AAPP-00014-2018

1/13 Procedimiento Nº AP/00014/2018 RESOLUCIÓN: R/00927/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00014/2018, instruido por la Agencia Española de Protección de Datos a la entidad VALORA GESTIÓN TRIBUTARIA, vista la denuncia presentada por Dña. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 25 de enero de 2018, tiene entrada en esta Agencia escrito de Dña. B.B.B. (en adelante, la denunciante) exponiendo que en el frontal exterior de la carta que VALORA GESTIÓN TRIBUTARIA, Organismo Autónomo Local creado por el Cabildo de Gran Canaria, le ha remitido para notificarle el inicio de un procedimiento de embargo de cuenta por impago de impuesto de vehículo, junto a sus datos identificativos y dirección postal aparece en letra mayúscula y negrita la frase ”Notificación de embargo de cuenta bancaria”. Según la denunciante, al figurar esa información en el exterior de la carta, el organismo denunciado está haciendo público un dato de carácter personal sobre su situación financiera personal que resulta accesible a terceros. La denunciante aporta focotopia del anverso del envío remitido por VALORA GESTIÓN TRIBUTARIA al que se refiere en su denuncia, observándose que junto a la casilla del destinatario con el nombre, apellidos y dirección postal de la afectada figura detallada la siguiente información: ”NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE NOTIFICACIÓN Nº: D.D.D. EXPEDIENTE Nº: C.C.C. GRUPO: E.E.E.” TERCERO: Con fecha 19 de febrero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a VALORA GESTIÓN TRIBUTARIA ( en adelante, VALORA) por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en su relación con lo dispuesto en el artículo 92 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre de protección de datos de carácter personal, (en adelante RLOPD), tipificada como grave en el apartado 3.

1. h)del artículo 44 de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 3 de abril de 2018 VALORA presentó escrito de alegaciones solicitando el archivo del procedimiento con fundamento en los siguientes argumentos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 “PRIMERO.- Que tal y como se le indicó en escrito con registro de salida de fecha 17 de enero de 2018, en relación al procedimiento seguido por esa Agencia con nº AP/0076/2017, y por el mismo motivo que la notificación ahora recibida, este Organismo Autónomo ya ha procedido, desde mediados del mes de diciembre de 2017, y en virtud de los requerimientos realizados por la Agencia Española de Protección de Datos, a eliminar de los sobres de notificación cualquier referencia al procedimiento administrativo seguido. SEGUNDO.- El retraso producido entre la solución expuesta y el requerimiento efectuado se debió, tal y como expusimos en el referido escrito, en la complejidad técnica y en el uso compartido entre cuatro Administraciones Públicas del aplicativo informático de gestión tributaria. TERCERO.- En esta nueva notificación de inicio de procedimiento, está basado en la recepción por una ciudadana de una notificación, donde en el exterior del sobre se hace constar el procedimiento administrativo seguido, es decir, los mismos hechos por el que se abrió el procedimiento con nº AP/0076/2017. La fecha del escrito presentado ante esa Agencia, según notificación, es de 25 de enero de 2017, período anterior a la de toma de medidas por parte de esta Administración, en aplicación de las recomendaciones efectuadas. En el caso de error en las fechas y que esta fuera de enero de 2018, es debido a notificaciones que se encontraran en tránsito antes de la adopción de la medida de eliminar cualquier referencia, a excepción de los datos del sujeto pasivo, en el sobre de notificación.” QUINTO: Mediante Diligencia de fecha 6 de abril de 2018, se incorpora al procedimiento copia del escrito de alegaciones al acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas AP/00076/2017que se cita por VALORA en las alegaciones expuestas en el anterior antecedente de hecho. SÉXTO: Con fecha 11 de abril de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declarase que VALORA GESTIÓN TRIBUTARIA ha infringido lo dispuesto en el artículo del artículo 9.1 de LOPD en su relación con lo previsto en el artículo 92 del RDLOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. h)de la citada norma. Dicho acto fue notificado a VALORA GESTIÓN TRIBUTARIA con fecha 18 de abril de 2018. HECHOS PROBADOS PRIMERO: Con fecha 25 de enero de 2018 se registra de entrada en esta Agencia escrito de la denunciante manifestando que VALORA le ha remitido a través del Servicio de Correos una notificación en cuyo frontal exterior, junto a sus datos identificativos y postales de destinataria del envío, aparece destacada en negrita y mayúscula la indicación “NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE”. La denunciante estima que esa información en el exterior del envío no sólo hace pública su situación financiera personal a terceros, sino que resulta innecesaria C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 para la finalidad del envío al constar notificación recibida. esa misma información en el cuerpo de la SEGUNDO: La denunciante ha presentado copia del anverso o frontal exterior de la notificación que le fue remitida por VALORA, donde se observa que junto al nombre, apellidos y dirección postal de la denunciante que figuran en la casilla del destinatario/a de la notificación aparecen visibles las