1/5 Expediente Nº: E/03563/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VALRAD S.L., en virtud de denuncia presentada por la DIRECCION GENERAL DE LA GUARDIA CIVIL - PUESTO DE VILLASANA MENA, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de mayo de 2013, tuvo entrada en esta Agencia un escrito remitido por la Dirección General de la Guardia Civil, Compañía de Medina de Pomar, Puesto de Villasana Mena, con el que se adjunta documentación encontrada por dicha autoridad, con fecha 5 de abril de 2013, que se encontró en un vertido en la cuneta de la carretera XXXX Km.
- Entre los materiales hallados se encuentra diferente documentación perteneciente a la empresa VALRAD, S.L., entre la que nos envían una muestra en la que aparecen datos personales: nóminas del personal, Informes de vida laboral, etc., toda ella correspondiente a los años 2006 a
- SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Con fecha 19 de diciembre de 2013, se remitió escrito de solicitud de información a VALRAD, S.L., al domicilio aportado por el denunciante; no obstante, dicha carta es devuelta por el servicio de Correos, figurando “ausente reparto”.
- Con fecha 14 de enero de 2014, se accedió al Registro Mercantil con el fin de comprobar los datos relativos a dicha entidad, comprobando que son correctos, tal como consta en la Diligencia adjunta a estas actuaciones. Ese mismo día se vuelve a remitir el escrito de solicitud de información, siendo devuelto nuevamente por el servicio de Correos, figurando en esta ocasión el titular “ausente reparto” y “se dejó aviso de llegada en buzón”.
- Con fecha 29 de enero de 2014, se realizó búsqueda, a través de Internet, de algún teléfono de la empresa, apareciendo un número de teléfono que, al ponernos en contacto con él, nos manifiestan que se trata de una asesoría. Añaden que VALRAD, S.L., fue cliente suyos hace tiempo, pero desconocen su paradero.
- No ha sido posible contactar con dicha empresa. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad sancionadora, establece en el artículo 12, las actuaciones previas, en el sentido siguiente: “
- Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas con objeto de determinar con carácter preliminar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros.
- Las actuaciones previas serán realizadas por los órganos que tengan atribuidas funciones de investigación, averiguación e inspección en la materia y, en defecto de éstos, por la persona u órgano administrativo que se determine por el órgano competente para la iniciación o resolución del procedimiento”. En el mismo sentido, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en su artículo 122 indica: “
- Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.
- Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.
- Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador.
- Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. Las actuaciones previas de investigación se iniciaron como consecuencia de la denuncia de la Dirección General de la Guardia Civil, en la que se indicaba que en un vertido de una cuneta encontraron materiales allí depositados, entre los cuales había documentación con datos personales de la entidad Valrad, S.L., correspondiente a los años 2006-
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 La Subdirección General de Inspección de Datos ha tratado de localizar a la empresa, lo que no ha sido posible, salvo que al ponerse en contacto con la asesoría con la que trabajó en algún momento, informaron a la Inspectora actuante que desconocían su paradero. III El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso denunciado, la Dirección General de la Guardia Civil indicó que habían encontrado algún documento con datos personales en un vertido en la cuneta de la carretera XXXX . Los documentos encontrados parecían provenir de una entidad denominada Valrad, S.L., ya que las nóminas y altas correspondían a la misma. IV La aplicación de las medidas de seguridad por parte de las empresas que tratan datos de carácter personal es una obligación de gran trascendencia. Aún en el caso de que una empresa se traslade o cese en su actividad, debe decidir que hace con los documentos generados que contienen datos personales, pudiendo bloquearlos o destruirlos en función de que continúen siendo necesarios o pertinentes en relación con las finalidades para las que se recabaron, o mantenerlos por establecerlo las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 disposiciones legales o las relaciones contractuales. En el supuesto de que no sean destruidos, deben mantenerse las medidas de seguridad exigidas para el tipo de datos que se traten, para evitar, entre otras cosas, que puedan ser depositados en la vía pública al acceso de cualquier persona. Tras las actuaciones previas de investigación, no se ha podido comunicar con ningún responsable de la sociedad, si bien parece que ya no tienen ninguna actividad. La documentación aportada por la Guardia Civil se refiere, únicamente, documentos encontrados en una cuneta de la carretera y la documentación aportada con datos personales corresponde a los años 2006-
- El artículo 47 de la LOPD, bajo el epígrafe “Prescripción”, establece: “
- Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
- El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.
- Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” Los hechos valorados en las presentes actuaciones, relacionados con la posible falta de medidas de seguridad, que han podido dar lugar a un acceso por parte de terceros a los datos de carácter personal, se remontan a fechas anteriores al año 2009, habiendo tenido esta Agencia conocimiento de los mismos por virtud de la citada denuncia registrada de entrada en el Organismo en fecha 6 de mayo de
- Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en el mes de diciembre de 2009, resultando que la posible infracción de la falta de medidas de seguridad, ha prescrito de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD, que establece unos plazos de prescripción de tres años para las infracciones muy graves, dos para las graves y un año para las leves, ya finalizados cuando la denuncia respectiva tuvo entrada en esta Agencia Española de Protección de Datos. Teniendo en cuenta, además, que de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPCA), el único modo de interrumpir el computo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador, y en el presente caso, al no haber tenido conocimiento de los hechos con anterioridad, y al haber desaparecido, posiblemente, la entidad responsable, no ha sido posible formalizar dicha incoación dentro de plazo establecido, procede declarar la prescripción de la presunta infracción con archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a VALRAD S.L., y a la DIRECCION GENERAL DE LA GUARDIA CIVIL - PUESTO DE VILLASANA MENA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es