E-00679-2014

1/5 Expediente Nº: E/00679/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante Don B.B.B. en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de enero de 2014, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que declara lo siguiente: <<He procedido a enviar un fax a través de un locutorio sito en (C/.............1) de Benidorm. El trabajador ha escaneado el documento para enviarlo, una vez enviado le digo que borre ese fichero de su ordenador, me dice la persona que atiende el locutorio que no es necesario, que una vez enviado se borra automáticamente, le digo que eso no es correcto, que queda registro en el ordenador y me dice que no es así, considero que me está mintiendo, es imposible enviar un documento sin escanear y si no lo borra de ex profeso, se queda guardado en su disco. Como era un documento enviado a los servicios financieros de Carrefour y contenía información delicada, considero que no es correcta esta forma de actuar. He ido a la policía y como delito como tal no ha cometido, lo mismo no hace mal uso de mis datos, ellos me dicen que por lo tanto no pueden hacer nada, pero lo que está claro que el locutorio, se ha quedado con mis datos personales, DNI, dirección y datos de un préstamo que solicitaba, así que considero que esta forma de actuar no es legal. Por lo que se lo indico para que actúen en consecuencia.>> Aporta copia de la siguiente documentación: - Reporte de la transmisión de un fax una sola página, de fecha 14/1/

1. No consta contenido de dicho fax. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
2. En fecha 17 de noviembre de 2014, se realizó visita de inspección al local denominado BENIDORM LOCUTORIO en donde Don B.B.B. realiza las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 a. En su local presta, entre otros, servicio de envío de faxes. Muestra a los inspectores el equipo utilizado para ello, comprobándose que se trata de un equipo multifunción (fax, impresora y escáner) marca HP modelo Laserjet Pro 200 Color MFP M276MW (en adelante el dispositivo). El dispositivo tiene dos meses de antigüedad. b. Informa que el envío de faxes se realiza directamente desde el equipo sin que intervenga el ordenador personal al que está conectado. El fax solo almacena la lista de los últimos números de faxes enviados, pero no su contenido. Se realiza impresión del reporte del último fax enviado, comprobándose que no se almacena contenido del fax, únicamente la fecha, hora, duración y número de destino de la llamada. c. Se realizan funciones de escaneo a petición de los clientes, quienes se llevan el documento escaneado en una memoria USB o similar. Los documentos se almacenan en el disco del ordenador personal conectado al dispositivo. d. Anteriormente disponía de otro equipo, marca Brother modelo MFC7460DN, que se encuentra fuera de uso por avería. Muestra a los inspectores el equipo, que se encuentra en el suelo, amontonado junto a otros dispositivos informáticos. e. Informa a los inspectores que desconoce la normativa de protección de datos.
3. Los inspectores de la Agencia solicitan a Don B.B.B. que les permita el acceso a los equipos de que dispone, realizándose las siguientes comprobaciones: a. Se accede al ordenador personal al que está conectado el dispositivo, verificándose que solo tiene activadas las funciones de impresora y escáner. b. Se realiza la búsqueda del software del dispositivo Brother MFC7460DN, verificándose que estuvo instalado en el equipo, pero que actualmente se encuentra desinstalado. c. Se realiza una prueba de escaneo con el dispositivo, verificándose que genera ficheros en formato PDF, que son almacenados en el disco duro. Se comprueba que genera un fichero en formato PDF autonumerado como 06.pdf. Don B.B.B. informa que los ficheros son almacenados en el escritorio del sistema, y son borrados una vez enviados por correo electrónico. d. Se realiza una búsqueda de ficheros en formato PDF en la totalidad de las unidades de almacenamiento del ordenador personal al que está conectado el dispositivo, verificándose que existen múltiples ficheros con dicho formato, muchos de los cuales no está relacionados con la actividad del dispositivo.
4. Don B.B.B. informa a los inspectores que no es su intención guardar los datos escaneados en el equipo, el fichero encontrado (un CV) debe haberse debido a un olvido, por lo que procede a su borrado, que es verificado por los inspectores C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 actuantes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la recogida de datos personales contenidos en los documentos escaneados por parte del Locutorio, cuyo titular es Don B.B.B., sin consentimiento de los interesados. El artículo 6 de la LOPD, en sus apartados 1 y 2, dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
5. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, se ha comprobado que en el Locutorio cuyo responsable es Don B.B.B., ya no tiene el equipo que escaneaba y fue objeto de este expediente. No obstante, se comprobó que en el equipo que dispone no se guardan los ficheros PDF C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 que se generan al escanear un documento, ya que se borran una vez efectuado el trabajo. Por error, habían mantenido una página de un curriculum vitae que se borró de inmediato en presencia de los inspectores. En este sentido, la Sentencia de la Audiencia Nacional de 23 de diciembre de 2013, Recurso nº 341/2012, indica lo siguiente: “La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional. En el ámbito de la protección de los datos de carácter personal, para que ese error pueda resultar relevante a efectos punitivos debe ser consecuencia –o estar posibilitado- por la ausencia de previos y adecuados procedimientos de control encaminados a su evitación. Sólo de esa manera aparecerá un factor de culpabilidad en la empresa, asignable a la imprudencia (o “simple inobservancia”) por aquella falta de articulación de protocolos o de procedimientos de seguridad. Pero esas carencias deben ser objeto de indagación y prueba por parte del órgano administrativo sancionador (al que le incumbe la carga de su realización en destrucción de la presunción de inocencia). Pues bien, en el presente caso nada de todo ello se dice por la resolución sancionadora, no sirviendo tampoco, a estos efectos, la conclusión de que, si se produjo el error, es porque los protocolos de seguridad no se establecieron o eran insuficientes. Ésta sería una conclusión falsa y pugnante con la falible dimensión humana. No se trata, pues, de garantizar la ausencia de errores a través del derecho punitivo sino de articular procedimientos para precaverlos y también, luego, de sancionar si esos protocolos no se establecen o si lo son en manera insuficiente. Pero, como decimos, la resolución impugnada con respecto a todo ello sólo expresa lo que sigue: …«Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que se encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal». Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia –por lesionadora de las reglas de la carga de la prueba de la acusación- y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” A ello hay que añadir que el locutorio no tenía ningún dato de los documentos escaneados del denunciante y la rápida respuesta de la entidad denunciada al darse cuenta del error cometido. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente Resolución a Don B.B.B. y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es