PS-00383-2018

1/11 938-0419 Procedimiento Nº: PS/00383/2018 RESOLUCIÓN DE PROCEDIMIENTO DE DECLARACIÓN DE INFRACCIÓN DE ADMINISTRACIONES PÚBLICAS Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de mayo de 2018 se registra de entrada ante la Agencia Española de Protección de Datos escrito formulado por Don A.A.A., (en adelante, el reclamante), contra PUERTOS DEL ESTADO por la filtración de los datos personales contenidos en la documentación que presentó el día 13 de marzo de 2018 en el Registro de la AUTORIDAD PORTUARIA DE SANTA CRUZ DE TENERIFE, (en lo sucesivo, el reclamado) y cuyo contenido apareció publicado íntegramente en la página web ***URL.1. El reclamante adjunta la siguiente documentación:

1. a)Acta de Presencia de fecha 27 de marzo de 2018 otorgada por notario del Ilustre Colegio de las Islas Canarias, y en la que aquel figura como requirente, en la que consta: “Que el mismo día de su otorgamiento, siendo las trece horas y quince minutos, procedo a entrar en la dirección de internet pinchando en el enlace electrónico facilitado por el requirente para observar que se descarga un archivo, que procedo a abrir mediante la aplicación de adobe acrobat, y compruebo que se trata de una instancia genérica cumplimentada con los datos de requirente, imprimiendo dichas páginas en papel común, fiel reflejo del contenido por mí observado, y que incorporo al acta precedente como documentos unidos (…)” La documentación que aparece unida a la citada Acta de Presencia está integrada por: Impresión de la noticia publicada a fecha 24/03/2018 en la página web ***URL.2...., ***NOTICIA.1. Impresión del contenido íntegro de la “Instancia Genérica” cumplimentada y presentada con fecha 12 de marzo de 2018 en el Registro de la Autoridad Portuaria de Santa Cruz de Tenerife por el reclamante, en calidad de representante del SPPLB Tenerife, a la que se adjuntaba escrito dirigido al Presidente del organismo público Puertos del Estado (en adelante OPPE). La citada instancia muestra los datos personales del solicitante, en este caso, el NIF, nombre, primer apellido, domicilio postal y teléfono del reclamante. Impresión del escrito de “solicitud de respuesta escrita” formulado con fecha 9 de marzo de 2018 por el Secretario Territorial del SPPLB dirigido al Presidente del Organismo Público de Puertos del Estado. Ministerio de Fomento, que se adjunta a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es la reseñada “Instancia General” y al que se refiere la noticia publicada en la mencionada página web. En dicho escrito se muestra el nombre, apellidos y DNI del mencionado Secretario. Se observa que al pie de la “Instancia Genérica” y de las páginas del escrito de “solicitud de respuesta escrita” incorporados al ”Acta de Presencia” figura registrada la siguiente impresión: “Este documento no dispone de firma electrónica. REG-E-GENXXXX/YYYYYY-12/03/2018 13:37:00 “
2. b)Copia de Justificante de Registro emitido por la Autoridad Portuaria de S.C. de Tenerife, referida a la solicitud con registro de entrada E-GEN-XXXX/YYYYYY, presentado el 12/03/2018 a las 13:37:00 por el SPPLB, con Asunto: Remisión de Escrito sobre incidente en ***NOTICIA.1. Al pie de este documento figura anotación con el siguiente registro: ***URL.3 REG-E-GEN-XXXX/YYYYYY-12/03/2018 13:37:00. Compulsado por: AUTORIDAD PORTUARIA DE SANTA CRUZ DE TENERIFE 12/03/2018 13:41:05. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, con fecha 10 de julio de 2018 se dio traslado de dicha reclamación a PUERTOS DEL ESTADO requiriéndole, entre otras actuaciones, remisión de todos los documentos que se considerasen relevantes en relación con los hechos expuestos en la reclamación y especificación clara de las causas que motivaron los mismos. En contestación a dicho requerimiento de información, con fecha 31 de julio de 2018 se registra de entrada en esta Agencia escrito de PUERTOS DEL ESTADO al que se adjunta copia de la siguiente documentación:
3. a)Copia de Justificante de Registro emitido por la Autoridad Portuaria de S.C. de Tenerife, referida a la solicitud con registro de entrada E-GEN-XXXX/ZZZZZZ, presentado el 11/04/2018 a las 12:14:24 por el reclamante, con Asunto: Solicitud de Información relativa a filtración a Medios de Prensa del Documento nº XXXX/YYYYYY del 12/03/2018. Al pie de este documento figura anotación con el siguiente registro: ***URL.3 REG-E-GEN-XXXX/ZZZZZZ-11/04/2018 12:12:00. Compulsado por: AUTORIDAD PORTUARIA DE SANA CRUZ DE TENERIFE 11/04/2018 12:14:27.
