← España

PS-00256-2023

1/26  Expediente N.º: EXP202303733 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: El SINDICATO DE OFICIOS VARIOS CGT ***LOCALIDAD.1, con NIF ***NIF.1, actuando en representación de A.A.A. (en adelante la parte reclamante) en fecha 02/02/2023 interpone reclamación ante la Agencia Española de Protección de Datos (AEPD). La reclamación se dirige contra el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL con NIF Q2827002C (en adelante, la parte reclamada o el INSS). Basa la reclamación en que el INSS ha revelado indebidamente a su empleador datos personales que le conciernen, entre ellos datos de salud. La parte reclamante -que ha sido empleada de la empresa “***EMPRESA.1” (en lo sucesivo, la EMPRESA)- solicitó al INSS el reconocimiento de la prestación por (…). Con ocasión de la tramitación de su solicitud, el personal del INSS que intervino en ella remitió dos comunicaciones a la EMPRESA, enviadas el 10 y 11 de octubre de 2022, a través de las cuales facilitó a la EMPRESA el acceso a datos personales de la parte reclamante, entre otros, datos relativos a su salud como son las lesiones que adujo para fundamentar su petición (…). Se han aportado con el escrito de reclamación los documentos y evidencias siguientes: 1.Autorización firmada por la parte reclamante, otorgada a favor del Sindicato de Oficios Varios CGT de ***LOCALIDAD.1, con NIF ***NIF.1, para la presentación en su nombre ante la AEPD de una reclamación. 2.Copia de su DNI. 3.Un correo electrónico enviado el 28/11/2022 desde la dirección ***EMAIL.1 dirigido a ***EMAIL.2. Este email está firmado por “Asesoría de Salud Laboral (…)” y tiene el siguiente texto: “Te adjunto los mensajes”. Realmente, lo que envía la remitente -***EMAIL.1 - a la destinataria es “el mensaje” que un mes antes, el día 27/10/2022, había recibido de ***PUESTO.1 de la EMPRESA, desde su dirección corporativa ***EMAIL.3. En dicho mensaje, con el asunto “Baja Empresa”, ***PUESTO.1 dice: “Este es el primer correo que nos envía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/26 Tengo 2 más”. E incluye los dos emails que le había enviado el personal del INSS a su dirección electrónica desde una dirección corporativa del dominio “seg-social.es” (***EMAIL.4) los días 10 y 11 de octubre de 2022. En ambos mensajes el asunto es “Baja Empresa” e incluyen el anagrama del INSS con el nombre y apellido del empleado que remitió los correos, el cargo que ocupa y su dirección de correo electrónico, que coincide con la dirección desde la cual se enviaron. -El mensaje enviado el 10/10/2022 a las 13:55 desde ***EMAIL.4 tiene el siguiente texto: “Buenos días, Para poder resolver el expediente (...) de la trabajadora de esa empresa A.A.A., DNI ***NIF.1 y NAF (…), precisamos tramiten la baja laboral ante la Tesorería General de la Seguridad Social. Por favor, comuníquenos la fecha de cese en la empresa para poder abonarle la prestación que le corresponde. Un saludo.” - El mensaje enviado el 11/10/2022 a las 11:00 desde ***EMAIL.4 tiene el siguiente texto: “Buenos días, Continuación de conversación telefónica, adjunto resolución denegatoria (…). He resaltado en amarillo el apartado en el que indica que se procederá a revisar cuando se reciba formulario extranjero. Como lo hemos recibido procedemos a la revisión. Y como con los periodos de ese país alcanza periodo mínimo exigido por España vamos a reconocerle la prestación, para lo que precisamos que se encuentre de baja laboral.” El personal del INSS remite a la dirección electrónica de ***PUESTO.1 de la EMPRESA como anexo al mensaje de fecha 11/10/2022 un documento oficial: La resolución de la Directora Provincial del INSS firmada electrónicamente, por Delegación de Firma, por el Subdirector Provincial el 21/06/2022 en la que comunica que el INSS ha resuelto denegar con fecha 17/06/2022 la prestación (…) por las razones que en ella se detallan. Seguidamente, el texto de la resolución, bajo el título “(…) de la parte reclamante: “(…).” En el extremo superior del documento que incorpora la resolución dictada por el INSS consta el nombre, dos apellidos, NIF y dirección completa de la parte reclamante (incluido el piso). Aparece estampado en la esquina superior izquierda el sello de Registro de salida del organismo (INSS de ***LOCALIDAD.1) con fecha 20/06/2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al INSS para que procediese a su análisis e informase a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) siendo aceptada su notificación con fecha 22/03/2023, según consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/26 No se ha recibido respuesta del INSS a ese escrito de traslado. TERCERO: Con fecha 02/05/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 9 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.

  1. f)y de artículo 32 del RGPD, tipificadas en los artículos 83.5.
  2. a)y 83.4.
  3. a)del RGPD, respectivamente. QUINTO: La parte reclamada presenta alegaciones al acuerdo de inicio en fecha 24/10/2024 en las que solicita que la AEPD proceda al archivo del presente expediente sancionador. En defensa de su pretensión de archivo invoca los argumentos siguientes: 1.-Comienza manifestando que en fecha 22/03/2023 recibió de la AEPD una notificación electrónica dándole traslado de la reclamación presentada por la parte reclamante. Explica que “procedió a abrir el correspondiente expediente, confrontando los hechos manifestados para su análisis y posteriores actuaciones” y que, como consecuencia de ello, “se constató que el incidente relatado tenía la consideración de brecha de seguridad, realizándose una comunicación inicial a la AEPD en la que se declaraba la existencia de la misma”. (El subrayado es nuestro) En tal sentido, facilita en sus alegaciones los datos que identifican la comunicación que, afirma, hizo a la AEPD de la citada brecha de datos personales, entre ellos, la fecha y hora de registro 24/03/2023 13:44:27 (horario peninsular) y el número de registro REGAGE(…). 2.-Explica que el “incidente de seguridad” consistió “en la remisión a la dirección de correo electrónico de la empresa, en la que prestaba servicios la interesada, de la comunicación con información del procedimiento de (…) que la entidad destina al interesado/a, en lugar de la comunicación con datos minimizados que se envía con carácter ordinario a las empresas en los procedimientos de (…).” (El subrayado es nuestro) Señala que la comunicación que se dirigió a la EMPRESA contenía las siguientes “Categorías de datos personales”: - “Datos del interesado: DNI, nombre, apellidos, domicilio. Datos de la prestación: nº de expediente, denegación por no reunir periodo de carencia, revisión de oficio. Datos médicos: (…)”. Sin embargo, dice la parte reclamada, las comunicaciones que se dirigen a las empresas en los procedimientos (...) deben incluir únicamente estas categorías de datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/26 - “Datos del interesado: DNI, nombre, apellidos Datos de la prestación: nº de expediente, si la resolución ha sido estimatoria o denegatoria y de ser estimatoria (…)”. La parte reclamada afirma que en su procedimiento de actuación se distinguen dos tipos de comunicaciones en lo que respecta a la información que se comunica y añade que se respeta el principio de minimización de datos. Dice a ese respecto: “Nuestro procedimiento de actuación, en cuanto a la información comunicada a cada interesado/afectado por el procedimiento, establece la distinción entre estos dos tipos de comunicaciones, respetando el principio de minimización de datos.” Además, incluye unos párrafos, que, según dice, es un ejemplo del texto que figura en las comunicaciones que se dirigen a las empresas. Dice en tal sentido: “se incluye un texto similar al siguiente ejemplo: “Se informa que en el expediente tramitado por esta Entidad, a nombre del trabajador/a arriba indicado, ha recaído resolución por la que se reconoce con efectos económicos --/--/---- la prestación (...) (…). Fecha a partir de la cual se puede instar la revisión (…): --/--/----.” 3.-La parte reclamada manifiesta que, en atención a lo expuesto, efectuó las siguientes comunicaciones: a. A la parte reclamante, mediante oficio. Declara que le informó que se había producido una brecha de datos personales pues “la comunicación había sido enviada erróneamente, mencionando expresamente que se le había dado indicación a la empresa de la prohibición de utilizar la información y las consecuencias jurídicas derivadas de su incumplimiento.” Manifiesta que, además, le informó (
  4. i)que estaba investigando cómo había sucedido la brecha de seguridad y que sería informada del resultado de dicha investigación. (
