por el reclamado de fecha 23/08/2022. En segundo lugar, a pesar de los intentos del reclamado de minimizar el contenido del Acta del Comité Asesor para ***ASUNTO.1, de la lectura del mismo se desprende que contiene la suficiente información como para afectar a la confidencialidad no solo del procedimiento sino también a la confidencialidad e integridad de los datos de carácter personal, dada la especialidad del procedimiento. No hay que olvidar que el Protocolo concede a la documentación de estos procedimientos una protección especial idéntica a la que gozan los datos referentes a la salud de las personas. Por último, como así figura en los hechos probados el reclamante ha aportado Oficio remitido a la Delegada Provincial de Sanidad, en sobre cerrado para su entrega al interesado, la Resolución de la Secretaria General de la Consejería de Sanidad de la Junta de Comunidades de Castilla-La Mancha de fecha 26/07/2021, en el que figura Asunto: ***ASUNTO.1/Sanidad/***LOCALIDAD.1 y en el que se señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 “Adjunto remito en sobre cerrado la Resolución de esta Secretaria General de fecha 26 de julio de 2021, relativo al expediente arriba referenciado de presunto ***ASUNTO.1. Deberán entregar dicho sobre a la persona interesada y devolver el presente escrito con el recibí, en el que se haga constar fecha y hora de su entrega” (El subrayado es de la AEPD). Consta el citado documento conteniendo el recibí firmado por el reclamante y que le fue entregado según sus manifestaciones por Dña. B.B.B., Asesora Jurídica de la Delegación de Sanidad de ***LOCALIDAD.1 y que como en el caso anterior se revela información confidencial. En la declaración jurada formulada por la misma señala que “(…) Que habiendo sido la Secretaria del procedimiento disciplinario con el número de expediente ***EXPEDIENTE.1 incoado al ahora reclamante fue la encargada de realizar todas las notificaciones que conllevaron dicho procedimiento desde el acuerdo de inicio hasta la propuesta de resolución (…)”. Sin embargo, no estamos en el ámbito del procedimiento disciplinario y en el que como Secretaria del mismo puede conocer el expediente, sino en el procedimiento ***PROCEDIMIENTO.1 en el lugar de trabajo y del que es ajena. A mayor abundamiento y con independencia de la actuación de la funcionaria, en ningún caso el oficio remitido por el reclamado debería contener información que puede dar lugar a la posibilidad de conocer datos que afecten a la confidencialidad no solo del procedimiento incoado sino también de los datos de carácter personal. Por tanto, en relación con el procedimiento ***PROCEDIMIENTO.1 en el lugar de trabajo el reclamado es responsable de la vulneración del artículo 5.1.
12. f)del RGPD, infracción tipificada en su artículo 83.5.
13. a)del citado reglamento. 4. En relación el procedimiento disciplinario, de la documentación aportada se desprende que en fecha 22/06/2021 le fue notificado al reclamante el acuerdo de inicio del procedimiento nº ***PROCEDIMIENTO.1. En relación con los actos y resoluciones del dicho procedimiento el reclamante ha manifestado en numerosas ocasiones su disconformidad con las notificaciones efectuadas en el seno del mismo. Así señala que el 01/07/2021 la secretaria de la Delegada de Sanidad le entrego una Resolución de la propia Delegada desestimando la recusación que el mismo había planteado en dicho procedimiento, (…). El 02/07/2021 Dña. B.B.B. le entrego documento relacionado con las pruebas testificales practicadas a instancias de la instructora del procedimiento, actuando como testigo en la entrega D. C.C.C.. El 20/07/2021 Dña. B.B.B. le hizo entrega del Pliego de Cargos a instancias de la instructora del procedimiento, actuando como testigo en la entrega D. C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Situaciones en las que son reincidentes los escritos aportados por el reclamante en fechas 07/11/2021 y 24/11/2021, idénticos ambos y en los que se manifiesta que: El 15/09/2021 Dña. B.B.B. le entregó escrito iniciando el trámite de puesta a la vista del expediente firmado por el instructor y que en dicho actúo en calidad de testigo de la entrega un tercero, el funcionario de la Delegación de Sanidad D. C.C.C.. El 03/12/2021 Dña. B.B.B. le entregó la Propuesta de Resolución firmado por la instructora y que en dicho acto participo una tercera persona, en calidad de testigo de la entrega, Dña. F.F.F., secretaria de la Delegada de Sanidad. Hay que señalar en relación con las notificaciones efectuadas en el seno del procedimiento, practicadas por la funcionaria Dña. B.B.B., Asesora Jurídica de la Delegación de Sanidad de ***LOCALIDAD.1, que fue formalmente designada Secretaria en el mismo, nada hay que objetar que las llevara a efecto dada su condición en el procedimiento y cuya función tiene como finalidad colaborar en los trámites que ha de llevar a cabo quien ostente la instrucción. Así lo señala en la declaración jurada formulada señalando que: “(…) Todas ellas le fueron notificadas al reclamante en mano en su puesto de trabajo de conformidad con el artículo 41.b de la Ley 39/2015 de 1 de octubre de 2015 del Procedimiento Común de las Administraciones Publicas. Para la realización de estas notificaciones, y dado el perfil del reclamante hasta ese momento, altamente conflictivo, se recurrió a otro funcionario D. C.C.C., también adscrito a la Delegación Provincial de Sanidad, y técnico jurídico para que actuara en calidad de testigo a los efectos de levantar acta en caso de no atención a la notificación o generación de situaciones tensas (…)”. El funcionario citado también señala en su declaración jurada que: “(…) Que habiendo actuado en calidad de testigo en todas aquellas notificaciones efectuadas por Dña. B.B.B. al hoy reclamante vengo a certificar mediante este escrito que: en ningún momento fue conocedor del contenido de los documentos objeto de notificación, quedando mi intervención relegada al mero hecho de levantar acta, en su caso, para el supuesto de que se produjera la negativa del reclamante a recoger la notificación que se le entregaba en mano o a dejar constancia de cualquier incidente que dicha notificación pudiera ocasionar. Asimismo, quiero dejar constancia que en ningún momento se me informo ni siquiera verbalmente de las actuaciones que se estaban llevando a cabo en el procedimiento origen de los documentos a notificar (…)” Y en relación con la participación en los actos anteriores por la secretaria de la Delegada de Sanidad, tanto la relativa a la Resolución desestimando la recusación planteada por el reclamante, como la relativa a la entrega de la Propuesta de Resolución, no existen evidencias ni prueba alguna que acredite dichas manifestaciones, más allá de que constan aportados el oficio por el que se le vuelve a notificar la Propuesta de Resolución y la apertura de plazo para efectuar alegaciones a la misma, sin que conste firma alguna en el recibí y la aportación de la propia Propuesta de Resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 Por tanto, en relación con el procedimiento disciplinario nº ***EXPEDIENTE.1 no se observa vulneración de la normativa en materia de protección de datos de carácter personal. IV El artículo 83.5
14. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable. Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V En segundo lugar, hay que señalar que el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
16. a)la seudonimización y el cifrado de datos personales;
17. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
18. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
19. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. VI La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
20. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
22. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…)” VII 1. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 De la documentación obrante en el expediente se evidencia la vulneración del artículo 32 del RGPD, al producirse un incidente de seguridad al posibilitar el acceso a datos e información del reclamante relacionados con el procedimiento ***PROCEDIMIENTO.1 en el lugar de trabajo vulnerando la confidencialidad, quebrantando las medidas técnicas y organizativas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “