1/11 Procedimiento Nº: A/00046/2015 RESOLUCIÓN: R/01310/2015 En el procedimiento A/00046/2015, instruido por la Agencia Española de Protección de Datos a la entidad COPIFAX, S.L., vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de agosto de 2014, tuvo entrada en esta Agencia un escrito en el que se expone que el día 3 de junio de 2014 llevó su ordenador al objeto de “Cambio de disco duro en garantía. Instalar sistema operativo. Salvar datos de usuario” a la mercantil COPIFAX, S.L. Cuando recogió el ordenador comprobó que el disco duro estaba vacío y no contenía los documentos que había que salvar: curriculums, nóminas, cartas de recomendación, datos bancarios, etc. Llamó al servicio técnico para consultar lo ocurrido y le indicaron que lo llevara y cargarían sus documentos. Al acceder a los archivos y ficheros comprobó que eran ficheros de otra persona los que habían grabado en el disco duro de su ordenador. Al acudir al establecimiento, me indicaron que el nº de albarán suyo era el 10578 y erróneamente habían grabado los ficheros del nº de albarán *****. El día 13 de junio de 2014, compareció ante un Notario para que diera fe de la existencia de archivos y ficheros informáticos que no eran los suyos. Cuando acudió a su antiguo puesto de trabajo, pudo comprobar que sus ficheros eran conocidos por personas con las que no tenía amistad ni afinidad, sospechando que habían sido informados por alguna persona de COPIFAX. Acompaña copia del Acta Notarial en la que se explican las carpetas encontradas en el disco duro de la denunciante con anterioridad a la sustitución por las suyas, así como las declaraciones del responsable de COPIFAX en la Hoja de Reclamaciones del Instituto Gallego de Consumo, en la que reconocen que por un error se cargó la información que había en el disco duro correspondiente al albarán nº *****. SEGUNDO: Con fecha 6 de abril de 2015, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la LOPD, acordó someter a COPIFAX, S.L., a trámite de audiencia previa al apercibimiento, por la presunta infracción del artículo 9 y del 10 de la LOPD, en relación con los artículos 82, apartados 88 y 89 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
- h)y 44.3.
- d)de la citada Ley Orgánica. TERCERO: La denunciante presentó escrito de personación en el procedimiento. Dentro del plazo que le fue concedido, el denunciante presentó escrito de alegaciones en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 manifestó lo siguiente: . El denunciado reconoce que se produjo un error en la lectura del número de los albaranes, pero de ese error no se ha derivado ningún perjuicio para un tercero. La persona afectada ha recibido explicaciones y no va a presentar queja o denuncia alguna. Expone la denunciante que al acudir a su antiguo trabajo pudo comprobar que sus ficheros eran conocidos por personas con las que no le unía amistad ni afinidad, de lo que deduce que fueron informados por COPIFAX, S.L., hecho que no se acredita. Aceptan el apercibimiento. HECHOS PROBADOS PRIMERO: Con fecha 3 de junio de 2014, la denunciante llevó su ordenador al objeto de “Cambio de disco duro en garantía. Instalar sistema operativo. Salvar datos de usuario” a la mercantil COPIFAX, S.L. Cuando recogió el ordenador comprobó que el disco duro estaba vacío y no contenía los documentos que había que salvar: curriculums, nóminas, cartas de recomendación, datos bancarios, etc. Llamó al servicio técnico para consultar lo ocurrido y le indicaron que lo llevara y cargarían sus documentos. SEGUNDO: Al acceder a los archivos y ficheros comprobó que eran ficheros de otra persona los que habían grabado en el disco duro de su ordenador. Acompaña copia del Acta Notarial en la que se explican las carpetas encontradas en el disco duro de la denunciante con anterioridad a la sustitución por las suyas, así como las declaraciones del responsable de COPIFAX en la Hoja de Reclamaciones del Instituto Gallego de Consumo, en la que reconocen que por un error se cargó la información que había en el disco duro correspondiente al albarán nº *****. TERCERO: Al acudir al establecimiento, COPIFAX indicó a la denunciante que el nº de albarán suyo era el 10578 y erróneamente habían grabado los ficheros del nº de albarán *****. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El Titulo VII sobre Infracciones y sanciones, el artículo 43 de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” Se imputa a COPIFAX el incumplimiento del principio de seguridad de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 personales. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
- a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Partiendo de tales premisas, procede analizar a continuación las previsiones contenidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, para garantizar la seguridad de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 personales y, en concreto, que no se produzcan accesos no autorizados. De acuerdo con lo establecido en dicho Reglamento, las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Los artículos 88 y 89 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
- a)La identificación del responsable o responsables de seguridad.