  5. ii)De las medidas de seguridad que tiene implementadas esa Administración y (iii) de la revisión de las instrucciones y protocolos en materia de seguridad de la información y protección de los datos personales en el procedimiento para crear nuevas medidas para reforzar la prevención si ello fuera necesario. Aporta como Anexo I -que titula “Comunicación con la reclamante”- un documento con el membrete del Ministerio de Inclusión, Seguridad Social y Migraciones que lleva en el encabezado derecho la indicación “Secretaría de Estado de la Seguridad Social y Pensiones” y debajo el anagrama y la indicación “Instituto Nacional de la Seguridad Social” “Secretaría General”. Es un Oficio en el que figura el nombre, apellidos y dirección de la parte reclamante y como asunto “AEPD 6/23”. Su contenido coincide C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/26 con la información que la reclamada manifiesta en sus alegaciones haber comunicado a la parte reclamante. b. “Comunicación al tercero (empresa) que por error había recibido la documentación, con indicación expresa de la prohibición de utilizar la información facilitada, así como las consecuencias administrativas, civiles y penales que conlleva contravenir dicha prohibición.” c. “Comunicación a la directora provincial del INSS de ***LOCALIDAD.1, por parte de la Secretaría General, de indicaciones expresas para dirigir a todos los empleados de esa dirección provincial. A estos efectos, se remitió un correo electrónico adjuntando un recordatorio de las instrucciones en materia de protección de datos en el INSS impartidas por la Secretaria General y Subdelegada de protección de Datos de la Entidad, resaltando la importancia que para este Instituto tiene la política y buenas prácticas en el ámbito de la protección de datos personales. Se recordó la necesidad de cautela y diligencia del personal tramitador a la hora de enviar documentación o comunicaciones al exterior, tanto por correo postal ordinario como electrónico, debiendo asegurarse de qué destinatario y contenido es el procedente (Ver Anexo II).” (El subrayado es nuestro) El Anexo II que aporta -que lleva por título “Difusión medidas en la intranet corporativa”- es el recordatorio de instrucciones en materia de protección de datos en el INSS que se habría remitido a la Directora Provincial del INSS de ***LOCALIDAD.1. Tal anexo está formado por tres capturas de pantalla. Una de ellas, con el título “Píldoras informativas”, consiste en una relación de documentos de la que son visibles los puntos 4 y 6. El punto 04 versa sobre un documento en formato PDF que lleva el título “Precaución salida al exterior de datos personales”, cuyo tamaño es de 220 kb y la fecha 27/03/2023. El punto 06 versa sobre un documento en PDF con el título “Brechas de seguridad” y la fecha 24/03/2023. La segunda captura de pantalla se refiere al documento 04, “Precaución salida al exterior de datos personales”, y muestra varios pictogramas y leyendas con el siguiente texto: “Extrema precaución para evitar brechas de seguridad cuando debas enviar o subir a SEDE documentación.” “Revisar puede evitar errores que provoque el acceso no autorizado a datos personales”. Agrupada en tres puntos incluye esta información: “1.Envíos a través de correo electrónico: * Revisa que la dirección a la que lo diriges se corresponde exactamente con la facilitada por el interesado a efectos de comunicación. *Una vez adjuntada la documentación a enviar, ábrela y comprueba una vez más que contiene los datos del interesado a quien la remitas.” 2.Envíos por correo postal * Revisa los datos de contacto y la información facilitada por el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/26 *Comprueba que la documentación a enviar está completa y se corresponde con el interesado al que va dirigida la carta. 3.Subida de la documentación a Sartido y SEDE ELECTRÓNICA: * Revisa los datos identificativos del documento. *Comprueba que la documentación subida corresponde al interesado y/o destinatario de la misma.” “IMPORTANTE: La información contenida en las comunicaciones de un mismo expediente puede variar según el destinatario (beneficiario, empresa, etc). Es por ello necesario asegurarse de que el contenido es el indicado teniendo en cuenta el destinatario concreto.” La tercera captura de pantalla que integra el Anexo II corresponde al documento “06. Brechas de seguridad” y versa sobre “Comunicación de brechas de seguridad de datos personales”. A través de ella se informa sobre estas cuestiones: “¿Qué es una brecha de seguridad?”; “Procedimiento” y “¿Cuándo y dónde deben comunicarse?”. 4.-Manifiesta la parte reclamada que de la investigación del incidente acaecido se concluye que “se ha tratado de un error humano. El funcionario que remitió el correo electrónico a la empresa adjuntó la comunicación dirigida a la persona (…) se estaba resolviendo, en lugar de la comunicación dirigida a la empresa. El contenido de ambas es diferente: la destinada a la empresa incluye los datos identificativos del trabajador (nombre y apellidos, DNI, NAF, (…), pero en ningún caso incluye datos de salud, a diferencia de la comunicación dirigida al ciudadano. A pesar de haberse dirigido a la dirección de correo electrónico correcta, al adjuntar el documento de la carpeta del expediente de la afectada, confundió la comunicación por tener ambos documentos nombres similares. Aunque la comisión de dicho error no es justificable, sí que debemos manifestar que la sobrecarga de trabajo que viene soportando la Administración de la Seguridad Social, unida a la escasez de recursos humanos disponibles y el ritmo acelerado de trabajo que tiene nuestro personal, puede estar provocando cierta fatiga en las plantillas, que puede acabar dando lugar a este tipo de incidentes. Es cierto que el trabajador se debió asegurar de que el documento anexado era el correcto, no obstante, la premura por agilizar los trámites y resolver el mayor número posible de expedientes, pudo provocar este lamentable descuido.” 5.-La entidad reclamada indica que se tomaron las siguientes medidas “para minimizar el impacto sobre los afectados, y evitar en lo sucesivo errores similares: 1. Difusión de las políticas de uso seguro de los sistemas de información de la Seguridad Social. 2. Reiteración del protocolo de actuación ante “Brechas de Seguridad”. 3. Implementación de una nueva campaña informativa a través de la intranet corporativa sobre medidas de protección de datos en el INSS. 4. Recordatorio de las medidas de protección de datos dirigidos a las direcciones provinciales del INSS, haciendo especial hincapié en la importancia de adoptar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/26 medidas preventivas, así como de actuar con la mayor diligencia y premura, una vez que, a pesar de la puesta en práctica de estas medidas, ha tenido lugar un incidente de seguridad. 5.Comunicación del incidente a la interesada y reclamante, así como puesta a su disposición de un buzón para aclaraciones o dudas (se le puso el buzón para cualquier aclaración o dudas) 6. Comunicación a la empresa de la información remitida por error, recordatorio de su deber de confidencialidad y las consecuencias de todo tipo que implica su inobservancia, que consideramos que es una actuación proactiva para que la empresa cumpla la normativa de protección de datos, a la vez que se le recuerda las consecuencias de su incumplimiento. Añade que la Secretaría General del INSS ha establecido como objetivo para el segundo semestre del año 2024, que deberá ser cumplido por todas las Direcciones Provinciales del INSS (entre ellas, la de ***LOCALIDAD.1), el denominado “Acción de comunicación dirigida a todo el personal de las Direcciones Provinciales relativa a la protección y las medidas de seguridad de los sistemas de información”, que pretende desarrollar una acción de comunicación dirigida a todo el personal de la Delegación Provincial con la finalidad de informar del contenido de la información que figura publicada en la Intranet, en los apartados siguientes de Protección de Datos: Normativa/Normativa 6.- La parte reclamada concluye sus alegaciones diciendo que -habida cuenta de que los hechos consistieron en “un error humano, en el que el funcionario que remitió el correo electrónico a la empresa, adjuntó la comunicación dirigida a la persona (…), en lugar de la comunicación dirigida a la empresa”- tomando en consideración que se han adoptado las medidas para minimizar los efectos para la afectada y para evitar en el futuro este tipo de errores, procede que la Agencia acuerde el archivo del presente expediente sancionador. SEXTO: Con fecha 12 de agosto de 2025 se formuló propuesta de resolución, con el siguiente sentido: 1. Que por la Presidencia de la Agencia Española de Protección de Datos se declare que el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL (INSS), con NIF Q2827002C, ha infringido lo dispuesto en el artículo 5.1.
