← España

A-00226-2015

1/7 Procedimiento Nº: A/00226/2015 RESOLUCIÓN: R/02742/2015 En el procedimiento A/00226/2015, instruido por la Agencia Española de Protección de Datos a la entidad denunciada ASOCIACIÓN LECTOR DEL TABACO, vista la denuncia presentada por AREA DELEGADA DE SEGURIDAD Y EMERGENCIAS (POLICÍA MUNICIPAL DE MADRID) y en virtud de los siguientes, HECHOS PRIMERO. En fecha 27/10/2014 se recibe en esta AEPD escrito de la Policía Municipal de Madrid—Dirección General de la Policía Municipal-- por presunta infracción en materia de LOPD al local denominado “XXXXXX” en concreto: “El libro registro de socios se encuentra sin custodiar, encima de la barra, a disposición de cualquier persona que acceda al local y circulando de mano en mano, apuntándose en el mismo cualquier persona, por todo lo cual se podría estar vulnerando la Ley de Protección de datos, al encontrarse datos personales como nombres, apellidos y DNI a disposición de cualquiera (…)”. “que sobre la barra al libre acceso de cualquier persona se encuentran un montón de flyers del local, imitando un modelo de carnet de socio, sin rellanar los datos que figuran para que libremente cualquier concurrente coja uno y lo rellene (…)”. Adjunta Libro Registro de Socios intervenido en la actuación policial del Local, cuya copia compulsada igualmente se remite. SEGUNDO. Con fecha 28 de agosto de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00226/2015. Dicho acuerdo fue notificado en legal forma a los denunciantes y al denunciado. TERCERO. En fecha 15/09/2015 se procede a publicar en el B.O.E (Boletín Oficial del Estado) la Resolución de fecha 28/08/2015, tras haber intentado dos veces la notificación a los interesados sin que se haya podido practicar la misma en la dirección indicada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 HECHOS PROBADOS PRIMERO. Según consta acreditado en el Informe ampliatorio sobre actas de espectáculos públicos y actividades recreativas nº ******* efectuado en el establecimiento “XXXXXX” sito en la (C/......1) (Madrid) que se observa: “que sobre la barra al libre acceso de cualquier persona se encuentran un montón de flyers del local, imitando un modelo de carnet de socio, sin rellanar los datos que figuran para que libremente cualquier concurrente coja uno y lo rellene (…)”. Adjunta Libro Registro de Socios intervenido en la actuación policial del Local, cuya copia compulsada igualmente se remite. SEGUNDO. Consta acreditado que la entidad denunciada dispone a disposición de los “clientes” unos carnets con la rúbrica “socio” sin que en todo caso se les informe en el mismo del contenido del art. 5 LOPD. TERCERO. Consta acreditado que el Libro registro de socios se encuentra sin custodiar, encima de la barra principal del local, a disposición de cualquier persona que accede al mismo, sin quedar acreditada medida alguna que garantice la seguridad de los datos (nombre, apellidos, DNI, etc) que figuran en el mismo, asimismo no consta información alguna en el mismo en el marco del art. 5 LOPD. CUARTO. En relación a los datos de carácter personal que constan en el Libro(

