← España

PS-00037-2016

1/21 Procedimiento Nº PS/00037/2016 RESOLUCIÓN: R/01794/2016 En el procedimiento sancionador PS/00037/2016, instruido por la Agencia Española de Protección de Datos a la entidad MEDIA MARKT SANTANDER VIDEO TV HIFI ELEKTRO COMPUTER FOTO, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/03/2015, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que formula denuncia contra la entidad MEDIA MARKT SANTANDER VIDEO TV HIFI ELEKTRO COMPUTER FOTO, S.A.U. (en lo sucesivo MEDIA MARKT) por haber expuesto en uno de sus establecimientos para su venta al público un terminal de telefonía móvil, que previamente había sido adquirido por el denunciante y devuelto a la entidad, en el que se incluían datos personales y fotografías pertenecientes a la hija del mismo, que fue la usuaria del terminal. En esta denuncia se manifiesta lo siguiente:  Después de la adquisición de un terminal de telefonía móvil para su hija en MEDIA MARKT SANTANDER, que deja de funcionar totalmente a los veinte días, sin poder descargarse las fotos que contenía, tras pasar el terminal por el servicio técnico, le envían uno nuevo, pero no recuperaron los datos ni fotos aunque lo solicitaron, comunicándole que lo destruían.  El nuevo terminal se estropea de nuevo, conteniendo datos personales. Esta vez el servicio técnico lo repara, devolviendo el mismo terminal con toda su información.  El terminal se vuelve a estropear totalmente a los pocos días, no encendiéndose siquiera, y no teniendo acceso a su contenido por lo que el día 26/09/2014 acuden a la tienda MEDIA MARKT. A la vista de lo sucedido, deciden abonarnos el importe del terminal, que aceptan, solicitando que les recuperen los datos, informándoles que al no encenderse y no funcionar será destruido, garantizándoles verbalmente que será tratado legalmente.  Sin embargo el día 26/02/2015 un amigo de sus hijos les pregunta si han devuelto algún móvil en la tienda MEDIA MARKT, indicándoles que lo tienen en un expositor de móviles con unas 500 fotos en las que aparece su hija, amigos y familia, con acceso al público como aparato de muestra. Este amigo les envía fotos del terminal mostrando en pantalla algunas de ellas con su hijo pequeño, menor de edad, apreciándose que el móvil se encuentra en el expositor de una tienda.  Ante ello, llama a MEDIA MARKT para que retiren el terminal y le devuelvan las fotos y las borren, y el empleado con el que habla no se cree lo que le está contando, contestando que igual ha sido él que ha ido con una tarjeta y ha introducido los datos y que si quiere denunciarles que les denuncie. El denunciante contesta que lo único que quiere es recuperar sus fotos ante lo cual el empleado le indica que va a ir a recuperar el aparato, quedando en la tienda con él el día 27 para solucionarlo.  Al acudir a la tienda el mismo empleado le indica que han borrado todos los datos no recuperándolos. El denunciante contesta que lo ocurrido es muy grave ya que cuando devolvieron el móvil solicitaron la recuperación de los datos ante lo que les indicaron que al no encenderse era imposible, pero que existía la posibilidad de solicitar una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 indemnización por las fotos perdidas. Pero lo que querían eran las fotos, no una indemnización. El empleado les informa que en el punto 4.2 del contrato de compra se indica que el comprador es responsable de los datos contenidos en los terminales que se devuelven a tienda, a lo que le contesta que está de acuerdo, pero al no funcionar el terminal era imposible tanto para ellos como para el personal de la tienda recuperar o borrar los datos, mostrándose el empleado de acuerdo con dichos razonamientos. Aporta copia las facturas de compra, de los partes del servicio técnico, y las fotos remitidas por el amigo de sus hijos, así como la reclamación formulada ante el establecimiento en fecha 27/02/2015 mediante el formulario establecido por la Consejería de Innovación, Industria, Turismo y Comercio del Gobierno de Cantabria. Según consta en esta reclamación, el denunciante solicitó la recuperación de la información, siendo advertido sobre la imposibilidad de atender esa petición. