AAPP-00058-2014

1/13 Procedimiento Nº AP/00058/2014 RESOLUCIÓN: R/00912/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00058/2014, instruido por la Agencia Española de Protección de Datos a la entidad AGENCIA TRIBUTARIA DE LES ILLES BALEARS, vista la denuncia presentada por DÑA. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/01 y 10/03/2014, tuvieron entrada en esta Agencia dos escritos de Dña. B.B.B. (en lo sucesivo la denunciante) en los que denuncia a la entidad Agència Tributària de les Illes Balears, por haberle remitido una notificación relativa a un expediente administrativo de apremio cuya portada exterior contiene visible la indicación “Notificació d’embargament de salari. Notificación de embargo de salario”, además de su nombre, apellidos y domicilio; y en la contraportada, también visibles, los detalles de la deuda con indicación del municipio, concepto (impuesto sobre vehículos), principal, recargo e intereses, además del NIF de la afectada. La denunciante señala que esta actuación vulnera la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), y solicita se acuerde apertura de procedimiento sancionador. La denunciante aportó original del documento que ha motivado su denuncia que, según manifiesta, le fue notificado en fecha 07/11/2013. SEGUNDO: Con fecha 17/12/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad Agència Tributària de les Illes Balears por la presunta infracción del artículo 9 de la LOPD, en relación con los artículos 91 y 92 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, se recibe escrito de la la entidad Agència Tributària de les Illes Balears en el que SOLICITA el archivo del expediente o, subsidiariamente, la tipificación de los hechos como infracción leve, con arreglo a las siguientes consideraciones: 1. Como cuestión previa, señala que los procedimientos ejecutivos de recaudación de deudas están regulados por su normativa específica y, por su naturaleza administrativa, la competencia para resolver las incidencias relativas al mismo corresponde a la Administración tributaria. En materia de notificaciones tributarias, de conformidad con lo dispuesto en el artículo 111.1 de la LGT (en relación con el artículo 59.2 de la Ley 30/1992), cuando la notificación se practique en el lugar señalado al efecto por el obligado tributario o por su representante, o en el domicilio fiscal de uno u otro, de no hallarse presentes en el momento de la entrega, podrá hacerse cargo de la misma cualquier persona que se encuentre en dicho lugar o domicilio y haga constar su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 identidad, así como los empleados de la comunidad de vecinos o de propietarios donde radique el lugar señalado a efectos de notificaciones o el domicilio fiscal del obligado o su representante. En este caso, como consecuencia de la falta de pago en periodo voluntario, la ATIB ha tramitado un expediente ejecutivo, en el que consta como domicilio a efectos de notificaciones el situado en la calle A.A.A.), en el que con fecha 17/10/2013 ya se notificó la resolución del recurso presentado por la denunciante, figurando como persona receptora Dña. C.C.C.. Posteriormente, el 21/10/2013, se dictó una diligencia de embargo de salarios que fue igualmente recibido por Dña. C.C.C. en el domicilio señalado, en fecha 07/11/2013. 2. Considera la entidad que la actuación realizada no vulnera la normativa de protección de datos, por cuanto el documento objeto de la denuncia corresponde a una notificación administrativa realizada de conformidad con lo previsto en la normativa aplicable; que en anteriores ocasiones se habían realizado notificaciones con el mismo procedimiento; y que el soporte documental con el que se tramitó la notificación está formado de una parte, por una tarjeta “acuse de recibo,” adherida al documento que contiene la notificación, en la que se recoge la firma del receptor y que una vez firmado se desprende y queda en poder del operador postal encargado del trámite, (en este caso Correos) y, de otra parte el propio documento con el contenido de la notificación. Es importante tener en cuenta que para tener acceso al contenido de la notificación es preciso que se realice una manipulación manual del documento. Dicha manipulación manual, que pudiera haber dado lugar a entrever el contenido de la notificación, fuera intencionada o accidental, en ningún caso puede imputarse a la Agència Tributària de les Illes Balears ya que los intervinientes en el acto de notificación fueron de una parte el operador postal (Correos) ajeno a la ATIB y, de otra parte, la persona que recibió el documento en el domicilio de notificación. Así pues, si se ha accedido al contenido del acto notificado (n° de DNI, concepto tributario, importe principal, recargo e intereses) con la apertura del documento recibido sin consentimiento o autorización de la denunciante, afectaría al ámbito de las relaciones personales y la eventual vulneración del secreto de la correspondencia. Respecto a la información visible en la “portada exterior” de la notificación en la que aparece la indicación “Notificació d’embargament de salari. Notificación de embargo de salario”, cabe alegar que el procedimiento seguido en el trámite de notificación es el mismo que realizan otras Administraciones tributarias, por lo que si lo anterior constituye una vulneración de la normativa en materia de protección de datos, también lo constituirían los múltiples