← España

A-00418-2014

1/15 Procedimiento Nº: A/00418/2014 RESOLUCIÓN: R/00091/2015 En el procedimiento A/00418/2014, instruido por la Agencia Española de Protección de Datos a la entidad ARENA MEDIA COMMUNICATIONS ESPAÑA, SA, vista la denuncia presentada y en virtud de los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 10/2/14 tiene entrada en esta Agencia un escrito en el que se pone de manifiesto el hallazgo de las cartas que se adjuntan tiradas en el suelo al lado de un contenedor. Se aportan 78 sobres originales conteniendo formularios de participación a un concurso de FARMATINT supuestamente remitidos por los participantes a un apartado de correos de Barcelona. Los formularios se encuentran cumplimentados con el nombre y apellidos, dirección, teléfono y año de nacimiento del participante. Los sobres se encuentran abiertos y en ellos se acompañan recortes que incluyen códigos de barras, supuestamente del producto FARMATINT. En el pie de los formularios se informa sobre los datos personales, indicando que los que se facilitan mediante el formulario serán incorporados a un fichero bajo la responsabilidad de la entidad OMEGA PHARMA ESPAÑA, S.A. (en adelante OMEGA). SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas que concluyeron con la elaboración de informe de actuaciones previas E//01536/2014. TERCERO: Con fecha 2/2/15, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00418//2014. Dicho acuerdo fue notificado al Arena Media Communications España sin que consten alegaciones ante el mismo. HECHOS PROBADOS 1º Consta que la entidad OMEGA PHARMA ha organizado de forma puntual promociones en las que se recaban datos de participantes a través de formularios. Contratando con Agencias de Publicidad especializadas la gestión de este tipo de campañas. 2º Se manifiesta por OMEGA PHARMA que son las empresas contratadas las que asumen las funciones de recepción y recogida de los formularios, habitualmente, en un apartado de correos, así como la realización del correspondiente sorteo ante Notario (es decir, la selección de los formularios premiados). De la misma forma, es la Agencia de Publicidad quien se pone en contacto con los ganadores y, en su caso, tramita cualquier reclamación que se reciba. 3º Que sólo accede a los datos de los ganadores del concurso a efectos administrativos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 y contable. 4º En cumplimiento de los contratos firmados con OMEGA PHARMA, las Agencias de Publicidad conservan los formularios durante el plazo necesario para atender las reclamaciones/aclaraciones relacionadas con el sorteo, procediendo después a su destrucción segura. 5º Se ha aportado por OMEGA PHARMA descripción del proceso de destrucción del papel utilizado por la entidad y de los controles establecidos sobre dicho proceso 6º Por OMEGA PHARMA se manifiesta su desconocimiento sobre los motivos de la aparición de la documentación, objeto de la denuncia, en la vía pública. 7º Se ha adjuntado copia del contrato con la empresa ARENA MEDIA COMMUNICATIONS ESPAÑA S.A. en febrero de 2012. Esta entidad no ha puesto en conocimiento de OMEGA PHARMA ninguna incidencia relacionada con protección de datos que afecte a la promoción de 2012. Por lo que consideran que toda documentación debería haber sido 8º Consta que en el contrato suscrito entre OMEGA PHARMA y ARENA MEDIA COMMUNICATIONS ESPAÑA, SA se especifica la siguiente cláusula (9.5: “Es posible que ARENA acceda a determinados datos de carácter personal del CLIENTE para la prestación de determinados servicios. En este caso, A.A.A.. Por ello, ARENA únicamente tratará los datos conforme a las Instrucciones del CLIENTE y no los aplicará o utilizará con fin distinto a la prestación de los servicios correspondientes, ni los comunicará, ni siquiera para su conservación, a otras personas (Con la excepción de los prestadores de servicios Informáticos, asesores jurídicos, auditores y otros prestadores de servicios, de acuerdo con la práctica habitual en el mercado, cuya lista exacta está a su disposición) En estos casos, ARENA deberá implementar las medidas de segundad de tipo que corresponda para garantizar la seguridad de los datos tratados Una vez cumplida la prestación contractual, los datos de carácter personal serán destruidos o devueltos al CLIENTE al Igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento.” 9º Constan manifestaciones por ARENA MEDIA COMMUNICATIONS ESPANA, S.A. que subcontrató la gestión de acción de publicidad directa con la entidad XPUNTOCERO. Manifestando así mismo que dicha compañía se responsabilizó de toda la acción promocional, activó el código postal correspondiente, gestionó la documentación y la recepción de los cupones de respuesta generados en el desarrollo de la campaña de FARMATIN y realizó el correspondiente sorteo ante notario. 