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. Solicitada información y documentación a MEDIA MARKT, sus representantes realizan las siguientes manifestaciones respecto de los procedimientos establecidos por la entidad para evitar que los dispositivos que pueden almacenar datos personales (móviles, dispositivos de almacenamiento, ordenadores. etc.) y que son devueltos por los clientes, sean entregados conteniendo datos a otros clientes o expuestos en la tienda para su exhibición al público: «Tal y como consta en las Condiciones Generales de Contratación de Media Markt, en relación a las condiciones de cambio o devolución de artículos, en su apartado 4.2 se establece que: “El comprador garantiza y será responsable de que el producto objeto de cambio o devolución no contenga datos personales y que ha procedido previo a su cambio o devolución, a eliminar cualquier información de carácter personal que haya almacenado en el dispositivo durante su uso, así como, a la desactivación de cualquier plataforma que haya utilizado para compartir o transferir información”. […] En relación al suministrador del teléfono móvil objeto del presente requerimiento de información, Media Markt cuenta con un Contrato Marco de Suministro con fecha de 16 de abril de 2.007 con Quatrotec Electrónica S.L. (en adelante, el “SUMINISTRADOR”), en el que se establecen las obligaciones relativas al servicio de postventa y gestión de la garantía de los productos suministrados por dicha compañía, declarándose expresamente en el citado Contrato que ésta “deberá garantizar, tal y como señala la legislación vigente, tanto frente al Grupo Media-Saturn, como frente a los consumidores finales de los productos objeto de suministro, la existencia de un adecuado servicio técnico post venta (...) ‘ cuestión que sin duda alguna, implica el cumplimiento por parte del suministrador de la normativa de protección de datos de carácter personal y consumidores y usuarios, entre otras. En todo caso, del citado Contrato se deriva que el responsable del cumplimiento de las obligaciones relativas a la adopción de las garantías necesarias en el marco de la reparación, restitución y/o reutilización de los terminales, es el suministrador y no Media Markt, que única y exclusivamente ocupa una posición de mero intermediario entre el consumidor final y el suministrador. A pesar de que la mayoría de terminales son directamente remitidos al fabricante, para aquellos casos en los que los terminales son devueltos en las tiendas por motivos que no sean derivados de fallos de fabricación del terminal y dentro del compromiso de Media Markt con la privacidad la protección de los datos personales de sus clientes y usuarios, desde enero del año 2012 la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 entidad cuenta con un “Protocolo de eliminación de datos en dispositivos electrónicos”, […], y que ha sido debidamente distribuido entre todos los empleados de los centros de venta al público, cuyo objeto es proporcionar una guía práctica para llevar a cabo la eliminación efectiva de datos contenidos en dispositivos electrónicos que hayan sido objeto de devolución por parte de los consumidores. Como se ha indicado con anterioridad, de conformidad con lo dispuesto en la cláusula 4.2 de las Condiciones Generales de Contratación, anteriormente referenciada, así como por el artículo 68 y siguientes del Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, el cliente final que ejerza su derecho de desistimiento, tiene la obligación de entregar todos los productos devueltos, en perfectas condiciones y tal y como fue entregado en el momento de la venta, es decir, sin ningún signo de uso y sin ningún tipo de dato o información personal almacenada y/o asociada al mismo. A pesar de la existencia de esta obligación contractual y legal del usuario, Media Markt aplica el Protocolo anteriormente referenciado, precisamente para evitar la posibilidad de que puedan existir terminales devueltos en los centros que contengan datos o información personal de los consumidores y/o terceros, reduciendo así el riesgo residual existente en este tipo de procesos, así como adoptándose garantías superiores a las expresamente exigidas por la normativa española de protección de datos. Prueba de la eficacia de estas medias voluntarias y adicionales adoptadas por parte de Media Markt, cabe destacar el hecho de que a lo largo del último mes (mayo — junio de 2015), únicamente en el establecimiento comercial de Santander se han vendido 1.904 terminales móviles (teléfonos y tablets), existiendo en stock en la tienda un total de 2.631 terminales, volúmenes que se facilitan en el presente escrito a efectos de que desde la Agencia se pueda valorar la dificultad y esfuerzo que implican la revisión, voluntaria, de cada uno de los terminales que pueden ser devueltos o remitidos a la