AAPP-00076-2017

1/12 Procedimiento Nº AP/00076/2017 RESOLUCIÓN: R/00629/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00076/2017, instruido por la Agencia Española de Protección de Datos a VALORA GESTION TRIBUTARIA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 26 de febrero de 2016, tiene entrada en esta Agencia escrito de Don B.B.B. ( H.H.H., en adelante) en el que expone que VALORA GESTION TRIBUTARIA, Organismo Autónomo Local de carácter administrativo creado por el Cabildo de Gran Canaria, le remitió dos notificaciones por correo certificado, en cuyo frontal figuraba, junto con sus datos personales, el motivo de las mismas. En un envío constaba “NOTIFICACIÓN DE EMBARGO DE CUENTA CORRIENTE” y en otro envío figuraba “PROVIDENCIA EMBARGO TRABAJADOR”. Como resultado de las actuaciones Previas de Inspección de referencia E/02118/2016 practicadas con motivo de dicha denuncia, con fecha 27 de diciembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas AP/00065/2016 a la entidad VALORA GESTION TRIBUTARIA, (VALORA o denunciado, en adelante), con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción del artículo 9 de dicha norma, en relación con el artículo 92 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre de protección de datos de carácter personal, (RLOPD), tipificada como grave en el artículo 44.3

1. h)de la citada Ley Orgánica. Notificado dicho acuerdo de inicio, VALORA no ejerció su derecho a formular alegaciones al mismo, motivo por el cual el contenido del reseñado acuerdo de inicio, tal y como se señalaba en la notificación del mencionado acto, se consideró como propuesta de resolución, en virtud de lo previsto en el artículo 64.2.
2. f)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas. SEGUNDO: Con fecha 22 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos resolvió: “PRIMERO: DECLARAR que VALORA GESTION TRIBUTARIA había infringido lo dispuesto en el artículo del artículo 9 de LOPD, en relación con el artículo 92 del Reglamento que la desarrolla (RD 1720/2007, de 21 de diciembre), tipificada como grave en el artículo 44.3 h de la citada Ley Orgánica SEGUNDO: REQUERIR a VALORA GESTION TRIBUTARIA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD, para lo que se abre expediente de actuaciones previas E/00994/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 En concreto, se consideraría adecuada la supresión de la información que indica el motivo concreto de la notificación, bastando su referencia genérica a “notificación”. La referida resolución fue notificada a VALORA con fecha 27 de febrero de 2017, según figura en el documento de “Prueba de Entrega” emitido por la Sociedad Estatal Correos y Telégrafos, S.A. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD TERCERO: Con fecha 7 de marzo de 2017, se registra de entrada escrito del Defensor del Pueblo en el que acusa recibo de la Resolución dictada en el procedimiento AP/00065/2016 y solicita, al objeto de tener un conocimiento de la adecuada resolución del problema planteado, que la AEPD informase a esa institución constitucional sobre las actuaciones llevadas a cabo por VALORA GESTIÓN TRIBUTARIA y expresase su parecer al respecto. A la vista de lo solicitado por el Defensor del Pueblo y ante la falta de contestación del citado Organismo Autónomo Público al requerimiento que le fue efectuado en la resolución dictada en el Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00065/2016, con fecha 30 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos reitero lo requerido a VALORA en la reseñada resolución en los siguientes términos: “Habiéndose solicitado por dicha Institución, mediante escrito de fecha 7 de marzo de 2017, que se informase sobre las actuaciones que ha llevado a cabo el VALORA GESTION TRIBUTARIA, y como quiera que, hasta el día de la fecha, no se han comunicado las medidas de orden interno conducentes a impedir que en el futuro pueda producirse una nueva infracción al artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se le requiere para que a la mayor brevedad, se comuniquen las mismas a esta Agencia Española de Protección de Datos, con el fin de que sean trasladadas al Defensor del Pueblo.” Dicho escrito fue notificado a VALORA con fecha 6 de junio de 2017, conforme figura en la “Certificación de Entrega” emitida por la Sociedad Estatal Correos y Telégrafos, S.A. CUARTO: Con fecha 22 de noviembre de 2017 se registra de entrada en esta Agencia escrito de Don A.A.A. ( G.G.G., en adelante) denunciando que el anverso del sobre que contenía la notificación que le fue enviada en el mes de agosto de 2017, vía correo ordinario, por VALORA contenía impresos, además de su nombre y dirección postal, el literal “COMUNICACIÓN PREVIA EMBARGO INMUEBLE”. Este denunciante aporta copia del anverso y reverso del reseñado sobre, así como de la notificación de la “Comunicación-Instrumento de cobro” de fecha 24 de julio de 2017 con Referencia D.D.D.. Se comprueba que el anverso del sobre aportado, debajo de la dirección y CIF de VALORA aparecen impresos los siguientes datos: “COMUNICACIÓN PREVIA EMBARGO INMUEBLE”, en negrita, y, debajo de este concepto “EXPEDIENTE Nº: C.C.C.”