anuncios de notificación por comparecencia de actos administrativos de naturaleza tributaria o recaudatoria realizados de conformidad con lo que establece el artículo 112 de la LGT en los boletines oficiales o, por ejemplo, en el caso de la Agencia Estatal de la Administración Tributaria, con las exposiciones en el tablón de anuncios de su sede electrónica. En estos anuncios aparecen además de los datos de la persona deudora (nombre y apellidos o razón social y NIF) el acto o procedimiento correspondiente respecto al cual no se ha podido practicar la notificación personal, con referencias tales como, por ejemplo, a “notit embargo Ctas Banc”, “notif. embargo créditos”, “Embargo de sueldos, salarios y pensi.” etc. (adjunta copias impresas de la información que aparece en el tablón de anuncios de la AEAT). Parece además, que en este caso las trascendencia sería mayor, pues así como en el caso expuesto por la denunciante el que ha tenido acceso a la información es una persona legitimada para recibir la notificación, en el caso de publicaciones oficiales están al alcance de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 generalidad de personas, tengan o no relación con el afectado o destinatario. No obstante, sin considerar que dicha actuación pueda ser constitutiva de una infracción de la normativa de protección de datos, desde junio de 2014 han sido modificados los soportes documentales utilizados para llevar a cabo las notificaciones. De una parte el operador postal Correos que utiliza el sistema “SICER”, en el que no existe físicamente lo que se conoce como tarjeta “acuse de recibo” al recogerse la firma mediante un sistema electrónico. En el documento que actualmente se utiliza con este operador que contiene la notificación no se visualiza en la “portada exterior” ningún tipo de referencia al procedimiento del que podría traer causa, apareciendo únicamente “NOTIFICACIÓN”. De otra parte, para el resto de operadores postales distintos de Correos, en la tarjeta de “acuse de recibo”, en la que se recoge, en su caso, la firma del receptor o el resultado de los intentos de notificación, únicamente aparece la expresión genérica de “notificación” sin referencia al procedimiento del que podría traer causa. Ambos documentos que contienen el acto notificado deben ser manipulados para poder tener acceso a su contenido. Aporta copia de dos notificaciones en las que únicamente figura el nombre, apellidos y domicilio del destinatario y la identificación y datos de contacto de la entidad remitente (Agència Tributària de les Illes Balears). CUARTO: En fecha 10/02/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, y por presentadas las alegaciones al acuerdo de inicio formuladas por la entidad Agència Tributària de les Illes Balears y la documentación que a ellas acompaña. QUINTO: Con fecha 05/03/2015, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la entidad Agència Tributària de les Illes Balears ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
2. h)de dicha norma, y que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la misma norma. En la citada propuesta se estimó que no procede requerimiento alguno en orden a la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD. Notificada la citada propuesta, el plazo concedido a la entidad Agència Tributària de les Illes Balears finalizó sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS UNICO. Con fecha 07/11/2013, le fue entregada a la denunciante, en su domicilio, una notificación emitida por la entidad Agència Tributària de les Illes Balears, relativa a un expediente administrativo de apremio, cuya portada exterior contiene visible la indicación “Notificació d’embargament de salari. Notificación de embargo de salario”, además del nombre, apellidos y domicilio dela denunciante destinataria de la misma; y en la contraportada, también visibles, los detalles de la deuda con indicación del municipio, concepto (impuesto sobre vehículos), principal, recargo e intereses, además del NIF de la afectada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
4. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
5. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. El presente caso, en el que los hechos denunciados tienen relación con los datos personales de la afectada, entro otros, los relativos su nombre, apellidos, domicilio y NIF, además, de los detalles de la deuda tributaria, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 tratamiento y de encargado de tratamiento: “
6. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
7. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad Agència Tributària de les Illes Balears el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
8. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
9. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
10. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
11. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
12. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
13. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
14. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
15. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
16. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por la entidad Agència Tributària de les Illes Balears, correspondiendo adoptar las calificadas de nivel medio, tal como se especifica en los artículos 80 y 81 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.2.