siguientes referencias: ”NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE NOTIFICACIÓN Nº: D.D.D. EXPEDIENTE Nº: C.C.C. GRUPO: E.E.E.” TERCERO: Consta que mediante escrito registrado de entrada en esta Agencia con fecha 24 de enero de 2018 VALORA comunicó a la AEPD, en el marco del procedimiento nº AP/00076/2017, que desde el año 2007 tiene suscrito un Convenio de Colaboración con el Organismo Autónomo de Gestión Tributaria SUMA G.T. de la Diputación de Alicante, proyecto de colaboración interadministrativa en el que también participan el Ayuntamiento de Majadahonda y la Diputación de Albacete a través de su organismo de gestión tributaria, y en virtud del cual “usa el sistema informático de Suma, a través del cual se realizan todo tipo de gestiones, entre ellos, las notificaciones de los diferentes procedimientos administrativos comprendidos en la gestión y recaudación de tributos y demás ingreso de derecho público.” Añadiendo: “Es por ello, que ante la complejidad de modificar una aplicación informática que no sólo afecta a este Organismo Autónomo, sino como ya se ha expuesto a cuatro administraciones que lo comparten a través del sistema de colaboración interadministrativa, y a pesar de que desde que llego su recomendación con registro de entrada en junio de 2017, se transmitió en el seno de la Comisión Mixta de Seguimiento del Convenio, la necesidad de modificación del aplicativo en atención a observar los requerimiento realizados por la AEPD, no ha sido hasta diciembre de ese mismo año, cuando los cambios solicitados han podido ser realizados asegurándole que en la actualidad no aparecen en los sobres de notificaciones el nombre del procedimiento administrativo seguido.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, disponiéndose en el artículo 1 de dicha norma que: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada Ley Orgánica, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El artículo 3.
4. a)de dicha Ley define el concepto de datos de carácter personal como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. El presente caso, el tratamiento de los datos personales de la afectada (nombre, apellidos y domicilio postal) realizado por VALORA en el frontal exterior del sobre de una notificación en la que aparece impresa una información que muestra la naturaleza exacta del procedimiento administrativo al que se refiere el envío (notificación de embargo de cuenta corriente), y consecuentemente, la condición de embargada de la destinataria titular de los datos, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 A su vez, el artículo 43 de la LOPD dispone que: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
6. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
7. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. III En el presente procedimiento debe dilucidarse si VALORA ha infringido el principio de seguridad de los datos personales que constan en sus ficheros con motivo del tratamiento denunciado. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
8. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
9. c)del mismo artículo 3 considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Sintetizando las previsiones legales puede afirmarse que:
10. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
11. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
12. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
13. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. IV Es necesario analizar las previsiones que el RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Así, las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. El artículo 88.3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
14. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
15. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
16. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
17. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
18. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
19. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
20. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 caso, la reutilización de estos últimos”. Asimismo, el Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). En el caso que nos ocupa, VALORA debió salvaguardar la confidencialidad y seguridad de los datos de carácter personal del denunciante objeto de análisis adoptando las medidas de nivel básico fijadas en el artículo 92 del mencionado RDLOPD. Dicho precepto, aplicable a todos los ficheros y tratamientos automatizados, en cuanto a la “Gestión de soportes y documentos” establece: 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Según el artículo 5.2 ñ) del citado Reglamento, por “Soporte” debe entenderse el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. En definitiva, VALORA, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que el citado organismo autónomo incumplió esta obligación , por cuanto el sistema de gestión empleado para la realización de notificaciones de embargo de cuenta corriente se basaba en el uso de un modelo de notificación remitida por correo postal que contenía en el frontal o anverso del sobre, en forma visible y destacada (mayúscula y negrita), la indicación “NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE” junto a los datos personales del afectado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 destinatario de la misma, tal como ocurrió en el caso de la denunciante, que recibió en su