. Esta información figura, a su vez, anotada junto a los datos personales del destinatario del envío, que en este caso están formados por los apellidos, nombre y dirección del denunciante y dirección del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Se observa que los datos del destinatario que constan en el anverso del citado sobre coinciden con los que figuran en la casilla correspondiente al sujeto pasivo de la copia de la “Comunicación-Instrumento de cobro”, los cuales coinciden con los datos personales que el denunciante ha proporcionado en su denuncia. QUINTO: De la información obrante en las actuaciones previas con referencia E/00994/2017, así como de la documentación contenida en la denuncia formulada por Don G.G.G. contra VALORA, la cual se ha incorporado al citado expediente de investigación debido a la directa relación existente entre la información proporcionada en la misma con el seguimiento del requerimiento efectuado, se desprende que el mencionado Organismo Autónomo Local no ha adoptado las medidas correctoras de orden interno solicitadas, en especial estando acreditado que el anverso del sobre en el que ese Organismo envió al denunciante la comunicación, de fecha 24 de julio de 2017, tenía impresos en el mismo el asunto de la comunicación y la referencia del expediente en cuestión, información ésta que aparecía junto a los datos personales del destinatario del envío, en este caso el denunciante. Por consiguiente, VALORA no ha atendido el requerimiento efectuado por la Directora de la Agencia Española de Protección de Datos en la resolución de fecha 22 de febrero de 2017 del reseñado procedimiento AP/00065/2016, al igual que no ha contestado la posterior reiteración del mismo realizada por ésta con fecha 30 de mayo de 2017, ello a pesar de que ambos actos constan como notificados a VALORA. SEXTO: Con fecha 22 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a VALORA GESTION TRIBUTARIA por la presunta infracción del artículo 37.1.
3. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
4. i)de dicha norma. Con fecha 4 de enero de 2018 se notificó a VALORA el acuerdo de inicio del citado procedimiento. SÉPTIMO: Con fecha 24 de enero de 2018 se registra de entrada en esta Agencia escrito de alegaciones de VALORA solicitando el archivo del procedimiento dado que en ningún momento se ha intentado obviar el cumplimiento de los requerimientos efectuados por la AEPD, tal y como prueba que se han realizado las gestiones necesarias para llevar a cabo las recomendaciones efectuadas por la AEPD, justificándose la demora producida en la contestación en los siguientes motivos: VALORA es un Organismo Público del Cabildo de Gran Canaria, que conforme a lo previsto en el artículo 3 de sus Estatutos y el artículo 65 del vigente Reglamento Orgánico de Gobierno y Administración del Excmo. Cabildo Insular de Gran Canaria, aprobado en sesión plenaria celebrada el 30 de noviembre de 2016 , tiene como principal función recaudar los tributos y demás ingresos de derecho público tanto del Cabildo de Gran Canaria, como de aquellos Municipios, Administraciones u Organismo Públicos de su ámbito territorial que hayan delegado tales competencias en el Cabildo Insular. En la actualidad VALORA actúa en 18 de los 21 Municipios de los que consta la Isla de Gran Canaria. - Para el cumplimiento de sus fines, VALORA suscribió en el año 2007 un convenio de colaboración con el Organismo Autónomo de Gestión Tributaria SUMA G.T. de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Diputación de Alicante, (proyecto de colaboración interadministrativa en el cual también participan el Ayuntamiento de Majadahonda y la Diputación de Albacete a través de su organismo de gestión tributaria GESTALBA), renovado en el 2014, cuyos objetivos principales son:
5. a)Compartir el modelo de gestión tributaria y utilizar el sistema de información implementado por Suma para la gestión, recaudación e inspección de los ingresos de derecho público.