17. c)del citado Reglamento señala que “deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal: … c)Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 92 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con acceso a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas”. Según el artículo 5.2ñ) del citado Reglamento, por “soporte” debe entenderse “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. En definitiva, la Agència Tributària de les Illes Balears, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, por cuanto el sistema de gestión empleado para la realización de notificaciones de embargo de salarios para la satisfacción de deudas tributarias, en expedientes de apremio, se basaba en el uso de un modelo de comunicación remitida por correo postal, cuya portada exterior contenía visible la indicación “Notificació d’embargament de salari. Notificación de embargo de salario”, además del nombre, apellidos y domicilio del afectado destinatario de la misma; y en la contraportada, también visibles, los detalles de la deuda con indicación del municipio, concepto (impuesto sobre vehículos), principal, recargo e intereses, además del NIF del obligado tributario, tal como ocurrió en el caso de la denunciante, que recibió en su domicilio una de estas notificaciones. Por tanto, el tipo de comunicación empleado por la entidad Agència Tributària de les Illes Balears para formalizar estas notificaciones no cumplía las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, por cuanto mostraban en su exterior los datos personales del destinatario reseñados anteriormente, incluidos los relativos a la deuda tributaria, que podían resultar accesibles a terceros no interesados, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dicho sistema no impedía de manera fidedigna que los datos personales del interesado, asociados a la situación de impago, pudieran ser accedidos por terceros. En consecuencia, se considera que la entidad Agència Tributària de les Illes Balears ha incurrido en la infracción grave descrita, según ha quedado acreditado por la documentación aportada por la denunciante, que incluía el detalle de la información accesible, antes reseñada. En un supuesto similar, la Audiencia Nacional, en Sentencia de 10/07/2014, ha declarado lo siguiente: <<Considera la Agencia Española de Protección de Datos que se ha vulnerado el principio de seguridad de los datos, por cuanto XXX incumplió las medidas de seguridad dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros, al incorporar en los sobres de las comunicaciones remitidas al denunciante reclamándole el pago de una deuda, tanto en el anverso como en el reverso la expresión “COBRO DE MOROSOS”, que con independencia de que se refiere a la descripción de su actividad, ofrece una información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 que vulnera lo establecido en el artículo 9.1 de la LOPD, en relación con el artículo 92.3 del Reglamento de desarrollo de la LOPD, vinculándola y asociándola necesariamente con los datos de carácter personal que figuran en el sobre, posibilitando deducir la condición de su destinatario, tratándose de información que debería estar vedada a terceros, para salvaguardar la confidencialidad del contenido de la información. (…) TERCERO.- A la vista de la normativa expuesta, la entidad recurrente estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constaban en sus ficheros, sea cual fuere el soporte o documento que los contuviera. A esta conclusión ha llegado la Sala en las Sentencias de 15 de abril -recurso nº. 143/2013- y 30 de abril -recurso nº. 140/2013- de 2014, en supuestos semejantes al que nos ocupa en que la parte actora era la misma. Decíamos en la segunda de las citadas Sentencias lo siguiente: <<Como ha señalado la Sala en la SAN, de 15 de abril 2014 (Rec. 143/2013) referente a un supuesto similar en el que incluso la entidad recurrente era la misma entidad: "Esta obligación fue incumplida por dicha empresa cuando llevó a cabo la notificación o comunicación al deudor denunciante de la reclamación de deuda, cuya gestión le había sido encomendada, de forma que posibilitaba el acceso de terceros a los datos personales del denunciante asociados a su condición de deudor "moroso", mediante la inclusión en el reverso del sobre con ventanilla donde se recogían los datos personales del destinatario, concretamente, nombre, apellidos y dirección postal, así como la indicación en el anverso del remitente "GRUPO XXX" con las direcciones de su sede central ...y en su reverso la expresión "COBRO DE MOROSOS" estampada en gran tamaño..." Pues bien, en el caso de autos, la expresión "COBRO DE MOROSOS" no sólo figura en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO XXX", en el anverso del sobre que contiene los requerimientos de pago enviados al denunciante, sino también y en grandes caracteres en el reverso de dicho sobre -folios 6 y 7 del expediente-.. La citada expresión, aisladamente considerada, no puede ser considerada como dato personal ni permite su asociación a ningún dato de carácter personal. Sin embargo, al estamparse en el anverso y reverso del sobre o soporte que contiene la información, destacando su presencia, y en el que aparecen los datos personales del destinatario -nombre, apellidos y dirección postal- y con independencia de que dicha expresión se refiera a la descripción de la actividad de la recurrente, resulta evidente que se relaciona con el destinatario de la comunicación, revelando su condición de deudor "moroso" a cualquier tercero que acceda al citado sobre. Por otro lado, ha de considerarse que el estampillado de la citada expresión en el sobre de la correspondencia remitida al deudor resulta absolutamente innecesaria par los lícitos fines perseguidos por la empresa de recobros demandante, consistentes en la comunicación de la deuda al deudor y la realización de las gestiones oportunas para procurar su pago. En definitiva, y como ha señalado ya esta Sala en la citada sentencia de 15 de abril de 2014, el sistema de notificaciones empleado por la denunciante permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Es decir, resulta acreditado que el sistema de envíos de comunicaciones utilizado, contrariamente a lo que alega la actora, posibilita un acceso no autorizado a la condición de moroso del destinatario de la comunicación, que tendría que estar vedado a terceros para salvaguardar la confidencialidad del contenido de la información. Sistema de comunicación que supone una flagrante violación de las medidas de seguridad impuesta por la normativa reguladora de la protección de datos de carácter personal para los ficheros y tratamientos de datos de carácter personal, que obliga expresamente al titular del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 fichero, en el traslado de la documentación, a adoptar las medidas adecuadas para evitar el acceso indebido a la información (artículo 92.3 del RLOPD). Por tanto, la conducta realizada por la entidad recurrente tiene pleno encuadre en la infracción prevista en el artículo 44.3.