  6. f)del RGPD, infracción tipificada en el artículo 83.5.
  7. a)del RGPD. 2. Que por la Presidencia de la Agencia Española de Protección de Datos se declare, en virtud del principio de presunción de inocencia, el ARCHIVO de la infracción del artículo 32 del RGPD que el acuerdo de inicio del presente expediente sancionador imputó al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL (INSS), con NIF Q2827002C. 3.Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, con NIF Q2827002C, que en virtud del artículo 58.2.
  8. d)del RGPD, acredite en el plazo máximo un mes a contar a partir de la firmeza de la resolución finalizadora del presente procedimiento la adopción de medidas que impiden la comisión de hechos como el analizado en el expediente y que garanticen el cumplimiento del principio de confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/26 consagrado en el artículo 5.1 f). Se destaca a estos efectos la información y formación continua a los empleados del INSS acerca de la obligación que tienen de garantizar la seguridad de los datos que tratan, de la prohibición de facilitar estos datos a terceros (salvo los casos expresamente previstos en la Ley) y la articulación de mecanismos que eviten que los empleados puedan tratar los datos personales a los que tienen acceso apartándose de estas indicaciones. SÉPTIMO: Con fecha 28 de agosto de 2025, el INSS presentó alegaciones a la propuesta de resolución, en las que manifestaba lo siguiente: El INSS señala su firme compromiso con la información y formación permanente de su personal, así como con el cumplimiento estricto de la obligación de garantizar la seguridad de los datos tratados y la prohibición de facilitarlos a terceros, salvo en los supuestos expresamente previstos en la normativa vigente. Señala alguna de las medidas ya adoptadas, entre la que destacan: un apartado específico sobre protección de datos en la intranet institucional; el archivo de la documentación médica en una carpeta específica, con medidas adicionales de protección y acceso restringido; cada Dirección Provincial dispone, en su correspondiente intranet provincial, de información adicional en materia de protección de datos; se informa y advierte a todo el personal de que los datos obtenidos por la Administración de la Seguridad Social revisten carácter reservado, en virtud de lo establecido en el artículo 77.1 del texto refundido de la Ley General de la Seguridad Social (TRLGSS), y que en consecuencia, únicamente podrán ser objeto de cesión en los supuestos contemplados en el citado artículo 77.1 TRLGSS o, en su caso, en otra norma con rango de ley que contemple expresamente dicha cesión o acceso. Asimismo, se advierte a los empleados que, en materia de tramitación electrónica y relaciones entre unidades administrativas y organismos, resulta preferente la utilización de los canales y servicios habilitados en la sede electrónica de la Seguridad Social (funcionalidades de Cesión de Datos e Informes) o, en su defecto, la Plataforma de Intermediación de Datos (PID) del INSS con el resto de las Administraciones Públicas. Informan sobre una Guía de Protección de Datos, publicada en la intranet, con información sobre conceptos esenciales en materia de protección de datos personales. Destaca la información a todos los empleados sobre la importancia del principio de confidencialidad. Concluye que, en ningún caso, se omite la obligación de proporcionar formación e información continua al personal del INSS, con el fin de garantizar la protección y seguridad de los datos tratados, así como de impedir su divulgación a terceros no autorizados. Por el contrario, queda acreditado que dicha información es facilitada de manera adecuada y conforme a los principios de protección de datos aplicables, y además, entendemos que se hace de manera exhaustiva Destaca la publicación del “Documento de Procedimiento de Intercambio Seguro de Archivos de la Gerencia de Informática de la Seguridad Social”, con medidas técnicas implementadas para garantizar que el intercambio de información con entidades externas a la Secretaría de Estado de la Seguridad Social y Pensiones, realizado a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/26 través de redes no seguras y que involucre datos confidenciales (como información relativa a la salud, creencias religiosas, datos económicos, entre otros), requiere el cifrado de dicha información. Se adjunta también la “Resolución de 15 de febrero de 2011 de la Secretaría de Estado de la Seguridad Social, por las que se dictan instrucciones sobre el uso y la gestión del sistema de correo electrónico como medio de comunicación en el ámbito de la administración de la Seguridad Social.” A su juicio, cabe concluir que el INSS pone a disposición de su personal un amplio catálogo de documentos y recursos informativos que aseguran una formación continua y actualizada en lo referente a medidas técnicas y organizativas para la protección de datos personales. Como siguiente punto de su escrito de alegaciones, informan sobre las medidas de formación en materia de protección de datos adoptadas por el INSS y las previstas próximamente. Informan asimismo de la existencia de una estructura específica en materia de protección de datos que lleva a cabo tareas de coordinación y asesoramiento en la aplicación de la normativa vigente en materia de protección de datos personales en el INSS De este modo, a su juicio, la estructura organizativa implementada por el INSS contribuye a fortalecer la cultura de protección de datos dentro de la entidad, asegurando la existencia de canales de comunicación y control adecuados, así como la disponibilidad de recursos humanos especializados en la materia, orientados a la prevención de posibles incidencias y a la correcta interpretación y aplicación de la normativa vigente en todos los procedimientos y actuaciones administrativas que impliquen el tratamiento de información con datos de carácter personal. En su alegación segunda, el INSS insiste en que el incidente de seguridad había consistido en un error humano: la remisión a la dirección de correo electrónico de la empresa, en la que prestaba servicios la interesada, de la comunicación con información del procedimiento (…) que la entidad destina al interesado/a, en lugar de la comunicación con datos minimizados que se envía con carácter ordinario a las empresas en los procedimientos de (…). A su juicio, lo que en el acuerdo de la Agencia se aprecia como uno de los elementos que contribuyen a demostrar la intencionalidad del funcionario -el subrayado en amarillo de la referencia a que una vez recibido el formulario extranjero se procederá a revisar la resolución de oficio-, no constituye sino una manera de apuntalar que se ha recibido el citado