6. b)Compartir recursos humanos tendentes a asegurar una mayor formación del personal sobre procesos, operativa y funcionamiento de las aplicaciones que se comparten.
7. b)El establecimiento de un marco de colaboración entre ambas administraciones para la utilización del conjunto de sistemas de información y la obtención de economías de escala, compartiendo: La infraestructura de servidores centrales (CPU, discos, Robot de copias, Centro de Respaldo etc.), los recursos humanos necesarios para la administración del sistema informático y la realización de las tareas periódicas de explotación requeridas por dicho sistema, la evolución del sistema de información en la aplicación de los tributos.
8. d)La puesta en común de experiencias, procedimientos e iniciativas en aras a una mayor efectividad de sus competencias en el ámbito de ambas administraciones. En virtud de lo cual, VALORA usa el sistema informático de Suma para la realización de las notificaciones de los diferentes procedimientos administrativos comprendidos en la gestión y recaudación de tributos y demás ingresos de derecho público. - Se incide en la complejidad de modificar una aplicación informática que afecta a cuatro administraciones que comparten el sistema informático del SUMA a través del sistema de colaboración interadministrativa, señalando que aunque VALORA tan pronto como recibió en junio de 2017 las recomendaciones de la AEPD transmitió a la Comisión Mixta de Seguimiento del Convenio la necesidad de modificación del aplicativo en atención a observar los requerimientos realizados por la AEPD, no ha sido hasta diciembre de 2017 que se han llevado a cabo los cambios solicitados, de tal modo que en la actualidad no aparecen en los sobres de notificaciones el nombre del procedimiento administrativo seguido. - Se citan los siguientes preceptos de la Ley 58/2003, de 17 de diciembre, General Tributaria (en adelante LGT) que resultan de aplicación a las notificaciones realizadas por VALORA: En cuanto a la “Notificación de las liquidaciones tributarias”, los apartados 1 y 2 del artículo 102 de la LGT establecen que: 1. Las liquidaciones deberán ser notificadas a los obligados tributarios en los términos previstos en la sección 3.a del capítulo II del título III de esta ley. 2. Las liquidaciones se notificarán con expresión de:
9. a)La identificación del obligado tributario.
10. b)Los elementos determinantes de la cuantía de la deuda tributaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12
11. c)La motivación de las mismas cuando no se ajusten a los datos consignados por el obligado tributario o a la aplicación o interpretación de la normativa realizada por el mismo, con expresión de los hechos y elementos esenciales que las originen, así como de los fundamentos de derecho.
12. d)Los medios de impugnación que puedan ser ejercidos, órgano ante el que hayan de presentarse y plazo para su interposición.
13. e)El lugar, plazo y forma en que debe ser satisfecha la deuda tributaria.