10º Que ni ARENA MEDIA COMMUNICATION ESPANA, S.A. ni el propio anunciante, OMEGA PHARMA, tuvieron contacto con los formularios remitidos por los participantes en el concurso. Quedando este aspecto delegado y restringido a XPUNTOCERO, agencia especializada en este tipo de actividad. 11º Consta aportado por XPUNTOCERO el procedimiento seguido con los formularios. Alegando que dichos formularios eran enviados por los consumidores al apartado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 correos 5009 de Barcelona. Semanalmente se recogían del apartado de correos mediante una saca y se almacenaban en un armario bajo llave en su oficina de la Calle C.C.C.• Posteriormente se procedía a su registro en la web: farmatint.es/gana naturalmente/admin/. Web que estaba hospedada en el servidor de Omega Pharma. 12º Se manifiesta así mismo que procedieron a aplicar su protocolo de actuación para la gestión de datos personales), según el cual al no disponer de instrucciones concretas por parte de nuestro cliente Arena Media con respecto a cómo proceder con las cartas, transcurridos 4 meses de la finalización de la promoción y una vez realizados los sorteos pertinentes ante notario, se procedió a la destrucción de las cartas mediante máquina destructora que estaba sus dependencias 13º Que desconocen cómo pudieron llegar los formularios a un contenedor, ya que alegan que destruyeron las cartas correctamente. Considerando como motivo un robo que sufrieron en su oficina el dia 4/3/16 y que fue denunciado a los Mossos de Escuadra. Dicho robo se registró como una incidencia de seguridad a pesar de que en un primer momento no pudimos verificar que documentos con datos personales se hubieran perdido. 14º Se ha aportado igualmente el procedimiento de destrucción de la documentación. 15º Que por la Inspección de Datos se solicitó a la entidad ARENA MEDIA la siguiente documentación: * Acreditación documental de la autorización previa obtenida de OMEGA PHARMA ESPAÑA, SA para la subcontratación de los servicios (gestión de la documentación y recepción de los cupones de respuesta, sorteo, etc…) a MC TRADE SOLUTIONS, SL (XPUNTOCERO). * Información sobre la existencia de contrato suscrito entre ARENA y XPUNTOCERO para la subcontratación de los servicios con relación a OMEGA PHARMA ESPAÑA, SA. Copia del contrato en su caso. * Documentación acreditativa de las instrucciones giradas a XPUNTOCERO con relación a las garantías a seguir con respecto al tratamiento de datos personales, en concreto, sobre los procedimientos de destrucción o devolución de los datos una vez cumplida la prestación contractual. 16º No se ha remitido la documentación/información requerida por la Agencia FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  2. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
  3. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, y en relación a los hechos denunciados la empresa ARENA MEDIA COMMUNICATIONS ESPAÑA S.A debe considerarse encargada de tratamiento de OMEGA PHARMA en virtud de una promoción que fue contratada con la primera, adjuntándose copia del contrato correspondiente suscrito en febrero de 2012. Por medio del mismo ARENA MEDIA asumía las funciones de recepción y recogida de los formularios, habitualmente, en un apartado de correos, así como la realización del correspondiente sorteo ante Notario (es decir, la selección de los formularios premiados). De la misma forma, es la Agencia de Publicidad quien se pone en contacto con los ganadores y, en su caso, tramita cualquier reclamación que se reciba. Posteriormente ARENA MEDIA COMMUNICATIONS ESPANA, S.A. subcontrató la gestión de la acción de publicidad directa a XPUNTOCERO, agencia de Marketing que fue la responsable de la gestión de la documentación y la recepción de los cupones de respuesta generados en el desarrollo de la campaña de FARMATIN y realizó el correspondiente sorteo ante notario. III El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
  4. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD .
  5. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  6. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  7. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. IV Se imputa e primer lugar la comisión de una infracción del art 9 de la LOPD que exige la necesidad de adoptar medidas técnicas y organizativas que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado. En dicho artículo se hace referencia no sólo a medidas técnicas sino también organizativas, medida que garantice la seguridad de dichos datos. En el caso que nos ocupa la documentación encontrada entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Debe tenerse en cuenta lo establecido tanto en el artículo 106 del RD 1720/07 de desarrollo de la LOPD que establece: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo. “ Y el art 92.2, 3 y 4, (de aplicación a los ficheros no automatizados en virtud de lo establecido en el artículo 105), que disponen: “2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Se impone en este articulo la obligación de adoptar medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado, que incluye la atención a los protocolos que al respecto se deban aplicar cuando el traslado tenga como finalidad el desecho o destrucción de la documentación. Por lo tanto deberían de haberse adaptado, por parte de la entidad denunciada, las medidas suficientes que el acceso a la información contenida en los mismos, así como su posible recuperación posterior. Debe señalarse que el incumplimiento de este tipo de previsión implica un riesgo muy importante en la divulgación no deseada de documentos con datos personales. V Los hechos, que traen causa en este procedimiento, derivan de la localización, en la vía pública y tiradas junto a un contenedor, de 78 sobre originales conteniendo formularios de participación de un concurso supuestamente remitidos por los participantes a un apartado de correos de Barcelona. Dicho concurso fue organizado por la entidad OMEGA PHARMA, que organiza de forma puntual promociones en las que se recaban datos de participantes a través de formularios. Contratando con ARENA MEDIA, la gestión de esta campaña publicitaria. Por la entidad ARENA MEDIA, que actuó como encargada del tratamiento, se subcontrató la gestión de acción de publicidad directa con la entidad XPUNTOCERO. Analizando los hechos denunciados se deduce que es de aplicación lo dispuesto en artículo 92.4 del RLOPD que dispone que: “Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de aquellas medidas dirigida a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Esta previsión del artículo 92 es también de aplicación a los ficheros y tratamientos no automatizados, en virtud de la remisión que se hace desde el artículo 105.2.d. En este apartado cuarto se regulan las obligaciones que tendrán que aplicarse cuando vaya a desecharse cualquier documento o soporte que contenga datos personales. Estableciéndose, aunque no se definen en concreto las medidas, que serán aquellas que eviten el acceso a la información contenido en los mismos, así como su posible recuperación posterior. Por consiguiente la recuperación de la documentación abandonada en la via publica permite deducir que no se observó la diligencia adecuada, ya que se tenían que haberse asegurado las medidas que imposibilitaran la recuperación posterior de la misma, o en el caso que se cediera a un tercero para su destrucción haber detallado por escrito la documentación entregada. Ahora bien dicha responsabilidad no puede atribuirse a XPUNTOCERO, independientemente que actuara como entidad subcontratada por ARENA MEDIA, y que fue la responsable de la gestión de la documentación y la recepción de los cupones de respuesta generados en el desarrollo de la campaña de FARMATIN, al no acreditarse que actuara en nombre de ARENA al no haberse aportado contrato de prestación de servicios tal como establece el art. 12 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 En dicho contrato, en virtud del cual se establece la relación entre el responsable y el encargado del tratamiento, deberá de fijarse las medidas de seguridad adoptar, así lo establece el artículo 12.2 de la Ley Orgánica 15/1999, Debe tenerse en cuenta que en virtud del artículo 21 del RLOPD el encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. Con autorización del responsable el encargado podrá subcontratar con un tercero la realización de tratamiento de datos. En este caso, la subcontratación se efectuará siempre en nombre y por cuenta del responsable. También se podrá subcontratara sin previa autorización del responsable siempre que en el contrato se hubiera especificado los servicios que podrán ser subcontratados. Se