formulario, y que es necesario que la empresa dé de baja a la interesada, para poder reconocerle la prestación. Reiteran que, tan pronto se tuvo conocimiento del incidente se intentó minimizar los posibles efectos adversos que el incidente ocasionado pudiera haber tenido para la persona reclamante, mediante una comunicación dirigida a la empresa con indicación expresa de la prohibición de utilizar la información facilitada, así como las consecuencias administrativas, civiles y penales que conlleva contravenir dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/26 prohibición. A tal efecto, se dirigió comunicación a la Dirección Provincial del INSS de ***LOCALIDAD.1. En su defensa, el INSS contextualiza los hechos acaecidos en el elevado volumen de pensiones que gestiona. Finalmente, destaca que el INSS fue reconocido en los “PREMIOS Protección de Datos 2020”, en el apartado de entidades del sector público, por el trabajo 'La gestión de la privacidad en el INSS: Haciendo realidad el enfoque 360º'. Adjunto al escrito de alegaciones a la propuesta de resolución se remite copia de la documentación referida en dicho escrito, un ejemplar de resolución dirigido a las empresas en el procedimiento (...) y copia del oficio enviado a la empresa tras la remisión de la documentación relativa a la reclamante. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante solicitó el reconocimiento de una prestación (...) al INSS. En respuesta, el INSS facilitó a un tercero (la ***PUESTO.1 de la empresa ***EMPRESA.1 con la que la parte reclamante mantenía una relación laboral) sus datos personales, entre ello, datos concernientes a su salud. SEGUNDO: En tal sentido, obra en el expediente la copia del correo electrónico que el INSS envió el día 11/10/2022, a las 11:00 horas, desde la dirección ***EMAIL.4 a ***EMPRESA.1, a la dirección ***EMAIL.3, con el que remitió una copia de la resolución que había dictado la Directora Provincial del INSS el 21/06/2022 denegando la prestación solicitada y en la que figuraban incluidos, bajo el título “(…)”, estos datos de salud de la parte reclamante: “(…).” TERCERO: El INSS envió los días 10/10/2022 y 11/10/2022, desde la dirección electrónica ***EMAIL.4, a ***EMPRESA.1, a la dirección ***EMAIL.3, sendos mensajes cuyo contenido es el siguiente: En ambos mensajes figura como “asunto” “Baja Empresa”. Ambos incluyen el anagrama del INSS, con el nombre y apellido del empleado que remitió los correos, el cargo que ocupa y su dirección de correo electrónico, que es la dirección desde la cual se enviaron los mensajes a ***EMPRESA.1. En el mensaje de fecha 10/10/2022, enviado a las 13:55 horas, el INSS comunica a ***EMPRESA.1 lo siguiente: “Para poder resolver el expediente (...) de la trabajadora de esa empresa (consta el nombre y dos apellidos de la parte reclamante), DNI (consta el de la parte reclamante) Y NAF (consta el de la parte reclamante), precisamos tramiten la baja laboral ante la Tesorería de la Seguridad Social. Por favor, comuníquenos la fecha de cese en el empresa, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/26 poder abonarle la prestación que le corresponde.” (El subrayado es nuestro) En el mensaje enviado el 11/10/2022, a las 11:00 horas, el INSS indica a ***EMPRESA.1 que le envía una copia de la resolución dictada en la que ha subrayado en amarillo el párrafo relativo a la revisión y le informa de que, si bien se ha denegado la prestación, se va a revisar de oficio: “Buenos días, Continuación de conversación telefónica, adjunto resolución denegatoria (…). He resaltado en amarillo el apartado en el que indica que se procederá a revisar cuando se reciba formulario extranjero. Como lo hemos recibido procedemos a la revisión. Y como con los periodos de ese país alcanza periodo mínimo exigido por España vamos a reconocerle la prestación, para lo que precisamos que se encuentre de baja laboral.” (El subrayado es nuestro) CUARTO: El documento de la resolución de la Directora Provincial del INSS, firmada electrónicamente el 21/06/2022, en la que resuelve denegar la prestación (...) solicitada por la parte reclamante, cuya copia obra en el expediente, tiene el siguiente contenido: -En el extremo superior del documento figura impresa, entre otra, esta información: “11/10/2022 10:50:15”. -En el cuerpo del documento figura, esquina superior izquierda, la indicación Ministerio de Inclusión, Seguridad Social y Migraciones; Secretaría de Estado de Seguridad Social y Pensiones. Instituto Nacional de la Seguridad Social y el anagrama del INSS. Debajo están cumplimentados con los datos de la parte reclamante los campos “Nombre y apellidos del titular”, “DNI/NIF” y “REF:”. En la esquina superior izquierda aparece estampado el sello de Registro de salida del organismo (INSS de ***LOCALIDAD.1) en fecha 20/06/2022 con indicación de la hora (20:30:59) Bajo un código alfanumérico figuran los datos del destinatario del documento (los de la parte reclamante), nombre y dos apellidos y dirección postal completa (calle, número, piso, localidad y código postal). -En el texto de la resolución aparece sombreado el párrafo que el empleado del INSS había indicado a ***EMPRESA.1 en su correo electrónico que había resaltado en color amarillo. Se trata del tercer párrafo de la resolución que dice: “Se procederá a revisar de oficio esta resolución a la recepción del formulario extranjero con los periodos de seguro que en él se acrediten.” -El último párrafo de la resolución incluye, bajo el título “(…)”, los siguientes datos de salud de la parte reclamante: “(…).” QUINTO: El INSS confirma que, recibido el 22/03/2023 el escrito de la AEPD mediante el que se le dio traslado de la reclamación, entendió que “el incidente relatado tenía la consideración de brecha de seguridad” y procedió a informar de ella a la Agencia lo que efectuó en escrito de fecha 24/03/2023 con número de registro REGAGE(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/26 SEXTO: La parte reclamada ofrece la siguiente explicación de los hechos ocurridos que califica de “incidente de seguridad”: - Consistieron “en la remisión a la dirección de correo electrónico de la empresa, en la que prestaba servicios la interesada, de la comunicación con información del procedimiento de (…) que la entidad destina al interesado/a, en lugar de la comunicación con datos minimizados que se envía con carácter ordinario a las empresas en los procedimientos (…).” (Página 2 de su escrito de alegaciones, alegación tercera). - Que “se ha tratado de un error humano. El funcionario que remitió el correo electrónico a la empresa adjuntó la comunicación dirigida a la persona cuya (…) se estaba resolviendo, en lugar de la comunicación dirigida a la empresa. El contenido de ambas es diferente: la destinada a la empresa incluye los datos identificativos del trabajador (nombre y apellidos, DNI, NAF, (…), pero en ningún caso incluye datos de salud, a diferencia de la comunicación dirigida al ciudadano. A pesar de haberse dirigido a la dirección de correo electrónico correcta, al adjuntar el documento de la carpeta del expediente de la afectada, confundió la comunicación por tener ambos documentos nombres similares.”