E-06813-2016

1/3 Expediente Nº: E/06813/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por la DIPUTACION PROVINCIAL DE A CORUÑA relativo a la ejecución del requerimiento de la resolución de referencia R/02662/2016 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00034/2016, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia AP/00034/2016, a instancia de A.A.A., B.B.B., C.C.C., D.D.D., con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 12.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/02662/2016, de fecha 22 de diciembre de 2016 por la que se resolvía “REQUERIR a la DIPUTACION PROVINCIAL DE A CORUÑA para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12.2 de la Ley Orgánica 15/1999 , de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD, debiéndolo acreditarlo ante esta Agencia en el plazo de UN MES desde este acto de notificación, para lo que se abre expediente de actuaciones previas E/06813/2016, advirtiéndole que en caso contrario se procederá a acordar la apertura de un procedimiento sancionador.” En concreto se requiere a la Diputación Provincial de A Coruña que aporte constancia de los contratos celebrados con las entidades que tienen acceso a las imágenes y están encargadas del mantenimiento y visionado de las imágenes del centro denunciado, el Albergue Centro Etnográfico de Curtis, en los que se establezcan expresamente todos los deberes formales recogidos en el artículo 12.2 de la LOPD y, en particular, que aporte constancia de que en dichos contratos se estipulan cuáles son las medidas de seguridad a que se refiere el artículo 9 de dicha Ley que el encargado del tratamiento está obligado a implementar, según lo previsto en el párrafo segundo del citado artículo 12.2 de la LOPD. Con objeto de realizar el seguimiento de las medidas a adoptar la Directora de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/06813/

1. SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 10 de marzo de 2017, escrito en el que informaba a esta Agencia en los siguientes términos: Ya cancelaron los contratos de prestación de servicios que tenían con Eulen y con Elecnor. Se ha adjudicado un nuevo contrato de seguridad y vigilancia en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 inmuebles provinciales con Eulen Seguridad, S.A., que entró en vigor el día 1 de junio de 2016 y que recoge expresamente el contenido del artículo 12 de la LOPD en la cláusula 35 del pliego de cláusulas administrativas particulares. Aportan acreditación documental. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II El artículo 12 de la LOPD, establece: “
2. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
3. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
4. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.
5. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” III En supuesto presente, del examen de las medidas adoptadas por la DIPUTACION PROVINCIAL DE A CORUÑA, se constata que el contrato de prestación de servicios suscrito con Eulen Seguridad, S.A., cumple las exigencias referidas en el artículo 12 de la LOPD y reúne los requisitos anteriormente descritos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente Resolución a la DIPUTACION PROVINCIAL DE A CORUÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es