1/7 Procedimiento N.º.: PS/00134/2021 - Recurso de reposición N.º RR/00092/2022 Examinado el recurso de reposición interpuesto por la AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00134/2021, y en base a los siguientes HECHOS PRIMERO: En fecha 14 de enero de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00134/2021, en virtud de la cual, se imponía una sanción de apercibimiento, por la vulneración de lo dispuesto en el artículo 5.1.
- f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5.
- a)del RGPD y calificada de muy grave en el artículo 72.1.
- i)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), y por la vulneración de lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el artículo 83.4 del RGPD y calificada de grave en el artículo 73
- f)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada al recurrente en fecha 17 de enero de 2022, fue dictada, previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00134/2021, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: En fecha 15 de agosto de 2020, la reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, contra la AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS, toda vez que el reclamado dictó una resolución sobre su caso permitiendo el acceso parcial a la información solicitada, publicando de forma abierta la resolución, ya que, aunque se colocaba un rectángulo negro encima de su nombre y apellidos, este texto no era eliminado, y aparecía en el pdf, por lo que era posible acceder a él y localizarlo utilizando un buscador de Internet o un editor de pdf. SEGUNDO: Se verifica que se trata de un documento pdf en el cual, realizando una búsqueda del texto se encuentra una ocurrencia (una de una: 1/1), si bien dicho texto no se visualiza al estar, al parecer, oculto con un rectángulo negro. Se comprueba que se puede extraer de este documento, copiando y pegando, el texto de debajo del rectángulo negro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: En fecha 10/02/2021, se intenta el acceso a la dirección URL y se verifica que la página ya no se encuentra. Se comprueba que utilizando el motor de búsqueda de Google el texto “A.A.A.” se sigue encontrando. Al acceder mediante el enlace mostrado por Google, no se encuentra la publicación de la página. Se verifica que la citada página se encuentra en la caché de Google.” TERCERO: La AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS (en lo sucesivo el recurrente), ha presentado, en fecha 15 de febrero de 2022, en esta Agencia Española de Protección de Datos, recurso de reposición, reiterando las alegaciones presentadas a lo largo del procedimiento sancionador objeto de recurso. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver el presente recurso, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. SEGUNDO: En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II de la resolución recurrida, tal como se transcribe a continuación: “SEGUNDO: En relación con las manifestaciones efectuadas por la parte reclamada, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas no sólo fueron analizadas y desestimadas, sino que se tuvieron en cuenta para formular la Propuesta de resolución, cuyos Fundamentos de Derecho continúan plenamente vigentes, y que se resumen en lo siguiente: En primer lugar, el derecho fundamental de la reclamante, a que sus datos no sean utilizados de forma sorpresiva, asociados al desarrollo de su tarea, suponen un uso no legítimo de dichos datos, no adecuado, necesario, ni justificado. Debe tenerse en cuenta que la normativa de protección de datos no efectúa una distinción entre datos públicos y privados, permitiendo sin más, el uso de datos que la afectada haya hecho públicos, sino que otorga con carácter general una protección a los datos personales determinando aquéllos supuestos en que dicho tratamiento resulta conforme a la misma. El Tribunal Constitucional, viene a establecer el derecho a la protección de datos como derecho fundamental autónomo. En virtud de este derecho fundamental, el ciudadano, con carácter general, puede decidir sobre sus propios datos. En este sentido debe tomarse en consideración, la doctrina jurisprudencial del Tribunal Constitucional en esta materia, que configura el derecho a la protección de datos como un derecho fundamental autónomo, diferenciado del derecho fundamental a la intimidad. Señala así en su Sentencia 292/2000, lo siguiente: “De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que, por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo.” La aludida Sentencia 292/2000 determina, asimismo, el contenido del derecho a la protección de datos personales señalando en su fundamento jurídico 7: “De todo lo dicho resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los rectifique o los cancele.” El objeto de protección del derecho fundamental a la protección de datos, no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que ya estaría protegido por el artículo 18.1 de la Constitución, sino los datos de carácter personal. Es decir, el TC viene a extender este derecho fundamental a los datos personales públicos, que por el hecho de ser públicos no pueden escapar al poder de disposición del propio interesado o afectado, no constriñéndose a los relativos a la vida privada o íntima de la persona, sino que los datos amparados y protegidos son todos aqueC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 llos que identifiquen o permitan la identificación de la persona, que puedan configurar su perfil ideológico, racial, sexual, económico, etc. El derecho fundamental a la protección de datos se concreta en un poder de disposición y de control sobre los datos personales. De esta manera, la persona debe quedar facultada para decidir cuáles de sus datos proporcionar a un tercero, sea la Administración o un particular, decidir cuáles puede este tercero recabar, saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Este derecho, así configurado, requiere como