E-05042-2014

1/4 Expediente Nº: E/05042/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por el AYUNTAMIENTO DE CAMBRILS, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de junio de 2014, tuvo entrada en esta Agencia un escrito remitido por la Policía Local de Cambrils, en el que comunican que en esa localidad hay un centro geriátrico en desuso y en estado de abandono desde principios del año 2013, motivado por el cese de actividad y denominado Montemar. Se ha acudido al edificio en diversas actuaciones ya que han entrado personas en su interior con el fin de llevarse mobiliario, cobre, utensilios… Durante esas actuaciones han observado que en los archivos como en algunas plantas hay documentos con datos personales de los clientes y de los trabajadores. Acompañan reportaje fotográfico. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La Residencia Montemar de Cambrils tenía concertadas plazas con la Generalitat de Cataluña. La Generalitat abrió un expediente al grupo que la explotaba, BBS, que dejó la explotación de la misma. Los 45 empleados que tenía fueron objeto de un ERE por extinción. La Generalitat ofreció a los residentes la posibilidad de ser internados en otros centros, haciéndose cargo del pago de una parte del coste de la residencia. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD, dispone: “

1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 de la acción humana o del medio físico o natural.
2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. BSS debió, por ello, adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información que contenían dichos documentos. Por otro lado, el artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. En el caso que nos ocupa, BSS, es responsable del fichero en el que constan los datos de sus clientes y empleados, así como de la custodia de la documentación relativa a los mismos y que ha encontrado la Policía Local del Ayuntamiento de Cambrils al acudir a las instalaciones de la Residencia Montemar tras ser alertada de robos en la misma. La Agencia Española de Protección de Datos sancionó un supuesto muy similar, siendo recurrida la Resolución ante la Audiencia Nacional, que estimó el recurso, en Sentencia de 22 de octubre de 2009, fundamentándolo en lo siguiente: “A la hora de valorar si se ha producido infracción del deber de secreto, hay que partir de que este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, relativos a la estancia de los clientes en una residencia de ancianos, no pueden ser conocidos por ninguna persona o entidad ajena a la relación contractual fuera de los casos autorizados por ley, pues en eso consiste precisamente el secreto. Esta Sala tiene establecida la necesidad de que se produzca una efectiva revelación para que se cometa la infracción imputada a la recurrente. Sobre la exigencia de que se produzca revelación efectiva esta Sala parte de la necesidad de que aunque se cometa una determinada conducta que pudiera dar lugar a la revelación de secretos, si está, efectivamente no se produce, no es posible sancionar por la revelación de secretos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 En la sentencia correspondiente al recurso 500/2008 se recoge la doctrina sobre esta cuestión exponiendo como (el supuesto era el de una remisión de correspondencia en sobre con ventanilla transparente que permiten ver parte del contenido) lo relevante es que se haya producido efectiva revelación de datos y que si dicha revelación no se ha producido, no existe infracción. En forma parecida, las sentencias dictadas en el recurso 395/2007 y aquellas que cita (recursos 295/2006 y 377/2005) no permiten entender que se produzca revelación de secretos por la simple remisión de documentación a la persona distinta de la interesada si no se ha acreditado que se haya producido efectiva revelación de datos. En la sentencia correspondiente al recurso 205/2008 se dijo que "aunque, es cierto que la documentación no estuvo correctamente custodiada y no era razonable que las historias clínicas viajaran en un camión con el resto de escombros de la demolición de un hotel, la realidad es que ninguna violación del secreto se ha producido y nadie ha llegado a tener noticia de la documentación clínica que, al parecer, sigue custodiada en las cajas en cuestión cuya fotografía ha aportado la parte recurrente". En el caso presente resulta acreditado que la documentación estaba dentro del edificio que se encontraba tapiado por lo que no se justifica que se haya producido tal revelación efectiva y las fotografías que se aportan parecen hechas en el domicilio del primero de los denunciantes. Ambos denunciantes, si han tenido conocimiento de datos reservados, es porque han violentado las medidas de seguridad preparadas por la empresa recurrente y han accedido al interior del edificio donde estaba depositada la documentación en relación a la que había deber de secreto. Por lo tanto, la empresa recurrente no ha producido ninguna revelación de secretos sino que han sido los propios denunciantes los que han puesto en práctica una activa labor de búsqueda para conseguir acceder a los datos que estaban suficientemente custodiados en el interior del edificio. Por lo tanto, no se considera correcto sancionar por la infracción del deber de secreto cuando la revelación solo se ha debido a la propia conducta activa de los denunciantes y dicha conducta ha sido la que ha provocado la revelación. En relación a las medidas de seguridad debemos aplicar el mismo razonamiento que es utilizado en relación a la infracción del deber de secreto: las medidas razonables de seguridad estaban implantadas puesto que la documentación de desecho estaba custodiada en los bajos del edificio que se encontraba cerrado y tapiado; fue necesario el empleo de la conducta activa de los denunciantes para hacer desaparecer esas medidas de seguridad razonablemente implantadas poniendo en peligro la reserva de los datos de salud que se incorporaban a los documentos a los que tuvieron acceso los denunciantes. Considera esta Sala que la propia conducta activa de los denunciantes eliminando las barreras de seguridad implantadas por la empresa recurrente justifica que se deje sin efecto la sanción frente a la que se recurre y ello pues no se ha acreditado que hubiera omisión de medidas para impedir la recuperación y reutilización de la documentación custodiada.” En el supuesto trasladado por la Policía Local del Ayuntamiento de Cambrils se dan muchas similitudes con el caso que fue tratado por la Audiencia Nacional. Los documentos se encuentran en un recinto cerrado, que se ha ido deteriorando, y en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 que forzando las cerraduras han entrado ladrones. Dado que los residentes de Montemar han sido trasladados a otras Residencias y la Generalitat financiaba plazas de los ancianos que estaban en Montemar y que fueron trasladados, la documentación podría entregarse al Departamento de Bienestar Social y Familia de esa Comunidad Autónoma para su custodia, entrega a las Residencias donde se encuentren los titulares de los datos en la actualidad o su destrucción. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
4. PROCEDER AL ARCHIVO de las presentes actuaciones.
5. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE CAMBRILS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es