← España

PS-00119-2020

1/8  Procedimiento Nº: PS/00119/2020 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos personales remitido por la Universidad Complutense de Madrid (UCM) en el que informan a la Agencia Española de Protección de Datos (en lo sucesivo AEPD) de que, con fecha 24 de octubre de 2019, se ha publicado en el diario El Mundo un informe elaborado por la Unidad de Igualdad de la Universidad Complutense de Madrid en el marco de un procedimiento de investigación interna por acoso a una trabajadora. SEGUNDO: A la vista de la citada notificación de quiebra de seguridad, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales: 25 de octubre de 2019. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: UNIVERSIDAD COMPLUTENSE DE MADRID, con NIF Q2818014I, y con domicilio en Pabellón de Gobierno de la UCM, C/ Isaac Peral S/N, 28015 Madrid. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Con fecha 9 de marzo de 2020, desde la Inspección de Datos se ha accedido a la dirección web: <***URL.1 > comprobando la existencia de un artículo, editado en fecha ***FECHA.1, titulado: “***TÍTULO.1….” en el que hace referencia a un caso de acoso en la Universidad Complutense de Madrid y que ha sido remitido a la Fiscalía. En el artículo se hace referencia a una mujer identificándola con una inicial, en concreto “A.” y una referencia a su puesto profesional, así como el nombre, primer apellido y cargo laboral del acosador dentro de la Universidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Con fecha 8 de noviembre de 2019 se ha remitido escrito de requerimiento de información a la Universidad Complutense de Madrid (en adelante UCM) y de la respuesta recibida en fecha 22 de noviembre de 2019 se desprende lo siguiente: Respecto de la cronología de los hechos  Con fecha 29 de mayo de 2019, una trabajadora adscrita a la UCM presentó denuncia de acoso laboral y acoso sexual ante la Unidad de Igualdad de Género de la Universidad por lo que se puso en marcha el protocolo para la prevención, detección y actuación ante situaciones de acoso sexual, acoso por razón de sexo (sexista) y acoso por orientación sexual e identidad y expresión de género de la UCM, nombrando a un perito y una vez finalizadas las actuaciones de investigación llevadas a cabo por la Unidad de Igualdad, se elevó al Rector de la UCM un informe el 31 de julio de 2019.  El 20 de septiembre de 2019, se dispuso la incoación de expediente disciplinario nombrándose un Instructor y un Secretario del procedimiento, en el que se apreció indicios fundados de criminalidad y, en consecuencia, se procedió a la suspensión de la tramitación del expediente y su puesta en conocimiento del Ministerio Fiscal con fecha 1 de octubre de 2019.  Con fecha ***FECHA.1, el diario on-line EL MUNDO publicó en la sección «Historias» un artículo titulado “***TÍTULO.1….” en el que se relataba detalladamente el supuesto de acoso denunciado ante la UCM.  La UCM al tener conocimiento de la publicación ordenó la apertura inmediata de una Información Reservada, para intentar determinar el origen de la filtración. Las actuaciones de esta Información se están llevando a cabo en la Inspección de Servicios de la Universidad.  La UCM manifiesta que durante la intervención de la Unidad de Igualdad y para la elaboración del informe, se manejó un documento manuscrito aportado por la denunciante en el que se relata el recuerdo de sus experiencias del acoso denunciado. El artículo publicado en prensa narra en forma novelada la situación de acoso denunciada reproduciendo en numerosos párrafos literalmente frases incluidas en el documento manuscrito. La UCM manifiesta que a este documento manuscrito solo han tenido acceso la denunciante, el perito y la Unidad de Igualdad de la Universidad, no dándose trasladado del mismo ni al Rector, ni a la Inspección de servicios para la apertura del expediente disciplinario, ni al Ministerio fiscal. También manifiesta que el número de páginas y el número de personas entrevistadas que figuran en el artículo editado coinciden con las que figuran en el expediente que cursa la Unidad de Igualdad de la UCM, por lo que consideran que se ha producido una filtración de datos confidenciales obrantes en la documentación generada por la Unidad de Igualdad. En concreto, en el artículo editado por el diario El Mundo se puede leer lo siguiente: “… según el meticuloso informe de 67 páginas y una decena de entrevistas emitido el 29 de julio por la Unidad de Igualdad del centro…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Respecto de las causas que hicieron posible la incidencia  La UCM manifiesta que se desconoce el origen de la filtración y que, a la espera de la conclusión del Informe de la Inspección, no hay ninguna evidencia ni indicio de que se haya producido por un acceso indebido a la información. La hipótesis más probable apunta a una quiebra del deber de confidencialidad por parte de alguna de las personas intervinientes en el procedimiento cursado por la Unidad de Igualdad de la UCM. Respecto de los datos afectados. Notificación e indexación  Los datos afectados, tal y como constan en la publicación del periódico, corresponde a nombre y apellido, profesión, especialidad y lugar de trabajo del supuesto acosador y la referencia “A.” para referirse a la mujer acosada. Señalar, que el contenido del escrito denota revelación de datos relativos a salud, orientación sexual y vida sexual.  