14. f)Su carácter de provisional o definitiva." En relación con las “Notificaciones en materia tributaria” el artículo 109 de la LGT dispone que: "El régimen de notificaciones será el previsto en las normas administrativas generales con las especialidades establecidas en esta sección.". Respecto de la “Iniciación del procedimiento de apremio”, los apartados 1 y 2 del artículo 167 de la LGT establecen que: "1. El procedimiento de apremio se iniciará mediante providencia notificada al obligado tributario en la que se identificará la deuda pendiente, se liquidarán los recargos a los que se refiere el artículo 28 de esta ley y se le requerirá para que efectúe el pago. 2. La providencia de apremio será título suficiente para iniciar el procedimiento de apremio y tendrá la misma fuerza ejecutiva que la sentencia judicial para proceder contra los bienes y derechos de los obligados tributarios." En relación con este procedimiento de apremio, VALORA entendía, al igual que el desarrollo de la aplicación informática usada, que la obligación de identificar correctamente el procedimiento administrativo que se notificaba al ciudadano conllevaba incorporarlo al sobre con el número de expediente correspondiente. No obstante ello, se comunica que se han eliminado de los sobres de notificación la denominación del procedimiento, manteniendo exclusivamente, a efectos de su identificación, el n° de expediente. Por otro lado, el motivo de mantenerlo era el garantizar que lo notificado correspondía con el contenido del interior del sobre. El artículo 40 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas dispone: "1. El órgano que dicte las resoluciones y actos administrativos los notificará a los interesados cuyos derechos e intereses sean afectados por aquéllos, en los términos previstos en los artículos siguientes. 2.Toda notificación deberá ser cursada dentro del plazo de diez días a partir de la fecha en que el acto haya sido dictado, y deberá contener el texto íntegro de la resolución, con indicación de si pone fin o no a la vía administrativa, la expresión de los recursos que procedan, en su caso, en vía administrativa y judicial, el órgano ante el que hubieran de presentarse y el plazo para interponerlos, sin perjuicio de que los interesados puedan ejercitar, en su caso, cualquier otro que estimen procedente. 3. Las notificaciones que, conteniendo el texto íntegro del acto, omitiesen alguno de los demás requisitos previstos en el apartado anterior, surtirán efecto a partir de la fecha en que el interesado realice actuaciones que supongan el conocimiento del contenido y alcance de la resolución o acto objeto de la notificación, o interponga cualquier recurso que proceda." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 -VALORA indica que dentro de las prácticas establecidas en el procedimiento recaudatorio realiza actos previos a la notificación, remitiendo a los interesados avisos de su situación administrativa a efectos de evitarle mayores perjuicios debido a sus incumplimientos tributarios. Asimismo, aduce que las notificaciones se practican por la empresa pública Correos y Telégrafos de España, constando únicamente en el exterior del sobre los datos del titular a efectos de notificación, nombre del procedimiento administrativo seguido en cada caso e identificación numérica del mismo con la finalidad de identificar cada notificación remitida, así como informar al ciudadano del procedimiento seguido en el que es parte interesada. OCTAVO: Con fecha 9 de febrero de 2018, la Instructora del procedimiento inició un período de práctica de pruebas en cuyo marco se acordó: Incorporar al expediente del procedimiento AP/00076/2017, y por tanto dar por reproducida a efectos probatorios la documentación que integra las actuaciones previas de inspección del expediente E/00994/2017, constituida, tal y como constaba en el acuerdo de inicio del presente procedimiento, por copia de la resolución dictada con fecha 22 de febrero de 2017 por la Directora de la AEPD, en el procedimiento nº AP/00065/2016, de referencia R/00180/2017, documento de prueba de entrega de dicha resolución a VALORA, escrito del Defensor del Pueblo de fecha 6 de marzo de 2017 solicitando información sobre las actuaciones llevadas a cabo por dicho organismo en el reseñado procedimiento, escrito de la AEPD de fecha 30 de mayo de 2017 reiterando a VALORA la comunicación de las medidas de orden interno conducentes a impedir que en el futuro pudiera producirse una nueva infracción al artículo 9 de la LOPD y certificación de entrega del mismo, así como por copia de la denuncia interpuesta con fecha 22 de noviembre de 2017 por Don G.G.G. Igualmente, se daban por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00076/2017 presentadas por VALORA. Todo ello con su correspondiente documentación adjunta. Con fecha 16 de febrero de 2018 se notificó a VALORA el citado acuerdo de apertura de periodo de práctica de pruebas. NOVENO: Con fecha 28 de marzo de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que VALORA GESTION TRIBUTARIA ha infringido lo dispuesto en el artículo 37.1.
15. f)de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
16. i)de la citada norma. Dicha propuesta fue notificada al mencionado organismo autónomo con fecha 9 de abril de 2018, no constando que en el plazo concedido al efecto éste haya ejercido su derecho a formular alegaciones contra dicho acto. HECHOS PROBADOS PRIMERO: Con fecha 22 de febrero de 2017 en el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00065/2016, la Directora de la Agencia Española de Protección de Datos resolvió DECLARAR que VALORA GESTION C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 TRIBUTARIA había infringido lo dispuesto en el artículos 9 de la LOPD, infracción tipificada como grave en el artículo 44.3.
