A-00245-2013

1/7 Procedimiento Nº: A/00245/2013 RESOLUCIÓN: R/00214/2014 En el procedimiento A/00245/2013, instruido por la Agencia Española de Protección de Datos a la entidad MYRON RACING S.L.. vista la denuncia presentada por LA DIRECCION GENERAL DE LA GUARDIA CIVIL ( PUESTO DE BLANES ) y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de MARZO DE 2013, tiene entrada en esta Agencia un escrito de LA DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, con el que se adjunta documentación encontrada por dicha autoridad, con fecha 17 de febrero de 2013. La documentación, que contiene información con datos personales, se encontraba en la vía pública, junto a unos contenedores de basura. Toda la documentación encontrada pertenece a la empresa MYRON RANCING, S.L. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: 1. Con fecha 17 de septiembre de 2013, se recibe en esta Agencia escrito de la empresa MYRONG RACING, S.L., en contestación al nuestro de fecha 14 de agosto de 2013, en el que se pone de manifiesto que: 1.1. Toda la documentación que se remitió para su valoración pertenece a la entidad MYRON RACING, S.L. 1.2. Desde hace poco tiempo observaron que uno de los socios de la empresa se estaba llevando datos de clientes, correspondientes a los documentos encontrados en la vía pública. 1.3. El socio ha sido despedido de la sociedad por los hechos ocurridos. TERCERO: Con fecha 16 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00245/2013. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 15 de enero de 2014 se recibe en esta Agencia escrito del denunciado mediante el que presenta alegaciones al acuerdo de audiencia previa al apercibimiento. Con dicho escrito presentan documento de seguridad y contratos firmados con la empresa, inscripción de ficheros en el Registro de esta AGPD, anulación y despido firmado por el socio tras haber considerado que estaba incumpliendo la normativa de la LOPD. Asimismo, manifiestan que han pedido disculpas a las personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 afectadas de los datos recogidos por culpa del socio, y solicitan el amparo del Sr. Director de esta Agencia, ya que desconocían los hechos causados, y están subsanando los errores producidos. Presentan documentos de seguridad de las dos entidades afectadas, en los que se puede comprobar, entre otras informaciones, que contiene una cláusula denominada “MEDIDAS DE SEGURIDAD PARA FICHEROS Y/O TRATAMIENTOS NO AUTOMATIZADOS”, con apartados denominados Criterios De Archivo, Almacenamiento De La Información, Acceso A Los Documentos, Custodia De Documentos, Traslado De Documentación, y Destrucción De Documentación, así como un ANEXO VI titulado FUNCIONES Y OBLIGACIONES DEL PERSONAL EN MATERIA DE PROTECCIÓN DE DATOS. HECHOS PROBADOS PRIMERO: Consta que, en fecha 5 de MARZO DE 2013, tiene entrada en esta Agencia un escrito de LA DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, con el que se adjunta documentación encontrada por dicha autoridad, con fecha 17 de febrero de 2013. La documentación que contiene información con datos personales, se encontraba en la vía pública, junto a unos contenedores de basura. Toda la documentación encontrada pertenece a la empresa MYRON RANCING, S.L. SEGUNDO: Consta que el responsable de la documentación es la entidad MYRON RANCING, S.L. TERCERO: Consta que la entidad responsable, MYRON RANCING, S.L., ha manifestado que toda la documentación encontrada les pertenece. CUARTO: Consta que la entidad responsable, MYRON RANCING, S.L., ha manifestado que uno de los socios se ha estado llevando datos de clientes, correspondientes a los documentos encontrados en la vía pública, y que el socio ha sido despedido por estos hechos. QUINTO: Consta que la entidad responsable, MYRON RANCING, S.L., ha presentado en fecha 15 de enero de 2014, ante esta Agencia el documento de seguridad de las entidades que han podido resultar responsables, así como la inscripción de los ficheros, así como la anulación y el despido firmado por el socio, tras haber considerado que se estaba incumpliendo la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, referido a la seguridad de los datos, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
2. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
3. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Por otro lado, hay que tener en consideración lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 92.4 y 97.2, que establecen lo siguiente: Artículo 92. Gestión de soportes y documentos: “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 97. Gestión de soportes y documentos: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Así, de acuerdo con estos artículos, la entidad denunciada está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, según ha reconocido la propia entidad responsable. En el presente caso, ha quedado acreditado que LA GUARDIA CIVIL DE BLANES constató que, el día 17 de febrero de 2013, en un lugar del término municipal de dicha localidad, se había depositado diversa documentación perteneciente a la entidad MYRON RANCING, S.L., en la que figuraban datos de carácter personal. En concreto, se localizaron facturas, correos electrónicos, recibos, extractos bancarios y fotocopias de DNI de clientes. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, y dando lugar a su hallazgo por terceros, dejándolos al alcance del público en una zona pública. Por ello, procede concluir que la entidad MYRON RANCING, S.L. ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogido en el artículo 9 de la LOPD. III En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A su vez, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). En el caso que nos ocupa se denunciaba, por parte de la Guardia Civil, que había sido encontrada numerosa documentación que contenía datos personales, en la vía pública, junto a unos contenedores de basura. Tras recibirse esta denuncia se realizaron las correspondientes actuaciones de inspección, solicitándose la colaboración de la entidad denunciada. Ésta, en su escrito, ponía de manifiesto que toda la documentación recabada le pertenece, señalando a su vez, que, desde hace tiempo habían observado que uno de los socios de la empresa se estaba llevando datos de clientes, que se corresponden con la documentación encontrada en la vía pública, y que en consecuencia, habían despedido al socio. Tras acordarse otorgar audiencia previa al apercibimiento a la entidad denunciada MYRON RANCING, S.L. por parte del Director de esta Agencia, la entidad presentó alegaciones, aportando el documento de seguridad y contratos firmados por la empresa, la inscripción de los ficheros en el Registro General de Protección de Datos de esta Agencia, y la anulación y despido firmado por el socio, tras haber considerado que estaba incumpliendo la normativa de la LOPD. Por tanto, en este caso concreto, ha quedado acreditado que por parte de la entidad MYRON RANCING, S.L., se ha incurrido en una infracción del art. 9 de la LOPD. No obstante, no se va a requerir ningún tipo de medida, al considerarse que ha adoptado las medidas necesarias para que este tipo de actuación no vuelva a ocurrir. No obstante, se recuerda a la entidad denunciada que, en la documentación presentada ante esta Agencia el 15 de enero de 2014, concretamente en el documento de seguridad, se recoge como responsable de seguridad y administrador y usuario de los ficheros, a la persona, que de acuerdo con la documentación presentada, ha sido despedida de la empresa, por lo que se considera que debería actualizar el mismo, de tal manera que ya no figure la persona que no forma parte de la empresa. IV El artículo 44.3.
4. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El abandono en un lugar público de documentación responsabilidad de la entidad MYRON RANCING, S.L., en la que se detallan datos personales de clientes, supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que la entidad MYRON RANCING, S.L. ha incurrido en la infracción grave descrita. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
5. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
7. a)y
8. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00245/2013) a la entidad MYRON RACING S.L.. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Personal, con relación a la denuncia por infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
9. h)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la entidad MYRON RACING S.L.. 3.- NOTIFICAR el presente Acuerdo a LA DIRECCION GENERAL DE LA GUARDIA CIVIL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es