domicilio postal una de estas notificaciones. Dicho sistema permitía que los datos personales de la interesada, asociados a la situación de embargo que se explicitada en el anverso del sobre de la notificación recibida, pudieran ser accedidos por terceros. En consecuencia, se considera que VALORA ha incurrido en la infracción grave descrita, según ha quedado acreditado por la documentación aportada por la denunciante, que mostraba la información de carácter personal concerniente a la misma antes reseñada en forma que resultaba accesible a terceros no interesados. V En el presente caso se considera relevante destacar que, en un supuesto similar, la Audiencia Nacional, en Sentencia de 10/07/2014, señalo lo siguiente: <<Considera la Agencia Española de Protección de Datos que se ha vulnerado el principio de seguridad de los datos, por cuanto XXX incumplió las medidas de seguridad dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros, al incorporar en los sobres de las comunicaciones remitidas al denunciante reclamándole el pago de una deuda, tanto en el anverso como en el reverso la expresión “COBRO DE MOROSOS”, que con independencia de que se refiere a la descripción de su actividad, ofrece una información que vulnera lo establecido en el artículo 9.1 de la LOPD, en relación con el artículo 92.3 del Reglamento de desarrollo de la LOPD, vinculándola y asociándola necesariamente con los datos de carácter personal que figuran en el sobre, posibilitando deducir la condición de su destinatario, tratándose de información que debería estar vedada a terceros, para salvaguardar la confidencialidad del contenido de la información. (…) TERCERO.- A la vista de la normativa expuesta, la entidad recurrente estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constaban en sus ficheros, sea cual fuere el soporte o documento que los contuviera. A esta conclusión ha llegado la Sala en las Sentencias de 15 de abril -recurso nº. 143/2013- y 30 de abril -recurso nº. 140/2013- de 2014, en supuestos semejantes al que nos ocupa en que la parte actora era la misma. Decíamos en la segunda de las citadas Sentencias lo siguiente: <<Como ha señalado la Sala en la SAN, de 15 de abril 2014 (Rec. 143/2013) referente a un supuesto similar en el que incluso la entidad recurrente era la misma entidad: "Esta obligación fue incumplida por dicha empresa cuando llevó a cabo la notificación o comunicación al deudor denunciante de la reclamación de deuda, cuya gestión le había sido encomendada, de forma que posibilitaba el acceso de terceros a los datos personales del denunciante asociados a su condición de deudor "moroso", mediante la inclusión en el reverso del sobre con ventanilla donde se recogían los datos personales del destinatario, concretamente, nombre, apellidos y dirección postal, así como la indicación en el anverso del remitente "GRUPO XXX" con las direcciones de su sede central ...y en su reverso la expresión "COBRO DE MOROSOS" estampada en gran tamaño..." Pues bien, en el caso de autos, la expresión "COBRO DE MOROSOS" no sólo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 figura en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO XXX", en el anverso del sobre que contiene los requerimientos de pago enviados al denunciante, sino también y en grandes caracteres en el reverso de dicho sobre -folios 6 y 7 del expediente-.. La citada expresión, aisladamente considerada, no puede ser considerada como dato personal ni permite su asociación a ningún dato de carácter personal. Sin embargo, al estamparse en el anverso y reverso del sobre o soporte que contiene la información, destacando su presencia, y en el que aparecen los datos personales del destinatario -nombre, apellidos y dirección postal- y con independencia de que dicha expresión se refiera a la descripción de la actividad de la recurrente, resulta evidente que se relaciona con el destinatario de la comunicación, revelando su condición de deudor "moroso" a cualquier tercero que acceda al citado sobre. Por otro lado, ha de considerarse que el estampillado de la citada expresión en el sobre de la correspondencia remitida al deudor resulta absolutamente innecesaria par los lícitos fines perseguidos por la empresa de recobros demandante, consistentes en la comunicación de la deuda al deudor y la realización de las gestiones oportunas para procurar su pago. En definitiva, y como ha señalado ya esta Sala en la citada sentencia de 15 de abril de 2014, el sistema de notificaciones empleado por la denunciante permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Es decir, resulta acreditado que el sistema de envíos de comunicaciones utilizado, contrariamente a lo que alega la actora, posibilita un acceso no autorizado a la condición de moroso del destinatario de la comunicación, que tendría que estar vedado a terceros para salvaguardar la confidencialidad del contenido de la información. Sistema de comunicación que supone una flagrante violación de las medidas de seguridad impuesta por la normativa reguladora de la protección de datos de carácter personal para los ficheros y tratamientos de datos de carácter personal, que obliga expresamente al titular del fichero, en el traslado de la documentación, a adoptar las medidas adecuadas para evitar el acceso indebido a la información (artículo 92.3 del RLOPD). Por tanto, la conducta realizada por la entidad recurrente tiene pleno encuadre en la infracción prevista en el artículo 44.3.
