← España

A-00025-2014

1/8 Procedimiento Nº: A/00025/2014 RESOLUCIÓN: R/00556/2014 En el procedimiento A/00025/2014, instruido por la Agencia Española de Protección de Datos ante D. A.A.A., vista la denuncia presentada por la DIRECCION GENERAL DE LA POLICIA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de marzo de 2013 tiene entrada en esta Agencia un escrito de la DIRECCION GENERAL DE LA POLICIA, Comisaría Local de La Laguna, remitido a través de la Subdelegación del Gobierno en Santa Cruz de Tenerife, en el que declara lo siguiente: <<Que el pasado día 05 de febrero, la Sala 091, en torno a las 20:30 horas, comisiona a una patrulla para que se desplace a la calle (C/.......................1), Los Majuelos de San Cristóbal de La Laguna, ante una llamada recibida comunicando que había numerosas fotografías de menores tiradas por el suelo. Personada la patrulla en el lugar de los hechos, comprueba la existencia de numerosas fotografías de menores vestidos con uniformes de colegios, orlas y otros eventos, junto con otras de personas mayores, recogiéndose todas ellas y trasladándose las mismas a dependencias policiales de la Comisaría Local de La Laguna. Entre las fotografías se encontraban diversos sobres de la empresa de fotografía CMS (Reportajes Fotográficos Escolares), con domicilio social en la calle… Posteriormente, la patrulla se traslada al domicilio social antes citado, identificándose a quien dice ser el propietario de la empresa, A.A.A.. Preguntado por las fotografías, señala que éstas pertenecen a su estudio, desconociendo el por qué las mismas han terminado tiradas en la calle, manifestando además que la empresa cuenta con una persona responsable de llevar esas fotografías a la Planta Industrial de Residuos Sólidos (PIRS). Significar que la patrulla no pudo hablar con este responsable al no encontrarse en la misma. El día 06 de febrero compareció en las dependencias policiales de la Comisaría Local de La Laguna B.B.B., en calidad de responsable de la empresa “Reportajes escolares CMS”, tras haber sido citada, declarando que desconocía quién y por qué se estaban tirando las fotografías a la basura, y no se habían trasladado al PIRS, que es el procedimiento habitual. En este mismo acto se le hace entrega de las fotografías depositadas en estas dependencias, tras reconocerlas previamente>>. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas elaborado y que resulta de la información aportada por D. A.A.A. (en lo sucesivo el denunciado): a. CMS Reportajes Escolares es un nombre comercial utilizado por el denunciado, que actúa en nombre propio como profesional autónomo, y es quien figura como responsable de los ficheros inscritos en el Registro General de Protección de Datos de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 b. Respecto al motivo por el que aparecieron las fotografías en un contenedor de basuras, manifiesta el denunciado: <<En el Documento de Seguridad, en el documento de Funciones y Obligaciones del Personal, y en las instrucciones verbales que continuadamente se recuerdan a los empleados-usuarios, se especifican claramente las Medidas de Seguridad que deben aplicarse para el desechado-destrucción de los documentos. En más de 40 años de operación del negocio, nunca antes había ocurrido una situación similar de desechar documentos sin destrucción previa. La entidad procesa anualmente centenares de miles de fotos de menores, por lo que si el proceso de desechado-destrucción de las mismas no estuviera establecido correctamente, este hecho podría ser mucho más recurrente, lo que no es el caso, dado que se ha producido sólo una vez en más de 40 años. Desconocemos los motivos por los cuales un empleado no siguió el procedimiento habitual y establecido desde hace muchos años para desechar-destruir documentos. Tampoco podemos saber quién pudo ser el causante de esta acción porque desconocemos la hora en que ocurrió y al hecho de que se trabaja en turnos. En nuestra opinión es un hecho aislado y fortuito, fruto de un error personal que difícilmente podrá volver a ocurrir. En la entidad se tiene muy presente la necesidad de proteger los datos de menores y de adultos, incluso desde antes de que existiera legislación de Protección de Datos, dada la sensibilidad que estos datos tienen para las familias y los propios titulares de los datos. Es por ello que la destrucción de los documentos es una acción prioritaria en las operaciones de nuestro día a día. Dada la situación actual, en la entidad se han tomado medidas adicionales de control y de concienciación, se han habilitado a sólo dos personas para que estén al cargo de la destrucción-desechado de documentos, y se han dispuesto contenedores especiales y específicos para custodiar los documentos e imágenes conteniendo datos personales, hasta que se proceda a su destrucción y traslado al PIRS. En el atestado de la Policía, también se hace referencias muy claras al procedimiento de desechado-destrucción de las fotos, que es el envío al punto PIRS>>. c. Aporta el denunciado copia del Documento de Seguridad, en el que figura un punto específico denominado “MEDIDAS DE SEGURIDAD PARA FICHEROS NO AUTOMATIZADOS”, en el que se especifica:  Cuando se proceda a la destrucción de expedientes en los que consten datos personales, se realizará de manera que no sea posible la identificación por terceros de la información que se destruye.  