1/10 Procedimiento Nº: A/00072/2014 RESOLUCIÓN: R/00972/2014 En el procedimiento A/00072/2014, instruido por la Agencia Española de Protección de Datos a la entidad TAXTROPHY, S.L., vista la denuncia presentada por el AYUNTAMIENTO DE GETAFE, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/05/2013, tuvo entrada en esta Agencia un escrito de la Jefatura de la Policía Local del Ayuntamiento de Getafe (en lo sucesivo el denunciante), al que adjunta documentación encontrada por dicha autoridad con fecha 12/05/2013, en un vertido ilegal de basuras ubicado en la localidad de Getafe, perteneciente a la empresa TAXTROPHY, S.L. (en lo sucesivo TAXTROPHY), en la que se figura información con datos personales de clientes de dicha entidad relativos a nombre, apellidos, teléfono, e información sobre fechas, animales y lugares de captura o muerte. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas elaborado: 1. Durante la Inspección realizada en fecha 03/03/2014 en los locales de la entidad TAXTROPHY, el representante de la entidad manifestó lo siguiente: 1.1. Con fechas 30/04 y 01/05/2013, procedieron a realizar una mudanza desde la localidad de Valdemoro, en la que se encontraba ubicada anteriormente la empresa, al domicilio actual, en el que tiene lugar la inspección. 1.2. Dicha mudanza fue realizada por el propio Administrador, amigos y familiares de éste, debido a que no contaban con recursos para hacerlo con una empresa especializada. 1.3. Una de las personas que colaboró en dicha mudanza se comprometió a trasladar parte del material desechable y documentación a la incineradora industrial ubicada en Valverde de Alcalá. No obstante, como más tarde conocieron a través de una patrulla del SEPRONA, dichos restos fueron depositados en un descampado de Getafe, sin que anteriormente hubieran sido informados sobre estos hechos. 1.4. Con motivo de la visita del SEPRONA, se procedió a adquirir una destructora de papel la cual se encuentra ubicada en el despacho donde se realiza la inspección. 2. En dicha Inspección se dejó requerido al representante de la entidad copia del Documento de Seguridad, así como que procediese a la inscripción del fichero de Clientes, comprometiéndose a remitirlo a la Agencia en un plazo de quince días, ya que en ese momento, manifestaron estar realizando los trámites necesarios para adecuar la empresa a la normativa de Protección de Datos, no habiéndose recibido documentación alguna. 3. Con fecha 27/03/2014, por la Inspección de Datos se accede al Registro General de Protección de Datos, comprobándose que no se encuentra registrado ningún fichero con el CIF de la empresa TAXTROPHY. TERCERO: Con fecha 08/04/2014, el Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 acordó someter a la entidad TAXTROPHY a trámite de audiencia previa al apercibimiento, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 88, 89, 91 y 92.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, e infracción del artículo 26 de la citada Ley Orgánica, tipificadas como grave y leve en los artículos 44.3.
- h)y 44.2.
- b)de la misma norma, respectivamente. CUARTO: Con fecha 24/04/2014, se recibe en esta Agencia escrito de la entidad TAXTROPHY en el que manifiesta su intención de no formular alegaciones y añade que han tomado nota de lo sucedido para que no vuelva a pasar y que son plenamente conocedores de sus responsabilidades en materia de protección de datos personales. QUINTO: Con fecha 28/04/2014, se accede al Registro General de Protección de Datos y se verifica que no figura inscrito ningún fichero cuya titularidad corresponda a la entidad TAXTROPHY. HECHOS PROBADOS 1. Con fecha 12/05/2013, Policía Local del Ayuntamiento de Getafe localizó diversa documentación en un vertido ilegal de basuras ubicado en la localidad de Getafe, perteneciente a la empresa TAXTROPHY, en la que se figura información con datos personales de clientes de dicha entidad relativos a nombre, apellidos, teléfono, así como información sobre fechas, animales y lugares de captura o muerte. 2. La entidad TAXTROPHY no ha aportado a la Agencia Española de Protección de Datos el Documento de Seguridad relativo a sus ficheros de datos personales, que le fue requerido por los Servicios de inspección en fecha 03/03/2014. 3. Con fechas 27/03 y 28/04/2014, por la Subdirección General de Inspección de Datos se accedió al Registro General de Protección de Datos y se verificó que no figura inscrito ningún fichero cuya titularidad corresponda a la entidad TAXTROPHY. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, referido a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Por otro lado, hay que tener en consideración lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 88, 89, 91 y 92.4, que establecen lo siguiente: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
- a)La identificación del responsable o responsables de seguridad.
