1/4 Procedimiento Nº: E/01091/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Por la GUARDIA CIVIL - PUESTO DE ***LOCALIDAD.1 (en adelante, el reclamante) tiene entrada con fecha 10/08/2020 en la Agencia Española de Protección de Datos acta-denuncia por la comisión de supuesta infracción a la normativa sobre protección de datos. El escrito se dirige contra MICROSER ELECTRONICS S.L., con NIF B28338366 (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis, el abandono de documentación en una nave industrial que había sido ocupado por la empresa hasta el año 2017; documentación que contiene datos de carácter personal permitiendo la posibilidad de acceso por parte de terceros a los mismos, vulnerando la normativa en materia de protección de datos. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 28/09/2020, fue trasladada al reclamado la reclamación presentada para su análisis y de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. No consta respuesta del reclamado al requerimiento de la AEPD. TERCERO: El 09/12/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La aplicación de las medidas de seguridad adecuadas y del principio de confidencialidad de los datos de carácter personal por parte de las empresas que tratan los mismos es una obligación que les incumbe. Aún en el caso de que una empresa se traslade o cese en su actividad, debe decidir que hace con los documentos generados que contienen los datos personales, pudiendo bloquearlos (conservarlos) o destruirlos en función de que continúen siendo necesarios o pertinentes en relación con las finalidades para las que se recabaron, o mantenerlos por establecerlo las disposiciones legales o las relaciones contractuales. En el supuesto de que no sean destruidos, deben mantenerse las medidas de seguridad exigidas para el tipo de datos que se traten, para evitar, entre otras cosas, que puedan ser abandonados o depositados en la vía pública o en cualquier otro lugar de acceso a cualquier persona vulnerando el principio de confidencialidad. En el presente caso, la actuación del reclamado supone la vulneración de la normativa en materia de protección de datos de carácter personal, concretamente los artículos 9 y 10 de la antigua LOPD. Los hechos que constituyen el presupuesto fáctico de la imputación dirigida contra el reclamado se encuadraban, en el tiempo de su comisión, en los tipos sancionadores previstos en los artículos 44.3.
- h)y 44.3.
- d)de la LOPD, infracciones graves para las que el artículo 45.2 de la LOPD preveía sanciones con multa de 40.001 a 300.000 €. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Hay que señalar que pese a los esfuerzos realizados no se ha podido contactar con responsable alguno de la mercantil en España y cuyo cese de actividad se llevó a cabo en 2017, siendo la documentación encontrada anterior a la fecha de su cese. La LOPD, en su artículo 47.1, 2 y 3, señalaba que: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Los hechos valorados en las presentes actuaciones se remontan a fechas anteriores al cese de la actividad en el 2017, habiendo tenido esta Agencia conocimiento de los mismos por virtud de la citada reclamación registrada de entrada en el Organismo en fecha 10/08/2020. Por tanto, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en la fecha de cese de la actividad, resultando que las posibles infracciones han prescrito de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD, que establece unos plazos de prescripción de dos años para las infracciones graves, finalizados cuando la reclamación respectiva tuvo entrada en esta Agencia Española de Protección de Datos. Por tanto, dado que la vulneración del mantenimiento de medidas de seguridad y del principio de revelación de secreto estaban consideradas como infracciones graves de acuerdo con la normativa aplicable en el momento en que se produjeron los hechos y que, por tanto, prescribían a los dos años, ha quedado acreditado que las mismas había prescrito en la fecha de entrada del escrito de reclamación en la AEPD el 20/08/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Además, de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, el único modo de interrumpir el computo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador, y en el presente caso, al no haber tenido conocimiento de los hechos con anterioridad y haber cesado en su actividad el reclamado, no ha sido posible formalizar dicha incoación dentro de plazo establecido, por lo que procede declarar la prescripción de las presuntas infracciones con archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la GUARDIA CIVIL-PUESTO DE ***LOCALIDAD.1 y a MICROSER ELECTRONICS S.L., con NIF B28338366. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es