1/7 Procedimiento nº.: E/00576/2014 ASUNTO: Recurso de Reposición Nº RR/00837/2014 Examinado el recurso de reposición interpuesto por Doña A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00576/2014, y en base a los siguientes HECHOS PRIMERO: Con fecha 29 de septiembre de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/00576/2014, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 7 de octubre de 2014, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. ha presentado en esta Agencia, en fecha 6 de noviembre de 2014, recurso de reposición, fundamentándolo básicamente en las incongruencias recogidas en la Resolución ya que el denunciado manifiesta que imprime el Diario de Ventas para el cumplimiento de las funciones encomendadas, exponiendo a continuación que solo dispone de un extracto del diario que solo incluye las operaciones de venta que el mismo realizó. La información la aportó en el Juzgado de lo Social nº 3 de Alicante. Con posterioridad se contradice al alegar que es legítimo el acceso al Diario de Ventas de la farmacia ya que está incluido un 0,3% de la facturación total en su retribución. También existe incongruencia al indicar la Agencia que no se ha acreditado que el denunciado imprimiese el Diario de Ventas con datos personales cuando lo ha aportado con el nombre del cliente tachado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La Resolución ahora recurrida se fundamentó en lo siguiente: “La denuncia se concreta en la sustracción de datos de carácter personal especialmente protegidos del sistema informático de la oficina de farmacia cuya titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 es la denunciante, por parte del anterior responsable de seguridad, farmacéutico adjunto de la farmacia, durante el mes de octubre de 2013. El artículo 9 de la LOPD, relativo a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección de datos de carácter personal, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Los datos personales de los usuarios de la oficina de farmacia cuya titularidad ostenta la denunciante están incluidos en el fichero denominado “CLIENTES” cuyo responsable es la oficina de farmacia de Doña A.A.A., según consta en el Registro General de Ficheros de esta Agencia, y son datos de carácter personal que, por lo tanto, están sujetos al ámbito de aplicación de la LOPD por ser datos de personas físicas. La oficina de farmacia citada tiene incorporadas las medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 exigidas en la normativa de protección de datos, teniendo documento de seguridad y responsable de seguridad. El responsable de seguridad era el farmacéutico ahora denunciado. En el documento de seguridad, constan las personas que tienen acceso a los ficheros con datos y sus perfiles. El artículo 103 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aplicable a los ficheros que deben tener incorporadas las medidas de seguridad de nivel alto, dispone lo siguiente: “Registro de accesos 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
- a)Que el responsable del fichero o del tratamiento sea una persona física.
- b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.” La oficina de farmacia tiene incorporadas estas medidas de seguridad incorporadas en su fichero de Clientes, ya que ha facilitado los accesos efectuados por el denunciado, horas y minutos y fichero accedido. Por otro lado, el denunciado tenía perfil de acceso a ese fichero al ser el responsable de seguridad. Asimismo, la facturación a la que accedió era un dato que debía conocer ya que una parte de su salario devenía de la cantidad facturada por la oficina de farmacia. III El artículo 10 de la LOPD dispone lo siguiente: "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El mencionado artículo 10 contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. En este sentido, el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En el supuesto denunciado, no se ha acreditado que el denunciado imprimiese el listado de las ventas realizadas conteniendo datos personales de los adquirentes (que aparece en un 10% de las operaciones, aproximadamente, ya que si se paga al contado se desconocen los datos personales del cliente), ya que la finalidad de la impresión es reclamar judicialmente la cantidad que se le adeuda como consecuencia del 0,3% de la facturación que se le abona como parte de su salario. La posibilidad de imprimir los listados sin datos personales es una posibilidad que la propia denunciante apunta en su denuncia y alegaciones, y que el denunciado señala que así realizó. Por tanto, no queda acreditado que el Sr. B.B.B. sustrajera un listado extraído del fichero Clientes con datos personales. IV No obstante lo anterior, y en el caso de que el denunciado cediese los datos de los clientes a los Tribunales que llevan los trámites de sus procedimientos, de conformidad con lo indicado en el artículo 11.2.