4. b)Escrito presentado por el reclamante a la Autoridad Portuaria de Santa Cruz de Tenerife, en el que a raíz de la filtración a diferentes medios de prensa del documento con nº de registro QQQQ/RRRRRR del 12/03/2018 solicita: se le informe sobre la identidad de los responsables de protección de datos, del registro público de entrada de escritos y del departamento de prensa, identidad de quienes tienen acceso a los documentos registrados y de las personas que se ponen en contacto con la prensa para remitir noticias de interés para la Autoridad Portuaria de Santa Cruz de Tenerife, medios de comunicación a los que se ha remitido el documento.
5. c)Escrito de contestación dirigido al reclamante, de fecha 14 de mayo de 2018, en el que el Presidente de la Autoridad Portuaria citada facilita la identidad de los responsables indica, entre otros extremos relativos a la información solicitada, lo siguiente: 3/11  Que el responsable del Fichero denominado “Registro de Entrada y Salida Documentos” es la Autoridad Portuaria de Santa Cruz de Tenerife.  Que, conforme resulta de la información recabada del responsable del Gabinete de Prensa, el documento al que el reclamante se refería en su solicitud no ha sido remitido, desde dicho Gabinete a medio de comunicación alguno. Posteriormente, con fecha 5 de febrero de 2019, desde los Servicios de Inspección de esta Agencia se accede a la página web ***URL.2 constatándose que la noticia publicada el 24 de marzo de 2018 ya no contiene el enlace que permitía visualizar el contenido de la “Instancia Genérica” y Solicitud del SPPLB que lo acompañaba. TERCERO: Con fecha 19 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de administraciones Públicas a la AUTORIDAD PORTUARIA DE SANTA CRUZ DE TENERIFE, (el reclamado), por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en adelante, LOPD), tipificada en el Artículo 44.3.
6. d)de la LOPD. Dicho acto fue notificado al reclamado con fecha 20 de febrero de 2019. CUARTO: Con fecha 5 de marzo de 2019, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba los siguientes extremos: Niega la filtración o facilitación a ningún medio de comunicación del documento registrado en dicho organismo con nº de registro de entrada E-GENXXXX/YYYYYY a través del Gabinete de Prensa o de cualquier otro departamento o persona del organismo, ya que desde el organismo no se ha autorizado la difusión o publicación del reseñado documento a persona alguna. Significa que el reclamante no aporta prueba alguna acreditativa de la supuesta participación del reclamado en los hechos objeto de reclamación. El organismo tuvo conocimiento de la publicación del citado documento a través del escrito de solicitud de información sobre dicha publicación presentado por el reclamante con fecha 11 de abril de 2018, con nº de registro de entrada con nº EGEN-XXXX/ZZZZZZ, momento en que a raíz de las comprobaciones que se llevaron a cabo como fruto de dicha solicitud se verifico que: por parte del personal no se había comunicado la existencia de ninguna incidencia relacionada con el documento con nº de registro E-GEN- XXXX/YYYYYY, ni con la seguridad de los sistemas de información o los archivos en papel; que a ese documento sólo tuvo acceso el personal autorizado, y que aparecía detallado en el escrito efectuado con fecha 14 de mayo de 2018 en contestación de la solicitud de información del reclamante de fecha 11 de abril de 2018; que el Gabinete de Prensa, área responsable de la relación con los medios de comunicación, no tuvo acceso al referido documento, como tampoco remitió documentación o información alguna relacionada con ese documento o su contenido a los medios de comunicación. El fichero “Registro de Entrada y Salida de Documentos” en el que se integró el reseñado documento contaba con las medidas de seguridad de índole legal, técnico y organizativo previstas en la LOPD y su normativa de desarrollo para garantizar su protección y la de los documentos y datos personales registrados en el mismo. Estas medidas estaban documentadas, desde la creación del fichero en el “Documento de Seguridad”, parte de cuyos anexos aportan junto con otros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es documentos, como la “Normativa General de utilización de recursos y sistemas de información” a seguir por los usuarios en aplicación de la Política de Seguridad, siendo de obligado conocimiento y cumplimiento para todo el personal las medidas establecidas para la protección de los ficheros y los tratamientos de los datos personales. Entre dichas medidas