tienda por el suministrador o servicios técnicos oficiales. Sin perjuicio de ello, todas y cada una de las devoluciones, son sometidas al proceso de borrado y restablecimiento […] Esta cuestión implica la adopción de importantes esfuerzos operativos y técnicos por parte de Media Markt, en aras a garantizar la seguridad, confidencialidad y correcta eliminación de los datos personales responsabilidad de los clientes. El protocolo de actuación en cuestión, fue remitido a las tiendas estableciéndose un minucioso plan de implantación que implica el seguimiento y valoración por las partes intervinientes, así como el establecimiento de formación interna al respecto, en aras a poder detectar dificultades en su aplicación dentro del proceso de mejora continua establecido por Media Markt. Del mismo modo, se ha elaborado un modelo de documento a firmar por los clientes garantizando que no hay datos personales en los dispositivos o equipos en el momento de la devolución, […], el mismo se configura como forma de hacer recapacitar a los propios clientes sobre la protección de sus datos y la eliminación de posible información residual de su responsabilidad que quede en los dispositivos que se devuelvan o envíen a reparación. A mayor abundamiento, Medía Markt inició hace algunos meses un proyecto con la mercantil Lazarus Technology S.L. (en adelante, “LAZARUS”), especialista en borrado seguro de dispositivos, basado en la implementación de un software que permita certificar el borrado de datos en los equipos que devuelven los clientes. Lazarus, tras cada proceso de borrado con el citado software, garantiza la destrucción total de la información mediante técnicas que impiden una recuperación posterior, en este sentido, el borrado lleva un tiempo aproximado de 3 horas, quedando, una vez finalizado, el equipo en estado de fábrica, emitiéndose el correspondiente certificado para uso interno dentro de Media Markt. Este proyecto aprobado el 3 de diciembre de 2.104 por Media Markt, ya ha sido puesto en funcionamiento, concretamente en el centro de la mercantil ubicado en Toledo capital, encontrándose en fase de implementación en el resto de centros comerciales repartidos por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 territorio nacional. En relación a la prestación del servicio contratado por Media Markt, tal y como consta en el contrato con la mercantil, se establece: “El Prestador entregará Grupo Media-Saturn la aplicación Devíce Secure Deletion para borrado seguro de dispositivos de almacenamiento con las siguientes características: La aplicación realiza la destrucción de la información y permite el registro con los identificadores del dispositivo y la exención de responsabilidad hacia MediaMarkt, emitiendo números de certificado unívocos para cada dispositivo. La aplicación quedará instalada en una máquina con conexión a los servidores del prestador del servicio para registrar los dispositivos y emitir los números de certificado. La aplicación se puede cargar en un USB o CD/DVD autónomo, capaz de arrancar el equipo y dejar los datos registrados en el USB, para que el servidor los cargue y almacene al conectar el USB y emitir los certificados. El resto de dispositivos que se puedan conectar a la máquina especifica asignada en post venta, registrarán el proceso de borrado automáticamente contra nuestros servidores y se podrá emitir el certificado. Los dispositivos que se pueden borrar con emisión de certificado del borrado son: Ordenadores Portátiles (incluido Apple) Ordenadores Sobremesa (incluido Apple) All in One Disco duros (internos y externos) Cámaras digitales Mp3/iPOD Memorias USB Tarjetas de memoria Las premisas principales son: - Registrar el dispositivo - No desmontar los dispositivos de almacenamiento - Certificar el borrado - Disponibilidad de soporte para las tiendas. El proceso se supervisa lanza y controla desde la suite instalada en la máquina, el DSD, una vez finaliza el proceso envía los datos al servidor de Lazarus y se devuelve el número de certificado, para que lo puedan imprimir localmente, al tiempo que lo deja registrado”. Todo ello encaminado a la efectiva protección de los datos e información de los clientes de Media Markt, dentro del compromiso de Media Markt con el respeto de la privacidad y derechos de los mismos.» 