17. h)de la citada Ley Orgánica. SEGUNDO: En el mismo acto, la Directora de la Agencia Española de Protección de Datos resolvió REQUERIR a VALORA GESTION TRIBUTARIA, para que acreditase en el plazo de un mes, a contar desde la notificación de la resolución, las medidas de orden interno que impidiesen que en el futuro pudiera producirse una nueva infracción del artículo 9 de la LOPD. Asimismo, se comunicaba a VALORA GESTION TRIBUTARIA la apertura de un expediente de investigación para la comprobación de lo requerido. TERCERO: La resolución del procedimiento AP/00065/206 fue notificada a VALORA GESTION TRIBUTARIA fecha 27 de febrero de 2017 y al Defensor del Pueblo con fecha 28 de febrero de 2017. CUARTO: Con fecha 6 de marzo de 2017 el Defensor del Pueblo solicita a la AEPD que, al objeto de tener conocimiento de la adecuada resolución del problema planteado, se informe a esa institución sobre las actuaciones que VALORA GESTION TRIBUTARIA lleve a cabo. QUINTO: Con fecha 30 de mayo de 2017 la Directora de esta Agencia envió un nuevo escrito a VALORA GESTION TRIBUTARIA requiriendo que, a la mayor brevedad posible, se comunicasen las medidas adoptadas con el fin de que sean trasladadas al Defensor del Pueblo. Dicho requerimiento fue notificado al mencionado organismo autónomo con fecha 6 de junio de 2017. SEXTO: Con fecha 22 de noviembre de 2017 se registra de entrada en la AEPD escrito de Don G.G.G. manifestando que en el anverso del sobre, cuya copia adjunta, en el que VALORA le notificó, en agosto de 2017, la comunicación de información previa al embargo figuraba impresa, junto a la casilla con los datos del destinatario del envío, en este caso nombre, apellidos y dirección postal del denunciante, la siguiente información: “COMUNICACIÓN PREVIA EMBARGO INMUEBLE” y “EXPEDIENTE Nº: C.C.C.”. SÉPTIMO: Mediante escrito de fecha 15 de enero de 2018, registrado de entrada en la AEPD con fecha 24 de enero de 2018 VALORA GESTION TRIBUTARIA comunica a esta Agencia los motivos por los que se han demorado en el tiempo las actuaciones llevadas a cabo para dar cumplimiento a lo requerido en la resolución del procedimiento nº AP/00056/2016, toda vez que han supuesto la modificación de una aplicación informática compartida entre cuatro administraciones diferentes para notificar los actos correspondientes a los diferentes procedimientos administrativos de gestión y recaudación de tributos y demás ingresos de derecho público. Se trata de la aplicación del organismo autónomo de Gestión Tributaria SUMA G.T. de la Diputación de Alicante que VALORA utiliza en virtud del convenio de colaboración suscrito con el SUMA G.T., y cuyo uso es también compartido en el marco de un proyecto de colaboración interadministrativa por el Ayuntamiento de Majadahonda y la Diputación de Albacete a través de su organismo de gestión tributaria GESTALBA. OCTAVO: VALORA ha comunicado que hasta diciembre de 2017 no se finalizaron los cambios solicitados en la citada aplicación, no apareciendo en la actualidad en los sobres de notificaciones la naturaleza del procedimiento administrativo seguido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
18. g)en relación con el artículo 36 de la LOPD. II En este caso se dilucida la posible falta de atención a un requerimiento de la Directora de esta Agencia Española de Protección de Datos efectuado al responsable del tratamiento, al que se declaró responsable de una infracción en materia de seguridad de datos y al que se requirió la adopción de medidas correctoras que impidieran que la infracción declarada siguiera cometiéndose. El artículo 37.1.
19. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
20. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento de declaración de infracción de Administraciones Públicas nº AP/00076/2017, ha quedado acreditado que con fecha 22 de marzo de 2017 la Directora de la Agencia Española de Protección de Datos resolvió declarar que VALORA había infringido lo dispuesto en el artículos 9 de la LOPD, infracción tipificada como grave en el artículo 44.3.
21. h)de la citada Ley Orgánica, al haber quedado probado a raíz de las actuaciones practicadas en el procedimiento de referencia AP/00065/2016 que el mencionado organismo autónomo vulneró el principio de seguridad de los datos al incluir en el anverso de los sobres que contenían las notificaciones remitidas por correo certificado a Don H.H.H. la expresión “notificación en embargo de cuenta corriente” en uno de los sobres y “providencia de embargo trabajador” en otro de los sobres, información relativa a la naturaleza exacta de los envíos que al estar vinculada a los datos personales del destinatario permitía conocer que el denunciante estaba inmerso en un proceso de embargo. Asimismo, en la citada resolución la Directora de la Agencia Española de Protección de Datos requería a VALORA para que, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, acreditase en el plazo de un mes, a contar desde la notificación de la resolución, las medidas de orden interno que impidiesen que en el futuro pudiera producirse una nueva infracción del artículo 9 de la LOPD. Es decir, en dicha resolución se requería a VALORA la adopción de las medidas de seguridad necesarias para establecer un sistema de notificaciones, que en este supuesto afectaba a los procedimientos de apremio, que impidiera el acceso indebido a información relativa a la situación de “embargado” o “apremiado” del destinatario de la notificación, titular, a su vez, de los datos reseñados en el envío, a través de la información incluida en el sobre de notificación referida al tipo de procedimiento seguido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 La resolución se notificó a VALORA el día 27 de febrero de 2017, así como al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD, el día 28 de febrero de 2018 . Con fecha 6 de marzo de 2017 el Defensor del Pueblo solicitó a esta Agencia, mediante escrito registrado de entrada el 7 de marzo de 2017, que, con objeto de tener conocimiento de la adecuada resolución del problema planteado, se informase sobre las actuaciones que llevase a cabo la Consejería expresando el parecer de la Agencia al respecto. Con fecha 30 de mayo de 2017 se reiteró por la AEPD a VALORA el requerimiento que le fue realizado en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00065/2016, actuación encuadrada en el expediente de seguimiento nº E/00994/2017 cuya apertura para comprobar el seguimiento y cumplimentación de lo requerido también le fue notificada a VALORA en la mencionada resolución. En el caso analizado, consta que a pesar de que VALORA conocía desde el 27 de febrero de 2017, fecha en que recibió la notificación de la resolución del AP/00065/2016, que contaba con un mes a partir de ese día para comunicar a la AEPD las medidas de orden interno que impidieran que en el futuro pudiera producirse una nueva infracción del artículo 9 de la LOPD, sin embargo no inició gestión alguna tendente a dar cumplimiento a lo requerido en la mencionada resolución hasta junio de 2017, tal y como se desprende de su escrito de alegaciones. En consecuencia, no fue hasta después de recibir, con fecha 6 de junio de 2017, el escrito de la AEPD de fecha 30 de mayo de 2017 en el que se reiteraba el requerimiento de comunicación de las medidas adoptadas en cumplimiento de lo instado en la citada resolución, así como para su posterior traslado al Defensor del Pueblo, que VALORA transmitió a la Comisión Mixta de Seguimiento del Convenio firmado con el Organismo Autónomo de Gestión Tributaria SUMA G.T. de la Diputación de Alicante la necesidad de modificación de la aplicación informatica que gestionaba los procedimientos de notificación para observar los requerimientos efectuados por la AEPD, cambios que finalizaron en diciembre de 2017 según lo manifestado por VALORA. Por lo tanto, no fue hasta transcurridos tres meses de la notificación de la resolución del AP/00065/2016, y con posterioridad a la recepción el 6 de junio de 2017 del escrito de esta Agencia instándole al cumplimiento del requerimiento efectuado, que VALORA emprendió las actuaciones necesarias para que por parte del responsable de la aplicación informatica utilizada (Organismo