. (Página 4 del escrito de alegaciones, alegación quinta) SÉPTIMO: La parte reclamada afirma haber adoptado las siguientes medidas para evitar en el futuro incidencias similares: “1. Difusión de las políticas de uso seguro de los sistemas de información de la Seguridad Social. 2. Reiteración del protocolo de actuación ante “Brechas de Seguridad”. 3. Implementación de una nueva campaña informativa a través de la intranet corporativa sobre medidas de protección de datos en el INSS. 4. Recordatorio de las medidas de protección de datos dirigidos a las direcciones provinciales del INSS, haciendo especial hincapié en la importancia de adoptar medidas preventivas, así como de actuar con la mayor diligencia y premura, una vez que, a pesar de la puesta en práctica de estas medidas, ha tenido lugar un incidente de seguridad. 5.Comunicación del incidente a la interesada y reclamante, así como puesta a su disposición de un buzón para aclaraciones o dudas (se le puso el buzón para cualquier aclaración o dudas) 6. Comunicación a la empresa de la información remitida por error, recordatorio de su deber de confidencialidad y las consecuencias de todo tipo que implica su inobservancia, que consideramos que es una actuación proactiva para que la empresa cumpla la normativa de protección de datos, a la vez que se le recuerda las consecuencias de su incumplimiento.” OCTAVO: La parte reclamante afirma que tuvo conocimiento de los hechos porque ***EMPRESA.1 remitió a su asesoría laboral -perteneciente al Sindicato en el que la reclamante está afiliada- la copia de los correos electrónicos que recibió del INSS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/26 En tal sentido, obran en el expediente: - Un correo electrónico enviado por ***EMPRESA.1 (desde la dirección electrónica ya citada de la ***PUESTO.1) el 27/10/2022 a “Asesoría salud laboral CGT” (***EMAIL.1) con este texto: “Este es el primer correo que nos envía. Tengo dos más”. -Un correo de fecha 28/10/2022, enviado desde ***EMAIL.1 a ***EMAIL.2 con el texto “Te adjunto los mensajes” y la mención a dos documentos anexos: “imag001.gif (11 KB)” y “resolución de 20 de junio. PDF ( 840KB). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el supuesto de hecho planteado se aprecia que el INSS, entidad gestora de la Seguridad Social, tiene encomendado por el artículo 66.1.
  9. a)de la Ley General de la Seguridad Social, texto refundido aprobado por el Real Decreto Legislativo 8/2015, de 30 de noviembre (en adelante, LGSS) “la gestión y administración de las prestaciones económicas del sistema de la Seguridad Social con excepción de las que se mencionan en el apartado c)”, lo que incluye la gestión de la prestación (...). La parte reclamante solicitó el reconocimiento de una prestación (...), de manera que el INSS, con la finalidad de cumplir la misión encomendada, debía acceder a datos personales de la parte reclamante, entre ellos a datos de salud de la solicitante. El tratamiento de datos necesario para el cumplimiento de tal finalidad -la gestión de la prestación solicitada por la parte reclamante- tiene su fundamento de licitud en el artículo 6.1.
  10. e)del RGPD, precepto que dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/26 “1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: […]
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; […] 3.La base del tratamiento indicado en el apartado 1, letras
  12. c)y e), deberá ser establecida por:
  13. a)el Derecho de la Unión, o
  14. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.” (El subrayado es nuestro) Cabe añadir, al hilo de lo expuesto, que el artículo 71 de la LGSS, bajo la rúbrica “Suministro de información a las entidades gestoras de las prestaciones económicas de la Seguridad Social”, menciona en su apartado 1 diversos organismos que deben suministrar información a las entidades gestoras de la Seguridad Social. El precepto citado, artículo 71.1. de la LGSS, se refiere a la información que facilitarán “
  15. a)[..] los organismos competentes dependientes del Ministerio de Hacienda y Administraciones Públicas o, en su caso, de las comunidades autónomas o de las diputaciones forales”; “
  16. b)El organismo que designe el Ministerio de Justicia; “
  17. c)Los empresarios” y “
  18. d)[…] el Instituto Nacional de Estadística” A su vez, el apartado 2, inciso segundo, del artículo 71 de la LGSS, estable que “Los suministros de información a las entidades gestoras de la Seguridad Social mencionados en este apartado y en el anterior no precisarán consentimiento previo del interesado. Los datos, informes y antecedentes suministrados conforme a lo dispuesto en este apartado y en el anterior únicamente serán tratados en el marco de las funciones de gestión de prestaciones atribuidas a las entidades gestoras y servicios comunes de la Seguridad Social, sin perjuicio de lo dispuesto en el artículo 77.” Y el apartado 3 del artículo 71 de la LGSS dispone: “En los procedimientos de declaración (…), a efectos de las correspondientes prestaciones económicas de la Seguridad Social, […], se entenderá otorgado el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/26 consentimiento del interesado o de su representante legal, a efectos de la remisión, por parte de las instituciones sanitarias de los informes, documentación clínica, y demás datos médicos estrictamente relacionados con las lesiones y dolencias padecidas por el interesado que resulten relevantes para la resolución del procedimiento, salvo que conste oposición expresa y por escrito de aquellos.” (El subrayado es nuestro) El INSS tiene la condición de responsable del tratamiento de los datos personales necesarios para la gestión de la prestación solicitada por la parte reclamante, pues es esta entidad quien decide sobre los fines y medios del tratamiento. En tal sentido, el artículo 4.7 del RGPD define la figura del responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Con ocasión del tratamiento de los datos de la parte reclamante necesarios para cumplir la finalidad indicada -la gestión de la prestación que había solicitado- el INSS está obligado a cumplir las previsiones del RGPD, entre ellas los principios que presiden todo tratamiento de datos de carácter personal establecidos en su artículo 5, en particular el principio de integridad y confidencialidad recogido en el artículo 5.1.
