1/4 Expediente Nº: E/02123/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por D. A.A.A. representante de la entidad ECKSTEIN HAUSE, S.L., relativo a la ejecución del requerimiento de la resolución de referencia R/00794/2014 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00247/2013 seguido contra la mismo y en base a los siguientes, HECHOS PRIMERO: En la Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento a la entidad ECKSTEIN HAUSE, S.L. con referencia A/00247/2013, dictándose resolución por el Director de la Agencia Española de Protección de Datos por infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00794/2014 de fecha 8 de abril de 2014 en la que se resolvía apercibir y: “2.- REQUERIR a la entidad ECKSTEIN HAUSE, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acredite en el plazo de un mes desde este acto de notificación lo siguiente, (abriéndose el expediente de actuaciones previas nº: E/02123/2014): cumpla lo previsto en el artículo 9 de la LOPD. En concreto se insta a la entidad denunciada a justificar que en su documento de seguridad tienen establecidas las medidas a adoptar para la destrucción de documentos que contengan datos personales. Estas medidas deberán ser acordes con la normativa de protección de datos. informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el punto anterior, acreditando dicho cumplimiento con copia de su documento de seguridad. En caso de no cumplir el presente requerimiento, se procederá a acordar la apertura de un procedimiento sancionador pudiendo llegar a imponerse una sanción de 40.001 a 300.000 euros.” Con el objeto de acreditar las medidas requeridas por el Director de la Agencia Española de Protección de Datos, en la resolución anteriormente citada, esta Agencia procedió a la apertura del expediente de actuaciones E/02123/2014, advirtiéndole que en caso contrario se procedería a acordar la apertura de un procedimiento sancionador. SEGUNDO: Con motivo de lo instado en la resolución R/00794/2014 con relación al artículo 9 de la LOPD, el denunciado remitió a esta Agencia con fecha de registro 22 de mayo de 2014, un escrito de alegaciones acompañado de copia del documento de seguridad de su empresa. En su Anexo B establece en el último párrafo que “…para la destrucción de documentos físicos pertinentes se dispone de una máquina de destrucción de papel”. En el punto C.7 del Anexo C apartado 3 se detalla, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 procedimiento para la destrucción de desechos. Todo ello relacionado con las medidas de seguridad adoptadas por la entidad a la hora de destruir documentos tanto en soporte físico como electrónico que contengan datos de carácter personal. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD dispone lo siguiente: “1.- El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2.- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.” El artículo 3
- d)de la LOPD, define como responsable del fichero a la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento", en este caso en concreto el responsable de los datos personales tratados en el desarrollo de su actividad profesional, es la entidad denunciada, debiendo cumplir en el tratamiento de estos datos todas las exigencias establecidas normativamente, entre ellas, la seguridad de los datos, principio recogido en el artículo 9 de la LOPD anteriormente transcrito. El principio recogido en el artículo 9, implica que el responsable del fichero deberá adoptar una serie de medidas para garantizar la seguridad de los datos personales que se tratan y evitar de esta forma que se alteren, pierdan o sean conocidos por personas no autorizadas o que no cuentan con el consentimiento de los titulares. Las medidas de seguridad se regularán reglamentariamente. La reglamentación de las condiciones de seguridad que deberán respetar los responsables de los ficheros se encuentra en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD), más concretamente en su Título VIII que lleva por título “De las medidas de seguridad en el tratamiento de datos de carácter personal”. En el Capítulo II de este título se regula un elemento básico dentro de las medidas de seguridad, es el llamado documento de seguridad en el que se deben recoger todas las medidas de índole técnica y organizativa que implante el responsable del fichero para asegurar que el tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 los datos que lleve a cabo cumple con todos los requisitos de la normativa de protección de datos. El artículo 88.3 del RLOPD, recoge el contenido mínimo del documento de seguridad, su apartado
- h)se refiere a “las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. La entidad denunciada reconoció que la documentación encontrada por la Policía Local de Santa Olalla fue generada por ella y no ha presentado durante la tramitación del procedimiento A/00247/2013 ningún documento que acreditara que la empresa compradora se hacía cargo de la documentación abandonada en la vía pública. III En el caso que nos ocupa, la entidad ECKSTEIN HAUSE, S.L., a través de su escrito registrado en esta Agencia el 22 de mayo de 2014, ha cumplido con el requerimiento contenido en la resolución R/00794/2014, en la que se le apercibía y se le requería para acreditar el cumplimiento del artículo 9 de la LOPD, en concreto se hacía referencia al documento de seguridad de su empresa que debía contener las medidas a adoptar para la destrucción de documentos que contengan datos personales. Estas medidas deberán observarse por la entidad denunciada para evitar que en el futuro la documentación de la que quieran prescindir aparezca abandonada en la vía pública, vulnerando el principio de seguridad de los datos personales. En la copia del documento de seguridad presentada por la entidad denunciada, se recogen las medidas a adoptar en la destrucción de documentos, así en el Anexo B en cuyo último párrafo se señala que “…para la destrucción de documentos físicos pertinentes se dispone de una máquina de destrucción de papel” y en el punto C.7 del Anexo C apartado 3 donde se detalla que “en caso de no existir máquina destructora de papel y CD’s, o en el caso de que los listados e informes sean muy voluminosos, deberán ser depositados en unos contenedores confidenciales herméticos para ser entregados a una compañía de reciclaje que garantice mediante contrato la destrucción de los mismos.” Se recuerda a la entidad denunciada que el documento de seguridad será de obligado cumplimiento para el personal con acceso a los sistemas de información (art. 88.1 del RLOPD), deberá mantenerse actualizado en todo momento y será revisado siempre que se produzcan cambios relevantes (art. 88.7 del RLOPD), el contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal (art. 88.8 del RLOPD). Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. C/ Jorge Juan, 6 28001 – Madrid PROCEDER AL ARCHIVO de las presentes actuaciones. www.agpd.es sedeagpd.gob.es 4/4 2. NOTIFICAR la presente Resolución a la entidad ECKSTEIN HAUSE, S.L. y al JUZGADO DE INSTRUCCIÓN NÚMERO 1 DE TORRIJOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es