La UCM ha remitido una nota a los afectados en la que se indica: “Lamentamos informarle que en el día de hoy se han publicado en el diario “El Mundo” contenidos de un informe de la Unidad de Igualdad que le afectan”.  La UCM manifiesta que no se tiene conocimiento de la utilización por terceros de los datos publicados por el diario El Mundo. Respecto de las medidas de seguridad implantadas con anterioridad al incidente  La UCM ha aportado los siguientes documentos relacionados con la seguridad de la información y los tratamientos: o Informe sobre las medidas de seguridad implantadas en la unidad de Igualdad de Género de la UCM, de fecha 25 de octubre de 2019. o Política de Seguridad de la Información y Organización de la Seguridad de la Información ambos de fecha 4 de abril de 2017. o Registro de Actividad de Tratamiento: Igualdad de Género y Acoso. o Informe Bienal de auditoria 2016 de protección de datos personales del fichero “Igualdad de Género”. o Procedimientos de gestión de brechas de seguridad de fecha octubre de 2018.  La UCM ha aportado también los siguientes documentos: o Protocolo para la prevención, detección y actuación ante situaciones de acoso sexual, acoso por razón de sexo (sexista) y acoso por orientación sexual e identidad y expresión de género de la UCM. Respecto de las medias implementadas con posterioridad a la incidencia  La revisión del Protocolo para la prevención, detección y actuación ante situaciones de acoso sexual, acoso por razón de sexo (sexista) y acoso por orientación sexual e identidad y expresión de género de la UCM.  La elaboración del análisis de riesgos de todas las actividades de tratamiento de la UCM, incluidas las de la Unidad de Igualdad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 TERCERO: Con fecha 16/06/2020, se incoó procedimiento sancionador a la UNIVERSIDAD COMPLUTENSE DE MADRID, con NIF Q2818014I, por la presunta infracción del artículo 5.1.

  1. f)del RGPD y 5 de la LOPDGDD, tipificada como infracción muy grave a efectos de prescripción en el artículo 72.1.
  2. i)de la LOPDGDD, otorgándole un plazo de alegaciones de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes CUARTO: Tras solicitar la UCM el envío de la documentación que obra en el expediente, se accede a la solicitud a través del Servicio de Notificaciones Electrónicas constando como fecha de comparecencia el 1/07/2020, 17h:16m:38s, con número de registro ***REGISTRO.1 En las alegaciones, el responsable de la UCM tras detallar la cronología actualizada de los hechos, aporta la siguiente, Documental: Doc 1. Acuerdo de apertura de Información Reservada con fecha 24/10/2019, con referencia interna 87/2019 en relación con el expediente 41/2019. Doc 2. Índice completo y foliado de los documentos contenidos en la información previa de referencia interna 87/2019.Consta de 166 folios. Doc 3. Resolución del Archivo de actuaciones del expediente de referencia interna 87/2019, a no haber sido posible determinar la identidad de la persona que realizó la filtración objeto de investigación. En el contenido del citado archivo se especifica los siguiente: “La perita del caso 41/2019 de la Unidad de Igualdad, en su comparecencia en la inspección de Servicios el día 28 de octubre de 2019, declaró que – a pesar de estar expresamente prohibido – grabó los testimonios de las personas entrevistadas (diez en total), que conserva varios de esos audios y con total seguridad los de las entrevistas a denunciante y denunciado, que conserva igualmente copias de su informe en su casa y en su correo electrónico y que ha seguido manteniendo el contacto con la denunciante con posterioridad a terminar su trabajo como perita del caso 41/2019 en la Unidad de Igualdad”. Doc 4. Acuerdo de inicio, de fecha 20/02/2020, de expediente disciplinario, de referencia 10/2020, contra la persona que actuó en calidad de perita del caso 41/2019, por la grabación indebida y conservación de los audios de los testimonios de las personas entrevistadas. Y las siguientes alegaciones: 1º.- Que no se tengan en cuenta los documentos del expediente no aportados a la UCM. 2º.- Que la UCM está aplicando medidas técnicas y organizativas proporcionadas a los riesgos identificados en el tratamiento de aquellos datos que obran en la Unidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Igualdad y que, por su naturaleza, son particularmente sensibles, y que detalla a continuación:
  3. a)Los expedientes no se están guardando en archivo físico, sólo en archivo electrónico y al que no es posible acceder de forma remota.
  4. b)El escaneo de los documentos se realiza desde una impresora/escaner vinculada con el ordenador de la Unidad de Igualdad.
  5. c)Se ha creado un Dispositivo de Atención Social (DAS) compuesto por personas expertas en intervención, y que han realizado el curso de peritaje social, relativo al acoso. No se realizan ya peritajes, ni informes, por parte de personas ajenas al servicio.
