AAPP-00064-2017

1/6 Procedimiento Nº AP/00064/2017 RESOLUCIÓN: R/00658/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00064/2017, instruido por la Agencia Española de Protección de Datos a la DIPUTACION PROVINCIAL DE A CORUÑA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 31/05/2017, A.A.A., denuncia a la DIPUTACION PROVINCIAL DE A CORUÑA, porque en la diligencia de embargo de sueldo de un trabajador recibida en su empresa y dirigida a la misma, figura en el campo de contenido del acuse de recibo “NOTIFICACIÓN DILIGENCIA EMBARGO DE SALARIOS, PENSIONES Y CREDITOS” y seguidamente el nombre del trabajador: B.B.B., y número de expediente. Y, entre otra, anexa la siguiente documentación:  Copia del citado acuse de recibo donde consta como destinataria la empresa A.A.A., debajo “Notificación diligencia embargo de salarios, pensiones y créditos y los apellidos y nombre del empleado y debajo el expediente.”, aparece la firma de C.C.C., aunque no en calidad de que se hace cargo de la notificación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la DIPUTACION PROVINCIAL DE A CORUÑA, que el 18/08/2017 indica: “Se ha acreditado la existencia de un expediente de embargo de salario a nombre del empleado que consta en el acuse de recibo presentado en la reclamación. En este expediente figura el acuse de recibo firmado por el receptor y diligenciada la entrega por el empleado del servicio de Correos, por tanto han tenido acceso al contenido del acuse de recibo son: el oficial instructor que lo generó, el empleado del servicio de correos y la persona que se hizo cargo de la recepción del comunicado Los representantes de la Diputación manifiestan que en la práctica de notificaciones masivas interactivas, únicamente se hace constar en el campo del contenido la actuación referida al número de expediente administrativo de apremio reseñado, pero por un error singular, puntual y aislado se ha incluido en el acuse de recibo objeto de la reclamación el nombre del sujeto pasivo. Indican además que se han cursado las instrucciones pertinentes para evitar que datos protegidos puedan ser arrastrados de forma involuntaria e incluidos en el contenido de otros campos en la formulación de los documentos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 TERCERO: Con fecha 21/12/2017, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la DIPUTACION PROVINCIAL DE A CORUÑA por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el 92.3 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); tipificada como grave en el artículo 44.3.

1. h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 11/01/2018 se reciben alegaciones de la denunciada que reitera lo manifestado en actuaciones previas. QUINTO: Con fecha 21/03/2018 se accede a la web, y en el Registro Mercantil se consulta el objeto social de A.A.A. 1912, figurando como objeto social “almacenaje, logística, distribución, comercialización y transporte de mercancías y productos perecederos”, como Administrador Único figura C.C.C., que coincide con la persona que aparece como firmante del acuse de recibo. SEXTO: Con fecha 21/03/2018 se emite propuesta de resolución con el literal: “PRIMERO: Declarar que la DIPUTACION PROVINCIAL DE A CORUÑA ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
2. h)de dicha norma. SEGUNDO: Requerir a la DIPUTACION PROVINCIAL DE A CORUÑA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD. TERCERO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD.” Frente a dicho acuerdo no se recibieron alegaciones. HECHOS PROBADOS 1) A.A.A., denuncia a la DIPUTACION PROVINCIAL DE A CORUÑA, porque en la diligencia de embargo de sueldo de un trabajador recibida en su empresa y dirigida a la misma, figura en el campo de contenido del acuse de recibo “NOTIFICACIÓN DILIGENCIA EMBARGO DE SALARIOS, PENSIONES Y CREDITOS” y seguidamente el nombre del trabajador B.B.B., y número de expediente. El acuse de la carta aparece firmado el 24/02/2017 por C.C.C., no figurando nada en el apartado del acuse “relación con el destinatario”, si bien es Administradora única de la empresa A.A.A.. El acuse lleva en su parte superior el escudo de la Diputación de A Coruña, y “servicio provincial Recaudación Zona 2”. 2) Según la información proporcionada por la denunciada, A.A.A. es la empleadora del afectado, B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 3) Según la información proporcionada por la denunciada, en la práctica de las notificaciones solo se hace constar el número del expediente, y en este caso por error introdujeron los datos del sujeto pasivo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En el presente supuesto, no se incoa procedimiento contra la denunciada por infracción del deber de secreto de datos personales del afectado, infracción de resultado, sino por falta de medidas de seguridad en los soportes de envío de documentación con datos personales, al consignar en el acuse del sobre la referencia creada por la denunciada. La referencia, que además de contener el destinatario del envío, en este caso la empresa en que presta servicios el afectado, contiene el literal amplio, explícito y completo: “notificación diligencia embargo de salarios, pensiones y créditos” y los datos del afectado: B.B.B., y el número de expediente. El artículo infringido que se imputa a la denunciada es el artículo 9.1 y .3 de la LOPD, que indica: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD), establece en su artículo 81.1 que: " Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad de calificadas de nivel básico”. Dentro de las medidas del citado nivel de protección, dispone el artículo 92: “Gestión de soportes y documentos”: 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte.” A ello debe añadirse, que por "soporte", tal y como establece el artículo 5.2.