2. Sobre los motivos por los cuales llegó a exponerse en tienda un terminal móvil devuelto por un cliente que contenía datos y fotografías, así como sobre las acciones emprendidas por la entidad cuando se tuvo conocimiento de los hechos, los representantes de la entidad han manifestado: «Como se ha indicado con anterioridad, todos los dispositivos que son devueltos a Media Markt deben ser devueltos tal y como fueron vendidos, con todos sus elementos, y en todo caso, sin ningún tipo de información almacenada en el mismo. En este sentido el cliente deberá devolver el terminal junto con el cargador, auriculares, en el mismo envoltorio/paquete en que le fue entregado, así como la documentación incluida en el mismo. Con fecha 26 de septiembre de 2.014 se produce la devolución del terminal objeto del requerimiento de información recibido por parte del Denunciante. Posteriormente, el 29 de octubre de 2.014, se solicita al suministrador, vía web, la adecuación del terminal citado (WOXTER LIBRE ZIELO Sil BLACK con número de IMEI S******). Con fecha 31 de octubre de 2.014 tras verificar que el terminal reseñado se encontraba operativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 y funcionando se inicia el Protocolo interno de eliminación de datos en dispositivos electrónicos, realizándose la readecuación por el técnico SAP 23602 y la posterior comprobación por el técnico SAP 14240 en la misma fecha, siendo el resultado de la misma que el producto se queda “estado de fábrica”, tal y como se acredita en el parte correspondiente […] En el caso que nos ocupa y tras analizar los hechos por Media Markt, solicitando los informes correspondientes a los departamentos afectados, la única opción posible que encuentra esta parte, para que una vez aplicado el procedimiento de borrado y restablecimiento del terminal conforme a su configuración de fábrica, es que el terminal entregado por parte del denunciante en el centro, incluyera en el interior del mismo una tarjeta de memoria, propiedad y responsabilidad exclusiva del cliente, siendo este dispositivo de almacenamiento adicional, un dispositivo no incluido con el terminal vendido, debiendo haber sido retirado por parte del mismo en el momento de la devolución, eliminándose así toda posibilidad de visualización de ningún tipo de imagen o contenido almacenado en dicho dispositivo de almacenamiento masivo. Debe ponerse en conocimiento de la Agencia que, en caso de reinstalar el dispositivo, la eliminación de los datos y vuelta a la configuración de fábrica sólo afecta al terminal, una cuestión que ocurre del mismo modo cuando el usuario realiza directamente esta operación. Teniendo en cuenta que el terminal estaba operativo y que la evaluación de los controles relativos a su usabilidad no dieron negativos, en el momento de la reinstalación del terminal no fue necesaria su apertura o cambio de batería, hecho por el cual no pudo tenerse constancia de la existencia dentro del terminal de una tarjeta SD propiedad exclusiva del cliente. Con fecha 26 de febrero del año 2015, Media Markt tuvo conocimiento de los hechos directamente por parte del denunciante, debiéndose resaltar que pese a que en el cuerpo de la denuncia facilitada por la Agencia se hace referencia a que un conocido del cliente visualizó las fotos en un terminal expuesto públicamente en la exposición de la tienda de Santander, Media Markt no tiene conocimiento del hecho hasta la llamada del denunciante que se produce varios días después. Es en este momento cuando se retira, de forma inmediata, el terminal referenciado. En este sentido, es importante destacar que si se detecta una situación como la manifestada por el denunciante, en aras a reducir al mínimo posible el impacto que pudiera producirse a los derechos del cliente, hubiera sido recomendable que se hubiera notificado de forma inmediata al personal de la tienda. Media Markt desea poner de manifiesto que, en el mismo instante en que tuvo conocimiento de los hechos se tomaron las acciones precisas encaminadas a la revisión del terminal, procedimiento a la eliminación masiva de toda la información y la retirada del terminal del acceso público, sin que se realizara comprobación alguna de si en efecto el terminal contenía las imágenes en la memoria interna o en la memoria externa (tarjeta SD), en tanto en cuanto, dicho terminal había sido vendido sin ningún tipo de tarjeta SD. Tal y como se acredita en el acta levantada por los Inspectoras de la Dirección General de Comercio y Consumo de la Consejería de Innovación, Industria, Turismo y Comercio del Gobierno de Cantabria, de fecha 25 de marzo de 2.015 y número 2627 (en adelante, el “ACTA”), […], en el momento de la inspección se constata que el