E-01880-2017

1/8 Expediente Nº: E/01880/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades AUREN SERVEIS PROFESSIONALS BCN S.L., MANIPULADOS ABCAC, S.L., y RUA PAPEL GESTION, S.L., en virtud de denuncia presentada por el AJUNTAMENT DE BARCELONA. OFICINA D'INFORMACIÓ I TRÀMITS DE LA GUÀRDIA URBANA, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de febrero de 2017, tuvo entrada en esta Agencia un escrito remitido por el AJUNTAMENT DE BARCELONA. OFICINA D'INFORMACIÓ I TRÀMITS DE LA GUÀRDIA URBANA, en el que expone lo siguiente: Con fecha 7 de febrero de 2017 la Guardia Urbana del Ayuntamiento de Barcelona interceptó una furgoneta con documentación procedente de AUREN SERVEIS PROFESSIONALS BCN, S.L. Esta documentación contiene infinidad de datos personales de clientes del bufete de abogados. Los representantes de AUREN SERVEIS PROFESSIONALS BCN, S.L., manifiestan a la Guardia Urbana que habían contratado a RUA PAPEL GESTION, S.L., para la destrucción de documentación, Al preguntar a la persona que estaba cargando en su furgoneta la documentación de AUREN SERVEIS PROFESSIONALS BCN, S.L., manifestó pertenecer a MANIPULADOS ABCAC, S.L. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Los representantes de AUREN SERVÉIS PROFESSIONALS BCN, S.L., facilitaron copia de un contrato de protección de datos en el marco de un encargo de tratamiento de datos personales otorgado entre RÚA PAPEL GESTIÓN y AUREN SERVÉIS PROFESSIONALS BCN, en el que figura que no divulgarán a terceros información contenida en esta relación contractual. También aportan copia de un contrato de trazabilidad de tratamiento de residuos suscrito entre las sociedades AUREN SERVÉIS PROFESSIONALS BCN y RÚA PAPEL GESTIÓN, de fecha 3 de febrero de 2017, y con el n° 362/16. En las instrucciones para la destrucción de archivos, trituración y reciclaje, entre AUREN SERVÉIS PROFESSIONALS BCN y RÚA PAPEL GESTIÓN, con fecha 03/02/2017, figura: “Los envíos se realizarán en contenedores cerrados, que deben ser custodiados personalmente hasta la entrega en las instalaciones de destrucción segura. Los contenedores incorporarán dispositivos de cierre de tal manera que no puedan ser accedidos por terceros no autorizados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 El transporte y sus medidas de seguridad serán asumidos íntegramente por ustedes, encargados de la trituración y reciclaje, que se comprometerán a garantizar el envío seguro con sus propios medios, desde los mismos locales controlados por AUREN hasta sus instalaciones de trituración y reciclaje. La trituración y embalaje deberá ofrecer un nivel de seguridad que impida su reconstrucción y el acceso a la información por terceros no autorizados. Deberán expedir un certificado de trituración y embalaje. Este deberá incluir la cantidad (por ejemplo en kilos) de archivos recogidos.” Adjuntan factura emitida por RÚA PAPEL GESTIÓN, en fecha 7 de febrero de 2017 por importe de 218,90 € por los conceptos de: "Retiraje y Transporte, Certificado de destrucción, destrucción de archivo", que asegura que los archivos recogidos han sido triturados y embalados siguiendo las instrucciones de AUREN SERVÉIS PROFESSIONALS BCN S.L 2. Los representantes de RUA PAPEL GESTIÓN manifiestan que AUREN SERVÉIS PROFERSIONALS contrató con su entidad el servicio de transporte y destrucción de documentación. A fin de trasladar dicha documentación hasta las instalaciones de RÚA PAPEL GESTIÓN, S.L., ésta contrató los servicios de transporte de la sociedad Manipulados ABCAC, empresa autorizada por la Agencia Catalana de Residuos para el transporte de Residuos bajo el código ***COD.1, para la recogida y transporte de esta documentación. Por tanto, Manipulados ABCAC no interviene en el proceso de destrucción, tan solo en la recogida y transporte de la documentación hasta la planta de RÚA PAPEL GESTIÓN, S.L. Por otra parte, y por lo que respecta al cliente, a éste se le facilitan los datos de la empresa de transporte y del transportista asignado para la retirada de la documentación. En el transporte interceptado por la Guardia Urbana, Manipulados ABCAC tenía instrucciones expresas de recoger en las oficinas de AUREN SERVICIOS PROFESIONALES unas cajas con la citada documentación para destruir, con el objeto de trasladarlas a la planta de RÚA PAPEL GESTIÓN, S.L., en Sant Andreu de la Barca donde se procedería a su destrucción. Dichas cajas salieron perfectamente precintadas de las oficinas del cliente, si bien fue preciso realizar dos viajes para trasladar toda la documentación. Una vez entregadas en las instalaciones de RÚA PAPEL GESTIÓN, S.L., las cajas trasladadas en el primer viaje, se comprobó que el precinto seguía intacto y se procedió a su trituración. En el caso de no haber sido así, se habría abierto y reportado una incidencia. Las incidencias surgieron con las cajas que fueron objeto de transporte en el segundo viaje. La Policía Municipal de Barcelona en el momento en que se estaba realizando la carga de las cajas objeto de este segundo transporte, procedió a su incautación, después de haberse subido a la furgoneta y pisar las cajas, a pesar de la exhibición por el transportista de la autorización expedida para el desarrollo de su actividad por la Agencia de Residuos de Cataluña; sin que hasta la fecha se haya facilitado a RÚA PAPEL GESTIÓN, S.L., mayor detalle ni ulterior información sobre el destino dado a la documentación incautada ni entregado certificado de la destrucción de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 9 de la LOPD establece lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
2. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
3. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
4. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
5. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
6. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
7. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
8. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Por otra parte, el Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad que deben implementarse en los ficheros y tratamientos automatizados o no automatizados. En el art. 81.3 del mismo se establece que además de las medidas de seguridad básica y medio, se aplicaran las medidas de seguridad de nivel alto a aquellos ficheros que contengan, entre otros, datos referidos a la salud. Los artículos 89, 92, 97, 108 y 114 del citado Reglamento, aplicables en el presente caso, establecen lo siguiente: “Artículo 89. Funciones y obligaciones del personal”. “2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. Artículo 92. Gestión de soportes y documentos. “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. El artículo 108, referido a la “Custodia de los soportes” y aplicable a los ficheros y tratamientos no automatizados, establece lo siguiente: “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. III Para analizar la cuestión planteada, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
9. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
10. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el mismo sentido, el artículo 5.1.
11. i)del Reglamento de desarrollo de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 define al encargado del tratamiento como
12. i)“La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La figura del encargado del tratamiento se ajusta a la actividad desarrollada en este caso por RUA PAPEL GESTIÓN. Dicha figura está regulada por el artículo 12 de la LOPD y en ella tienen cabida aquellos supuestos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad, en este caso, su destrucción. Por el contrario, no se ajustarán a dicho concepto aquellos casos en los que la persona o entidad que reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que convertirá a dicha persona o entidad, a su vez, en un responsable del fichero o tratamiento. En este artículo 12 de la LOPD se establece lo siguiente: “Artículo 12. Acceso a los datos por cuenta de terceros 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. De la lectura del citado artículo 12 se deduce que, para que concurra la figura del “acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado contrato permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación, que conste por escrito o en cualquier otra forma que permita acreditar su celebración y contenido, que deberá especificar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 circunstancias previstas por los apartados 2 y 3 del citado artículo 12. Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados, se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. Además, el artículo 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En cuanto a las medidas de seguridad que hayan de ser adoptadas por quienes realicen trabajos de tratamiento de datos por cuenta de tercero, habrán de ser, en principio, las mismas que las impuestas al responsable del fichero, y deberán estipularse en el contrato. En el supuesto objeto de este procedimiento, AUREN suscribió un contrato de prestación de servicios cuya finalidad es el transporte y destrucción de la documentación del despacho de abogados. Par el transporte de la documentación hasta las instalaciones de RUA, ésta contrató a ABCAT, empresa autorizada por la Agencia Catalana de Residuos para el transporte de residuos, con el conocimiento de AUREN. En resumen, AUREN contrató con la entidad RUA el transporte y destrucción de la documentación de su despacho con datos personales. Esta empresa garantizaba el transporte seguro de los documentos, trasladados a sus locales por otra entidad dedicada al trasporte de residuos. No se ha producido vulneración de las medidas de seguridad por parte del encargado y subencargado del tratamiento de los datos personales cuyo responsable es AUREN. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a AUREN SERVEIS PROFESSIONALS BCN S.L., y al AJUNTAMENT DE BARCELONA. OFICINA D'INFORMACIÓ I TRÀMITS DE LA GUÀRDIA URBANA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es