Autónomo de Gestión Tributaria SUMA G.T. de la Diputación de Alicante), y con el que VALORA tenía firmado un Convenio de Colaboración, se modificarán las medidas de seguridad en materia de protección de datos que afectaban a los procedimientos de notificación implantados que, a su vez también utilizaban el Ayuntamiento de Majadahonda y la Diputación de Albacete. Todo ello a fin de realizar los cambios necesarios en las medidas de seguridad implantadas para adecuar la información de carácter personal mostrada en los sobres de las notificaciones a lo previsto en el artículo 9 de la LOPD en su relación con lo dispuesto en el artículo 92 del RLOPD, evitando las . De hecho, consta en el procedimiento que Don G.G.G. recibió una notificación de “información previa al embargo” fechada el 24/07/2017 que VALORA envió a través de un sobre en cuyo anverso aparecía, junto a la casilla con los datos identificativos y domicilio postal del destinatario del envío (el denunciante), la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 siguiente información “COMUNICACIÓN PREVIA EMBARGO INMUEBLE” “EXPEDIENTE Nº: C.C.C.”. y Con arreglo a todo lo cual se desprende que VALORA no adoptó en el plazo que le fue concedido a tales efectos las medidas de seguridad correctoras de orden interno que le fueron requeridas, en la resolución de 22 de febrero de 2017, por la Directora de la Agencia Española de Protección de Datos, iniciando las gestiones necesarias para el establecimiento de las mismas únicamente después de recibir el 6 de junio de 2017 un escrito de la Directora de la AEPD requiriéndole, por segunda vez, para que cumpliera la resolución adoptada en el procedimiento nº AP/00065/2016. Sin embargo, no obstante la recepción de este nuevo requerimiento, VALORA no procedió a comunicar a la AEPD el inicio de las actuaciones que estaba llevando a cabo con el Organismo Autónomo de Gestión Tributaria SUMA G.T. de la Diputación de Alicante para que se introdujeran los cambios necesarios en la aplicación informática que gestionaba los procedimientos de notificación ni, tampoco, que la implantación efectiva de las medidas de seguridad requeridas podía demorarse al tratarse de procedimientos de notificación compartidos con otras administraciones en virtud de un proyecto de colaboración interadministrativa, circunstancias de las que únicamente se ha tenido conocimiento a través de las alegaciones presentadas en enero de 2018 al acuerdo de inicio del presente procedimiento de infracción de administraciones públicas. Está probado, por tanto, que VALORA no acreditó ante esta Agencia en el plazo de un mes que le fue concedido a los efectos reseñados, a contar desde la notificación de la resolución del procedimiento de referencia AP/00056/2016, el establecimiento de las medidas de seguridad de orden interno que impidieran que se produjera una nueva infracción como la declarada. En definitiva, dicho organismo autónomo no atendió en dicho plazo el requerimiento respecto del artículo 9.1 de la LOPD efectuado, en la resolución de 22 de febrero de 2017, por la Directora de la Agencia Española de Protección de Datos, ello sin perjuicio de que a partir de diciembre de 2017 implantará las medidas de seguridad objeto de requerimiento. En esta ocasión, conforme a los argumentos expuestos y razonados, es evidente la existencia de, al menos, una falta de diligencia plenamente atribuible a VALORA por la falta de atención al requerimiento de la Directora de esta Agencia Española de Protección de Datos. III El artículo 44.3.
22. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que VALORA no atendió en el plazo de un mes concedido al efecto el requerimiento efectuado en la resolución del procedimiento declaración de infracción de administraciones públicas nº AP/00065/2016. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Sin embargo, en el presente supuesto, se considera que no procede instar la adopción de medidas correctoras adicionales, ya que VALORA ha comunicado que a raíz de las modificaciones introducidas en la aplicación informática utilizada para notificar los procedimientos de apremio a partir de diciembre de 2017 en los sobres de notificación no aparece ninguna denominación que permita desvelar el tipo de procedimiento seguido al destinatario del envío. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que VALORA GESTION TRIBUTARIA ha infringido lo dispuesto en el artículo 37.1.
23. f)de la LOPD, tipificada como grave en el artículo 44.3.
24. i)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VALORA GESTION TRIBUTARIA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es