  19. f)RGPD. Por tanto, en el supuesto de hecho examinado, de acuerdo con la definición de datos personales y tratamiento que ofrecen, respectivamente, los artículos 4.1 y 4.2 del RGPD, consta acreditado que el INSS, con ocasión de gestionar la prestación que la reclamante había solicitado, llevó a cabo un tratamiento de los datos de salud de la parte reclamante que, en el caso que nos ocupa, consistió en comunicarlos a un tercero, la EMPRESA, incumpliendo con ello la obligación de garantizar la confidencialidad de los datos de cuyo tratamiento es responsable. III Contestación a las alegaciones al acuerdo de inicio En su escrito de alegaciones al acuerdo de inicio la parte reclamada ha ofrecido una explicación de los hechos acaecidos según la cual, “por un error humano”, se remitió a la EMPRESA, “en lugar de la comunicación con datos minimizados que se envía con carácter ordinario a las empresas en los procedimientos (…)”, “la comunicación con información del procedimiento (…) que la entidad destina al interesado/a”. Insiste con reiteración en tal versión hasta el punto de afirmar que “A pesar de haberse dirigido a la dirección de correo electrónico correcta, al adjuntar el documento de la carpeta del expediente de la afectada, confundió la comunicación por tener ambos documentos nombres similares.” (Página 4 del escrito de alegaciones, alegación quinta) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/26 Es más, la parte reclamada aporta un fragmento de texto que, según explica, es el modelo que siguen las comunicaciones que se dirigen a las empresas en los procedimientos (…) que tramita. Dice el INSS: “se incluye un texto similar al siguiente ejemplo: “Se informa que en el expediente tramitado por esta Entidad, a nombre del trabajador/a arriba indicado, ha recaído resolución por la que se reconoce con efectos económicos --/--/---- la prestación (...) (…). Fecha a partir de la cual se puede instar la revisión (…): --/--/----.” Sin embargo, frente a tal alegato hemos de advertir que la documentación que obra en el expediente pone de manifiesto que el empleado del INSS no incurrió en el error o equivocación a la que se alude, pues no confundió como se indica la comunicación dirigida a la parte reclamante y la que debía remitir a la empresa. Por una parte, la comunicación a la parte reclamante de la resolución dictada por la Directora Provincial del INSS se había enviado por correo postal para su notificación en el mes de junio de 2022, tal y como lo acredita el documento oficial de la resolución que lleva estampado el sello de “Salida” de dicho organismo y que va dirigido a la parte reclamante y a su dirección postal. En el presente caso, el empleado del INSS mantuvo una comunicación con la EMPRESA a través de correo electrónico por lo que habida cuenta del cauce utilizado la finalidad de tal comunicación no podía ser -como se pretende de contrario- realizar una comunicación oficial a dicha EMPRESA. A través de los mensajes de correo intercambiados entre el empleado del INSS y la ***PUESTO.1 de la EMPRESA se solicitaba por ese conducto que procediera a dar de baja laboral a la trabajadora para poder así gestionar la prestación (...) que se había instado por la parte reclamante. Pudiera ser que la EMPRESA no entendiera tal petición ya que a ella le debía constar que la prestación solicitada por la parte reclamante se había denegado por el INSS. Fuera por las dudas que pudiera albergar la EMPRESA o por otro motivo, lo cierto es que el INSS, por medio de su empleado, procedió a remitir a la EMPRESA el texto de la resolución dictada -en el que constaba incluida información relativa a la salud de la parte reclamante- advirtiéndole, además, en su mensaje electrónico del día 11/10/2022, que adjuntaba la resolución y que en ella había marcado en amarillo el párrafo en el que se indicaba que se procedería a revisar cuando se recibiera el formulario extranjero. Y añadía: “Como lo hemos recibido procedemos a la revisión. Y como con los periodos de ese país alcanza periodo mínimo exigido por España vamos a reconocerle la prestación, para lo que precisamos que se encuentre de baja laboral.” El tratamiento de los datos concernientes a la salud de la parte reclamante que el empleado del INSS comunicó a la EMPRESA al facilitarle mediante correo electrónico una copia de la resolución dictada por la Directora Provincial revelan un total desconocimiento del personal de esa entidad gestora de la obligación que le incumbe de garantizar la confidencialidad de los datos que trata y a los que tiene acceso en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/26 desempeño de las funciones encomendadas por la Ley para el cumplimiento de una misión de interés público. Desconocimiento que se extiende a su propia normativa reguladora habida cuenta de que la LGSS, artículo 71, establece el carácter reservado de la información y la prohibición de comunicarla a terceros. Por otro lado, la parte reclamada ha aportado con sus alegaciones al acuerdo de inicio tres capturas de pantalla que versan sobre las medidas de seguridad que ha adoptado consistentes en poner a disposición de las Direcciones Provinciales mecanismos de información y de advertencia a sus empleados para evitar que incidan en un error como el que considera que se produjo. Los hechos expuestos demuestran que la medidas omitida por el INSS que ha propiciado la brecha de confidencialidad es aquella dirigida a formar e informar de manera continua a sus empleados sobre la obligación que tienen de garantizar la confidencialidad y la seguridad de los datos que tratan, de la prohibición de facilitar estos datos a terceros (salvo los casos expresamente previstos en la Ley) y mediante la que se articulen mecanismos que impidan que los empleados puedan tratar los datos personales a los que tienen acceso apartándose de tales indicaciones. En cuanto a las medidas que según el INSS ha adoptado y que a su juicio minimizan el impacto sobre los afectados y evitan en lo sucesivo errores similares, nos referimos en primer término a las que resultan de los documentos aportados como anexo II a sus alegaciones al acuerdo de inicio -que lleva por título “Difusión medidas en la intranet corporativa”- y es el recordatorio de instrucciones en materia de protección de datos en el INSS que habría remitido a la Directora Provincial del INSS de ***LOCALIDAD.1. Tal anexo está formado por tres capturas de pantalla. Una de ellas, con el título “Píldoras informativas”, consiste en una relación de documentos de la que son visibles los puntos 4 y 6. El punto 04 versa sobre un documento en formato PDF que lleva el título “Precaución salida al exterior de datos personales”, cuyo tamaño es de 220 kb y la fecha 27/03/2023. El punto 06 versa sobre un documento en PDF con el título “Brechas de seguridad” y la fecha 24/03/2023. La segunda captura de pantalla se refiere al documento 04, “Precaución salida al exterior de datos personales”, y muestra varios pictogramas y leyendas con el siguiente texto: “Extrema precaución para evitar brechas de seguridad cuando debas enviar o subir a SEDE documentación.” “Revisar puede evitar errores que provoque el acceso no autorizado a datos personales”. Tanto esta información general como la que figura en los tres puntos “1. Envíos a través de correo electrónico”; “2. Envíos por correo postal” y “3. Subida de la documentación a Sartido y SEDE ELECTRÓNICA” están enfocadas en evitar un posible error en la documentación que se remite a un destinatario. Sin embargo, insistimos, esas medidas no inciden en la omisión que ha permitido la brecha de datos personales consistentes en una afectación a la confidencialidad de los datos objeto de tratamiento sobre la que versa este procedimiento en tanto en cuanto no se centra en la formación e información permanente sobre la obligación de garantizar la confidencialidad de los datos, la prohibición de comunicar a terceros los datos personales que tratan, salvo los casos permitidos por la Ley y la implementación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/26 de mecanismos para garantizar que los empleados tratan los datos personales siguiendo sus indicaciones. Por último, en cuanto al resto de medidas que el INSS afirma en sus alegaciones al acuerdo de inicio que ha implementado, podría incidir en la omisión detectada la medida que se relaciona en el punto “3. Implementación de una nueva campaña informativa a través de la intranet corporativa sobre medidas de protección de datos en el INSS”, siempre y cuando se ofreciera la información a la que hemos aludido. En cualquier caso, la parte reclamada se ha limitado a afirmar que ha adoptado la medida que enuncia, pero no acredita ni en qué ha consistido ni menos aún su efectiva aplicación. IV Contestación a las alegaciones a la propuesta de resolución Como ha quedado detallado en el antecedente correspondiente, el INSS reitera en alegaciones a la propuesta de resolución consideraciones ya realizadas con ocasión de las alegaciones al acuerdo de inicio del presente procedimiento sancionador. En este sentido, reitera y amplía la información proporcionada a sus empleados en materia de protección de datos, las alegaciones a que la brecha de confidencialidad acaecida fue debida a un error humano, informa sobre las actuaciones posteriores realizadas, incluyendo la comunicación a la Dirección Provincial del INSS en la que se produjeron los hechos y destaca las actividades de formación para empleados desarrolladas, así como el reconocimiento recibido a su actuación. Al respecto, debemos recordar que las alegaciones que realiza el INSS coinciden en su práctica totalidad con las vertidas al acuerdo de inicio y que fueron debidamente respondidas en la propuesta de resolución y en el fundamento de derecho precedente de la presente resolución. Por otro lado, y sin perjuicio de que la AEPD da la bienvenida y reconoce los esfuerzos desplegados en materia de formación y concienciación de los empleados del INSS sobre la protección de datos de carácter personal, ello no obsta a que los hechos analizados en el presente procedimiento sancionador se hayan producido y que los mismos se concretasen en una pérdida de confidencialidad de datos de salud de la reclamante. Datos de salud que, recordemos, son considerados como categorías especiales de datos por el artículo 9 del RGPD. En definitiva, las alegaciones aducidas no desvirtúan de ningún modo los hechos acaecidos ni su calificación jurídica, por lo que no pueden ser tenidas en cuenta en relación con el sentido de la presente resolución. No obstante, el detalle de las medidas informativas y formativas permiten considerar cumplida las medidas correctivas inicialmente previstas tanto en el acuerdo de apertura como en la propuesta de resolución del presente procedimiento. V Infracción del artículo 5.1.
  20. f)RGPD El artículo 5.1
  21. f)del RGPD, bajo la rúbrica “Principios relativos al tratamiento” dispone: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/26 […]
  22. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2.El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” En este sentido, los responsables han de garantizar la integridad y confidencialidad de los datos personales objeto de tratamiento a través de medidas técnicas y organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo tanto, mediante
  23. i)la adopción y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos personales objeto de tratamiento
  24. ii)la ausencia de situaciones de pérdida de confidencialidad o integridad de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos objeto de tratamiento. De acuerdo con la norma transcrita el responsable del tratamiento está obligado a tratar los datos personales de forma que garantice una seguridad adecuada, “incluida la protección contra el tratamiento no autorizado o ilícito” mediante la aplicación de medidas técnicas u organizativas apropiadas. Diversos considerandos del RGPD se refieren al deber de confidencialidad en el ámbito de la protección de datos. Así el considerando 39 dice: “[…] Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” En relación con la confidencialidad de los datos traemos a colación la Sentencia del Tribunal Constitucional (STC) 292/2000, que, con ocasión de analizar al contenido del derecho fundamental a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/26 La vulneración del principio de confidencialidad requiere que se haya producido la comunicación o el acceso no autorizado de terceros a los datos de carácter personal. El primero de los elementos mencionados entraña un resultado. En particular, un resultado relacionado con la confidencialidad: que se haya producido una comunicación o acceso no autorizado de terceros a los datos personales. Es en ese sentido en el que se afirma que la infracción del artículo 5.1.
  25. f)del RGPD es una “infracción de resultado”. Sin olvidar las diferencias que separan el Derecho Penal y el Derecho Administrativo sancionador puede traerse a colación la definición que en ese ámbito se hace de los delitos de resultado como “conducta delictiva que para su consumación precisa la producción de un efecto o consecuencia, en el objeto de la acción, resultantes de la conducta desplegada por el agente.” En atención a lo señalado y a la luz de la definición de “violación de la seguridad de los datos personales” del artículo 4.12 del RGPD -“toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”-, definición que incluye como elemento la referencia a un resultado ( la destrucción, pérdida, alteración, comunicación o acceso) se evidencia que los supuestos de violación de la confidencialidad, cuando el resultado se haya producido como consecuencia de no haber adoptado el responsable las medidas pertinentes, constituyen una infracción del artículo 5.1.
  26. f)del RGPD. Por tanto, el otro elemento que ha de estar presente para que se aprecie que un determinado tratamiento vulnera el artículo 5.1.
  27. f)del RGPD es la conducta omisiva del responsable del tratamiento. El resultado, la comunicación o el acceso ilícito, o, en otras palabras, la pérdida de confidencialidad se ocasiona por no haber adoptado el responsable las medidas técnicas o/y organizativas de todo tipo que fueran apropiadas para garantizar la confidencialidad de los datos en atención al riesgo existente para los intereses, las libertades y los derechos fundamentales de las personas físicas. El elemento de la culpabilidad, necesario en nuestro ordenamiento jurídico para exigir responsabilidad sancionadora, está presente en la falta de diligencia que demuestra un responsable de tratamiento que no ha adoptado las medidas técnicas y organizativas de todo tipo cuya falta propicia el acceso ilícito o no autorizado a los datos personales. En cuanto al examen de los hechos en los que se materializa la conducta del INSS que vulnera el artículo 5.1.
  28. f)del RGPD, recordemos que la documentación que obra en el expediente demuestra que el INSS comunicó a un tercero (la EMPRESA, con la que la parte reclamante mantenía una relación laboral) información concerniente a su salud cuya confidencialidad tenía la obligación de garantizar. A ese respecto, consta acreditado que el INSS remitió a la EMPRESA en fecha 11/10/2022 una copia del escrito que había dirigido a la parte reclamante y que lleva fecha de salida del organismo el 20/06/2022 mediante el que le notificaba la resolución firmada por la Directora Provincial en fecha 21/06/2022 denegándole su solicitud de reconocimiento de una prestación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/26 Asimismo, consta acreditado que, en el texto de la resolución, último párrafo, bajo la rúbrica “(…)” consta la siguiente información: “(…).” Son varios los elementos que demuestran que el documento con la resolución denegatoria de la directora provincial del INSS y, por ende, con la información sobre la salud de la parte reclamante que en ella se recoge, se envió a la dirección de correo electrónico ***EMAIL.3 de la ***PUESTO.1 de la EMPRESA desde la dirección de correo corporativo de un empleado del INSS (***EMAIL.4). En el extremo superior del citado documento figura impresa, entre otra información, la fecha y hora “11/10/2022 10:50:15”. Por otra parte, en el documento, en el texto de la resolución, puede apreciarse sombreado el párrafo tercero, que dice: “Se procederá a revisar de oficio esta resolución a la recepción del formulario extranjero con los periodos de seguro que en él se acrediten.” La comunicación a la EMPRESA (***PUESTO.1) del mencionado documento estuvo precedida de un correo electrónico que el día anterior, el 10/10/2022, el empleado del INSS encargado de la gestión le había enviado desde su dirección corporativa (***EMAIL.4). En ese email el INSS informa a la EMPRESA que era necesario que tramitara ante la Tesorería General de la Seguridad Social la baja laboral de la parte reclamante (entonces su empleada) para que pudieran resolver el expediente (...) y le pide que le informe de “la fecha de cese en la empresa, para poder abonarle la prestación que le corresponde”. En tal mensaje, de fecha 10/10/2022, el empleado del INSS facilita a la EMPRESA únicamente los datos personales de la parte reclamante necesarios para su completa y correcta identificación: nombre, dos apellidos, NIF y NAF. En fecha 11/10/2022 el empleado del INSS envía a la EMPRESA, a las 11.00 horas, un mensaje cuyo texto hace alusión a la existencia de una conversación telefónica previa mantenida entre ambos (el empleado del INSS y la ***PUESTO.1) pues comienza diciendo “Continuación de conversación telefónica, […]”. Una conversación que la reclamante, en su escrito de reclamación, atribuye a la reclamada, sin que esta afirmación haya quedado desvirtuada. El empleado del INSS afirma a continuación: “adjunto resolución denegatoria (…).” Y añade: “He resaltado en amarillo el apartado en el que indica que se procederá a revisar cuando se reciba formulario extranjero.” Posteriormente el texto del mensaje está dedicado a explicar a la EMPRESA (***PUESTO.1) por qué es necesario que proceda a dar de baja laboral a la parte reclamante, ya que dice lo siguiente: “Como lo hemos recibido [ el formulario extranjero] procedemos a la revisión. Y como con los periodos de ese país alcanza periodo mínimo exigido por España vamos a reconocerle la prestación, para lo que precisamos que se encuentre de baja laboral.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/26 Así pues, ninguna duda existe sobre la existencia de un resultado: la pérdida de confidencialidad de datos personales concernientes a la salud de la parte reclamante fruto de que el empleado del INSS facilitara indebidamente a la EMPRESA un documento con información relativa a su salud. Una pérdida de confidencialidad que, recordemos, no sólo no ha sido denegada, sino que ha sido totalmente asumida por la reclamada. Corresponde seguidamente analizar si las medidas técnicas y organizativas que el INSS tenía implantadas eran las adecuadas para garantizar la confidencialidad de los datos tratados. La documentación que obra en el expediente pone de manifiesto que el empleado del INSS que realiza el tratamiento en el que se materializa la infracción del artículo 5.1.
