1/9 Procedimiento Nº: A/00052/2017 RESOLUCIÓN: R/00939/2017 En el procedimiento A/00052/2017, instruido por la Agencia Española de Protección de Datos a la entidad IBERHOME 2015, S.L.., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 04/05/2016 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que expone que el 19 de abril de 2016, en un contenedor de basura cercano al domicilio de la empresa denunciada, sito en (C/...1) (Barcelona), encontró una bolsa que contenía documentos rotos con datos personales de su madre y de terceros. Junto con la denuncia, se aportan los referidos documentos, donde se observan los datos personales de una pluralidad de personas, en concreto: nombre, apellidos, NIF, dirección, teléfono y datos bancarios parciales. En estos documentos se puede apreciar el anagrama de IBERHOME 2015, junto con su CIF y dirección. Asimismo, constan una serie de currículos con fotografía y uno de ellos con datos curriculares. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/02660/2016. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos de fecha 10/02/2017: “(…) 1. IBERHOME 2915, S.L. manifiesta que un empleado de las oficinas de Cornellá de Llobregat habría depositado por error documentación con datos personales en un contener situado a la salida de las oficinas de la empresa. 2. IBERHOME manifiesta que los empleados tienen instrucciones respecto de la destrucción de los documentos en las máquinas trituradoras de papel disponibles al efecto en las oficinas de la compañía. Y en caso de que el volumen de documentos a destruir fuera elevado, la compañía indica que se proceda a la contratación de una empresa destructora segura. IBERHOME ha aportado factura de la compra de dos destructoras de papel, de fecha 30 de septiembre de 2015, y copia de las condiciones que figuran en el contrato de trabajo de sus empleados donde consta una cláusula de confidencialidad”. TERCERO: Con fecha 28/02/2017, la Directora de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a la entidad IBERHOME 2015, S.L.. a trámite de audiencia previa al apercibimiento por la por la presunta infracción del artículo 9 de la LOPD, en relación con el 92.4 del RLOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley. Con tal motivo, se concedió a IBERHOME 2015, S.L.. un plazo de audiencia de quince días hábiles para que formulara las alegaciones y presentara las pruebas que considerase oportunas. Por último, indicar que el referido acuerdo fue debidamente notificado a la entidad denunciada el día 06 de marzo de 2017, como así lo acredita la prueba de entrega remitida por Correos y que se incorpora al expediente. CUARTO: El día 23 de marzo tuvo entrada en esta Agencia de Protección de Datos escrito de doña María José Pérez Cuadrado, actuando en nombre y representación de la mercantil denunciada, donde en síntesis se expone lo siguiente: Que un empleado de IBERHOME de las Oficinas de Cornellá de Llobregat (Barcelona), depositó por error cierta documentación que contenía datos personales en un contenedor ubicado a la salida de las señaladas oficinas. La conducta descrita se debió a un error puntual de un empleado y que no se ajusta a la política de la empresa para la destrucción de la documentación confidencial, ya que antes de ser vertida en contenedores públicos debe ser destruida en las máquinas trituradoras de papel de las que se dispone; de hecho, una de ellas se encontraba ubicada en las oficinas de la empresa en Cornellá del Llobregat. IBERHOIME ha realizado diferentes actuaciones para adecuar su actividad a la normativa sobre la protección de datos de carácter personal desde su constitución. A raíz de los hechos que originaron el inicio de este procedimiento, IBERHOME ha adoptado las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid • Se recordó por escrito a los trabajadores su obligación de destruir toda la documentación confidencial en las trituradoras disponibles al efecto. • Contratación de una empresa especializada en el alquiler de contenedores de papel para su recogida, transporte y destrucción (Destrucción Confidencial de Documentación, S.A. • Contratación de la una empresa de consultoría externa (Auren www.agpd.es sedeagpd.gob.es 3/9 Consultores SP, SLP), para la determinación de las medidas de seguridad a adoptar en materia de protección de datos de carácter personal, y la elaboración del correspondiente documento de seguridad. • Suscripción con los trabajadores de una cláusula de responsabilidad por el cumplimiento de la normativa y política interna de IBERHOME en materia de tratamiento de datos de carácter personal, así como de la necesidad de conocer las medidas de seguridad, técnicas y organizativas correspondientes. • Contratación de un curso de formación del personal en relación con las obligaciones a las que deben dar cumplimiento en materia de protección de datos