18. h)de la LOPD apreciada por la resolución impugnada, sin que constituya una interpretación extensiva del citado tipo>>. V La Agència Tributària de les Illes Balears alegó que el documento objeto de la denuncia corresponde a una notificación realizada siguiendo el procedimiento establecido en la normativa aplicable, considerando su naturaleza administrativa, y que es el mismo procedimiento seguido por otras entidades; y añade que dicho documento únicamente fue accedido por el operador postal y por la persona que lo recibió en el domicilio de la denunciante. A este respecto, cabe señalar que el cumplimiento de la normativa que regula las notificaciones administrativas no impone, obviamente, que la información contenida en el acto notificado resulte visible en el exterior del envío que se realiza. Por otro lado, en cuanto a los procedimientos de notificación seguidos por otras entidades, la Agència Tributària de les Illes Balears pone como ejemplo los anuncios que se realizar para que puedan llevarse a cabo notificaciones de actos administrativos de naturaleza tributaria por comparecencia del interesado, realizados de conformidad con el artículo 112 de la Ley General Tributaria. En estos casos, el mismo artículo citado, en su apartado 2, limita el contenido de los anuncios que se publicarán para citar a los interesados señalando que se indicará el obligado tributario o su representante, el procedimiento que motiva la publicación, el órgano competente y el lugar y plazo en que el destinatario deberá comparecer para ser notificado, sin ningún detalle sobre la deuda tributaria. En todo caso, debe tenerse en cuenta que el procedimiento de notificación aplicado por otras entidades no es objeto de las presentes actuaciones ni sus posibles incidencia justificarían las irregularidades apreciadas en la notificación de embargo practicada por la Agència Tributària de les Illes Balears. Por otra parte, en relación con lo manifestado sobre las personas que accedieron al documento de notificación, debe advertirse que la infracción imputada no es la revelación del deber de secreto que, efectivamente, es una infracción de resultado, sino la vulneración de las medidas de seguridad en la notificación denunciada, dando lugar a que dicha notificación pudiera ser visualizada por personas no autorizadas. En este sentido se pronuncia la Audiencia Nacional, en Sentencia de 07/05/2009, en la que se declara lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
19. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividad- pero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02, 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Finalmente, cabe añadir, en los mismos términos de la Sentencia de la Audiencia Nacional de 10/07/2014, citada en el Fundamento de Derecho anterior, que la información contenida en el sobre de la correspondencia remitida a la denunciante “resulta absolutamente innecesaria para los lícitos fines perseguidos por la empresa de recobros demandante, consistentes en la comunicación de la deuda al deudor y la realización de las gestiones oportunas para procurar su pago”. Por lo tanto, dichas alegaciones deben ser desestimadas. VI El artículo 44.3.
20. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que la Agència Tributària de les Illes Balears ha incurrido en la infracción grave descrita. VII El artículo 46 de la LOPD establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, la entidad imputada ha manifestado que, desde junio de 2014, ha modificado los soportes documentales utilizados para llevar a cabo las notificaciones, señalando que en el documento que actualmente se utiliza no se visualiza en la “portada exterior” ningún tipo de referencia al procedimiento del que trae causa, apareciendo únicamente la indicación “NOTIFICACIÓN”; y aportó copia de dos notificaciones originales en las que únicamente figura el nombre, apellidos y domicilio del destinatario y la identificación y datos de contacto de la entidad remitente (Agència Tributària de les Illes Balears). Por tanto, cabe entender que dicha entidad finalmente cumplió con los preceptos inicialmente vulnerados, por lo que no procede requerimiento alguno en orden a la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad AGENCIA TRIBUTARIA DE LES ILLES BALEARS ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
21. h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad AGENCIA TRIBUTARIA DE LES ILLES BALEARS y a DÑA. B.B.B.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es