A-00247-2013

1/7 Procedimiento Nº: A/00247/2013 RESOLUCIÓN: R/00794/2014 En el procedimiento A/00247/2013, instruido por la Agencia Española de Protección de Datos frente a la entidad ECKSTEIN HAUSE, S.L. con CIF nº: ********, vista la denuncia presentada por el JUZGADO DE INSTRUCCIÓN NÚMERO 1 DE TORRIJOS , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de marzo de 2013 tiene entrada en esta Agencia escrito del JUZGADO DE INSTRUCCIÓN NÚMERO 1 DE TORRIJOS (en adelante el denunciante), informando de una posible infracción a la LOPD, motivada por la aparición en la vía pública de documentos conteniendo datos de carácter personal y profesional. Dichos datos fueron hallados durante el servicio habitual de una patrulla de la Policía Local de Santa Olalla el día 26 de diciembre de 2012. La documentación pertenece a la entidad ECKSTEIN HAUSE, S.L. con CIF nº: ******** (en adelante el denunciado). Con fecha 6 de mayo de 2013, se recibe del Ayuntamiento de Santa Olalla, una muestra significativa de la documentación encontrada en la vía pública, solicitada por esta Agencia con fecha 17 de abril de 2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, el 4 de julio de 2013, por los Servicios de Inspección de esta Agencia se solicitó información a la entidad denunciada que contesta a esta Agencia el 30 de julio de 2013, informando de lo siguiente:  Con fecha 30 de julio de 2012, dicha empresa hizo entrega a la entidad Caixa Cataluña, de 17 pisos hipotecados y sin vender por parte de la citada empresa.  En el piso que se utilizaba como oficina se dejaron documentos relativos a dichos inmuebles.  En el mes de noviembre de 2012, fueron advertidos por la Policía Municipal de Santa Olalla de que dicha documentación se había encontrado en el campo de fútbol de dicha localidad, avisaron en ese momento a la persona de contacto de La Caixa de lo acontecido, por lo que se deduce que en esa fecha se hizo limpieza del citado inmueble y se tiró la documentación. Añaden que por ley están obligados a dejar la documentación que pueda precisar el nuevo propietario. Con fecha 30 de septiembre de 2013, se recibe escrito de BUILDING CENTER S.A.U (SERVIHABITAT), en contestación a la solicitud realizada por esta Agencia mediante escritos de fechas 5 de agosto y 3 de septiembre de 2013, en el que ponen de manifiesto que:  BUILDING CENTER, S.A. adquirió con fecha 25 de julio de 2012, mediante contrato de compraventa, el inmueble situado en (C/...................1) (TOLEDO) propiedad de la entidad denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7  No constituyó objeto de la referida compra-venta información o dato de naturaleza alguna, circunscribiéndose aquel a los bienes inmuebles.  La empresa transmitente ECKSTEIN HAUSE, S.L., retiró cuantos bienes estimó oportuno de las fincas transmitidas, habiendo renunciado expresamente a lo que dejó en las mismas y autorizando a la comparadora su libre disposición.  BUILDING CENTER tiene definido un protocolo para la gestión medioambiental de los residuos que eventualmente pudieran encontrarse en los inmuebles que adquiere, cuya aplicación no prevé el depósito en la vía pública. TERCERO: Con fecha 3 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la ECKSTEIN HAUSE, S.L. con CIF nº: ********, por presunta infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de dicha norma. CUARTO: En fecha 5 de febrero de 2014, se notificó al denunciado, el citado acuerdo de audiencia previa al procedimiento de apercibimiento, tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 14 de marzo de 2014, se ha recibido en esta Agencia, escrito de alegaciones de la entidad denunciada (firmado por uno de sus representantes D. A.A.A.) en el que pone de manifiesto lo siguiente: - Él como representante de su empresa no estuvo presente en la entrega del inmueble. - Los pisos se entregaron en junio de 2012 y la documentación ha aparecido en el campo de fútbol a finales del 2012. Entregaron a la empresa Servihábitat toda la documentación porque lo exigía la ley y porque la empresa Servihábitat les obligó. - Dejaron la documentación a la libre disposición de Servihábitat pero no para que la abandonaran en el campo de fútbol. Esta empresa firmó que recogían la documentación. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La entidad ECKSTEIN HAUSE, S.L. con CIF nº: ******** vendió en julio de 2012 el inmueble situado en la calle (C/...................1)(TOLEDO) a la empresa BUILDING CENTER S.A.U. SEGUNDO: El 26 de diciembre de 2012, agentes de la Policía Local de Santa Olalla mientras realizaban sus funciones habituales, comprobaron que en un solar adyacente al campo de fútbol de la localidad, había una gran cantidad de papeles abandonados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 la calle, entre los que pudieron observar, planos, facturas, presupuestos, cotizaciones de la Seguridad social, documentos con datos personales, con cuentas bancarias, etc. El solar es propiedad del Ayuntamiento de Santa Olalla. TERCERO: La documentación encontrada pertenece a la constructora-inmobiliaria Echstein Hause, S.L. Se ponen en contacto con esta empresa que les informa que el inmueble ya no es de su propiedad que fue embargado por la entidad bancaria La Caixa. Puestos en contacto con una oficia de esta entidad les informa que el inmueble está siendo gestionado por una filial del grupo llamada Servihábitat que les confirma que nuevo dueño del edificio es la entidad Building Center, S.A.U. Estas circunstancias se recogen en el atestado instruido por diligencias nº 09/13, del Juzgado de 1ª Instancia e Instrucción nº 4 de Torrijos el 22 de febrero de 2013. CUARTO: La nueva propietaria del inmueble Building Center, S.A.U. ha informado que la compraventa fue solo del inmueble sin incluir información o dato de naturaleza alguna. Tal y como indica en su escrito de su escrito registrado en esta Agencia el 30 de septiembre de 2013. QUINTO: La entidad denunciada no ha negado que esta documentación haya sido generada por ella, así en sus últimas alegaciones de 14 de marzo de 2014, afirma que la documentación se dejó a disposición de Building Center, S.A.U. por venir obligados legalmente (aunque no ha fundamentado esta afirmación en ninguna norma legal) y por obligarles también Servihabitat al adquirir el inmueble. Reconoce que dejaron el contenido de los pisos del inmueble a la libre disposición de la empresa adquiriente y que esta empresa firmo la recogida de la documentación (no obstante no aporta ningún documento que sirva para acreditar esta circunstancia). SEXTO: El Ayuntamiento de Santa Olalla finalmente se encargó de realizar la limpieza de la documentación hallada en el solar para evitar posibles malos usos de la misma. Así se recoge en el atestado citado en el hecho tercero. Se tomaron muestras de la documentación que se enviaron al Juzgado de Torrijos y a esta Agencia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 43, establece que serán los responsables de los ficheros y los encargados de tratamiento los que estarán sujetos al régimen sancionador establecido en su articulado. En su artículo 3d) define lo que entiende por responsable del fichero o tratamiento con el siguiente tenor literal: “…persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En el presente caso, la entidad ECKSTEIN HAUSE, S.L. es la responsable de los ficheros y tratamientos, derivados de su actividad laboral, en los que se contienen datos personales, cuyo tratamiento conlleva la obligación de cumplir con las exigencias establecidas en la LOPD y su normativa de desarrollo, entre las que se incluyen las medidas de seguridad. III Los hechos expuestos suponen la comisión, por parte de la entidad denunciada de una infracción del artículo 9.1 de la LOPD, que regula la obligación de establecer medidas de seguridad, en los siguientes términos: “El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.” Hay que tener en cuenta además que las medidas de seguridad deben adoptarse tal y como se indica en el artículo anterior, por el responsable del fichero para garantizar la seguridad de los datos personales que tratan y evitar de esta forma que se alteren, pierdan o sean conocidos por personas no autorizadas o que no cuentan con el consentimiento de los titulares. Las medidas de seguridad que deben adoptar los responsables de los ficheros o en su caso, encargados del tratamiento tal y como señala el artículo 9.2 de la LOPD se establecerán reglamentariamente, el tenor literal de este artículo expresa: “No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.” La reglamentación de las condiciones de seguridad que deberán respetar los responsables de los ficheros se encuentra en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD), más concretamente en su Título VIII que lleva por título “De las medidas de seguridad en el tratamiento de datos de carácter personal”. En el Capítulo II de este título se regula un elemento básico dentro de las medidas de seguridad, es el llamado documento de seguridad en el que se deben recoger todas las medidas de índole técnica y organizativa que implante el responsable del fichero para asegurar que el tratamiento de los datos que lleve a cabo cumple con todos los requisitos de la normativa de protección de datos. El artículo 88.3 del RLOPD, recoge el contenido mínimo del documento de seguridad, su apartado