- b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. 5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo. 6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados. En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento. 7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. 8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal”. “Artículo 89. Funciones y obligaciones del personal. 1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento. 2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Así, TAXTROPHY está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de nivel básico de seguridad, en atención a la naturaleza de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, según ha reconocido la propia entidad imputada. En el presente caso, ha quedado acreditado que la Policía Local del Ayuntamiento de Getafe constató que, el día 12/05/2013, en un lugar público del término municipal de dicha localidad, se había depositado diversa documentación perteneciente a la entidad TAXTROPHY, en la que figuraban datos de carácter personal de clientes de la misma relativos a nombre, apellidos, teléfono, así como información sobre fechas, animales y lugares de captura o muerte. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, y dando lugar a su hallazgo por terceros, dejándolos al alcance del público en una zona pública. Por otra parte, TAXTROPHY no ha justificado disponer del Documento de Seguridad relativo a sus ficheros, al que se refiere el artículo 88 del Reglamento de desarrollo de la LOPD, antes reseñado. Por ello, procede concluir que TAXTROPHY ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. III En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). IV El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El abandono en un lugar público de documentación responsabilidad de la entidad TAXTROPHY, en la que se detallan datos personales de clientes, supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que TAXTROPHY ha incurrido en la infracción grave descrita. V Por otra parte, en el supuesto examinado, se constata que TAXTROPHY dispone de un fichero en el que se recogen datos de carácter personal relativos a sus clientes que es utilizado para el desarrollo de su actividad. De acuerdo con el artículo 26.1 de la LOPD, según el cual “Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia Española de Protección de Datos”, deben notificarse a esta Agencia, para su inscripción en el Registro General de Protección de Datos, los ficheros que contengan datos de carácter personal. A este respecto, el artículo 55.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, dispone lo siguiente: “2. Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos”. Y en el apartado 4 del citado artículo 55 se añade lo siguiente: “4. La notificación se realizará conforme al procedimiento establecido en la sección primera del capítulo IV del título IX del presente reglamento”. En el supuesto examinado, se constata que la entidad TAXTROPHY no ha comunicado al Registro General de Protección de Datos la creación del fichero que contiene los datos de carácter personal relativos a sus clientes y que es utilizado por la misma para el desarrollo de su actividad. Por tanto, TAXTROPHY incumple la obligación establecida en el artículo 26.1 de la LOPD. VI El artículo 44.2.
- b)de la LOPD considera infracción leve “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. TAXTROPHY ha cometido la infracción descrita, por cuanto no ha atendido la obligación impuesta en el artículo 26.1 de la citada Ley Orgánica, según los detalles expuestos en el Fundamento de Derecho anterior. VII El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad, la ausencia de beneficios que se deriven de la comisión de la infracción y el grado de intencionalidad apreciado. En las actuaciones constan las declaraciones efectuadas por los responsables de la entidad TAXTROPHY señalando lo siguiente: “Que somos plenamente conocedores de nuestras responsabilidades como empresa de acuerdo a la Ley de Protección de Datos”. Sin embargo, no han aportado ningún detalle sobre las medidas adoptadas para su adecuación a la normativa de protección de datos de carácter personal. Por tanto, procede requerir a la entidad TAXTROPHY la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso los datos personales a garantizar el respeto a seguridad y confidencialidad de los datos; así como requerir la inscripción de los ficheros de la entidad en el Registro General de Protección de Datos. De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00072/2014) a la entidad TAXTROPHY, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con las infracción de los artículos 9 y 26 de la LOPD, tipificadas como grave y leve en los artículos 44.3.
- h)y 44.2.
- b)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a la entidad TAXTROPHY, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 y 26 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos de carácter personal contenidos en sus ficheros e impidan su divulgación a terceros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a destruir o borrar cualquier documento o soporte que vaya a desecharse, evitando el acceso a la información contenida en los mismos o su recuperación posterior; se requiere a dicha entidad para que aporte el Documento de Seguridad relativo a sus ficheros; y se insta la inscripción en el Registro General de Protección de Datos de todos los ficheros de datos de carácter personal cuya titularidad corresponda a la entidad TAXTROPHY, S.L. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando escrito en el que se detallen las medidas adoptadas, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior, incluida la correspondiente solicitud de inscripción de los ficheros. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/02675/2014, podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a TAXTROPHY, S.L. 4.- NOTIFICAR el presente Acuerdo al AYUNTAMIENTO DE GETAFE. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es