móvil referenciado no contiene ningún dato o información personal. Paralelamente, tal y como se ha puesto de manifiesto en el primer apartado del presente escrito, se han adoptado las medidas necesarias para dar cumplimiento a la normativa vigente y proteger la privacidad de los clientes y usuarios de la mercantil, estableciendo garantías mayores, acreditables en Derecho, sobre los terminales devueltos a Media Markt. […] Con motivo de la reclamación que la Agencia adjunta a la Solicitud de información recibida por Media Markt, tal y como se ha reseñado ut supra, con fecha 25 de marzo de 2.015 se personaron en el centro […], ambas Inspectoras de la Dirección General de Comercio y Consumo de la Consejería de Innovación, Industria, Turismo y Comercio del Gobierno de Cantabria, levantando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 el correspondiente acta […] En el mismo acta se acredita por parte de las Inspectoras que el terminal objeto de la reclamación ha sido correspondientemente formateado y eliminada la información, no conteniendo en el momento de la inspección dato alguno, ni en la memoria del dispositivo, ni en la memoria SD del mismo. Así mismo, tal y como se deduce de la misma Media Markt facilitó cuanta información le fue requerida dentro de la más estricta y leal colaboración con el citado organismo. […] Markt desea mostrar su total predisposición a colaborar lealmente con esta Agencia, tal y como ha venido realizado en ocasiones anteriores, aportando cuanta documentación e información fuese necesaria, así como adoptar las medidas, recomendaciones y procedimientos resultasen necesarios para garantizar de una forma efectiva la privacidad y protección de los datos personales de sus clientes y usuarios. A mayor abundamiento, Media Markt hace constar como compromiso con el cumplimiento de la normativa vigente en materia de protección de datos, que ha diseñado y adoptado procedimientos y servicios encaminados a que los hechos reseñados en el presente escrito, objeto de la solicitud de información recibida no se puedan producir en sus instalaciones y bajo su responsabilidad, adoptando estándares eficientes y responsables, conforme a criterios de calidad y seguridad de la información que garanticen el correcto borrado de la información y reinstalación de los productos tecnológicos. Que para la verificación y certificación de los sistemas implementados se ha buscado un servicio externo prestado por una mercantil externa y con prestigio constatado, así como el complemento de la externalización de los procesos de auditoría conforme a los dispuesto en el Reglamento de protección de datos, que permita la detección de vulnerabilidades y el proceso de mejora continua que redunde en un mayor cumplimiento con la normativa vigente.» Adjuntan a su contestación copia de la documentación siguiente:  Condiciones Generales de Contratación de la entidad.  Protocolo de eliminación de datos en dispositivos electrónicos.  Modelo propuesto de documento a firmar por los clientes garantizando que no hay datos personales en los dispositivos o equipos en el momento de la devolución,  Parte de readecuación de fecha 31/10/2014 del terminal devuelto por el denunciante para su paso a la sala de ventas, en el que consta la indicación “Producto readecuado. Terminal sin datos. Estado de fábrica”.  Acta levantada por Inspectoras de la Dirección General de Comercio y Consumo de la Consejería de Innovación, Industria, Turismo y Comercio del Gobierno de Cantabria, de fecha 25/03/2015. En este documento se indica que en esa fecha el terminal no contiene datos y continúa en la exposición. TERCERO: Con fecha 01/02/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MEDIA MARKT, por la presunta infracción de los artículos 9 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

  1. h)y 44.3.d), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciante presentó escrito por el que se persona en el procedimiento. MEDIA MARKT, por su parte, presentó escrito de alegaciones en el que solicita el archivo de las actuaciones o, subsidiariamente, la aplicación de lo dispuesto en el artículo 45.5 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 LOPD, conforme a las consideraciones siguientes: . Aunque en la denuncia se hace referencia a la visualización de las fotos objeto de la denuncia por un cliente, MEDIA MARKT no tuvo conocimiento de la incidencia hasta que le fue puesta de manifiesto por el denunciante mediante llamada telefónica, momento en el que diligentemente