21. h)de la LOPD apreciada por la resolución impugnada, sin que constituya una interpretación extensiva del citado tipo>>. Con arreglo a lo expresado, el tipo de comunicación empleado por VALORA para formalizar estas notificaciones de embargo no cumplía las medidas de seguridad exigidas en el artículo 92.3 del RDLOPD, lo que acaeció, como mínimo, hasta finales de diciembre de 2017, momento en que, según se desprende las alegaciones realizadas por dicha entidad en el procedimiento AP/00076/2017, cuya copia se ha incorporado al presente expediente, pasaron a implementarse las medidas de seguridad necesarias para que en los soportes (sobres) de las notificaciones se suprimiera la información relativa al motivo concreto de las mismas. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 En el presente caso debe rechazarse que el procedimiento de declaración de infracción de Administraciones Públicas nº AP/00076/2017 al que se refiere VALORA en su escrito de alegaciones se haya instruido a dicha entidad “por el mismo motivo que la notificación ahora recibida”, ya que mientras dicho procedimiento se tramita por infracción a lo dispuesto en el artículo 37.1.
22. f)de la LOPD, tipificada como grave en el artículo 44.3.i de dicha norma, sin embargo, el procedimiento de declaración de infracción de Administraciones Públicas nº AP/00014/2018 que nos ocupa se sigue por infracción a lo previsto en el artículo 9.1 de la LOPD en su relación con lo dispuesto en el artículo 92 del RDLOPD, tipificada como infracción grave en el artículo 44.3.h de dicha norma. Por lo cual, dichos procedimientos traen causa en hechos e infracciones distintas. Así, el procedimiento nº AP/00076/2017 se inicia a VALORA por no atender el requerimiento que le fue efectuado en la resolución del procedimiento nº AP/00065/2016, dictada con fecha 22 de febrero de 2017, en la que la Directora de la AEPD , además de declarar que VALORA había infringido lo dispuesto en el artículo 9 en relación con el artículo 92 del RLOPD, requería a dicho organismo autónomo para que, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, acreditase, en el plazo de un mes a contar desde su notificación, la adopción de las medidas de orden interno que impidiesen que en el futuro pudiera producirse una nueva infracción del artículo 9 de la LOPD. Sin embargo, a pesar de que VALORA recibió la notificación de la resolución del procedimiento nº AP/00065/2016 con fecha 27 de febrero de 2017, no inició gestión alguna para dar cumplimiento a lo requerido en la misma hasta después de recibir, con fecha 6 de junio de 2017, nuevo escrito de la AEPD en el que se reiteraba el requerimiento de comunicación de las medidas de seguridad adoptadas en orden a dar cumplimiento a lo instado en la resolución de fecha 22 de febrero de 2017. De este modo, no fue hasta después del 6 de junio de 2017 que VALORA contactó con el organismo autónomo de Gestión Tributaria SUMA G.T. de la Diputación de Alicante, en adelante SUMA, con el que tenía suscrito un convenio de colaboración para utilizar el sistema de información implementado por éste para la gestión, recaudación e inspección de los ingresos de derecho público,- lo que incluía las notificaciones de los diferentes procedimientos administrativos de gestión y recaudación de tributos y demás ingresos de derecho público-, para modificar dicha aplicación informatica en orden a dar cumplimiento al requerimiento efectuado por la AEPD en el AP/00065/2016, no siendo hasta finales de diciembre de 2017 que se finalizaron los cambios solicitados en la aplicación, a su vez, compartida con otras dos administraciones más en virtud de un proyecto de colaboración interadministrativa entre cuatro administraciones. Circunstancias éstas que no fueron conocidas en esta Agencia hasta que VALORA presentó alegaciones al acuerdo de inicio del procedimiento Nº AP/00076/2017. Por su parte, el procedimiento nº AP/00014/2018 se inicia a VALORA