El procedimiento de desechado/destrucción de las fotos y del papel es: o Destructoras de panel o, en su caso, destrucción manual por medio de guillotinas, para posteriormente ser enviados por medios propios en contenedores al punto PIRS (Plan Insular de Residuos Sólidos) de la isla de Tenerife, el cual dispone de contenedores de recogida de panel, con las medidas de seguridad inherentes a un Punto Limpio en cuanto a no accesibilidad por terceros y de reciclado/destrucción asegurada de documentos. o Queda total y expresamente prohibido, dada la naturaleza de las fotos que en su mayoría son de menores, que el papel y las fotos sean desechadas en los contenedores de recogida de residuos en la calle, o en vertederos no controlados.>> d. Asimismo, el denunciado señala que informa a todos sus empleados sobre la existencia del Documento de Seguridad, y que estos firman un escrito contenido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 en el Anexo VI, denominado “FUNCIONES Y OBLIGACIONES DEL PERSONAL”, en el que se establecen las directrices para el tratamiento, por parte de todo el personal, de los datos conocidos como consecuencia del desempeño de su puesto de trabajo. e. Aporta diversas copias firmadas por los usuarios-empleados, acreditativas del conocimiento de sus obligaciones en relación con el Documento de Seguridad y de las medidas de seguridad aplicables. Entre otras indicaciones se contiene la siguiente: “En caso de desechar cualquier tipo de información confidencial o reservada, ya sea en soporte papel o soporte informático, el usuario deberá asegurarse la destrucción real del mismo”. TERCERO: Con fecha 11/02/2014, el Director de la Agencia Española de Protección de Datos acordó someter al denunciado a trámite de audiencia previa el presente procedimiento de apercibimiento A/00025/2014, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 91, 92.4 y 97.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, e infracción del artículo 10 de la citada Ley Orgánica, tipificadas como graves en los artículos 44.3.

  1. h)y 44.3.
  2. d)de la misma norma, respectivamente. CUARTO: Con fecha 04/03/2014 se recibe en esta Agencia escrito del denunciado en el que manifiesta que acepta plenamente la resolución de apercibimiento, con el firme y expreso compromiso de evitar en el futuro cualquier situación similar constitutiva de infracción de la normativa de protección de datos, y añade que han puesto en macha nuevas acciones, adicionales a las señaladas en su escrito anterior, para el mejor control de los datos y evitar riesgos: . Se ha contratado a una empresa especializada para la revisión continuada y auditoría de los procesos y cumplimiento de las medidas de seguridad (dos veces al año). . Se ha realizado un curso de protección de datos para empleados en fecha 28/09/2013 y se convocará otro en 2014. . Explicación y firma de un documento de funciones y obligaciones del personal y de medidas de seguridad en la gestión de documentos. . Adquisición de una destructora de documentos de tipo industrial, instalación de contenedores adicionales y mejora de la visibilidad de carteles. . Instalación de leyendas indicativas en todos los dispositivos electrónicos. HECHOS PROBADOS 1. Con fecha de 14/03/2013, la Comisaría Local de La Laguna informó sobre el hallazgo en la vía pública, en fecha 05/02/2013, de diversa documentación perteneciente al establecimiento CMS (Reportajes Fotográficos Escolares), propiedad del denunciado, señalando que esta incidencia le fue comunicada mediante llamada telefónico. Entre la documentación localizada, según refieren en el informe aportado, figuran numerosas fotografías de menores vestidos con uniformes de colegios, orlas y otros eventos, junto con otras de personas mayores. 2. El denunciado ha reconocido que la documentación le pertenece. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 3. El denunciado dispone de Documento de Seguridad, que contiene un punto específico denominado “MEDIDAS DE SEGURIDAD PARA FICHEROS NO AUTOMATIZADOS”, en el que se indica:  Cuando se proceda a la destrucción de expedientes en los que consten datos personales, se realizará de manera que no sea posible la identificación por terceros de la información que se destruye.  