se encuentran las relativas al sistema de control de acceso de los usuarios a los recursos protegidos, precisándose por los usuarios autorizados que acceden a la aplicación informática que da soporte al “Registro de entrada y Salida de Documentos” de identificación y autenticación a través de usuario/contraseña. Asimismo, se han definido las funciones y obligaciones del personal con acceso a datos de carácter personal y a los sistemas de información. También se han creado una serie de documentos entregados o puestos a disposición del personal, como los denominados Manual de Formación “Manual LOPD Personal” o “Decálogo de Protección de Datos” para formarlo en materia de protección de datos de carácter personal, de seguridad y de confidencialidad. A la vista de todo lo cual, el reclamado niega haber incumplido la obligación de secreto y custodia que le incumbe al no ser responsable de la difusión a terceros de los datos personales contenidos en el documento estudiado, máxime cuando el documento que ha aparecido publicado también obraba en poder del reclamante, a quien le fue entregado en cumplimiento de la normativa vigente como justificante o recibo de su presentación. Por lo que, partiendo de que el documento registrado en los sistemas de información del reclamado es indistinguible del que obra en poder del reclamante, no puede afirmarse que su difusión tenga origen en el reclamado. QUINTO: El reclamado propone la práctica de las siguientes pruebas: 5.1 Solicitar testimonio al reclamante a fin de que declare tanto si ha facilitado el documento en cuestión a algún medio de comunicación (revista, web) y, en particular a ***PERIODICO.1, como si ha facilitado por cualquier modo o vía dicho documento a alguna otra persona o entidad. 5.2 Requerir a ***PERIODICO.1 información sobre el origen del documento publicado en su web. 5.3 Se informe por la AEPD:
7. a)si se han iniciado actuaciones frente a ***PERIODICO.1 por la publicación del documento sin que se eliminasen los datos personales del reclamante; si el reclamante ha formulado denuncia ante esa Agencia contra ***PERIODICO.1 por la publicación de sus datos personales. Conforme a lo dispuesto en el artículo 77.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones, se rechaza la práctica de las pruebas citadas en el apartado 5.1 en relación con el reclamante, al resultar innecesaria su realización, puesto que del contenido de la reclamación, y con independencia de las consideraciones que se efectuarán más adelante en la presente resolución, se evidencia que el reclamante, que no ha desistido en su reclamación, considera responsable de la filtración o difusión del documento al reclamado. Asimismo, se considera improcedente la prueba reseñada en el apartado 5.2, ya que el secreto profesional le ampara a no revelar sus fuentes en el ejercicio del derecho constitucional a comunicar libremente información veraz, conforme a lo dispuesto en el artículo 20
8. d)de la Constitución Española. 5/11 Finalmente, en contestación a lo requerido en las pruebas que se indican en el apartado 5.3, se comunica:
9. a)que por parte de esta Agencia no se han iniciado actuaciones contra ***PERIODICO.1, circunstancia que a los efectos de la resolución a adoptar en el presente procedimiento resulta irrelevante en relación con la supuesta conculcación del deber de secreto que le resulta exigible al reclamado en relación con la información de carácter personal incluida en los documentos que se registran en el fichero denominado “Registro de Entrada y Salida de Documentos”, del que ese organismo es responsable;
10. b)que no consta que el reclamante haya formulado reclamación ante esta Agencia contra el responsable de la reseñada página web. SEXTO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 12 de marzo de 2018 el reclamante, actuando en representación del Sindicato Profesional de Policías y Bomberos-Sección Policía Portuaria (en adelante, SPPLB), presentó en el Registro General de la AUTORIDAD PORTUARIA DE SANTA CRUZ DE TENERIFE, (el reclamado) una “Instancia Genérica” de fecha 12 de marzo de 2018 en la que solicitaba la tramitación del escrito adjuntado a la misma, formulado con fecha 9 de marzo de 2018 por el Secretario Territorial del SPPLB en relación con ***NOTICIA.1 y que tenía como destinatario al Presidente del organismo público Puertos del Estado. Ministerio de Fomento. SEGUNDO: Los datos de carácter personal contenidos en los documentos reseñados en el hecho Probado anterior eran: -La “Instancia Genérica” incluía: nombre, primer