REPOSICION-A-00050-2013

1/5 Procedimiento nº: A/00050/2013 Recurso de Reposición Nº RR/00551/2013 Examinado el recurso de reposición interpuesto por Dª A.A.A. (en adelante la recurrente) contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento, A/00050/2013, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 27 de mayo de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento A/00050/2013, en virtud de la cual se acordaba apercibir a la recurrente, al haberse acreditado que reenvío a su hermano un correo electrónico que había recibido en virtud de la relación profesional que mantenía con el Colegio Profesional de Fisioterapeutas de Castilla y León, que contenía datos personales de los denunciantes, esta actuación constituye una vulneración del deber de secreto por parte de la denunciada. Dicha resolución, que fue notificada a la recurrente en fecha 30 de mayo de 2013, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD (RLOPD). SEGUNDO: Como hechos del citado procedimiento A/00050/2013, quedaron constancia de los siguientes: “PRIMERO: La denunciada ha estado contratada por el Colegio, del que forman parte los dos denunciantes, ha desarrollado trabajos laborales y administrativos relativos al personal adscrito al Colegio Profesional de Fisioterapeutas de Castilla y León, estaba contratada como cotitular de la Asesoría ........ Trabajaba también como relaciones externas del Colegio. La denunciada ha presentado copia del contrato de prestación de servicios suscrito entre ....... ASESORIA, C.B. (.......) y el Colegio, en el que figura como fecha de inicio el 1 de enero de 2001. SEGUNDO: La denunciada también adjunta copia del contrato de tratamiento de datos suscrito en el año 2007 entre el Colegio y la entidad ....... ASESORIA C.B. La denunciada en representación de la asesoría aparece como encargada de tratamiento. TERCERO: Junto con el escrito de denuncia se presenta copia de un correo electrónico en cuyo texto, se menciona nombre y primer apellido de una trabajadora del Colegio (una de los denunciantes), así como la aprobación de una paga extraordinaria para esa persona. El correo lo reenvía el 27 de enero de 2012 “A.A.A. – ....... ASESORIA [A.A.A.@.......asesoría.com]” a “B.B.B. – Policlínica FISIOMED” B.B.B.@clinica............”, y fue originariamente enviado el día 22 de febrero de 2011 por “C.C.C. (el otro denunciante) – ......... CPFCyL – mailto:.........@cpfcyl.com]” a .........@cpfcyl.com, aparecen también el nombre, apellidos y cargo del otro denunciante junto a su número de teléfono móvil (***TEL.1). CUARTO: La denunciada tanto en su escrito de 26 de diciembre de 2012, durante la fase de actuaciones previas de investigación como en su escrito de alegaciones en el trámite de audiencia de este procedimiento de 24 de abril de 2013, reconoce haber reenviado a su hermano el correo electrónico citado en el punto anterior.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 TERCERO: La recurrente ha presentado recurso de reposición, en fecha 1 de julio de 2013 en el Registro General de la Subdelegación del Gobierno en Salamanca, con entrada en esta Agencia el 5 de julio de 2013. La recurrente vuelve a exponer los mismos motivos para justificar su conducta pero sin aportar nueva documentación que sirva para revisar la resolución que ahora recurre. Sucintamente realiza las siguientes consideraciones: - - - - - La recurrente estaba contratada por el Colegio Profesional de Fisioterapeutas de Castilla y León (en adelante Colegio), como cotitular de la Asesoría ........ Trabajaba también como relaciones externas del Colegio contratada por el anterior presidente, hermano de la recurrente. El 1 de julio del 2011 la Junta Permanente del Colegio decidió prescindir de los servicios profesionales de la denunciada. La recurrente interpreta la aptitud de los denunciantes en el procedimiento A/00050/2013, como malintencionada en respuesta a una reclamación interpuesta por ella contra la resolución unilateral del contrato de trabajo que la unía al Colegio. Vuelve a reconocer el reenvío del correo electrónico que contiene datos personales de los denunciantes pero lo vuelve a achacar a un error. Explica que el reenvío se llevó a cabo en un mes de mucho trabajo, enero, mes de cierre del año fiscal. Analiza el contenido del correo y entiende que se trata de información que el destinatario de este reenvío podía conocer. Según su interpretación son datos que su hermano podía conocer como expresidente del Colegio y como colegiado. Aporta copia de los estatutos del Colegio, el artículo 15

1. f)establece como derecho que podrán “acceder a la documentación oficial del Colegio….”. Aporta también copia de varios correos electrónicos remitidos por el tesorero a los órganos del Colegio entre ellos el anterior presidente (su hermano). Por último estima excesiva la consideración de grave de la vulneración del artículo 10 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La recurrente vuelve a fundamentar su pretensión en los mismos argumentos que fueron invocados en la denuncia que ha dado origen al procedimiento cuya resolución ahora se recurre. No aporta nuevos elementos de juicio referidos a los hechos denunciados que permitan revisar la resolución que ahora se recurre. La recurrente, denunciada en el procedimiento A/00050/2013, hasta el 1 de julio de 2011 estuvo contratada por el Colegio para la prestación de servicios laborales y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 administrativos en relación con el personal del Colegio, siendo la hermana del entonces presidente del Colegio. La recurrente interpreta como maliciosa la conducta de los denunciantes al presentar una denuncia en su contra, como respuesta a la reclamación judicial interpuesta por ella frente al Colegio por rescisión unilateral de su