El procedimiento de desechado/destrucción de las fotos y del papel es: o Destructoras de panel o, en su caso, destrucción manual por medio de guillotinas, para posteriormente ser enviados por medios propios en contenedores al punto PIRS (Plan Insular de Residuos Sólidos) de la isla de Tenerife, el cual dispone de contenedores de recogida de panel, con las medidas de seguridad inherentes a un Punto Limpio en cuanto a no accesibilidad por terceros y de reciclado/destrucción asegurada de documentos. o Queda total y expresamente prohibido, dada la naturaleza de las fotos que en su mayoría son de menores, que el papel y las fotos sean desechadas en los contenedores de recogida de residuos en la calle, o en vertederos no controlados. 4. Los empleados del denunciado suscriben un documento denominado “FUNCIONES Y OBLIGACIONES DEL PERSONAL”, en el que se establecen las directrices para el tratamiento de los datos conocidos como consecuencia del desempeño de su puesto de trabajo, que contiene, entre otras indicaciones, la siguiente: “En caso de desechar cualquier tipo de información confidencial o reservada, ya sea en soporte papel o soporte informático, el usuario deberá asegurarse la destrucción real del mismo”. 5. Con su escrito de alegaciones de fecha 25/02/2014, el denunciado ha informado sobre las medidas adiciones adoptadas en materia de protección de datos personales: . Contratación de una empresa especializada para la revisión continuada y auditoría de los procesos y cumplimiento de las medidas de seguridad (dos veces al año). . Realización de cursos de protección de datos para empleados. . Explicación y firma de un documento de funciones y obligaciones del personal y de medidas de seguridad en la gestión de documentos. . Adquisición de una destructora de documentos de tipo industrial, instalación de contenedores adicionales y mejora de la visibilidad de carteles. . Instalación de leyendas indicativas en todos los dispositivos electrónicos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con el abandono en un lugar público de documentación responsabilidad del denunciado, en la que se contienen datos personales (fotografías), podrían suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 91, 92.4 y 97.2, que establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
  4. h)de la LOPD, que considera como tal, “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, los hechos expuestos, en relación con el acceso por parte de un tercero a los datos personales contenidos en la documentación perteneciente al denunciado abandonada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 en un lugar público, podría suponer la comisión por el mismo, de una infracción del artículo 10 de la LOPD, según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo” , que aparece tipificada como grave en el artículo 44.3.
  5. d)de dicha norma, que califica como tal “la vulneración del deber de guardar secreto acerca del tratamiento de sus datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con lo expuesto, los hechos que podrían fundamentar ambas infracciones son los mismos, por lo que nos encontraríamos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del abandono de documentación en la vía pública que podría suponer una infracción de las medidas de seguridad, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procedería subsumir ambas infracciones en una. En este caso las dos infracciones se tipifican como graves, por lo que corresponde considerar únicamente la infracción del artículo 9 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. II De acuerdo con lo expuesto, se iniciaron actuaciones contra el denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
  6. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, e infracción del artículo 10 de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.
  7. d)de la misma norma. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter al denunciado a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 9 y 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  10. a)y
  11. b)del citado artículo 45.6 de la LOPD. Sin embargo, en el presente caso, consta acreditado que el denunciado dispone de procedimientos adecuados para la destrucción de documentación y tiene establecidas normas internas entre sus empleados para la confidencialidad de la información. Además, con su escrito de alegaciones a la apertura del presente procedimiento ha aportado un detalle sobre otras mejoras de seguridad implantadas que pueden contribuir a garantizar una mayor protección de sus equipos y sus ficheros, que constan reseñadas en el Hecho Probado Quinto. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00025/2014 seguido contra D. A.A.A., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción de los artículos 9 y 10 de la LOPD. 2.- NOTIFICAR la presente Resolución a D. A.A.A. y a la Dirección General de la Policía. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.