deduce de la norma que el subcontratista deberá tratar los datos de conformidad con las instrucciones del responsable y que deberá existir un contrato formalizado entre contratista y subcontratista en los términos previstos en el art. 21 del Reglamento. Con estos requisitos el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el art. 12 de la LOPD. Y en consecuencia si el subcontratista utiliza los datos incumpliendo las estipulaciones del contrato o las instrucciones del responsable, o los destina a otras finalidades, será considerado también responsable, respondiendo de las infracciones en que hubiera incurrido personalmente Sin embargo, la falta de acreditación del contrato suscrito entre ARENA MEDIA la empresa subcontratado por ésta: XPUNTOCERO, independientemente de las medidas que de medidas de seguridad que hubieran tenido que ser adoptadas por esta última, hace que la responsabilidad de los hechos deba imputarse a la empresa encargada del tratamiento: ARENA MEDIA, no respondiendo de los mismos la empresa prestadora del servicio (supuestamente) contratado VI Por consiguiente procede imputar la responsabilidad por los hechos denunciados a la entidad ARENA MEDIA y no a la entidad subcontratada por ella XPUNTOCERO en base a lo previsto en el art. 12 de la LOPD que establece: “Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” Hay que tener en cuenta, tal como ha señalado esta Agencia en un informe de 27 de julio de 2006 “Para delimitar si en un supuesto concreto nos encontramos ante una cesión de datos o ante una realización de actividades reguladas por el artículo 12 de la Ley Orgánica, será preciso atender a las circunstancias de cada caso, de tal forma que existirá cesión en aquellos supuestos en los que quien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en un responsable del fichero o tratamiento, mientras que la figura regulada por el artículo 12 de la Ley Orgánica tendrá cabida en aquellos otros casos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad.” Ahora bien, para que la relación entre responsable y encargado del tratamiento pueda darse y se ajuste a la Ley, es preciso que se cumplan los requisitos expresados en el artículo 12 de la Ley Orgánica 15/1999,considerando los siguientes aspectos: En primer lugar, es preciso que el acceso a los datos por el tercero (en este caso XPUNTOCERO se efectúe con la exclusiva finalidad de prestar un servicio al responsable del fichero (OMEGA PHARMA ESPAÑA), y que dicha relación de servicios se encuentre contractualmente establecida. El hecho de que la relación derivada del contrato sea la existente entre un responsable y un encargado del tratamiento implicará que al término de la relación sea aplicable lo establecido en el artículo 12.3 de la Ley orgánica 15/1999, de forma que “una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”. El incumplimiento de la previsión señalada en el artículo 12.3, que en el presente caso queda limitada, por la propia naturaleza del servicio a prestar, a la destrucción de los documentos que contengan datos personales ordenada por la empresa que contrate dicho servicio, llevará aparejada la consecuencia, prevista en el artículo 12.4 de la Ley Orgánica 15/1999, de que “En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. VII El hecho constatado en el presente procedimiento, relativo a la aparición de documentación con datos de carácter personal en la vía pública y accesible a terceros supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 El artículo 44.3
  8. h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales, pudieran ser vistos por un tercero, infracción que procede calificarla en el grado señalado. La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado. Tal es la interpretación que ha establecido la Audiencia Nacional en la sentencia de 6/02/08. Existe una obligación de resultado, que no se ha cumplido, pues documentación con datos de carácter personal procedente de la entidad denunciada se encontró si destruir, de lo que se desprende una falta de negligencia del responsable del tratamiento, obligado a implementar las medidas de seguridad. No obstante, deben tenerse en cuenta otros elementos que sirven para aminorar dicha responsabilidad: que por parte de la denunciada exista documento de seguridad, que se han realizado diversas campañas de concienciación y formación entre el personal de la empresa, que el sistema informático está formado por diversos servidores independientes para proteger los accesos, que dispongan de varias destructoras de documentos ubicadas en distintos lugares, y que la denuncia procediera a prescindir de los servicios de las empresas que hasta aquél entonces recogían