E-04758-2015

1/4 Expediente Nº: E/04758/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la DIPUTACION PROVINCIAL DE BURGOS, SERVICIO DE GESTION TRIBUTARIA Y RECAUDACION, en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/07/2015, el Director de la Agencia española de Protección de Datos -AEPD- dictó resolución cuya parte dispositiva recoge: “ Primero: Declarar que la Diputación Provincial de Burgos ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3h) de la citada Ley Orgánica. Segundo: Requerir a la Diputación Provincial de Burgos, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/04758/

1. Tercero: Notificar la presente resolución a la Diputación Provincial de Burgos y a D. A.A.A.. Cuarto: Comunicar la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD”. Dicha resolución fue notificada el 30/07/2015 a la Diputación Provincial de Burgos SEGUNDO: Con fecha 28/09/2015, la Directora de la AEPD dirige escrito a la Diputación Provincial de Burgos, Servicio de Gestión Tributaria y Recaudación, requiriendo lo siguiente: << Con fecha 24 de julio de 2015, fue dictada Resolución, R/01992/2015, en el Procedimiento de Declaración de Infracción de las Administraciones Públicas, AP/00016/2015, en la que se resuelve: “ …habiéndose solicitado por dicha Institución, mediante escrito de fecha 17/09/2015, que se informase sobre las actuaciones que ha llevado a cabo la Diputación Provincial de Burgos- Servicio De Gestión Tributaria y Recaudación, y como quiera que, hasta el día de la fecha, no se han comunicado las medidas de orden interno conducentes a impedir que en el futuro pueda producirse una nueva infracción al artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se le requiere para que a la mayor brevedad, se comuniquen las mismas a esta Agencia Española de Protección de Datos, con el fin de que sean trasladadas al Defensor del Pueblo>>. TERCERO: Con fecha 26/02/2016 se recibe escrito del Servicio de Gestión Tributaria y Recaudación de la Diputación de Burgos en el que, en resumen, se informa que “ En su escrito dirigido a esta Diputación Provincial de Burgos…, en el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 requiere contestación al requerimiento de información… , sobre las medidas adoptadas para corregir los efectos de la infracción del artículo 9.1 de LOPD…, se informa lo siguiente: Dicho requerimiento fue contestado con fecha 9 de octubre de 2015, registro de salida número 17.436, siendo recibido por la Agencia Española de Protección de Datos con fecha 13 de octubre de
2. Asimismo, se le ha remitido al Defensor del Pueblo idéntica respuesta. Se adjunta a este escrito de nuevo la contestación al requerimiento, con la fotocopia del acuse de recibo que acredita su envío y recepción.” El escrito de la Diputación provincial de Burgos siguiente: de fecha 9/10/205, recoge lo Primero.- Se ha eliminado la causa de la infracción, esto es, se ha suprimido la la pegatina con la expresión "NOT EMBARGO DE SALARIO ...", que figuraba en el anverso del sobre en las notificaciones de diligencias de embargo de salarios. Segundo.- En la tarjeta rosa, que como acuse de recibo se adhiere al dorso del sobre de las citadas notificaciones, de donde se despega para obtener la firma del destinatario (o dejar constancia de la imposibilidad de conseguirla) e incorporarla después al expediente como acreditación documental de que se ha cumplido el trámite, en la que debe figurar el contenido del acto (artículo 59.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común), para evitar lesionar derechos e intereses legítimos de los interesados se ha consignado una somera indicación del contenido del acto, de la forma siguiente: "*****" (que significa Notificación de Embargo al Obligado al Pago). Tercero- Con fecha de fecha 29 de septiembre de 2015, se ha dirigido informe explicativo de las medidas adoptadas para dar cumplimiento a la Resolución de la Agencia Española de Protección de Datos dictada en el procedimiento AP/00016/2015 al Defensor del Pueblo. Con la esperanza de haber dado cumplimiento al requerimiento que se nos formulaba, le saluda muy atentamente” . FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9.1 de la LOPD dispone lo siguiente: “
3. El responsable del fichero, y, en su caso, el encargado del tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
4. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
5. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Así, la Diputación de Burgos está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, quedó acreditado que la citada entidad incumplió esta obligación, al constatarse en el sobre dirigido al denunciante una pegatina con la expresión “NOT: EMBARGO SALARIO MARZ/14, que motivó de manera fidedigna que los datos personales del denunciante nombre, apellidos y domicilio completo, pudieran ser accesibles por terceros, asociados a su situación de sujeto a embargo de salario. En supuesto presente, del examen de las medidas adoptadas por el Servicio de gestión Tributaria y Recaudación de la Diputación de Burgos se constata el cumplimiento del requerimiento de la Directora acordado en la Resolución de fechas 27/07 y 28/06//
6. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
7. PROCEDER AL ARCHIVO de las presentes actuaciones.
8. NOTIFICAR la presente Resolución a la DIPUTACION PROVINCIAL DE BURGOS, Servicio de Gestión Tributaria y Recaudación. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es