Denuncia contra ayuntamiento por no garantizar la confidencialidad: obligación de presentar prueba

I Competencia

De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II Principios relativos al tratamiento

La letra f) del artículo 5.1 del RGPD propugna:

"1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)."

III Seguridad del tratamiento

El artículo 32 del RGPD estipula lo siguiente:

"1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros."

IV Conclusión

En el presente caso, se formula reclamación contra el Ayuntamiento de San Cristóbal de La Laguna, toda vez que la parte reclamante presentó una denuncia por acoso laboral ante el Ayuntamiento y este no garantizó la confidencialidad de su identidad al no haberse seguido durante la tramitación de dicha denuncia lo dispuesto en el procedimiento operativo para la prevención y actuación en materia de acoso laboral.

Como única prueba aporta la denuncia presentada en el Ayuntamiento junto con el justificante de asiento en Registro de Entrada, de fecha 23 de noviembre de 2022 y el Procedimiento operativo para prevención y actuación en materia de acoso laboral del Ayuntamiento, de fecha 15 de mayo de 2010, sin aportar ninguna evidencia sobre los hechos que motivan la reclamación formulada ante esta AEPD.

No obstante, las actuaciones de investigación desarrolladas no han permitido constatar los manifestado por la parte reclamante al no haber contestado al requerimiento de la Inspección en el que se le solicitaba la grabación de la conversación mantenida con el ***PUESTO.1, por lo que la mera presentación de estos documentos no es prueba suficiente para enervar el derecho a la presunción de inocencia de la reclamada.

Por otra parte, señala la parte reclamante en su reclamación que no se respetó el protocolo establecido por la parte reclamada para casos de denuncias por acoso laboral (“Procedimiento Operativo para la Prevención y Actuación en materia de acoso laboral”), en concreto en lo relativo a la presentación de la denuncia ante el Departamento de RRHH, dentro de un sobre cerrado dirigido a la Unidad de Prevención de Riesgos Laborales.

Sin embargo, no tiene en cuenta la parte reclamante que dicha previsión está dirigida al propio denunciante. En ese “Procedimiento” se establece que cualquier empleado de la parte reclamante que sufra una situación de acoso deberá formular su reclamación por escrito según el modelo normalizado, siendo el propio denunciante quién deberá presentarla “dentro de un sobre cerrado para garantizar la máxima confidencialidad, dirigido a la Unidad de Prevención de Riesgos Laborales y lo presentará en el Dpto. de Recursos Humanos”.

En este punto se hace necesario indicar que tampoco la parte reclamada ha contestado a ninguno de los requerimientos efectuados.

Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando claro la plena virtualidad del principio de presunción de inocencia.

Según tiene reiteradamente afirmado el Tribunal Constitucional, 'la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado por el art. 24.2 de la Constitución al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones.” (Sentencia núm. 74/2004, de 22 de abril, de la Sala Segunda del Tribunal Constitucional).

En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”.

La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.”

En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado.

En consecuencia, a la vista de la documentación que obra en el expediente y de conformidad con lo señalado los párrafos anteriores, procede el archivo de las presentes actuaciones, al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible entre las infracciones previstas y sancionadas en el RGPD.

Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos.

Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta.

Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: