E-06288-2021

1/6  Expediente Nº: E/06288/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD). La reclamación se dirige contra UNIVERSAL TECNO SERVICES, REPRESENTACIÓN EN ESPAÑA, S.L. con NIF B66181546 (en adelante UTS). Los motivos en que basa la reclamación son los siguientes: Según manifestación de la parte reclamante, en fecha 20/10/2020 suscribieron un convenio de colaboración entre la FUNDACION ZABALLOS, presidida por la parte reclamante, y UTS. Por diversos motivos se rompió la relación, a raíz de lo cual UTS bloqueó los accesos a los servidores de correo y al sitio web durante un tiempo. Manifiestan que consideran "rota la custodia de datos confidenciales trasladados en su día" y que no se hacen responsables de las actuaciones que haya podido desarrollar UTS en nombre de la fundación durante el período de tiempo en que no tuvieron acceso a los datos, acceso ya recuperado en el momento de presentar la reclamación ante la AEPD. Junto a la notificación no se aporta ningún documento, ninguna evidencia o ninguna prueba de lo manifestado en la misma. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a UTS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por UTS dentro del plazo de puesta a disposición, entendiéndose rechazado conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 05/04/2021, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue devuelta por “desconocido” el día 22/04/2021. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 TERCERO: Con fecha 23/05/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDAD INVESTIGADA Durante las presentes actuaciones se ha investigado la siguiente entidad: UNIVERSAL TECNO SERVICES REPRESENTACIÓN EN ESPAÑA, S.L. con NIF B66181546 con domicilio en SANT RAFAEL, 4 - 08350 ARENYS DE MAR (BARCELONA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha 22 de junio y 9 de julio de 2021 se solicitó información al reclamado y de la respuesta recibida se desprende lo siguiente: Respecto del Convenio de Colaboración UTS ha aportado copia del “Convenio de colaboración entre la Fundación Zaballos para la defensa de los derechos constitucionales y Universal Tecno Services España SL” de fecha 20 de octubre de 2020, en cuyo objeto figura “Este convenio marco tiene por objeto el establecimiento y creación de un amplio marco de colaboración entre las partes firmantes para el desarrollo, impulso, incremento y perfeccionamiento de las actividades, materias y proyectos de competencia e interés común dentro del ámbito que a ambas le son propios”. En el apartado cuarto figura “A la terminación del Convenio, cada Parte se compromete devolver a la otra la documentación e información que sean propiedad de ésta y que le hayan sido entregados en virtud del Convenio”. En el apartado sexto se estipula lo relativo a “Confidencialidad y tratamiento de datos” “Las partes firmantes del presente acuerdo se comprometen a mantener estricta confidencialidad respecto de cualquier información de relevancia para ambas y que les sea suministrada en méritos del presente Convenio, así como de toda la información a la que tuviesen acceso en el desarrollo del mismo. A efectos de este Convenio, se entenderá por “Información Confidencial de las Partes” toda información de cualquier naturaleza o de propiedad de alguna de las partes revelada a la otra Parte o creada por las mismas de conformidad con el presente Convenio, incluyendo de modo enunciativo pero no limitativo, información relacionada con la actividad, estrategia, proyectos, know how, información sobre organización interna, con independencia de que dicha información sea comunicada de manera verbal, por escrito, electrónicamente o por cualquier otro medio. El compromiso de confidencialidad se hará extensible al tratamiento de cualesquiera otros datos de informaciones de carácter personal a que ambas entidades pudieran tener acceso como consecuencia de la ejecución de este Convenio. En este sentido, las Partes se comprometen a cumplir en todo momento las disposiciones contenidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 en la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter personal (LOPD), así como en el Reglamento de desarrollo de la misma aprobado por Real Decreto 1720/2007, de 21 de Diciembre (RLOPD) y cualesquiera otras normas vigentes o que en el futuro puedan promulgarse sobre dicha materia, comprometiéndose a mantener indemne a la otra Parte de cualesquiera responsabilidades que se pudieran derivar del incumplimiento de las obligaciones que en materia de datos de carácter personal incumben a cada una de