los residuos que generaba y contratar a otra que garantizase el cumplimiento de la normativa vigente en tratamiento y destrucción de soporte papel con datos de carácter personal,. La necesidad de especial diligencia en la custodia de la documentación por parte del responsable y encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en diversas sentencias, en particular en la sentencia de 25/06/09, Rec. 237/2008, que manifiesta: “Es doctrina reiterada en esta Sala, SSAN, sec. 1ª, de 25/1/06 (re. 227/2004), 28/06/06 (Re. 290/2004), que “No basta con la aplicación formal de las medidas de seguridad, pues resulta exigible que aquellas se instauren y pongan en práctica de manera efectiva…Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva la recurrente es, por disposición legal, una deudora de seguridad en materia de datos y puesto que es una deudora de seguridad en materia de datos es insuficiente, según se desprende la doctrina de la Sala que se acaba de exponer, con acreditar que se adoptaron una serie de medidas, pues dicha entidad también es responsable de que las mismas se cumplan y ejecuten con rigor” VIII El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18 de enero de 2002, recoge en su Fundamento de Derecho Segundo, y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizada mente no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” En el caso que nos ocupa, la entidad denunciada es responsable de la custodia de la documentación con datos de carácter personal, que ha sido recuperada , existiendo pues, una omisión del deber de secreto, produciéndose una ausencia de confidencialidad, por lo que se considera que se ha cometido una infracción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 transcrito artículo 10 de la LOPD. IX El artículo 44.3.
  9. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente ley” De acuerdo con los fundamentos anteriores, se deduce que por parte de la entidad denunciada se ha producido una vulneración del deber de secreto y de seguridad de los datos, infracciones que procede calificarlas como graves. Sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada…sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. X El hecho constatado de la difusión de datos personales fuera del ámbito de la entidad denunciada establece la base de facto para fundamentar la imputación de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. Esto es, si un documento interno que contiene información sobre datos personales sale del ámbito de la entidad responsable de su confidencialidad, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora que señala que “en defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, procede subsumir ambas infracciones en una. Dado que, en este caso, se ha producido una vulneración de las medidas de seguridad, calificada como grave por el artículo 44.3.
  10. h)de la LOPD y también un incumplimiento del deber de guardar secreto, calificado como grave en el artículo 44.3.
  11. g)de la misma norma, procede imputar únicamente la infracción del artículo 9 de la LOPD. XI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: A) Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. B) Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  12. a)y
  13. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, Por otra parte, procede requerir a la entidad ARENA MEDIA que regule la realización de tratamientos por cuenta de terceros por un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose en el mismo las medidas a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/0041/2014) a la entidad ARENA MEDIA S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  14. h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
  15. f)y
  16. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a ARENA MEDIA., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados y no a terceros y comprometiéndose expresamente a verificar que la información que incluyen en los discos duros corresponde a la del albarán de su titular. Asi mismo, en el caso de subcontratación de servicios por terceras personas que cumpla la previsión establecida por el art. 12 regulando la realización de tratamientos por cuenta de terceros por un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose en el mismo las medidas a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/04011/2015, podría incurrir en una infracción del artículo 37.1.
  17. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  18. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  19. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad ARENA MEDIA COMMUNICATIONS ESPAÑA, SA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.