E-09019-2018

1/4 Expediente Nº: E/09019/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el SINDICATO DE TRABAJADORES DE SEGURIDAD PRIVADAINTERSINDICAL, en virtud de denuncia presentada por SECURITAS DIRECT ESPAÑA, S.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22 de mayo de 2018, tuvo entrada en esta Agencia escrito remitido por SECURITAS DIRECT ESPAÑA, S.A., en el que pone de manifiesto que Que el 11 de mayo de 2018 SECURITAS DIRECT recibió dos correos electrónicos remitidos por Dª A.A.A. a través de la dirección de correo “intersindicalstsp@ stsp.es”, dominio correspondiente al SINDICATO DE TRABAJADORES DE SEGURIDAD PRIVADA – INTERSINDICAL, manifestando que tenían expedientes de clientes de Securitas Direct que iban a depositar en el juzgado de Pozuelo de Alarcón, Madrid. Envía en uno de estos correos unos cuantos expedientes. Estos expedientes contienen tanto datos personales como de seguridad de las instalaciones. Añade, que la Sra. A.A.A. ha publicado esta información en el espacio de INTERSINDICAL en Facebook. Ante estos hechos SECURITAS DIRECT ha interpuesto una demanda contra la Sra. A.A.A. e INTERSINDICAL en el Juzgado de Pozuelo de Alarcón, Madrid. Que según el denunciante tuvieron lugar a fecha de: 11 de mayo de 2018 Con fecha 14 de marzo de 2019 y número de registro 013351/2019, tras requerimiento del inspector actuante sobre aspectos de seguridad de la información a la compañía SECURITAS DIRECT, se recibe en esta Agencia escrito manifestando los siguientes aspectos relevantes entre otros: a. Que disponen de un alto grado de confidencialidad, existiendo protocolos de protección y tratamiento de la misma, no pudiendo acceder a ella nada más que las personas facultadas para ello. b. Que verificó sus sistemas para comprobar si se había producido algún tipo de acceso no autorizado a esta información, sin haber detectado ningún acceso no autorizado a esta información. c. Que SECURITAS DIRECT dispone de los contratos originales correspondientes a los que fueron expuestos en la plataforma Facebook. d. Que SECURITAS DIRECT presentó una querella por la presunta comisión de delito de descubrimiento y revelación de secretos contra la Sra. A.A.A. e INTERSINDICAL en los juzgados de instrucción de Pozuelo de Alarcón, Madrid. e. Que la mayoría de los contratos datan del año 1998 siendo muy residuales los de fechas posteriores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 f. Que, para mejorar la seguridad de la información relacionada con los contratos, desde el año 2014, la contratación se hace, con implantación progresiva hasta la actualidad, en formato digital. g. Que trató de contactar con los clientes activos para solicitarles un cambio en la palabra clave que permite tanto actuar sobre el sistema de alarma como acceder a la información personal almacenada en los sistemas de SECURITAS DIRECT. h. Que los empleados quedan sometidos en la actualidad, mediante entrega y firma del correspondiente documento, al marco regulatorio establecido por el RGPD y posterior normativa local (documento nº 2) Y anexa la siguiente documentación:  Documento nº 1: correo electrónico y escrito enviado por INTERSINDICAL a SECURITAS DIRECT  Documento nº 2: Normativa de seguridad y política de privacidad en Securitas Direct España. (RGPD)  Documento nº 3: Políticas Corporativas: formación para nuevas incorporaciones (previo a la entrada en vigor del RGPD)  Documento nº 4: documento nº 3 firmado por dos empleados de la compañía vinculados a un alto volumen de los contratos que están en poder de INTERSINDICAL Documento nº 5: Contrato de prestación de servicios actualizado a 25 de mayo de 2018 con la compañía NORMADAT, custodio de la documentación en papel. Con fecha 28 de marzo de 2019 se recibe en esta Agencia, con número de registro 016143/2019, escrito procedente de la compañía SECURITAS DIRECT en el que se hace hincapié sobre la querella presentada en los juzgados de Pozuelo de Alarcón – Madrid, explicando el procedimiento para facilitar el contrato original completo a la Jefatura de Policía correspondiente al lugar de realización de contrato y las medidas de seguridad relacionadas con la conservación, acceso y trazabilidad de acceso. Y anexa la siguiente documentación:  Auto del Juzgado de Primera Instancia e Instrucción Nº 3 de Pozuelo de Alarcón SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de las actuaciones previas de investigación E/09019/2018 para el esclarecimiento de los hechos. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 122.2 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, dispone, en relación con las actuaciones previas, que “se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano”. De conformidad con el párrafo 4 del referido artículo 122, estas actuaciones previas tendrán una duración máxima de doce meses “a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el párrafo segundo hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas E/09019/2018 se inició el día 22 de mayo de 2018 y finalizo el mismo día del año siguiente (antes de la entrada en vigor del Reglamento General de Protección de Datos, por lo que se recoge la norma vigente en ese momento), por lo que éstas deben declararse caducadas. Todo ello de conformidad con la interpretación que al respecto ha realizado la Audiencia Nacional en su Sentencia de 19 de julio de 2013, en la que establece que “el hecho de que tras la denuncia se acordara por el Director de la Agencia Española de Protección de Datos no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, para a continuación, en respuesta al recurso de reposición formalizado por el denunciante contra tal acuerdo, resolver su estimación y ordenar a la Subdirección General de Inspección de Datos que se procediera a realizar actuaciones de inspección, no enerva aquella conclusión”. Esto es, que las actuaciones previas de investigación deben entenderse caducadas si transcurridos doce meses desde el día inicial del cómputo no se ha procedido a dictar y notificar acuerdo de inicio de procedimiento sancionador. III Por su parte el artículo 95. 3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, determina que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Al respecto la Audiencia Nacional considera (Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, dado que los hechos objeto de investigación no se encuentran prescritos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicie nuevas actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. ABRIR nuevas actuaciones de investigación. 3. NOTIFICAR la presente Resolución al SINDICATO DE TRABAJADORES DE SEGURIDAD PRIVADA-INTERSINDICAL y a SECURITAS DIRECT ESPAÑA, S.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es