por un incumplimiento en materia de seguridad de datos después de que, con fecha 25 de enero de 2018, se registrase de entrada en esta Agencia una nueva denuncia por la remisión de una notificación en cuyo sobre aparecía registrada, en negrita y mayúscula, la información reseñada en el Hecho Probado 2) junto a los datos de la destinataria del envío (la denunciante), de tal modo que vinculando la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 referente a la naturaleza de la notificación con los datos de la destinataria que aparecían en el anverso del sobre o soporte podía conocerse la condición de <<embargada>> de la denunciante. Por lo cual, queda enervado que los procedimientos de declaración de infracción de administraciones públicas de referencia AP/00076/2017 y AP/00014/2018 se tramiten por los mismos hechos, amén de que la copia del sobre aportado por la denunciante en el que aparece estampada la anotación “NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE” evidencia que en el momento de su envío continuaban sin implementarse los cambios a los que VALORA se refiere en su escrito de alegaciones en orden a adoptar las medidas correctoras necesarias para “eliminar cualquier referencia, a excepción de los datos del sujeto pasivo, en el sobre de notificación”. En definitiva, ha quedado acreditado en el procedimiento, que la citada entidad estaba incumpliendo la obligación descrita en el artículo 92.3 del RDLOPD en tanto que continuaba utilizando un sistema de notificaciones de embargos que no impedía, de manera fidedigna, que los datos personales de los destinatarios (nombre, apellidos y domicilio postal) que aparecían en los sobres asociados a su situación de «embargado» pudieran ser accesibles por terceros. VII El artículo 44.3.
23. h)de la LOPD, considera infracción grave:“Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que VALORA vulneró el artículo 9.1 de la LOPD, en relación con el artículo 92 del RDLOPD, al incluir de manera visible en el frontal del sobre de una notificación la expresión “NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE”, permitiendo con ello vincular esta información a los datos personales del denunciante destinatario del envío. Conforme a lo razonado, se considera que dicho organismo autónomo resulta responsable de la comisión de la infracción grave descrita por haber conculcado el “principio de seguridad de los datos”, como consecuencia de una incorrecta implementación de la medida de seguridad que afecta a la “Gestión de soportes y documentos” que contengan datos de carácter personal. A este respecto, resulta relevante destacar que existe numerosa jurisprudencia en la que se señala que a las entidades que operan en el mercado de datos les resulta exigible una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. VIII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, consta que VALORA ha manifestado que a partir de diciembre de 2017 ha modificado los soportes documentales utilizados para llevar a cabo las notificaciones de los procedimientos de apremio, señalando que en los en los sobres no aparece ninguna denominación que permita desvelar el tipo de procedimiento seguido al destinatario del envío. Por tanto, cabe entender que dicha entidad finalmente cumplió con el precepto inicialmente vulnerado, por lo que no procede requerimiento alguno en orden a la adopción de medidas correctoras que impidan que en el futuro vuelva a producirse una infracción a lo dispuesto en el artículo 9.1 de la LOPD por hechos semejantes a los estudiados. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que VALORA GESTIÓN TRIBUTARIA ha infringido lo dispuesto en el artículo 9.1 de LOPD en su relación con lo previsto en el artículo 92 del RDLOPD, infracción tipificada como grave en el artículo 44.3.
24. h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VALORA GESTIÓN TRIBUTARIA TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es