complementos indispensables, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, así como poder oponerse a esa posesión y usos. Por tanto, cualquier actuación que suponga privar a la persona de aquellas facultades de disposición y control sobre sus datos personales, constituirá un ataque y una vulneración de su derecho fundamental a la protección de datos. En este sentido se pronunció el TC, en Sentencia 11/1981, de 8 de abril, “se rebasa o se desconoce el contenido esencial cuando el derecho queda sometido a limitaciones que lo hacen impracticable, lo dificultan más allá de lo razonable o lo despojan de la necesaria protección”. En segundo lugar, de los hechos probados en este procedimiento, se desprende que la entidad reclamada en su calidad de organismo público responsable del tratamiento de datos de carácter personal debió adoptar las medidas necesarias para impedir cualquier acceso a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que en su página web figuraban los datos identificativos de la reclamante de este procedimiento. La anonimización de datos debe considerarse como una forma de eliminar las posibilidades de identificación de las personas. El avance de la tecnología y la información disponible hacen difícil garantizar el anonimato absoluto, especialmente a lo largo del tiempo, pero, en cualquier caso, la anonimización va a ofrecer mayores garantías de privacidad a las personas. En este sentido, la utilización de medidas como, por ejemplo, los mecanismos y protocolos de anonimización que conlleven la definición del equipo de trabajo, la formación del personal, las medidas de confidencialidad, el uso de posibles estándares, la utilización de códigos de buenas prácticas, etc., definen de forma explícita la intención y diligencia del responsable del tratamiento en los procesos de anonimización de datos personales. No obstante, se comprueba que se ha retirado el documento objeto de conflicto del presente procedimiento, lo que evidencia que se dieron todos los pasos necesarios para la pronta resolución del problema. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos, una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Por último, el artículo 29.5 de la Ley 40/2015 se refiere a lo que se conoce como “concurso medial de infracciones administrativas”, que resulta de aplicación cuando una infracción más leve sirve como medio para cometer otra más grave. Para que resulte de aplicación, es necesario que se verifique la concurrencia de una pluralidad de acciones, que, a su vez, den lugar a una pluralidad de infracciones (por ejemplo, dos hechos y dos infracciones); con la particularidad de que una de ellas sea instrumento o medio necesario para la perpetración de la otra. De acuerdo con los fundamentos anteriores, consta que se ha producido una acción, la vulneración de la seguridad del tratamiento de los datos al no anonimizarlos adecuadamente, lo que ha tenido como consecuencia una infracción de resultado por la pérdida de confidencialidad de estos. Al no concurrir varias acciones, no se está ante un “concurso medial”, ni cabe aplicar al caso el citado artículo 29.5. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 5.1.
- f)del RGPD, que rige el principio de confidencialidad e integridad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento y artículo 32 del RGPD.” TERCERO: Se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1
- f)y 32 del RGPD, por falta de medidas de seguridad que impidieran el acceso a datos inicialmente anonimizados, toda vez que el reclamado permitió el acceso parcial a la información solicitada, publicando de forma abierta la resolución, ya que, aunque se colocaba un rectángulo negro encima del nombre y apellidos, este texto no era eliminado, y aparecía en el pdf, por lo que era posible acceder a él y localizarlo utilizando un buscador de Internet o un editor de pdf. El tratamiento masivo de datos procedentes de los ciudadanos obliga a la implementación de garantías o mecanismos para preservar la privacidad y el derecho a la protección de datos de carácter personal, entre ellas las basadas en la anonimización de dichos datos. Existe un riesgo de que, una vez que se ha anonimizado un conjunto de datos, se pueda producir una desanonimización de éstos. Por lo tanto, es necesario tener una estimación objetiva de cuál es la probabilidad de reidentificación a partir del conjunto de cuasi-identificadores y, de esa forma, tener una medida de dicho riesgo. Es deber del responsable del tratamiento velar por la privacidad de los sujetos de los que trata datos. Algunas entidades consideran que suprimir o enmascarar los atributos de carácter identificador resulta suficiente para garantizar la anonimidad de los sujetos objeto de estudio, sin embargo, es posible que campos comunes presentes en diferentes fuentes de datos, convenientemente agrupados y cruzados, se conviertan en un atributo seudoidentificador que llegue a comprometer la privacidad de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Por lo tanto, la anonimización no puede limitarse a la simple aplicación rutinaria y pasiva de determinadas reglas de uso común, sino que en aplicación del principio de accountability, el responsable del tratamiento debe analizar los riesgos de reidentificación en sus procesos de anonimización, escogiendo adecuadamente el tipo de atributos cuasi-identificadores utilizados, con el objetivo de reducir la probabilidad de que el cruce de dichos campos con otros contenidos en fuentes de datos externas, pueda representar un riesgo para los derechos y libertades de los individuos sujetos de su tratamiento. CUARTO: En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS, contra la resolución de esta Agencia Española de Protección de Datos, dictada con fecha 14 de enero de 2022, en el procedimiento sancionador PS/00134/2021. SEGUNDO: NOTIFICAR la presente resolución a la entidad AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es