A-00214-2014

1/10 Procedimiento Nº: A/00214/2014 RESOLUCIÓN: R/02221/2014 En el procedimiento A/00214/2014, instruido por la Agencia Española de Protección de Datos a la entidad TÉCNICOS EN CONTABILIDAD FISCAL Y LABORAL, S.L. (TECOFIL, S.L.), vista la denuncia presentada por SERAUTO AUTOMOCION, S.C., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de julio de 2014, tuvo entrada en esta Agencia un escrito remitido por Serauto Automoción, S.C., en que señala lo siguiente: “Serauto Automoción, S.C., tenía contratados los servicios de gestoría con Tecofil, S.L., sita en (C/............1) de Madrid. La citada Gestoría, sin consentimiento de Serauto Automoción, procedió a dar información de ésta última a otras sociedades, además de dar de baja la actividad de Serauto en Hacienda, también sin consentimiento de ningún tipo. Debido a la mala gestión de Tecofil SL, se solicitó la devolución de la documentación de Serauto SL que obraba en su poder, la cual se negaron a devolver si no era en presencia de un abogado, desconociendo este motivo. Con el fin de poder obtener la documentación requerida en repetidas ocasiones, se acudió a la Gestoría acompañados del Letrado D. A.A.A. (***** ICAM) y poner fin así a relación contractual existente entre Serauto Automoción y Tecofil, S.L. La documentación que nos devolvieron no estaba completa, motivo por el cual se viene a interponer esta denuncia, puesto que en la documentación entregada, también había documentación de diversas sociedades que no tienen ni han tenido relación con Serauto Automoción, vulnerando así la LOPD. Se adjunta dicha documentación como prueba de lo manifestado.” SEGUNDO: Con fecha 28 de agosto de 2014, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter al denunciado a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 6, 9 y 10 de la citada LOPD, tipificadas como graves en el artículo 44.3.b), 44.3.

1. h)y 44.3..
2. d)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
3. f)y
4. n)de la misma norma. TERCERO: Con fecha 25 de septiembre de 2014, el denunciado formuló las alegaciones siguientes: Tecofil es conocedora de las medidas a cumplimentar en materia de protección de datos, en tanto que tienen una Consultora/Asesoría desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 2007, cumpliendo con su Documento de Seguridad, Auditorías y ficheros inscritos. En fecha 1 de mayo de 2013, Serauto contrató los servicios de Tecofil como Asesoría Jurídica, Contable y Fiscal, como se indica en el contrato que se acompaña. El 23 de julio de 2013, el representante legal de Serauto constituye una Sociedad Limitada denominada Maserauto Automoción, S.L., fijando el domicilio social en la misma dirección que Serauto. El Administrador de Maserauto solicita la baja de Serauto en el censo de empresarios para obtener la licencia de apertura y funcionamiento para su nueva empresa por cesión de la anterior. De esta forma, Tecofil perdió un cliente. En febrero de 2014, el Administrador de Maserauto decide volver a facturar con Serauto, solicitando que se de el alta nuevamente en la actividad con carácter retroactivo. Comienzan a surgir discrepancias entre Tecofil y Serauto, solicitando en ese momento que todo lo que se requiera a la Asesoría Tecofil se haga por escrito. Se devolvió toda la documentación que obraba en sus archivos y firmó un documento en el que reconocía que Tecofil devolvía la documentación solicitada. Nunca han vuelto a tener noticias ni de Serauto ni de sus abogados sobre la cuestión denunciada. Acompañan documento numerado como Doc. 5, en el que se hace una relación de documentación que se entrega al Administrador de Serauto, en fecha 6 de marzo de 2013. HECHOS PROBADOS 1. SERAUTO AUTOMOCION, S.C., firmó con la entidad TECOFIL, S.L., en fecha 1 de mayo de 2013, un contrato de prestación de servicios consistente en el asesoramiento y gestión integral de las obligaciones laborales, contables, fiscales y tributarias, por parte de Tecofil a Serauto. 2. SERAUTO AUTOMOCION, S.C., solicitó a TECOFIL que le devolviese la documentación generada con motivo de la relación contractual que habían mantenido. 3. En fecha 6 de marzo de 2014, TECOFIL entregó la documentación generada durante la relación contractual, firmando un recibí el Administrador único de SERAUTO AUTOMOCION, S.C. 4. Con la documentación entregada a SERAUTO AUTOMOCION, S.C., se facilitó la copia de la nómina de un empleado de TECOFIL, del mes de agosto de 2003, al usar papel impreso por una cara para darle la documentación solicitada. 5. TECOFIL, S.L., ha usado papel reciclado y ha facilitado a SERAUTO AUTOMOCION, S.C., asimismo, documentación referida a Energía Activa, S.L., que no contiene datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 II El artículo 9 de la LOPD, referido a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
6. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
7. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Por otro lado, hay que tener en consideración lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 92.4 y 97.2, que establecen lo siguiente: “Artículo 92. Gestión de soportes y documentos: “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 97. Gestión de soportes y documentos: “2. Igualmente, se dispondrá de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Así, TECOFIL está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, ya que Serauto recibió una página de su documentación, en cuyo reverso constaba la nómina de un trabajador de Tecofil, correspondiente al mes de agosto de 2003, conteniendo sus datos personales y profesionales, en lo que parece una reutilización de papel, ya que también se le entregó su documentación en papel que en el reverso contenía datos de otra empresa. En el presente caso, ha quedado acreditado que TECOFIL reutilizó papel que contenía datos personales de un trabajador suyo para entregar documentación a Serauto. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, y dando lugar a su conocimiento por terceros. Por ello, procede concluir que TECOFIL ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. III En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). IV El artículo 44.3.
8. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. La entrega de documentación cuya custodia era responsabilidad de la entidad TECOFIL, en la que se detallan datos personales de un trabajador suyo, supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que TECOFIL ha incurrido en la infracción grave descrita. V El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso denunciado, SERAUTO indicó que le habían entregado documentación con datos de un tercero (trabajador de TECOFIL). La documentación la entregó la propia entidad TECOFIL. La normativa de protección de datos no se aplica a las personas jurídicas, artículo 2 de la LOPD, por lo que no se imputa ni se puede sancionar que reutilizara papel con información de una Sociedad Limitada.. La LOPD califica la vulneración del deber de secreto como infracción grave en su artículo 44.3.d): “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En consecuencia, ha quedado acreditado que TECOFIL vulneró este deber de confidencialidad en relación con los datos personales de su trabajador contenido en la documentación entregada a Serauto. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de sus clientes, incurriendo en la infracción grave tipificada en el artículo 44.3.
9. d)de la LOPD. VI El hecho constatado de la difusión de datos personales fuera del ámbito de la entidad denunciada establece la base de facto para fundamentar la imputación de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. Esto es, si un documento interno que contiene información sobre datos personales sale del ámbito de la entidad responsable de su confidencialidad, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 secreto. Por lo tanto, aplicando el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora que señala que “en defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, procede subsumir ambas infracciones en una. Dado que, en este caso, se ha producido una vulneración de las medidas de seguridad, calificada como grave por el artículo 44.3.
10. h)de la LOPD y también un incumplimiento del deber de guardar secreto, calificado como grave en el artículo 44.3.
11. g)de la misma norma, procede imputar únicamente la infracción del artículo 9 de la LOPD. VII El artículo 12 de la LOPD estipula: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” Se imputaba a TECOFIL la infracción de lo establecido en el artículo 6 de la LOPD, ya que al finalizar la prestación de servicios con Serauto debían devolver la documentación. En caso contrario, estarían tratando datos personales sin consentimiento y sin que ya tuvieran un contrato de prestación de servicios que habilitara el tratamiento. No obstante, Tecofil ha aportado un documento firmado por el Administrador Único de Serauto en el que firma un Recibí de la documentación entregada sin hacer ninguna mención a la falta de documentos. En consecuencia, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 procede el archivo de esta infracción. VIII La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establecen lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
14. a)El carácter continuado de la infracción.
15. b)El volumen de los tratamientos efectuados.
16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
17. d)El volumen de negocio o actividad del infractor.
18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
19. f)El grado de intencionalidad.
20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
29. a)y
30. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, su volumen de negocio o actividad y la ausencia de beneficios que se deriven de la comisión de la infracción, así como que solo se entregó la copia de una nómina fechada diez años antes. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00214/2014) a TECOFIL, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
31. h)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a TECOFIL, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen que cualquier documento o soporte que contenga datos de carácter personal y se vaya a desechar, se procede a su destrucción o borrado, de forma que se evite su recuperación posterior, prohibiendo que se reutilice el papel que tiene datos personales usando el reverso no escrito. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/06099/2014, podría incurrir en una infracción del artículo 37.1.
32. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
33. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
34. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a TÉCNICOS EN CONTABILIDAD FISCAL Y LABORAL, S.L. (TECOFIL, S.L.) 4.- NOTIFICAR el presente Acuerdo a SERAUTO AUTOMOCION, S.C. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es