  1. s)aportado como material probatorio por la Policía Local de Madrid, se trata exclusivamente: nombre, apellidos, D.N.I y firma sin que conste ningún otro dato de carácter personal. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se procede a examinar la denuncia proveniente de la Policía Municipal de Madrid—Dirección General de la Policía Municipal-- por presunta infracción en materia de LOPD al local denominado “XXXXXX” en concreto: “El libro registro de socios se encuentra sin custodiar, encima de la barra, a disposición de cualquier persona que acceda al local y circulando de mano en mano, apuntándose en el mismo cualquier persona, por todo lo cual se podría estar vulnerando la Ley de Protección de datos, al encontrarse datos personales como nombres, apellidos y DNI a disposición de cualquiera (…)”. Los hechos anteriormente expuestos pueden suponer en su caso una presunta infracción del contenido del art. 9 LOPD (LO 15/1999) dispone: “El responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  3. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  4. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Conviene recordar que las medidas de seguridad aplicables a los ficheros automatizados se encuentran reguladas en los artículos 89 a 104 del Reglamento de desarrollo de la LOPD (RD 1720/2007). En definitiva, la entidad denunciada está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
  5. h)de la LOPD, que considera como tal, “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. III El art. 5 LOPD (Lo 15/1999) dispone: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  11. c)y
  12. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban (…)”. Dicha infracción aparece tipificada como leve en el artículo 44.2.
  13. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”, pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. IV Tal y como consta acreditado en el expediente administrativo con número de referencia A/00226/2015 se ha procedido a notificar en legal forma (arts. 58 y 59 Ley 30/92, 26 de noviembre) el Acuerdo de inicio en dónde se le comunicaba a la parte denunciada los “hechos” en que se concreta la denuncia, los preceptos legales que a juicio de esta Agencia justifican la apertura del procedimiento, así como las consecuencias legales oportunas, otorgándole la posibilidad de realizar las alegaciones que en derecho considerasen oportunas. Habiendo sido intentada en dos ocasiones la notificación individual a la parte denunciada sin que haya sido posible practicarla, de conformidad con lo dispuestos en los artículos 59.5,60.2 y 61 de la Ley 30/92, 26 de noviembre (LRJ-PAC), se procedió a publicar en el B.O.E de fecha 15/09/2015 copia de la Resolución de la Directora de esta Agencia de fecha 28/08/15 sin que dentro del plazo establecido se haya realizado alegación alguna en relación a los hechos objeto de denuncia. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
  14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. Por tanto, cabe concluir que concluidos los plazos marcados legalmente, no se ha producido alegación alguna en derecho en relación a los hechos objeto de denuncia, ni se ha procedido a acreditar fehacientemente el cumplimiento de medida alguna tendente a evitar la afectación de los derecho reconocidos en el marco de la LOPD; motivo por el que por parte de esta Subdirección General de Inspección de Datos se ordena la apertura del procedimiento con número de referencia E/06724/2015 en orden a que se realicen las investigaciones oportunas. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00226/2015) a la entidad denunciada ASOCIACIÓN LECTOR DEL TABACO con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 9 de la LOPD, tipificada como infracción grave en el artículo 44.3
  16. h)de la citada Ley Orgánica. 2.- APERCIBIR (A/00226/2015) a la entidad denunciada ASOCIACIÓN LECTOR DEL TABACO con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como infracción leve en el artículo 44.2
  17. c)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a la entidad denunciada ASOCIACIÓN LECTOR DEL TABACO de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar las medidas necesarias para la guarda y custodia del Libro de socios, evitando su exposición pública tutelando los datos de carácter personal contenidos en el mismo. A tal efecto, el empresario deberá aplicar las medidas contenidas en el título VIII del Reglamento que desarrolla la LOPD (RD 1720/2007), elaborando el denominado documento de seguridad e implantando las medidas que se exigen para el nivel de seguridad básico dada la naturaleza de los datos. 2.2.- CUMPLA lo previsto en el contenido del art. 5 LOPD. En caso de requerir datos de carácter personal a los clientes para que pasen a ser socios de la Asociación Lector del Tabaco se les deberá informar de modo expreso, preciso e inequívoco del contenido del art. 5 LOPD anteriormente citado. Para cumplir con este principio, el empresario deberá elaborar las cláusulas informativas y diseñar los procedimientos que sean necesarios para informar debidamente a los clientes (ciudadanos) y demostrar posteriormente que ha cumplido con su obligación. 2.3.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, realizando las alegaciones que estime necesarias en derecho, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/06724/2015, podría incurrir en una infracción del artículo 37.1.
  18. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  19. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  20. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad denunciada ASOCIACIÓN LECTOR DEL TABACO. 4.- NOTIFICAR el presente Acuerdo a la parte denunciante AREA DELEGADA DE SEGURIDAD Y EMERGENCIAS (Dirección General Policía Municipal-Madrid--). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.