E-01079-2017

1/10 Expediente Nº: E/01079/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades FUNDACIÓN AMIGOS MUSEO DEL PRADO, RENAULT ESPAÑA COMERCIAL, S.A., y TRIUNFO IMPROVISSA UNIPESSOAL, LDA, en virtud de denuncia presentada por dos denunciantes, cuyos datos personales figuran en el Anexo 1 y 2, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de enero de 2017, tuvo entrada en esta Agencia un escrito remitido por denunciante 1, y, en fecha 2 de febrero de 2017, se recibió escrito de denunciante 2, en los que exponen lo siguiente: Con fechas 30 de noviembre de 2016 y 6 de diciembre de 2016, la entidad TRIUNFO IMPROVISA UNIPERSONAL, realizó un cargo en su cuenta bancaria, por un importe de 29,90 €, habiendo sido informados de que varias personas pertenecientes a la Fundación Amigos del Museo del Prado habían recibido el mismo cargo. Uno de los denunciantes era socio de dicha Fundación, pero el otro manifiesta no tener nada que ver con la misma. Ambos se pusieron en contacto con dicha Fundación, que les informó que habían tenido constancia de los hechos a través de varios socios, pero que habían sido informados que también se había producido el cargo en persona ajenas a la Fundación. Anexan la siguiente documentación:  Copia de la carta remitida por la Fundación Amigos del Prado a ambos denunciantes con relación a los escritos enviados por ellos a la misma solicitando información sobre dicho cargo.  Copia de los recibos bancarios de ambos donde figuran los cargos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 18 de abril de 2017, se incorpora a las Actuaciones Previas de Investigación una Diligencia para hacer constar la incorporación de diferente documentación relacionada con los hechos, localizada a través de Internet, entre la que se encuentra un comunicado del Comité de empresa de Renault, en el que se informa de varios trabajadores de la empresa, que también se han visto afectados por este hecho. 2. Con fecha 16 de mayo de 2017, se recibe escrito de la Fundación Amigos del Museo del Prado, en el que comunican lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 a. Han tenido constancia de que diferentes personas, entre ellos asociados pertenecientes a la Fundación y otras personas ajenas y sin vinculación alguna, han recibido cargos en sus cuentas corrientes. Dichos cargos nunca han sido autorizados por los titulares de las cuentas, ni tampoco por la Fundación. b. Con fecha 7 de diciembre de 2016, la Fundación tiene constancia de los hechos denunciados. No obstante manifiesta la Fundación que no ha mantenido ningún tipo de relación con la empresa que realiza los cargos. Desde ese momento, la Fundación inicia una investigación para el esclarecimiento de los hechos. Así mismo, se presenta, con fecha 22 de diciembre de 2016, denuncia, cuya copia se adjunta, ante las Fuerzas y Cuerpos de Seguridad del Estado, al revestir sin duda, carácter de delito. c. En la fecha en que se remite este escrito, no han tenido noticias sobre dicha denuncia. No obstante, parece más que evidente, que el origen de la información no procede de la Fundación, ya que existen personas afectadas que nada tienen ni han tenido que ver con esta. d. Las bases de Datos y registros de la Fundación, se encuentran alojados y custodiados por entidades externas especializadas con las que la Fundación mantiene contratos de prestación de servicio de mantenimiento y desarrollo de software de gestión. Acompañan los contratos con dichas empresas. e. Las medidas de seguridad implementadas por la Fundación Amigos del Museo del Prado, se ajustan a las Disposiciones legales, no habiéndose constatado ningún incidente que haya puesto en riesgo los datos objeto de esta denuncia y que son objeto de tratamiento por parte de la Fundación. f. Desde la Fundación, además de la denuncia presentada ante la Dirección General de la Policía, se comunicó a cerca de una decena de entidades bancarias, los hechos denunciados, a efectos de que estuvieran alerta, y pudieran abortar inmediatamente cualquier intento de fraude que pudiera producirse. g. Tras las investigaciones internas llevadas a cabo por la Fundación, no han detectado ninguna irregularidad, contingencia o incidencia que haya afectado a los datos que son objeto de tratamiento. h. Prueba de que los datos utilizados se corresponden también con personas que no tienen nada que ver con la Fundación, es el caso del primero de los denunciantes, que se puso en contacto con la Fundación, por indicación de la entidad bancaria. Adjuntan diferentes correos del denunciante a la Fundación, y carta de contestación por parte de ésta. 3. Con fecha 17 de mayo de 2017 se recibe escrito de la empresa RENAULT ESPAÑA COMERCIAL, S.A., en el que comunican lo siguiente: a. Con fecha 12 de diciembre de 2016, Renault España Comercial, S.A., tiene conocimiento de que varios de sus empleados han recibido cargos en sus cuentas bancarias con las siguientes características: i.Importe: 29,90 €. ii.Fecha de cargo 9 de diciembre de 2016. iii.Beneficiario TRIUNFO IMPROVISA UNIPESSOAL, Lda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 iv.El beneficiario parece ser una empresa portuguesa que realiza los ingresos en una cuenta del Banco Santander TOTA de Lisboa. v.Con fecha 13 de diciembre de 2016, el Director de RRHH, alerta de la situación a los managers, a través de un correo electrónico. Del primer análisis se deduce que varios de esos cargos se han realizado en cuentas corrientes que no son en las que los trabajadores reciben su nómina. vi.Con fecha 14 de diciembre de 2016, se envió