contrato de trabajo. No obstante, la denuncia ante la Agencia se interpone por los denunciantes tal y como manifiestan porque han tenido conocimiento de que un correo electrónico con sus datos personales recibido el 22 de febrero de 2011 por la recurrente en su calidad de profesional contratada por el Colegio y por tanto encargada de tratamiento, fue reenviado por ella a su hermano, anterior presidente del Colegio, que a su vez lo aportó a las diligencia previas 4334/2011 seguidas por el Juzgado de Instrucción nº 3 de Salamanca, incoadas a raíz de una denuncia del Colegio contra el hermano de la recurrente. Así pues la consideración segunda del recurso que aquí nos ocupa, no puede tenerse más que como una interpretación de la recurrente que nada aporta al análisis de la vulneración o no del deber de secreto. En su tercera consideración, la recurrente vuelve a insistir en que el reenvío del correo electrónico a su hermano fue un mero error, debido a la cantidad de información que tiene que gestionar en el mes de enero, mes de cierre del año fiscal. Como ya se indicó en la resolución que ahora se recurre, cuando un responsable o encargado de tratamiento tiene que tratar una gran cantidad de datos, tiene que extremar las cautelas para que dicho tratamiento sea conforme a la ley. La recurrente no ha guardado este deber de cuidado en relación con los hechos aquí expuestos, ya que se trata de un correo electrónico recibido el 22 de febrero de 2011 y reenviado casi un año después (27 de enero de 2012) a su hermano que no formaba parte del equipo directivo del Colegio desde hacía meses. Durante ese espacio de tiempo (casi un año) la recurrente debió tener la suficiente cautela, el deber de cuidado necesario para guardar los datos del Colegio, teniendo en cuenta además que ya no estaba contratada por el mismo, ya que tal y como establece el artículo 10 de la LOPD: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Por otro lado, si tal y como afirma la recurrente tiene en su bandeja de correo electrónico una carpeta reservada a su hermano como profesional independiente en la que almacenaba los correos en los que figuraba como “B.B.B.-Policlínica FISIOMED”, y otra con asuntos del Colegio en donde archivaba los correos referidos a todos los miembros de esta entidad incluido su hermano que era presidente del mismo y que figuraba como “B.B.B.-Presidente CPFCYL”, llama la atención que el correo controvertido fuera reenviado a la cuenta de su hermano como profesional independiente y no a la cuenta que tenía como presidente del Colegio. La recurrente estaba obligada a bloquear los datos relativos al Colegio porque ya no estaba contratada por ellos y por tanto ya no tenía la condición de encargada de tratamiento de los datos personales cuyo responsable era el Colegio. De nuevo, nos encontramos con una inobservancia que deriva en la vulneración del deber de secreto. A este respecto debe tenerse en cuenta lo que establece el artículo 130.1 de la LRJPAC en relación a la responsabilidad: “1.- Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 En la consideración cuarta, la recurrente vuelve a hacer interpretaciones que la favorecen y que no pueden tenerse en cuenta por lo que son, meras interpretaciones, así se desprende de la propia redacción utilizada por la recurrente “entiende esta parte”, “podía conocer y seguramente conocería…”. La recurrente entiende que los datos personales que contiene el correo controvertido pueden o podían ser conocidos por su hermano por haber sido presidente del Colegio y por seguir siendo en la actualidad colegiado. Aporta copia de varios correos remitidos por la tesorería entre otros a su hermano como anterior presidente del colegio, en los que se incluye el dato del teléfono móvil del tesorero. También aporta parte de los estatutos del Colegio, el artículo 15.
2. f)dentro de los derechos de los colegiados incluye el de “acceder a la documentación oficial del Colegio, obtener certificaciones de los documentos y actos colegiales…”. Pues bien, resulta discutible entender que el correo electrónico controvertido pueda considerarse como documentación oficial del Colegio, más bien se trata de un simple correo electrónico de gestión interna que se remite a un profesional contratado por el Colegio para que lleve a cabo sus funciones profesionales pero además aunque se pudiera considerar como documentación oficial no puede tenerse en cuenta la consideración de la recurrente porque el acceso a los datos personales del correo no se ha llevado a cabo utilizando los cauces formales establecidos en los estatutos del Colegio. Además hay que tener en cuenta que los titulares de los datos personales contenidos en el correo controvertido no han dado su consentimiento para que los mismos sean conocidos por persona distinta de la destinataria del correo, siendo por otro lado poco probable que si el hermano de la recurrente conociera esos datos, aportara copia del correo controvertido al juicio que tienen pendiente él y el Colegio. Por último se recuerda a la recurrente, que el procedimiento A/00050/2013 finalizó con una resolución en la que se la apercibía porque se cumplían los requisitos recogidos en los apartados
3. a)y
4. b)del artículo 45.6 de la LOPD. Junto a ello se constataba una disminución de la culpabilidad de la imputada teniendo en cuenta que no constaba que existan beneficios obtenidos como consecuencia de la comisión de la infracción. Esto conlleva que no se imponga a la recurrente la sanción económica que la LOPD establece en su artículo 45.2 para las infracciones graves. III Por tanto, dado que, en el presente recurso de reposición, Dª A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de mayo de 2013, en el procedimiento A/00050/2013. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es