apellido, domicilio postal, localidad de residencia, teléfono y NIF del reclamante. -El escrito adjuntado a dicha instancia incluía: nombre, apellidos, DNI y cargo ocupado por el Secretario Territorial del SPPLB, firmante del documento. TERCERO: El Registro General del reclamado asignó a los mencionados documentos el registro de entrada nº. REG-E-GEN-XXXX/YYYYYY-12/03/2018 13:37:00. CUARTO: El documento con número de registro de entrada E-GEN-XXXX/YYYYYY forma parte del fichero denominado “Registro de Entrada y Salida de Documentos”, cuya finalidad gestionar el Registro General de entrada y salida de documentos, del que es responsable el reclamado. QUINTO: Conta que con fecha 24 de marzo de 2018 en la página web ***URL.2...., se publicó una noticia bajo el título “El Presidente de Puertos del Estado pisa la línea roja en Tenerife” que informaba sobre ***NOTICIA.1. Al final de la noticia se incluía un enlace que bajo la leyenda “Escrito del Sindicato Profesional de Policías y Bomberos”, permitía acceder al contenido íntegro de la documentación presentada por el reclamante con fecha 12 de marzo de 2018 en el Registro General del reclamado citada en el Hecho Probado Primero, conforme prueba que cada una de las páginas que conformaban la documentación registrada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es contenía impreso el siguiente texto: “Este documento no dispone de firma electrónica. REG-E-GEN-XXXX/YYYYYY-12-03-2018 13:37:00”. SEXTO: El reclamante ha aportado copia de “Acta de Presencia” notarial de fecha 27 de marzo de 2018 en la que consta que a esa fecha aparecía publicada la noticia reseñada en el Hecho probado anterior en la página web también citada en el mismo. SÉPTIMO: Con fecha 5 de febrero de 2019 se verifica que la página web ***URL.2.... que la noticia publicada el 24 de marzo de 2018, ***NOTICIA.1, ya no contenía incluido el enlace que lo acompañaba que permitía visualizar el contenido íntegro de la documentación registrada por el reclamante con fecha 12 de marzo de 2018 en el Registro General del reclamado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. En el presente supuesto los hechos objeto de la reclamación quedan sometidos a las disposiciones de la LOPD y a su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007 (RLOPD) tomando en consideración que los hechos constitutivos de la supuesta infracción acontecieron antes del 25 de mayo de 2018, fecha a partir de la cual era de aplicación del Reglamento 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. En idéntico sentido se pronuncia la Disposición Transitoria Primera, punto 2, “Régimen transitorio de los procedimientos”, del Real Decreto – Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos. De conformidad con la citada Disposición se rigen por la LOPD y normas de desarrollo las actuaciones previas a las que se refiere el Título IX, Capítulo III, Sección 2ª, del RLOPD que ya se hubieran iniciado antes de la entrada en vigor del Real Decreto -Ley 5/2018 “salvo que el régimen establecido en el mismo contenga disposiciones más favorables para el interesado”. II La LOPD en sus art. 1 y 2.1) establece: “Artículo 1. Objeto. La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “Artículo 2. Ámbito de aplicación. 1. La presente Ley Orgánica será de aplicación a los datos de carácter 7/11 personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.(…)” El artículo 3.
12. a)de la LOPD define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. Añade el artículo 5.f del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables.” Por lo tanto, los nombres, apellidos, números de NIF, domicilios, teléfono y cargos contenidos en la documentación que integra el registro de entrada de referencia REG-E-GEN-XXXX/YYYYYY, incluido en el fichero “Registro de Entrada y Salida” titularidad del reclamado, son datos de carácter personal que identificaban a las personas físicas titulares de esa información de carácter personal, cuyo tratamiento está sometido a la citada Ley Orgánica. Por su parte el artículo 3.
13. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
14. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” III La difusión en una página web de la información de carácter personal contenida en el documento registrado con fecha 12 de abril de 2018, y la consiguiente revelación a terceros no interesados de dichos datos, podría suponer la comisión por parte del reclamado de una infracción del artículo 10 de la LOPD, precepto que dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El artículo 44.3.
