1/5 Procedimiento Nº: A/00262/2014 RESOLUCIÓN: R/02525/2014 En el procedimiento A/00262/2014, instruido por la Agencia Española de Protección de Datos al despacho de Abogados denominado GIL, DONCEL Y BOTELLA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de agosto de 2014, tuvo entrada en esta Agencia un escrito en el que se indica expresamente lo siguiente: “Todo esto y más aparecido en papeles de (C/.............1) en varias ocasiones. Abogado XXXXX en dicha dirección”. Junto a ello, acompañaba en el sobre numerosa documentación conteniendo datos personales, tales como Informes de vida laboral acompañado de una Propuesta de Prestación de Servicios del Despacho Gil-Doncel-Botella. SEGUNDO: Con fecha 9 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter al denunciado a trámite de audiencia previa el presente procedimiento de apercibimiento A/00262/2014, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 91, 92.4 y 97.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, e infracción del artículo 10 de la citada Ley Orgánica, tipificadas como graves en los artículos 44.3.
- h)y 44.3.
- d)de la misma norma, respectivamente. TERCERO: Con fecha 28 de octubre de 2014, se recibe en esta Agencia escrito del denunciado en el que manifiesta que tras revisar la denuncia anónima presentada y la documentación aportada, se indica que en ese Despacho de Abogados nunca se han tirado papeles en la vía pública ni en los contenedores que están depositados en la misma ni en la portería del edificio, sin poder evitar que el cliente lo deposite en alguno de esos lugares. Los documentos en cuestión se refieren a unos clientes a los cuales ese despacho tramitó un asunto, que finalizó en el año 2010. Una vez concluido el asunto, se devolvió la documentación original a los clientes. El colectivo asesorado se elevó a casi 200 personas, si el despacho lo hubiese tirado el volumen encontrado sería mucho mayor. Se acompaña una fotografía de una de las muchas destructoras de papel que tienen en el despacho, en las cuales se destruye la documentación que contiene datos personales o sensibles, depositando lo triturado en contenedores de papel para su reciclaje. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 1. Con fecha 18 de agosto de 2014, tuvo entrada en esta Agencia un escrito en el que se indica expresamente lo siguiente: “Todo esto y más aparecido en papeles de (C/.............1) en varias ocasiones. Abogado XXXXX en dicha dirección”. Junto a ello, acompañaba en el sobre numerosa documentación conteniendo datos personales, tales como Informes de vida laboral acompañado de una Propuesta de Prestación de Servicios del Despacho Gil-Doncel-Botella. 2. El denunciado ha alegado que se trata de documentos entregados a unos clientes a los que llevo un asunto en el año 2010 y que había finalizado. 3. El denunciado dispone de destructoras de papel, indicando que se utilizan para destruir los documentos que contienen datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con el abandono en un lugar público de documentación entre las que se encuentran contratos entre clientes y el Despacho Gil-Doncel-Botella, en la que se contienen datos personales, podrían suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 91, 92.4 y 97.2, que establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. La vulneración de los preceptos citados aparece tipificada como infracción grave en el artículo 44.3.
- h)de la LOPD, que considera como tal, “ Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, los hechos expuestos, en relación con el acceso por parte de un tercero a los datos personales contenidos en la documentación perteneciente al denunciado abandonada en un lugar público, podría suponer la comisión por el mismo, de una infracción del artículo 10 de la LOPD, según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, que aparece tipificada como grave en el artículo 44.3.
- d)de dicha norma, que califica como tal “la vulneración del deber de guardar secreto acerca del tratamiento de sus datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con lo expuesto, los hechos que podrían fundamentar ambas infracciones son los mismos, por lo que nos encontraríamos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del abandono de documentación en la vía pública que podría suponer una infracción de las medidas de seguridad, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procedería subsumir ambas infracciones en una. En este caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 las dos infracciones se tipifican como graves, por lo que corresponde considerar únicamente la infracción del artículo 9 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. II De acuerdo con lo expuesto, se iniciaron actuaciones contra el despacho denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
- h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, e infracción del artículo 10 de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.
- d)de la misma norma. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter al denunciado a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 9 y 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Sin embargo, en el presente caso, consta acreditado que el denunciado dispone de procedimientos adecuados para la destrucción de documentación y además la documentación encontrada en la vía pública era la correspondiente a los clientes, a los cuales se les entrega una vez finalizado el asunto. En consecuencia, procede el archivo de este apercibimiento al no ser posible responsabilizar al Despacho de Abogados Gil, Doncel y Botella de los documentos que aparecieron en la vía pública, enervar la presunción de inocencia y probar que no se trataba de documentos entregados a clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00262/2014 seguido contra despacho de Abogados denominado GIL, DONCEL Y BOTELLA, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción de los artículos 9 y 10 de la LOPD. 2.- NOTIFICAR el presente Acuerdo al despacho de Abogados denominado DONCEL Y BOTELLA. GIL, De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es