A-00369-2017

1/7 Procedimiento Nº: A/00369/2017 RESOLUCIÓN: R/03136/2017 En el procedimiento A/00369/2017, instruido por la Agencia Española de Protección de Datos a Don A.A.A. -LA GAVETA DE TU BODA-, vista la denuncia presentada por Don B.B.B., y Doña C.C.C., y en virtud de los siguientes: ANTECEDENTES PRIMERO: Con fecha 22 de agosto de 2017, tiene entrada en esta Agencia un escrito remitido por Don B.B.B., y Doña C.C.C., en el que exponen lo siguiente: que el 12 de diciembre de 2016 contrataron los servicios de “Reportaje de Boda” con Don A.A.A., con nombre comercial “La Gaveta de tu boda”. El día 3 de junio de 2017, se celebró la boda contando con la grabación de tres videógrafos durante toda la celebración. Después de dos meses, Don A.A.A. les envió un correo electrónico informándoles que le habían robado una serie de objetos electrónicos y lamentablemente las imágenes de su boda estaban en un disco duro sustraído. Le pidieron copia de la denuncia y solo les envió la última hoja, en la que aparece un inventario de objetos sin dar ninguna explicación. Se han enterado que le robaron una mochila con los objetos, que había dejado en el suelo de un bar. Denuncian que no se ha garantizado la seguridad de sus imágenes y que no han sido informados acerca del fichero en el quedaban sus datos incorporados. Aportan copia de: - NIF de los denunciantes. Contrato celebrado entre los denunciantes y el Sr. A.A.A. en nombre de “La Gaveta de tu boda” Copia de la denuncia presentada por Don A.A.A.. Copia de varios correos electrónicos que se cruzaron denunciantes y denunciado acerca del extravío de sus fotos de boda. SEGUNDO: En la página web de “La Gaveta de tu Boda”, en el apartado Condiciones Legales, en su cláusula 5 incluye información referida a protección de datos, acerca de todos y cada uno de los apartados recogidos en el artículo 5 de la LOPD. TERCERO: Consultada, en fecha 5 de octubre de 2017, la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado, no le constan registros previos. CUARTO: Con fecha 17 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00369/2017. Dicho acuerdo fue notificado al denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 QUINTO: Con fecha 7 de noviembre de 2017 se recibe en esta Agencia escrito del denunciado en el que comunica que efectivamente fue contratado por los denunciantes para grabar su boda, reportaje realizado el 3 de junio de 2017. En ese momento, las grabaciones empleadas para editar el vídeo de la boda eran almacenadas en un disco duro de seguridad y un servidor remoto (Dropbox) protegido con contraseña segura. Tras la grabación, Don A.A.A. tuvo que trasladarse a Barcelona por un compromiso laboral. Por error se llevó el disco duro de seguridad, pero que no puede accederse a sus imágenes al tener contraseña de seguridad. El día 6 de julio de 2017, Don A.A.A. sufrió un robo sustrayendo los dos discos duros. Acompaña copia del atestado. Tras el robo, consiguió recuperar casi todo el material de grabación, que se ha entregado a los denunciantes sin ningún coste, ya que se les ha devuelto lo pagado. Acompaña copia del ingreso en el banco y de numerosos correos entre los denunciantes y el denunciado explicando la situación. Como medidas correctoras ha adquirido un Servidor NAS (Synology DS416), un servidor propio en red de copia de seguridad con un potente motor de cifrado que garantiza la privacidad y conservación de los archivos. Cada hora realiza copias remotas de seguridad. Asimismo, ha adquirido un disco duro de 10.000GB de gama alta que ofrece las máximas prestaciones en cuestión de seguridad y durabilidad para guardar los archivos minimizando riesgos de rotura de disco y que no es portátil, por lo que se elimina el riesgo de su transporte no intencionado. Se mantiene también la metodología anterior al robo. HECHOS PROBADOS PRIMERO: Don B.B.B., y Doña C.C.C., contrataron los servicios de “Reportaje de Boda” con Don A.A.A., con nombre comercial “La Gaveta de tu boda”. SEGUNDO: El día 3 de junio de 2017, se celebró la boda contando con la grabación de tres videógrafos durante toda la celebración. TERCERO: El día 6 de julio de 2017, Don A.A.A. sufrió el robo de una mochila que contenía dos discos duros con las imágenes de los denunciantes. Uno de ellos era el disco duro con las copias. CUARTO: Don A.A.A. ha adquirido un Servidor NAS (Synology DS416), un servidor propio en red de copia de seguridad con un potente motor de cifrado que garantiza la privacidad y conservación de los archivos. Cada hora realiza copias remotas de seguridad. Asimismo, ha adquirido un disco duro de 10.000GB de gama alta que ofrece las máximas prestaciones en cuestión de seguridad y durabilidad para guardar los archivos minimizando riesgos de rotura de disco y que no es portátil, por lo que se elimina el riesgo de su transporte no intencionado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con robo de dos discos duros, uno de ellos el que almacenaba las copias de seguridad, supone la comisión, por parte del Sr. A.A.A., como representante de la Gaveta de tu boda, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “ El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en el artículo 94, que establece lo siguiente: “Artículo 94. Copias de respaldo y recuperación. 1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos. 2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad. 3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. 4. Las pruebas anteriores a la implantación o modificación de los sistemas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad. Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.” III De acuerdo con lo expuesto, se iniciaron actuaciones contra el denunciado por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
2. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. Alega el denunciado que ya ha tomado las medidas correctoras para que no vuelva a suceder algo similar a lo acaecido, aportando copia de las facturas de todo el equipo que ha adquirido con la finalidad de mantener la seguridad de las imágenes grabadas y poder recuperarlas en su totalidad. Como se ha indicado en los Hechos Probados, el denunciado perdió datos personales de los denunciantes y el disco duro que servía de copia de seguridad, vulnerando lo establecido en el artículo 9 de la LOPD. IV El artículo 45.6 de la Ley 15/1999 de Protección de Datos indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
3. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 En el presente supuesto se cumplen los requisitos recogidos en los apartados
5. a)y
6. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad, el grado de intencionalidad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. V La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo como se deduce del fundamento de derecho SEXTO: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
7. c)de la misma Ley.” En el presente caso, el fotógrafo denunciado ha sustituido gran parte del material en el que almacena las imágenes de sus clientes para cumplir las medidas de seguridad indicadas. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la persona denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00289/2015 seguido contra Don A.A.A. -LA GAVETA DE TU BODA-, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 2.- NOTIFICAR el presente Acuerdo a Don A.A.A. -LA GAVETA DE TU BODA-, y a Don B.B.B., y a Doña C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es