15. d)de la LOPD tipifica como infracción grave en el artículo: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este supuesto concreto, el supuesto infractor es una administración pública, cuyo régimen sancionador se determina en el artículo 46 de la LOPD, precepto en el que se establece que la declaración de infracción no lleva aparejada la imposición de una sanción económica. El artículo 46 de la LOPD, bajo la rúbrica “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. IV El mencionado artículo 10 de la LOPD tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos a terceros. Este deber de secreto, que incumbe no sólo a los responsables de los ficheros sino a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que el responsable del fichero y/o del tratamiento efectuado no pueda revelar ni dar a conocer dicha información, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el deber de secreto o confidencialidad. Así el Tribunal Superior de Justicia de Madrid declaró que: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En este sentido el deber de sigilo como señalan las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 9/11 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". En este caso, ese deber de secreto comporta que el reclamado, responsable de la custodia y confidencialidad de los datos de carácter personal contenidos en los documentos que se registran en el Registro General del reclamado no puedan ser difundidos ni revelados a terceros, salvo con consentimiento de los titulares de los datos o en los casos autorizados por la ley (artículos 11 y 12 de la LOPD). Sin embargo, en el supuesto analizado consta que la documentación registrada por el reclamante con fecha 12 de marzo de 2018 en el Registro General del reclamado apareció publicada íntegramente en la página web ***URL.2...., revelándose por tanto accesibles a terceros no interesados los datos de carácter personal incluidos en la documentación difundida. V En el presente caso, el reclamado ha presentado alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción de Administraciones Públicas negando su responsabilidad en la filtración y difusión del documento estudiado en la página web ***URL.2 con posterioridad a que fuera registrado de entrada en el fichero de su titularidad denominado “Registro de Entrada y Salida” con fecha 12 de marzo de 2018. Así, el reclamado afirma que el personal autorizado del Registro General del reclamado únicamente trató dicha documentación en cumplimiento de sus atribuciones, no constando incidencia alguna vinculada a ese concreto número de registro de entrada ni a la seguridad de los sistemas de información, añadiendo que el Gabinete de Prensa no tuvo acceso a ese registro ni remitió a los medios de comunicación información alguna relacionada con esa documentación. Paralelamente, el reclamado ha justificado documentalmente la implantación de medidas tendentes a garantizar la protección del mencionado fichero y la integridad de los documentos e información de carácter personal que figuran en el mismo, ha probado el establecimiento de un sistema de control de accesos y la difusión entre el personal de las medidas de seguridad que deben cumplir en el tratamiento de los datos personales, haciendo especial mención al deber de secreto y confidencialidad que se exige, con carácter indefinido, a todo el personal que trata esa información y accede a los sistemas de información en el ejercicio de sus funciones, advirtiéndoles de las consecuencias que pudieran derivarse de su incumplimiento. A mayor abundamiento, el reclamado ha argumentado en su defensa que el reclamante contaba con la misma documentación que figura registrada en el fichero del reclamado y que ha sido objeto de divulgación a través de la citada página web, ya que le fue entregada al mismo como justificante de su presentación en el Registro General, tratándose de una documentación idéntica. En este caso, resulta de especial relevancia la circunstancia reseñada en el párrafo anterior, habida cuenta que cuestiona que el reclamado fuera responsable de la falta de custodia en la documentación reseñada y de la posterior revelación de la información contenida en la misma a terceros a través de su difusión a través la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es mencionada página web, ya que dicha documentación pudo ser difundida por cualquier tercero que hubiera tenido acceso al documento con registro REG-E-GENXXXX/YYYYYY entregado al reclamante. A lo anterior, se suma la existencia de las medidas de seguridad adoptadas por el reclamado que no muestran ninguna irregularidad en cuanto a los accesos. Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
16. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a lo previsto en los preceptos anteriormente citados, a la vista de que reclamado y reclamante disponían de la misma documentación que fue objeto de divulgación y no existiendo en el procedimiento elementos de prueba de los que se desprenda, en forma fehaciente, que la difusión de los datos personales fuera consecuencia de una actuación directamente imputable al responsable del fichero, se estima que no está acreditada la responsabilidad del reclamado en la autoría de los hechos estudiados y, consecuentemente, en la vulneración del deber de secreto recogida en el artículo 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: 11/11 PRIMERO: DECLARAR el archivo de la infracción imputada a la AUTORIDAD PORTUARIA DE SANTA CRUZ DE TENERIFE, con NIF Q3867002B, por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
17. d)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la AUTORIDAD PORTUARIA DE SANTA CRUZ DE TENERIFE. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es