A-00059-2016

1/7 Procedimiento Nº: A/00059/2016 RESOLUCIÓN: R/00959/2016 En el procedimiento A/00059/2016, instruido por la Agencia Española de Protección de Datos a la entidad CONSTRUCCIONES AIS SL, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27/3/15 tiene entrada en esta Agencia un escrito de la Policía Local (Vigo) con el que remiten trece curriculum-vitae encontrados en un contenedor de residuos situado en la (C/....1)a la altura del número 21, depositados, supuestamente, por personal del Hotel NH PALACIO DE VIGO, situado en la calle (C/....2), próximo al citado contenedor. Aportan, así mismo, parte de servicio de los dos policías que encontraron los documentos en el contenedor y adjuntan varias fotografías donde se aprecia el material encontrado. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/06933/2013. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos de fecha 23/9/14: <<<<< Con fecha 19 de junio de 2015, CONSTRUCCIONES AIS S.L., propietaria del hotel NH Palacio de Vigo, ha remitido a esta Agencia la siguiente información y documentación en relación con los hechos denunciados: * Con carácter general no recogen los Curriculum que los candidatos presentan en el Hotel, ya que se insta al interesado, en recepción, a que cumplimente el correspondiente formulario que se encuentra disponible en el área de empleo de la página web de NH. * Con carácter excepcional, se puede recoger algún curriculum y se remite al despacho de administración para su estudio, una vez analizados los documentos se destruyen en las trituradoras de papel existentes en el Hotel. * Aportan fotografías del despacho de administración y del archivo, con llave, donde se guardan los documentos, así como de las trituradoras de papel existentes en el área de administración. * Según manifiestan, las bolsas de basura generadas en el hotel (que nunca contienen documentos con datos personales), son depositadas en los contenedores habilitados al efecto. * Respecto a las medidas de seguridad implantadas en relación a los documentos en soporte papel, aportan copia de la circular que se ha difundido entre todo el personal del hotel y donde se detallan las normas a observar por los empleados en el tratamiento de datos de carácter personal en ficheros en soporte papel. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 * Dicha circular, en su apartado séptimo establece las medidas a adoptar para desechar los documentos: “Se destruirá de forma física el soporte que contiene la información de forma que ésta resulte totalmente irrecuperable”. * No tienen conocimiento de que el procedimiento de destrucción de los Curriculum se haya realizado sin cumplir las normas establecidas. * Por otra parte, aportan copia del documento de seguridad correspondiente al fichero “personal”, cuya inscripción en el Registro General de Protección de Datos se ha solicitado con fecha 17 de junio de 2015. Aportan copia de la solicitud. * En el Anexo III del documento de seguridad del citado fichero, se detallan las “Funciones y obligaciones del personal”, entre las que se encuentra: “proceder a la destrucción de la documentación en papel a través de destructoras de papel o un medio que impida el acceso a la información contenida”. >>>>> TERCERO: Con fecha 23/2/16 la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00131/2016. CUARTO: Con fecha 23/3/16 se recibe en esta Agencia escrito del denunciado en el que comunica lo siguiente: A) – Se detallan las medidas de seguridad que tienen implantadas con el fin de cumplir las obligaciones derivadas del RLOPD. B) – Se manifiesta, en particular, en relación a los CV que existe una absoluta prohibición de recogida de los mismos en la recepción del hotel; proponiéndose al interesado que rellene el correspondiente formulario en el área de empleo de la página web de NH, procediéndose a destruir en las trituradoras de papel los documentos que contengan datos de carácter personal C) – Se detallan así mismo las medidas de seguridad aplicables al tratamiento de datos en ficheros automatizados, en concreto medidas de identificación y autenticación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
2. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento …...
3. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento …… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, CONSTRUCCIONES AIS SL es responsable de los ficheros y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 tratamientos, derivados de su actividad laboral, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. III El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
4. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD .
5. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
6. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
7. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación recuperada por la policía local: 13 curriculum que estaban depositados en un contenedor de residuos, y procedente de la entidad denunciada, entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Debe tenerse en cuenta lo establecido tanto en el artículo 106 del RD 1720/07 de desarrollo de la LOPD que establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo. “ Y el art 92.2, 3 y 4, (de aplicación a los ficheros no automatizados en virtud de lo establecido en el artículo 105), que disponen: “2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” Se impone en este artículo la obligación de adoptar medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado, que incluye la atención a los protocolos que al respecto se deban aplicar cuando el traslado tenga como finalidad el desecho o destrucción de la documentación. Por lo tanto deberían de haberse adaptado, por parte de la entidad denunciada, las medidas suficientes que el acceso a la información contenida en los mismos, así como su posible recuperación posterior. Se manifestó por CONSTRUCCIONES AIS, propietaria del Hotel Palacio de Vigo que con carácter general no se recogen curriculum, si bien con carácter excepcional cabe esta posibilidad; en este caso son remitidos al despacho de administración para su estudio siendo posteriormente destruidos en las trituradoras de papel dispuestas al efecto. IV De los hechos probados en este procedimiento, se deduce que CONSTRUCCIONES AIS en su calidad de responsable del fichero y del tratamiento, debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho que dicha documentación fuese recuperada por la policía en un contenedor de residuos ubicado en la vía pública. Esta necesidad de especial diligencia en la custodia de la documentación por el encargado del tratamiento ha sido puesta de relieve por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor. V El hecho constatado de la difusión de datos personales fuera del ámbito de la entidad denunciada establece la base de facto para fundamentar la imputación de la infracción de los artículos 9 de la LOPD. En supuesto presente, del examen de las medidas adoptadas por CONSTRUCCIONES AIS, que ha aportado en su escrito de contestación al trámite de audiencia, y considerando que el extravío de la documentación recuperada, sin proceder a su destrucción previas es un hecho puntual; debe considerarse que aquellas son suficientes para garantizar que en futuro no se repitan situaciones como la que dio lugar a la apertura del presente expediente, por lo que procede el archivo del presente expediente de apercibimiento. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29-11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptada ya la medida correctora pertinente en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO del presente procedimiento. 2. NOTIFICAR la presente Resolución a CONSTRUCCIONES AIS SL.y 3.- NOTIFICAR la presente Resolución POLICIA LOCAL AYUNTAMIENTO DE VIGO. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es