ellas. Estrictamente, las Partes acuerdan asumir las siguientes obligaciones como encargadas del tratamiento de datos: - Tratar los datos estrictamente de conformidad con las instrucciones de la entidad responsable de quien reciba los datos y únicamente a efectos de la colaboración establecida en este Convenio. - No aplicar o utilizar los datos personales para fines distintos a los que figuren en este Convenio, ni cederlos ni siquiera para su conservación a otras personas o para la realización de copias de seguridad. - Mantener el secreto y la confidencialidad respecto de los mismos, aun después de finalizar la colaboración delimitada por este Convenio. - No subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización expresa para ello. - Implementar con respecto a los datos personales, la medidas de seguridad que sean necesarias con el fin de cumplir con lo dispuesto en el art. 9 LOPD y en el RLOPD. - Cumplir en todo momento con las prescripciones establecidas por la legislación vigente en materia de protección de datos y trasladar las obligaciones citadas en los párrafos anteriores al personal que, en su caso, colabore e intervenga en el desarrollo de las acciones que se deriven del cumplimiento de este Convenio.” Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final UTS manifiesta que con fecha 24/01/2021 desactivaron las webs de la parte reclamante al resolverse el convenio, no obstante, manifiestan que mantuvieron el acceso a las mismas para el reclamante ya que les informó de iba a abonar la factura pendiente. A este respecto, aportan un escrito que manifiestan fue remitido por la parte reclamante donde se indica que se va a proceder al abono de la factura. El día 25/01/2021, se detecta intentos de acceso a las webs de la parte reclamante, por lo que proceden al cierre definitivo por motivos de seguridad. Asimismo, manifiestan que, aunque su entidad realizó la programación de los sistemas de información, una vez entregada la contraseña a la parte reclamante no podían acceder, ya que se encontraba encriptada. También manifiestan que los datos no fueron borrados de los sistemas del reclamado durante el tiempo que se ha intentado cobrar la factura utilizando una tercera empresa, la cual durante tres meses intentó el cobro sin conseguirlo. En ese momento procedieron a borrar todos los datos de sus servidores en presencia de un perito judicial, aunque no solicitaron certificado del borrado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 UTS aporta copia de la factura emitida a la parte reclamante y copia de la extinción del contrato de cesión de crédito de la tercera empresa por no haber sido posible la recuperación de la deuda. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Encargado del tratamiento Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 (…)
3. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; (…) III Tipificación de la infracción La infracción del artículo 28.3.
4. g)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
5. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: “(…)
6. k)El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento, salvo que esté legalmente obligado a ello conforme al Reglamento (UE) 2016/679 y a la presente ley orgánica, o en los supuestos en que fuese necesario para evitar la infracción de la legislación en materia de protección de datos y se hubiese advertido de ello al responsable o al encargado del tratamiento. (…) Examinada la documentación obrante en el expediente, se concluye que, según la propia manifestación de la parte reclamante, en el momento de presentar la reclamación ante la AEPD, lo que tuvo lugar en fecha 23/02/2021, habían recuperado el acceso a sus datos, y ello porque en el HECHO DECIMO PRIMERO de su escrito, manifiestan : “es a partir del momento de recuperación de información por nuestra parte…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Tomando, pues, como fecha de referencia el día 23/02/2021, y teniendo en cuenta, según lo expuesto, que de existir infracción, estaría tipificada en el ya citado artículo 28.3.
7. g)del RGPD, y que a efectos de prescripción dicha infracción se considera leve, según dispone el artículo 74 de la LOPDGDD, habiendo transcurrido más de un año desde que los hechos reclamados tuvieron lugar, no cabe mas que decretar la prescripción de los mismos y terminar el procedimiento sin que quepa dictar resolución sancionadora. IV Conclusión Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a UNIVERSAL TECNO SERVICES, REPRESENTACIÓN EN ESPAÑA, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es