3. h)se refiere a “las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 En el caso que nos ocupa, durante la fase de actuaciones previas, el 14 de marzo de 2014 se registró en esta Agencia, un escrito de uno de los representantes de la entidad denunciada (D. A.A.A.) en el que alegaba que cuando entregaron el inmueble transmitido hicieron entrega también de toda la documentación que tenían pues así estaban obligados por ley y así se lo exigió la empresa adquiriente que firmó la recogida de la información. Sin embargo, la entidad denunciada no ha invocada ninguna norma legal concreta que fundamente su afirmación ni ha presentado ningún documento que sirva para acreditar que la empresa Building Center, S.A.U. firmó la recogida de la documentación. La empresa denunciada no ha presentado ante esta Agencia su documento de seguridad donde se recoja el protocolo para la destrucción de los escritos, documentos y demás información que contenga datos de carácter personal. IV Llegados a este punto, conviene señalar que la propia entidad denunciada reconoce que la documentación encontrada por la Policía Local de Santa Olalla fue generada por ella. El abandono de esta documentación en la vía pública puede suponer una infracción del artículo 9.1 de la LODP reproducido anteriormente. Dicha infracción aparece tipificada como grave en el artículo 44.3.
4. h)de la LOPD, que considera como tal: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. A su vez, el artículo 45.2 de la LOPD establece que “Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) (LES), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
5. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
6. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Los criterios a los que alude el nuevo artículo 45.6 de la LOPD, vienen recogidos en el apartado 5 de este mismo artículo, que también ha sido modificado por la Disposición Final Quincuagésima Sexta de la LES, quedando redactado del siguiente modo: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
7. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
8. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
9. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
10. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
11. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente supuesto se cumplen los requisitos recogidos en los apartados
12. a)y
13. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una disminución de la culpabilidad de la entidad imputada teniendo en cuenta que no consta vinculación de la actividad de la misma con la realización de tratamientos de datos de carácter personal, ni que existan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. APERCIBIR (A/00247/2013) a la entidad ECKSTEIN HAUSE, S.L. con CIF nº: ********, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
14. h)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a la entidad ECKSTEIN HAUSE, S.L. con CIF nº: ********, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acredite en el plazo de un mes desde este acto de notificación lo siguiente, (abriéndose el expediente de actuaciones previas nº: E/02123/2014):  cumpla lo previsto en el artículo 9 de la LOPD. En concreto se insta a la entidad denunciada a justificar que en su documento de seguridad tienen establecidas las medidas a adoptar para la destrucción de documentos que contengan datos personales. Estas medidas deberán ser acordes con la normativa de protección de datos.  informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el punto anterior, acreditando dicho cumplimiento con copia de su documento de seguridad. En caso de no cumplir el presente requerimiento, se procederá a acordar la apertura de un procedimiento sancionador pudiendo llegar a imponerse una sanción de 40.001 a 300.000 euros. 3.- NOTIFICAR la presente resolución a la entidad ECKSTEIN HAUSE, S.L. con CIF nº: ********. 4.- NOTIFICAR la presente resolución al JUZGADO DE INSTRUCCIÓN NÚMERO 1 DE TORRIJOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es