← España

A-00111-2014

1/8 Procedimiento Nº: A/00111/2014 RESOLUCIÓN: R/02024/2014 En el procedimiento A/00111/2014, instruido por la Agencia Española de Protección de Datos a la entidad ISS FACILITY SERVICES, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/2/14 tiene entrada escrito de denuncia presentado por D. A.A.A. en relación a la localización en la vía pública de documentación con datos de carácter personal. SEGUNDO: Se refieren los hechos denunciados a una localización, el día 21/2/14, en la (C/...............1) de Sevilla capital, de una gran cantidad de documentación tirada en la calle. Parte de dicha documentación contenía datos de carácter personal de trabajadores, turnos, firmas o situaciones de incapacidad pertenecientes a la empresa ISS FACILITY SERVICES. Se aporta junto a la denuncia fotografías y documentos originales recogidos. TERCERO: Con fecha 26/5/14, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00111/2014. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Con fecha 27/6/14 y 4/8/14 se presenta, por parte de SS FACILITY SERVICES escrito de alegaciones en contestación al Trámite de Audiencia manifestando, en síntesis, lo siguiente en relación a los hechos denunciados: * Que el objeto social de la entidad es prestar servicios de limpieza en las oficinas/instalaciones de terceros, a través de los empleados de la sociedad. En consecuencia ISS realiza controles de presencia de sus empleados que prestan servicios de limpieza directamente en las oficinas y/o centros de sus clientes. * Que además de los clientes identificados en su primer escrito de alegaciones presta sus servicios de limpieza a la entidad Corte Inglés de Cádiz. * Que el hallazgo de la documentación que originó el presente procedimiento se corresponde con las hojas de presencia con las que la sociedad realiza controles de presencia de los empleados que prestan servicios de limpieza en el Hipercor de Cádiz. * Que se ha identificado a la empleada que en el momento que se originaron los hechos se encargaba de la gestión y custodia de la referida documentación, dicha persona ya no trabaja para la sociedad. Con la misma se suscribió el correspondiente contrato de trabajo en cuyo anexo se regulaban las previsiones exigidas por la LOPD, estableciendo el correspondiente deber de secreto y diligencia respecto al tratamiento de datos de carácter personal (se aporta copia del contrato laboral y el anexo suscrito por la empleada) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 * Que por tanto cabe hablar de una actuación negligente de dicha empleada que en el momento de los hechos le correspondía la gestión y custodia de dicha documentación. * Se han suscrito los correspondientes contratos de prestación de servicios con sus clientes, estableciéndose el correspondiente deber de secreto y diligencia debida en el tratamiento de los datos cedidos. * Se aporta copia de la siguiente documentación: - Notificación de los ficheros de la Sociedad inscritos en la AEPD - Cláusulas informativas a los empleados - Documento de Seguridad de la Sociedad - Informe de Auditoría sobre el cumplimiento de las medidas de seguridad - Contratos suscritos con encargados de tratamiento que prestan servicios de archivo y destrucción de documenta. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  2. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento …...
  3. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento …… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, ISS FACILITY SERVICES S.A. es responsable de los ficheros y tratamientos, derivados de su actividad laboral, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. III El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
  4. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD .
  5. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  6. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  7. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada procedente de esa entidad entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Debe tenerse en cuenta lo establecido tanto en el artículo 106 del RD 1720/07 de desarrollo de la LOPD que establece: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo. “ Y el art 92.2,3 y 4, (de aplicación a los ficheros no automatizados en virtud de lo establecido en el artículo 105), que disponen: “2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” Se impone en este articulo la obligación de adoptar medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado, que incluye la atención a los protocolos que al respecto se deban aplicar cuando el traslado tenga como finalidad el desecho o destrucción de la documentación. Por lo tanto deberían de haberse adaptado, por parte de la entidad denunciada, las medidas suficientes que el acceso a la información contenida en los mismos, así como su posible recuperación posterior. Por el representante de la entidad denunciada, en el trámite de audiencia se ha manifestado que el objeto social de esa empresa es prestar servicios de limpieza en las oficinas/instalaciones de terceros, a través de los empleados de la sociedad. Realizándose controles de presencia de sus empleados que prestan servicios de limpieza directamente en las oficinas y/o centros de sus clientes. Se manifiesta a si mismo que la documentación recuperada se corresponde con las hojas de presencia con las que la sociedad realiza controles de presencia de los empleados que prestan servicios de limpieza en el Hipercor de Cádiz. Identificándose así mismo a la empleada que en aquel momento se encargaba de la gestión y custodia de la referida documentación. Se añade que dicha persona ya no trabaja para la entidad y que con la misma se había suscrito un contrato de trabajo en el que se regulaban las previsiones exigidas por la LOPD, estableciendo el correspondiente deber de secreto y diligencia respecto al tratamiento de datos de carácter personal. IV De los hechos probados en este procedimiento, se deduce que ISS FACILITY SERVICES S.A. en su calidad de responsable del tratamiento, debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho que dicha documentación fuese recuperada por un tercero, al estar esparcida en la vía pública. Esta necesidad de especial diligencia en la custodia de la documentación por el encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 mismas se cumplan y se ejecuten con rigor. Se alega por parte de la denunciada que el hecho que dicha documentación se recuperase en la vía pública se debe a que la persona encargada de su custodia no ha cumplido con sus obligaciones, contempladas además en sus contrato de trabajo: actuar con diligencia respecto al tratamiento de datos de carácter personal y mantener el deber de secreto. VI De acuerdo con lo expuesto, se iniciaron actuaciones contra el denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
  8. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, e infracción del artículo 10 de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.
  9. d)de la misma norma. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter al denunciado a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 9 y 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  10. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  11. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  12. a)y
  13. b)del citado artículo 45.6 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Sin embargo, del examen de las medidas adoptadas por ISS FACILITY SERVICES tanto organizativas como operativas, para la custodia de la información con datos de carácter personal relativa a su actividad laboral y de la que es responsable. En concreto: * Se han suscrito los correspondientes contratos de prestación de servicios con sus clientes, estableciéndose el correspondiente deber de secreto y diligencia debida en el tratamiento de los datos cedidos. * Cláusulas informativas a los empleados - Documento de Seguridad de la Sociedad - Informe de Auditoría sobre el cumplimiento de las medidas de seguridad - Contratos suscritos con encargados de tratamiento que prestan servicios de archivo y destrucción de documentos. Valorándose además que se trata de un hecho puntual, acaecido por la falta de diligencia de un empleado. En consecuencia debe estimarse que se han adoptado ya las medidas correctoras pertinentes, por lo que debe procederse a resolver el archivo de las actuaciones sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO del presente apercibimiento. 2. NOTIFICAR la presente Resolución a ISS FACILITY SERVICES Estructuras de Venta Directa S.L., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.