- b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. 5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo. 6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados. En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento. 7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. 8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal”. “Artículo 89. Funciones y obligaciones del personal. 1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento. 2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. En definitiva, la denunciada está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado en el procedimiento, y así lo ha reconocido la propia imputada COPIFAX, S.L., que incumplió estas obligaciones, en lo relativo a la que datos personales de una tercera persona que fueron facilitados a la denunciante al entregarle su disco duro. Si COPIFAX hubiese actuado con la diligencia debida no habría incluido datos de un tercero en el disco duro de la denunciante, facilitando el acceso a un tercero de datos personales sin consentimiento del afectado. El propio responsable en cuestión reconoció el error cometido en el número del albarán, que originó que se pudiese acceder a los datos personales de un tercero sin su conocimiento ni consentimiento. En consecuencia, en este caso, resulta que COPIFAX no había garantizado la seguridad de los datos personales del denunciante, lo que supone la comisión de una infracción del artículo 9.1 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. III El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que COPIFAX ha incurrido en la infracción grave descrita. IV Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación de los datos de un tercero a la denunciante al incluirlos en el disco duro de la Sra. A.A.A.. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
- g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, la entidad COPIFAX, S.L., con la incorporación de los datos de un tercero en el disco duro de la denunciante, permitió el acceso por parte de la denunciante a datos personales relativos a un tercero, según el detalle que conste en los hechos probados, cuestión que ha quedado acreditada en el presente procedimiento sin que el titular de los datos hubiese prestado su consentimiento para ello. Por tanto, queda acreditado que por parte de COPIFAX, S.L., responsable de la custodia de los datos en cuestión, se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso no restringido por terceros a datos personales sin contar con el consentimiento del titular de tales datos. Este incumplimiento aparece tipificado como infracción grave en el artículo 44.3.
- d)de dicha norma, que califica como tal “La vulneración del deber de guardar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley”. V Los hechos constatados, consistentes en tratar los datos de la denunciante insertando una fotografía de la misma en las webs citadas y facilitar a terceros el acceso a dicha imagen sin el consentimiento de la titular de los datos, constituye una base fáctica para fundamentar la imputación a COPIFAX, S.L., de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del tratamiento de datos que supone incorporarlos al disco duro de un tercero, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo imponer únicamente declarar la infracción del artículo 9 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. En el presente caso se cumple el supuesto de hecho que tipifica este precepto, es decir, resulta acreditado un tratamiento de datos personales sin cumplir las medidas de seguridad por parte de COPIFAX, S.L., ha cometido la infracción tipificada en dicho artículo. VI El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el carácter no continuado e la infracción, el volumen de los tratamientos afectados, el grado de intencionalidad apreciado y que no constan beneficios obtenidos como consecuencia de la comisión de la presunta infracción ni vinculación de la actividad de COPIFAX, S.L., con la realización de tratamientos de datos de carácter personal y la ausencia de reincidencia. Por otra parte, procede requerir a la entidad COPIFAX, S.L., la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo medidas correctoras adecuadas para impedir el error cometido que ha facilitado el acceso a los datos personales de un tercero, evitando que resulten accesibles por parte de terceros, con el alcance expresado en los Fundamentos de Derecho anteriores. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00046/2015) a la entidad COPIFAX, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 artículo 46.1 del referido texto legal. 2.- REQUERIR a COPIFAX, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados y no a terceros y comprometiéndose expresamente a verificar que la información que incluyen en los discos duros corresponde a la del albarán de su titular. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/03228/2015, podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad COPIFAX, S.L., 4.- NOTIFICAR el presente Acuerdo a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es