E-10891-2019

1/5 Procedimiento Nº: E/10891/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por la A.A.A. (en adelante, el reclamante) tiene entrada con fecha 2 de abril de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra CASTILEON 2000, S.A., con NIF A-82086885 (en adelante, el reclamado). Los motivos en que basa la reclamación son: Estando de servicio dos miembros de la Guardia Civil durante su trabajo, encontraron un gran número de documentos en el interior de una fábrica de piensos abandonada. Se trata de documentos de la empresa mencionada y de sus empleados, con datos personales. Las puertas y ventanas de las instalaciones habían sido fracturadas, por lo que podían pasar terceras personas. Realizadas gestiones posteriores, las instalaciones resultaron ser propiedad del Ayuntamiento de Villalba de Guardo. La Alcaldesa les informa que las instalaciones se alquilaron a Piensos del Carrión, pero que nunca las ocuparon. Se trató de contactar con CASTILEON 2000, pero comprobaron que en el año 2013 estaba en situación concursal; aunque encontraron otro domicilio. Junto a la reclamación aportaron copias de documentos que contienen datos personales (fotografías, CV). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/04549/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Los administradores concursales de la entidad CASTILEON 2000 contestaron al requerimiento indicando que la sociedad fue declarada en concurso de acreedores en 2007 -y han sido cesados como tales recientemente, en 2019. No pueden proporcionar información sobre los documentos con datos personales (fichas de alumnos de cursos de formación), ya que la sociedad concursada no ha dispuesto de documentación alguna relacionada con el personal y con los trabajadores de la misma. Dicha documentación pasó a manos de las sociedades que adquirieron su patrimonio: WHACK 2000, S.L., la sociedad que compró los activos de CASTILEON 2000 en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 2008, o bien otra empresa que se subrogó en la posición de WHACK 2000 en 2009, llamada DESARROLLOS PORCINOS DE CASTILLA Y LEON, S.L.U. Además, el lugar donde fueron encontrados es un inmueble ajeno a la misma. Los documentos son ajenos al control y supervisión de los administradores concursales. En ninguna de las fichas de alumnos de formación aparece identificada CASTILEON 2000; el único documento donde aparece el nombre de esta empresa es un albarán, que no alberga datos personales. El albarán donde aparece la mención a CASTILEON 2000 tiene fecha 10/01/2001. TERCERO: Se solicitó información a DESARROLLOS PORCINOS DE CASTILLA Y LEON, S.L.U. En resumen, expuso lo siguiente: no puede asumir responsabilidad alguna sobre los hechos denunciados; los datos personales no se corresponden con trabajador alguno de su empresa ni con personas con las que la empresa haya tenido relación de cualquier tipo. Esta empresa nunca ocupó la nave sita en la parcela 10098 polígono 505 de Villalba de Guardo, Palencia. Ni siquiera formó parte de los activos transmitidos por CASTILEON 2000, previo acuerdo con Whack. Referida parcela estaba ocupada por una antigua fábrica de piensos, explotada por la mercantil PIENSOS DEL RIO CARRIÓN, pero desconocen si los datos personales aparecidos pertenecen a trabajadores de ésta. Apuntan que las fichas de inscripción de los cursos de formación tienen fecha del 2000, y que quizás la Fundación para el Desarrollo de la Formación en las Zonas Mineras del Carbón, que subvencionó los cursos, pudiera proporcionar información sobre la empresa que los organizó. Los cursos eran para la formación de porcinocultores de intensivo. No se trasladó solicitud de información a la mercantil PIENSOS DEL CARRIÓN ya que la alcaldesa Villalba de Guardo informó al SEPRONA que las instalaciones fueron alquiladas a dicha empresa, pero que abandonaron la misma sin llegar a iniciar la actividad. CUARTO Con fecha 10 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Las presentes Actuaciones de Investigación tienen como finalidad determinar si el reclamado, cumplió la normativa de protección de datos en lo referido al deber de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 confidencialidad. El artículo 5 apartado 1º letra

1. f)RGPD “Principios relativos al tratamiento” dispone que los datos personales serán:
2. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>). El artículo 5 de la LOPDGDD “Deber de confidencialidad” dispone que: 1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
3. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. III De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. IV La LOPDGDD, en su artículo 67 indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica”. Todas las actuaciones se han realizado en cumplimiento de lo establecido legalmente, y con la finalidad de determinar, con la mayor precisión posible, las circunstancias relevantes que pudieran concurrir en el caso, resultando infructuosa la investigación. De ahí que no se den las condiciones para iniciar un procedimiento sancionador por infracción de la LOPDGDD, ni continuar las actuaciones investigadoras. III Por lo tanto, no se ha acreditado quien es la entidad responsable de la falta de medidas de seguridad que pudieran haber dado lugar a la vulneración de la confidencialidad, al no custodiar debidamente documentos con datos personales. No obstante, dado que el local donde se encontraron los documentos es propiedad del Ayuntamiento, se indica que, dada la antigüedad de la documentación de de la empresa denunciada y de sus empleados, y que ésta desapareció hace más de 12 años, deberían proceder a su custodia con las medidas de seguridad adecuadas o a su destrucción controlada. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y al Ayuntamiento de Villalba de Guardo. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es