información a toda la plantilla, según consta en el documento que acompañan. vii.En fecha 15 de diciembre de 2016, los servicios informáticos del Grupo RENAULT, a instancia de RENAULT ESPAÑA COMERCIAL, S.A, identifican que el nexo común de los trabajadores afectados por dichos cargos indebidos es que todos ellos son miembros de la Fundación Amigos del Museo del Prado. De la investigación se concluye que de los empleados, ya sean jubilados o en activo, que pertenecen a la Fundación, únicamente 60 se han visto afectados por cargo indebido. viii.Con fecha 16 de diciembre, según consta en carta adjunta al escrito, la Fundación informa a Renault que el fraude no ha afectado solo a los socios de la misma que pertenecen a Renault. ix.En el año 2010, La Fundación Renault y la Fundación Amigos del Museo del Prado, suscribieron un contrato de colaboración que permite ofrecer una cuota preferencial a los trabajadores de la primera. x.El alta debía de hacerse a través de la web de la Fundación Amigos del Museo del Prado, siendo ésta la que solicitaba los datos personales y bancarios, pudiendo aportar cada uno la cuenta que quisiera, sin que tuviera que coincidir con la cuenta a través de la que se ingresan su nómina. Renault no maneja la información aportada. xi.Desde los servicios informáticos de Renault, manifiestan y certifican la no existencia de incidencia alguna ocurrida en sus sistemas, que pudiera tener relación con un posible acceso a la información bancaria de los trabajadores. 4. Con fechas 3 de mayo de 2017 y 11 de septiembre de 2017, se solicita colaboración a la COMISSAO NACIONAL DE PROTECÇAO DE DADOS, con relación a los hechos denunciados, ya que la empresa que realiza los cargos es portuguesa. No se ha recibido respuesta hasta la fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Las actuaciones previas de investigación tienen la finalidad de verificar los hechos denunciados e identificar a los responsables de los mismos. En relación con las empresas españolas afectadas por el tratamiento de los datos de los denunciantes sin consentimiento, durante estas actuaciones se requirió información a Renault y a la Fundación Amigos del Museo del Prado, para verificar si tenían medidas de seguridad adecuadas que evitasen que los datos de sus trabajadores y socios, respectivamente, fueran accedidos por terceros. El artículo 9 de la LOPD establece lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
2. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
3. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
4. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
5. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
6. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
7. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
8. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. De las actuaciones practicadas, se desprende que ambas entidades tienen las medidas de seguridad adecuadas para evitar tales accesos indebidos. IV Por otro lado, se solicitó colaboración a la Autoridad Portuguesa de Protección de Datos a los efectos de verificar, entre otras cuestiones, quién era la autoridad competente en referencia a la actuación denunciada. A pesar de que no se ha recibido contestación a la solicitud de información efectuada, y a efectos de determinar la normativa aplicable al presente supuesto debe tenerse en cuenta que el artículo 3 del RLOPD, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
9. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento.
10. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
11. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” Dada la complejidad de las cuestiones relacionadas con el derecho aplicable, cabe acudir a lo señalado a este respecto por el Grupo de trabajo del artículo 29, órgano consultivo independiente de la UE sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la citada Directiva 95/46/CE, que, con la finalidad de esclarecer lo previsto en el artículo 4 de la Directiva, aborda el concepto de derecho aplicable en su Dictamen 8/2010. Para ello analiza los dos criterios determinantes de la aplicación del derecho de un estado miembro, esto es que el responsable del tratamiento esté establecido en uno o varios Estados miembros y que el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, interesando especialmente en lo que al presente supuesto se refiere lo indicado en dicho Dictamen respecto de este segundo criterio. Así se toma como punto de partida que pueden desencadenarse diferentes derechos aplicables en diferentes etapas del tratamiento y se enumeran diversas hipótesis que pueden contribuir a clarificar lo que significa la noción de “marco de actividades” y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diversos países, señalando las siguientes: “a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austriaco. El Derecho austriaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austriacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades.” En principio, la situación denunciada parece estar comprendida en el supuesto
12. b)anteriormente citado, por lo que la autoridad competente para conocer y sancionar, en su caso, los hechos denunciados sería la autoridad de protección de datos portuguesa, que ya ha sido informada de los mismos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la FUNDACIÓN AMIGOS MUSEO DEL PRADO, a RENAULT ESPAÑA COMERCIAL, S.A., y a cada uno de los denunciantes cuyos datos constan en los Anexos 1 y 2 solo con el anexo que les corresponde. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es