  29. f)del RGPD ignora por completo la obligación que le incumbe de garantizar la seguridad de los datos de salud de la solicitante de la prestación (la parte reclamante). Esto, pese a que la propia LGSS establece expresamente el carácter reservado que tiene la información que las entidades gestoras de la Seguridad Social traten en el ejercicio de sus funciones y a que prohíbe que los datos puedan ser cedidos o comunicados a terceros, con la salvedad de que la comunicación persiga colaborar con la Administración de Justicia u otras Administraciones Públicas. La LGSS dice en el artículo 77, “Reserva de datos”: “1. Los datos, informes o antecedentes obtenidos por la Administración de la Seguridad Social en el ejercicio de sus funciones tienen carácter reservado y solo podrán utilizarse para los fines encomendados a las distintas entidades gestoras y servicios comunes de la Seguridad Social, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión o comunicación tenga por objeto: […]. 3. Cuantas autoridades y personal al servicio de la Administración de la Seguridad Social tengan conocimiento de estos datos o informes estarán obligados al más estricto y completo sigilo respecto de ellos, salvo en los casos de los delitos citados, en los que se limitarán a deducir el tanto de culpa o a remitir al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de delito. Con independencia de las responsabilidades penales o civiles que pudieran corresponder, la infracción de este particular deber de sigilo se considerará siempre falta disciplinaria muy grave.” (El subrayado es nuestro) El tratamiento de los datos concernientes a la salud de la parte reclamante que el empleado del INSS comunicó a la EMPRESA al facilitarle mediante correo electrónico una copia de la resolución dictada por la Directora Provincial revelan un total desconocimiento del personal de esa entidad gestora de la obligación que le incumbe de garantizar la seguridad de los datos que trata y a los que tiene acceso en el desempeño de las funciones encomendadas por la Ley para el cumplimiento de una misión de interés público. Desconocimiento que se extiende a su propia normativa reguladora habida cuenta de que la LGSS, artículo 71, establece el carácter reservado de la información y la prohibición de comunicarla a terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/26 Frente a lo manifestado por el INSS en sus alegaciones los hechos examinados no se produjeron por un “error humano” que hubiera consistido en el envío equivocado a la EMPRESA de documentación que iba dirigida a la parte reclamante y que incluía datos de salud. Por el contrario, los hechos constatados permiten aseverar que el empleado del INSS procedió con plena conciencia y voluntad y en ningún caso por un error, a remitir a la EMPRESA el texto de la resolución dictada -en el que constaba incluida información relativa a la salud de la parte reclamante- advirtiéndole, además, en su mensaje electrónico del día 11/10/2022, que adjuntaba la resolución y que en ella había marcado en amarillo el párrafo en el que se indicaba que se procedería a revisar cuando se recibiera el formulario extranjero. Y añadía: “Como lo hemos recibido procedemos a la revisión. Y como con los periodos de ese país alcanza periodo mínimo exigido por España vamos a reconocerle la prestación, para lo que precisamos que se encuentre de baja laboral.” Los hechos acaecidos demuestran que no se habían adoptado las medidas adecuadas para garantizar la seguridad de los datos objeto de tratamiento, garantizando que no pudiera ser enviada documentación a quien no era destinataria para ello, máxime tras lo que parece ser una comunicación mantenida previamente por vía telefónica. Por otra parte, debe tenerse en cuenta que las medidas a adoptar para garantizar la seguridad de los datos deben ser especialmente adecuadas cuando, como sucede en este caso y en gran parte de los tratamientos que el INSS efectúa, pueden afectar a categorías especiales de datos, como son los datos de salud. La existencia de tratamientos de datos de esta naturaleza debe tenerse en cuenta a la hora de llevar a cabo la implementación de las medidas, pues su exposición indebida puede afectar directamente a otros derechos fundamentales de la persona. En definitiva, las medidas a adoptar deben ser proporcionales al riesgo inherente al tratamiento de datos personales, priorizando siempre la protección de los derechos de las personas afectadas. En el presente caso, la información sobre la salud de la parte reclamante que el INSS comunicó a la EMPRESA (información que figuraba en el texto de la resolución que le fue comunicada indebidamente) tiene el carácter de datos de salud, y, en consecuencia, estamos ante datos de categoría especial sometidos al régimen jurídico del artículo 9 del RGPD. En atención a las consideraciones precedentes, se considera que la pérdida de confidencialidad de los datos de salud de la parte reclamante, a los que tuvo acceso la EMPRESA, unida a que el INSS omitió la adopción de las medidas técnicas y organizativas adecuadas, conduce a apreciar que la parte reclamada ha vulnerado el principio de confidencialidad del artículo 5.1.
  30. f)del RGPD. VI Tipificación y plazo de prescripción de la infracción del artículo 5.1.
  31. f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/26 La infracción del artículo 5.1.
  32. f)del RGPD de la que se responsabiliza al INSS en esta propuesta de resolución, materializada en haber facilitado a un tercero -la EMPRESAdatos de salud de la parte reclamante incumpliendo la obligación de garantizar su seguridad, se encuentra tipificada en el artículo 83.5.
  33. a)RGPD, que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  35. b)los derechos; […]” Con la exclusiva finalidad de determinar el plazo de prescripción de las infracciones, el artículo 72 de la LOPDGDD califica de “muy grave” la infracción tipificada en el artículo 83.5.
  36. a)del RGPD y fija para ella un plazo de prescripción de tres años. Así, el artículo 72.1 de la LOPDGDD dispone lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  37. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VII Declaración de infracción El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 7: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” (El subrayado es nuestro) Haciendo uso de tal habilitación la LOPDGDD ha dispuesto en su artículo 77, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: […]
  38. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. […] 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/26 resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” (El subrayado es nuestro) A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 5.1.
  39. f)del RGPD tipificada en el artículo 83.5.
  40. a)del RGPD. La sanción que corresponde imponer es la declaración de infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, con NIF Q2827002C, ha infringido lo dispuesto en el artículo 5.1.
  41. f)del RGPD, infracción tipificada en el artículo 83.5.
  42. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/26 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.