ñ) del citado Reglamento, debe entenderse " objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos", en este caso el sobre en papel con datos personales e información agregada muy detallada, generado por la denunciada. A la vista de la normativa expuesta, la denunciada está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constaban en sus ficheros, sea cual fuere el soporte o documento que los contuviera. Como ha señalado la Sala en la SAN, de 15/04/2014, rec. 143/2013: "Esta obligación fue incumplida por dicha empresa cuando llevó a cabo la notificación o comunicación al deudor denunciante de la reclamación de deuda, cuya gestión le había sido encomendada, de forma que posibilitaba el acceso de terceros a los datos personales del denunciante asociados a su condición de deudor "moroso", mediante la inclusión en el reverso del sobre con ventanilla donde se recogían los datos personales del destinatario, concretamente, nombre, apellidos y dirección postal, así como la indicación en el anverso del remitente "GRUPO SUGESTIÓN" con las direcciones de su sede central ...y en su reverso la expresión "COBRO DE MOROSOS" estampada en gran tamaño..." Pues bien, en este caso, la expresión "notificación de embargo”, junto a los datos del embargado, en el anverso del sobre junto al destinatario permite en el mismo soporte físico asociar dato de carácter personal a deudor, resultando evidente que se relaciona con el destinatario de la comunicación, revelando su condición de embargado a cualquier tercero, sea la persona competente para recibir la notificación o no, que va a acceder a la información. “ De acuerdo con lo alegado por la denunciada de que no consta en el expediente vulneración de la custodia del documento, presuponiendo que solo tuvieron acceso al mismo el empleado de la Oficina de Correos, se debe indicar que la finalidad del envío no precisa de la anotación detallada de los datos y el motivo del envío, siendo un hecho objetivo que portaba dicho contenido, pudiendo llegar a ser conocido por cualquier empleado de la empresa aunque no le conste a la denunciada. Por otro lado, ha de considerarse que el estampillado de la citada expresión en el sobre de la correspondencia remitida a la empresa resulta absolutamente innecesario para los lícitos fines perseguidos por la Diputación, consistentes en la comunicación de la deuda a la empresa en la que presta servicios, con el fin de la realización de las gestiones oportunas para procurar su pago. Sin duda se ha de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 indicar en el sobre una breve referencia a lo notificado, pudiendo servir la de “notificación administrativa” con el número de expediente que relacionaría el tipo de acto de que se trata, sirviendo a la notificante para acreditar el hecho de la notificación. El sistema de notificaciones empleado por la denunciada permitía que un tercero pudiera conocer la situación del afectado, no siendo destinatario de la carta, posibilitando un acceso no autorizado a sus datos personales que constan en los ficheros de la denunciada. Es decir, resulta acreditado que el sistema de envíos de comunicaciones utilizado, contrariamente a lo que alega la denunciada, posibilita un acceso no autorizado a la condición de deudor que conlleva el embargo de parte del salario del destinatario de la comunicación, que tendría que estar vedado a terceros para salvaguardar la confidencialidad del contenido de la información. Sistema de comunicación que supone una violación de las medidas de seguridad impuesta por la normativa reguladora de la protección de datos de carácter personal para los ficheros y tratamientos de datos de carácter personal, que obliga expresamente al titular del fichero, en el traslado de la documentación, a adoptar las medidas adecuadas para evitar el acceso indebido a la información (artículo 92.3 del RLOPD). Se ha vulnerado el principio de seguridad por la denunciada por cuanto la incumplió las medidas de seguridad dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros, al incorporar en los sobres de las comunicaciones remitidas a la empresa la expresión notificación de embargo de salarios, que ofrece una información que vulnera lo establecido en el artículo 9 LOPD, en relación con el artículo 92.3 del RLOPD, vinculándola y asociándola necesariamente con los datos de carácter personal que figuran en el sobre, posibilitando deducir la condición del afectado a primera vista, tratándose de información que debería estar objetivamente vedada a terceros, para salvaguardar la confidencialidad del contenido de la información. La conducta realizada por la denunciada tiene pleno encuadre en la infracción prevista en el artículo 44.3.
4. h)de la LOPD que indica: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” III La LOPD en su artículo 46.1 indica: “Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” Siendo uno de los principales objetivos del procedimiento la subsanación de la infracción y la adopción de acciones para que no se repita la misma, la denunciada informó que en el tipo de envíos masivos de embargos no se indica el nombre del embargado, del sujeto pasivo identificándolo a través del expediente habiéndose C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dictado instrucciones para evitar que este tipo de datos se incluya en dicho contenido, por lo que no se considera necesario que informe sobre las mismas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIPUTACION PROVINCIAL DE A CORUÑA ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
5. h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la DIPUTACION PROVINCIAL DE A CORUÑA. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es