1/9 Expediente Nº: E/00990/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades MANICOCO S.L., TIENDA COCO CASTELLON, PUNT ROMA S.L., y VALENCOCO 2018, S.L., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de febrero de 2018, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que expone que ha encontrado en la vía pública, delante de las tiendas denunciadas, situadas en la calle ***DIRECCION.1, dos paquetes que contienen Curriculums Vitae. Aporta con su denuncia la documentación encontrada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: De la documentación aportada por el denunciante (unos 250 CV’
- s)no se puede determinar el origen de la misma, ya que no contiene ningún dato relativo a la empresa que ha podido desechar los documentos en la vía pública. En el reverso de dos de los documentos hay unas anotaciones manuales con los hombres de B.B.B., C.C.C., D.D.D., E.E.E. y F.F.F. junto con periodos de tiempo (Julio y Agosto) y horas. Con fecha 3 de abril de 2018, PUNTO ROMA S.L., (titular de la tienda Punto Roma, situada en la ***DIRECCION.1, ha remitido a esta Agencia la siguiente información: 1. Aportan una relación de las trabajadoras que han prestado sus servicios en el citado establecimiento durante los meses de Julio, Agosto y Septiembre de 2017, no coincidiendo ningún nombre con los anotados manualmente en uno de los documentos encontrados por el denunciante en la vía pública. 2. Respecto a las medidas de seguridad implantadas para la custodia de la documentación en papel que contiene datos personales, manifiestan: a. Todos los locales cuentan con armarios de archivo protegidos con cerraduras, que solo pueden abrir las personas autorizadas. b. Todos los establecimientos cuentan con destructoras de papel. c. Los trabajadores, al darse de alta en la empresa, firman un compromiso de confidencialidad en el que se comprometen a tratar la información exclusivamente para los fines necesarios y a preservar la confidencialidad y controlar que la información no sea utilizada para finalidades distintas a las autorizadas. (Aportan copia del documento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 firmado por las seis trabajadoras del establecimiento) d. Así mismo, se les hace entrega de un ejemplar de la normativa para usuarios del sistema de información de la empresa que debe ser firmado por el trabajador, en el que se detallan las normas de seguridad a seguir en el desarrollo de sus funciones, entre ellas, se hace referencia al procedimiento para desechar la documentación que contenga datos de carácter personal, de forma que se impida el acceso posterior a la misma utilizando las destructoras de papel o mecanismos similares. 3. Aportan copia de varias páginas del documento de seguridad de la empresa en el que se detallan los procedimientos de custodia de los documentos que contienen datos de carácter personal y de su destrucción. Así mismo, aportan las páginas correspondientes a la gestión de incidencias y el formulario para su comunicación. 4. No tienen constancia de que se haya producido ninguna incidencia en el establecimiento situado en la c/ En medio, 51 de Castellón. Con respecto a la tienda COCO situada en la c/ ***DIRECCION.1, tras varias actuaciones se ha determinado que la titular de la misma, desde mayo de 2018, es la empresa VALENCOCO 2018 S.L. Con fecha 22 de junio de 2018, VALENCOCO 2018, S.L. ha remitido a esta Agencia la siguiente información: 1. Hasta mayo de 2018, el titular del establecimiento era G.G.G. (persona física). En la actualidad el titular es una persona jurídica: VALENCOCO 2018, S.L. El 1 de mayo de 2018, y, en esa misma fecha, se realizó la subrogación de los trabajadores. El administrador único de la sociedad es G.G.G.. 2. Aportan una relación de las trabajadoras que prestaban sus servicios en el establecimiento en los meses de julio, agosto y septiembre de 2017, en el que se comprueba que figuran nombres que coinciden con los anotados manualmente en dos de los documentos encontrados por el denunciante en la vía pública (B.B.B., C.C.C., D.D.D., E.E.E. y F.F.F.). 3. Respecto a las medidas de seguridad adoptadas en el establecimiento, manifiestan que: a. Los documentos con datos de carácter personal como curriculums, se recogen y se guardan en una carpeta cerrada en un cajón con llave y se destruyen con una máquina destructora. b. A los trabajadores se les hace entrega de un documento, que firman, en el que se comprometen a guardar secreto sobre los datos de carácter personal a los que tengan acceso en su trabajo. Aportan tres documentos firmados por tres trabajadores, cuyos nombres coinciden parcialmente con los anotados en dos de los encontrados por el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD establece lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 La documentación encontrada entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Por otra parte, el Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad que deben implementarse en los ficheros y tratamientos automatizados o no automatizados. En el art. 81.3 del mismo se establece que además de las medidas de seguridad básica y medio, se aplicaran las medidas de seguridad de nivel alto a aquellos ficheros que contengan, entre otros, datos referidos a la salud. Los artículos 89, 92, 97, 108 y 114 del citado Reglamento, aplicables en el presente caso, establecen lo siguiente: “Artículo 89. Funciones y obligaciones del personal”. “2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. Artículo 92. Gestión de soportes y documentos. “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. El artículo 108, referido a la “Custodia de los soportes” y aplicable a los ficheros y tratamientos no automatizados, establece lo siguiente: “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. Por tanto, la no adopción de estas medidas de seguridad por parte del Sr. G.G.G. supone una infracción del citado artículo 9 de la LOPD. IV Por otra parte, los hechos expuestos, en relación con el acceso por parte de un tercero a los datos personales contenidos en la documentación perteneciente al denunciado abandonada, podría suponer la comisión por el mismo, de una infracción del artículo 10 de la LOPD, según el cual “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, que aparece tipificada como grave en el artículo 44.3.
- d)de dicha norma, que califica como tal “la vulneración del deber de guardar secreto acerca del tratamiento de sus datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. V El artículo 45.6 de la LOPD establece: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 LOPD: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a b c El carácter continuado de la infracción. El volumen de los tratamientos efectuados. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d El volumen de negocio o actividad del infractor. e Los beneficios obtenidos como consecuencia de la comisión de la infracción. f El grado de intencionalidad. g La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IOS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a b c d e Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. Cuando el infractor haya reconocido espontáneamente su culpabilidad. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al Sr. G.G.G. es “grave”; que el denunciado no ha sido sancionado o apercibido por esta Agencia en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.4 de la LOPD: en concreto, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, la ausencia de intencionalidad y la inexistencia de perjuicios causados a las personas interesadas o a terceras personas. Todo ello, unido a la naturaleza de los hechos que nos ocupan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 (los documentos han sido recuperados y se acompañan a este expedinete), justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. VI La Sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, no sería apercibimiento, sino archivo, como se deduce del mencionado fundamento de derecho: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
- c)de la misma Ley.” En el supuesto denunciado se da la circunstancia de que se trata de un hecho único y puntual, coincidente con el cambio de responsable de la documentación. Tratándose de un hecho puntual y que consta que el nuevo responsable de la entidad informa a sus trabajadores de la obligación de confidencialidad no cabe requerimiento de medidas concretas que eviten que se vuelva a incurrir en la misma infracción. Por ello, resulta obligado, en atención a la citada sentencia de la Audiencia Nacional de 29/11/2013, interpretar, en congruencia con la naturaleza atribuida al apercibimiento, que siendo la finalidad del mismo la imposición de medidas correctoras, cuando éstas no puedan imponerse, lo procedente en Derecho es acordar el archivo de las actuaciones. VII El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a VALENCOCO 2018, S.L., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es