  6. d)Todos los expedientes tramitados al amparo del protocolo de acoso sexual de la Unidad de Igualdad son anónimos y solo tienen conocimiento de la identidad de la persona demandante las personas titulares de los órganos administrativos de dicha unidad.
  7. e)La documentación no sale jamás de la sede de la Unidad de Igualdad.
  8. f)Toda la documentación generada en formato papel se custodia en armarios cerrados con llave, en un despago de acceso restringido.
  9. g)El nuevo Protocolo sobre acoso sexual en el que se incluyen escrupulosas medidas de protección de datos personales está en su última fase de redacción habiendo sido ultimado pro al Unidad de Igualdad. Añade las medidas que la UCM contaba al tiempo de producirse el incidente de seguridad, al objeto de garantizar los principios de integridad, confidencialidad, limitación de la finalidad y minimización de los datos en todo momento: I. II. III. IV. V. Política de Seguridad Organización de la seguridad de la Información. Registro de Actividad de los Tratamientos. Informe de auditoría realizado por la Unidad con la propuesta de las medidas correctoras que han sido implantadas. Protocolo de Gestión y Respuesta de las Brechas de Seguridad en la UCM. Asimismo, una vez producido y constatado el incidente de seguridad en octubre de 2019, la UCM ordenó una investigación interna con carácter inmediato, que se materializó en: I. II. Actuación de la Inspección de Servicios. Informe de la Unidad de Seguridad de la Información de la UCM. A mayor abundamiento, la UCM está trabajando en la implementación de medidas correctoras destinadas a que no vuelva a producirse el incidente. Para ello: I. II. C/ Jorge Juan, 6 28001 – Madrid Se está llevando a cabo un análisis de riesgos y evaluación de impacto de todas las actividades de tratamiento realizadas por la Unidad de Igualdad y la UCM. Se está revisando el protocolo para la prevención, detección y actuación ante situaciones de acoso sexual, acoso por razón de sexo (sexista) y acoso por orientación sexual e identidad y expresión de género. www.aepd.es sedeagpd.gob.es 6/8 III. Actualización del Protocolo de Gestión de Respuesta a Brechas de seguridad en la UCM. En virtud de todo lo anterior, la UCM solicita el “Archivo de las actuaciones, dado que el responsable del tratamiento ha hecho todo lo materialmente posible ante un riesgo improbable para que no vuelva a materializarse” toda vez que “la filtración a la prensa de los datos personales no se ha llevado a cabo por la autoridad pública en el ejercicio de sus poderes públicos, ni se ha efectuado bajo la autoridad directa de esta responsable, ni ha sido ocasionada por descuido o negligencia en la aplicación de medidas técnicas y organizativas”. QUINTO: Con fecha 14/08/2020, se inició el periodo de práctica de pruebas por la Instrucción, requiriendo a la UCM a que aportara el documento original manuscrito facilitado a la Unidad de Igualdad por la afectada y que posteriormente fue publicado por el diario El Mundo. HECHOS PROBADOS ÚNICO: Del contenido de la documentación obrante en el expediente - investigación previa y pruebas practicadas en donde consta que el contenido del documento original manuscrito aportado por la afectada a la Unidad de Igualdad de la UCM coincide con el publicado en el diario El Mundo - no se ha podido identificar inequívocamente a la persona o personas responsables de los hechos imputados en el acuerdo de inicio del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Artículo 28.1. Responsabilidad. “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Artículo 89.1.d). Propuesta de resolución en los procedimientos de carácter sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
  10. a)La inexistencia de los hechos que pudieran constituir la infracción.
  11. b)Cuando los hechos no resulten acreditados.
  12. c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
  13. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
  14. e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción.” III En el presente procedimiento sancionador no ha sido posible acreditar al responsable de los hechos imputados en el acuerdo de inicio, toda vez que el documento filtrado al diario El Mundo se encontraba en posesión de diversas personas, entre ellas, la propia afectada, la perito interviniente y la Unidad de Igualdad de la UCM. En este mismo sentido consta archivadas las actuaciones del expediente interno de la UCM de referencia interna 87/2019, a no haber sido posible determinar la identidad de la persona que realizó la filtración objeto de investigación. En el contenido del citado archivo se especifica los siguiente: “La perita del caso 41/2019 de la Unidad de Igualdad, en su comparecencia en la inspección de Servicios el día 28 de octubre de 2019, declaró que – a pesar de estar expresamente prohibido – grabó los testimonios de las personas entrevistadas (diez en total), que conserva varios de esos audios y con total seguridad los de las entrevistas a denunciante y denunciado, que conserva igualmente copias de su informe en su casa y en su correo electrónico y que ha seguido manteniendo el contacto con la denunciante con posterioridad a terminar su trabajo como perita del caso 41/2019 en la Unidad de Igualdad”. En consecuencia, procede el archivo de presente procedimiento sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a la UNIVERSIDAD COMPLUTENSE DE MADRID, con NIF Q2818014I, y con domicilio en Pabellón de Gobierno de la UCM, C/ Isaac Peral S/N, 28015 Madrid. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.