de carácter personal. • Designación de un responsable para la vigilancia del cumplimiento de las obligaciones en materia de protección de datos de carácter personal. Se aporta documentación acreditativa de lo indicado. Por último, la empresa IBERHOME señala que en el presente caso concurren todos los criterios establecidos a los efectos de acordar el apercibimiento previsto en el artículo 45.6 de la LOPD. HECHOS PROBADOS PRIMERO: Don A.A.A. encontró en la vía pública, junto a unos contenedores, una bolsa que contenía una serie de documentos rotos, pero no destruidos, donde se podían apreciar perfectamente datos personales de diferentes personas: Constan varios contratos donde se aprecia nombre y apellidos del contratante, su D.N.I., dirección postal, teléfono y su fecha de nacimiento, parcialmente número de cuenta corriente. En todos ellos, figura el anagrama de IBERHOME 2015. Asimismo, aparecen currículums de diferentes personas, con sus datos personales, y en un caso, se puede apreciar su formación y experiencia. SEGUNDO: La empresa denunciada disponía de trituradoras de papel, e incluía en los contratos de trabajo de sus empleados una cláusula de confidencialidad, con anterioridad a que acaecieran los hechos denunciados. TERCERO: IBERHOME 2015, en los últimos tiempos, ha adoptado una serie de medidas tendentes al cumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con el abandono junto a un contenedor, lugar público, de documentación responsabilidad del denunciado, en la que se contienen datos personales de clientes y de personas interesadas en trabajar en esa empresa (se encontraron varios currículums vitae), podrían suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual: “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. En relación con lo dispuesto en el Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre, concretamente en los artículos 91, y 92.4, que establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
- h)de la LOPD, que considera como tal: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. III De acuerdo con lo expuesto, se iniciaron actuaciones contra el denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
- h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. Así el artículo 45.6 de la LOPD, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 - Se trata de un hecho puntual (no continuado). No se han obtenido beneficios por la comisión de la infracción. El grado de intencionalidad, en la medida que la empresa manifiesta que se debe a un error de un empleado. Ausencia de reincidencia, al no haber sido sancionada con anterioridad por la comisión de infracciones de la misma naturaleza. No constan perjuicios causados a las personas interesadas o a terceras personas. Disponen de destructoras de papel. En los contratos de trabajo de trabajo se anexa una cláusula de confidencialidad. IV La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo como se deduce del fundamento de derecho SEXTO: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
- c)de la misma Ley.” En el presente caso, consta acreditado que el denunciado dispone de medidas de seguridad, de procedimientos adecuados para la destrucción de documentación y tiene establecidas normas internas para la confidencialidad de la información; si bien no fue suficientemente cauteloso para evitar que se depositara en la vía pública documentación, solo se trataba de unos pocos documentos con muy pocos datos personales. Además, IBERHOME 2015, S.L.. en su escrito de 15 de marzo de 2017, y con entrada en esta Agencia de Protección de Datos el día 23 del mismo mes, ya comunicó las medidas adoptadas para impedir que se vuelvan a producir los hechos aquí denunciados, como son: la información y formación a sus empleados en materia de protección de datos de carácter personal; la contratación de la empresa “Destrucción Confidencial de Documentación, S.A. para realizar el servicio de recogida, transporte y trituración de papel; la contratación de una consultoría externa (Auren Consultores SP, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 SLP), para la determinación de las medidas de seguridad a adoptar en materia de protección de datos de carácter personal y la elaboración del correspondiente documento de seguridad; la designación de un responsable para la vigilancia del cumplimiento de las obligaciones en materia de protección de datos de carácter personal; así como la disposición en sus oficinas de destructoras de papel. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, al tratarse de un caso puntual, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la persona denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00052/2017 seguido contra IBERHOME 2015, S.L.. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a IBERHOME 2015, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es