- d)de la LOPD no requeriría el consentimiento de los afectados. El artículo citado señala: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Junto a lo anterior, hemos de tener en cuenta lo establecido en el artículo 24 de la Constitución Española, que en lo relativo al derecho constitucional a la “Tutela Judicial Efectiva”, su punto 2º nos dice: “asimismo, todos tienen derecho a utilizar los medios de prueba pertinentes para su defensa.” Tal y como sostiene reiterada jurisprudencia del Tribunal Constitucional (por todas, STC 186/2000, de 10 de julio, con cita de otras muchas) "el derecho a la intimidad no es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder ante intereses constitucionalmente relevantes, siempre que el recorte que aquél haya de experimentar se revele como necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho". Por tanto, normativamente se ha establecido la correspondiente previsión, referida a la utilización de medios probatorios por las partes para el procedimiento seguido en cada caso. Así habría que señalarse que el artículo 726 y siguientes de la Ley de Enjuiciamiento Criminal (en adelante LEC), admite la aportación de pruebas documentales como elementos probatorios y acreditativos de la posición de las partes, que deben ser evaluadas por el correspondiente juez, cuyo conocimiento y difusión se circunscribe al ámbito del conflicto judicial, lo cual se ve complementado con lo establecido en el artículo 11.2 de la LOPD, como hemos visto. A partir de lo anterior, y aun cuando no mediase consentimiento de los titulares para el tratamiento de sus datos, debe partirse de la premisa de que ningún derecho es absoluto y que puede ceder ante intereses constitucionalmente relevantes. Por otra parte, la Sentencia de la Audiencia Nacional de 8 de marzo de 2012, da una interpretación extensiva al artículo 11.2.
- d)de la LOPD, de forma que no sólo cubre los datos solicitados directamente por los Jueces y Tribunales, sino también aquellos obtenidos por las partes y aportados al proceso como prueba y que han sido admitidos como tal. En concreto, la SAN resuelve lo siguiente: “Ha de tenerse en cuenta, además, que una de las causas que excluye la necesidad de consentimiento para la cesión de datos personales, es que la comunicación que deba efectuarse tenga por destinatarios a los Jueces o Tribunales (Art. 11.2.
- d)LOPD). Excepción en la que no es descabellado incluir aquellos supuestos en que se trata de pruebas que, si bien no han sido solicitadas por el Juez o Tribunal, sino aportadas por las partes, con posterioridad no consta que las mismas hayan sido rechazadas, sino incorporada por el Juez a las actuaciones, tal y como, al parecer, ocurrió en el presente supuesto”. De lo expuesto se infiere que la oficina de farmacia ha adoptado y ha aplicado las medidas de seguridad que exige la normativa de protección de datos para ficheros con datos personales; que el denunciado tenía perfil adecuado para acceder al fichero de clientes; que accedió e imprimió el detalle de las operaciones de compra-venta de la farmacia ya que una parte de su salario venía determinado por la cuantía de las ventas; y que las impresiones efectuadas tienen como destinatario a los Tribunales que conocen de las denuncias y demandas que mantienen entre la empleadora y el empleado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 III Las alegaciones del recurso se fundamentan en la incongruencia de las manifestaciones del denunciado y de la propia Resolución. En cuanto a las del denunciado, en la Resolución se ha recogido su exposición de los hechos y justificación de los mismos. En relación a lo indicado en los Fundamentos Jurídicos de la Resolución, es cierto que en la misma se recoge que no se ha acreditado que imprimiese el diario de ventas con los datos personales. Lo que se quiso indicar (y que para nada cambia el sentido de la Resolución ahora recurrida) es que facilitase datos personales de clientes al entregar el listado a los Tribunales, ya que ocultó los datos de los mismos. La documentación fue entregada al Juzgado con los nombres de los clientes ocultos. Por otra parte, debe significarse que la eventual vulneración de las medidas de seguridad invocadas corresponderían, en su caso, al responsable del fichero; en este caso, a la denunciante, según lo previsto en el artículo 79 y siguientes del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. La eventual infracción cometida por el denunciado debería, en su caso, incardinarse en el deber de secreto previsto en el artículo 10 de la LOPD, circunstancia no acreditada al haberse aportado únicamente los listados a instancias judiciales sin que se pruebe divulgación excesiva ni que éstas no las hayan admitido resultando plenamente aplicable la citada Sentencia de la Audiencia Nacional de 8 de marzo de 2012. No procede en consecuencia actuación alguna de esta Agencia cuestionando una prueba aportada y admitida en sede judicial que pudiera colisionar con el correcto ejercicio del derecho a la tutela judicial efectiva ponderada por el Tribunal. Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la resolución de esta Agencia dictada con fecha 29 de septiembre de 2014, en el expediente de actuaciones previas de inspección E/00576/2014. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es