retira de forma inmediata el terminal referenciado. . Si bien se alegó la existencia de 500 fotografías, únicamente se apartaron dos imágenes como evidencia de los hechos, supuestamente tomadas por un particular amigo del denunciante, sin ningún elemento que permita conectar dichas imágenes con el terminal objeto de la denuncia ni con el centro en cuestión. . El acta levantada por las Inspectoras de la Dirección General de Comercio y Consumo de lo Consejería de Innovación, Industria, Turismo y Comercio del Gobierno de Cantabria, de fecha 25/03/2015, adjunta al escrito de alegaciones, en el momento de la inspección se constató que el móvil referenciado no contenía ningún dato o información personal. . En relación con el Registro de Incidencias, que según indica nunca le fue requerido por la AEPD, señala que el Documento de Seguridad de la entidad incorpora en las páginas 32 y 33 un capítulo ‘6. Procedimiento de notificación, gestión y respuesta de incidencias” evidencia que cuenta con un procedimiento y un registro en el que se hace constar el tipo de incidencia, momento en que se ha producido o, en su caso, persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicables. . Que según recoge el Documento de Seguridad, dispone de mecanismos que posibilitan la identificación de los usuarios, impidiendo el acceso a aquellos usuarios sin acceso autorizado o con acceso limitado atendiendo a sus funciones y a la tipología de datos y finalidades, existiendo un registro de usuarios autorizados actualizado en la Compañía. Como complemento a esta medida, en cumplimiento del artículo 91 de la LOPD, ha establecido un mecanismo de usuarios y contraseñas, que evitan el acceso a la información por personal no autorizado o que un usuario acceda a más información de la que corresponde atendiendo a sus funciones. . El Documento de Seguridad acredita el cumplimento de las exigencia relativas a la gestión de soportes y documentos. Para aquellos casos en los que los terminales son devueltos en las tiendas, desde enero del año 2012 la entidad cuenta con un “Protocolo de eliminación de datos en dispositivos electrónicos”, específicamente desarrollado y distribuido en todos sus centros para evitar casos como el planteado (en mayo-junio de 2015, únicamente en el establecimiento comercial de Santander se han vendido 1.904 terminales móviles -teléfonos y tablets-, existiendo en stock en la tienda un total de 2.631 terminales). Ese Protocolo fue remitido a las tiendas, estableciéndose además una solución de software (Lazarus) específicamente desarrollada por una entidad especializada en borrado seguro de dispositivos, que permite certificar el borrado de datos en los equipos que devuelven los clientes. Este proyecto, aprobado el 03/12/2104, ya ha sido puesto en funcionamiento en diferentes centros incluido el de Santander. En relación con el terminal reseñado, el 31/10/2014, tras verificar que el terminal reseñado se encontraba operativo y funcionando, se inició el Protocolo de eliminación de datos en dispositivos electrónicos, realizándose la readecuación por el técnico SAP 23602 y la posterior comprobación por el técnico SAP 14240 en la misma fecha, siendo el resultado de la misma que el producto se queda “estado de fábrica”, tal y como se acredita en el parte adjunto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 No obstante, añade MEDIA MARKT que desde el momento de la compra del terminal es responsabilidad del cliente su utilización, por lo que en el momento de la devolución éste será responsable de la información en el mismo contenida. En este sentido, si bien es cierto que el terminal, por razones técnicos parece que no era posible encenderlo, si es obligación del cliente informar al Servicio de Asistencia técnico (SAT) que contenía información personal, tanto en la tarjeta de memoria extendida (SD), como en la propia memoria del dispositivo, cosa que en el caso que nos ocupa no se produjo. MEDIA MARKT llevó a cabo la aplicación del protocolo completo de borrado segura de documentos electrónicos, procedimiento que se aplica únicamente sobre el dispositivo que efectivamente hubiera sido vendido por parte de la Compañía, que en este caso sólo incluía el terminal móvil y no la tarjeta SD. Incluso el procedimiento de reiniciación de los terminales establecido por los propios fabricantes, que puede ser llevado por los usuarios y que implica el borrado del terminal y su restablecimiento al modo de fábrica, elimina la información contenida en el propio terminal, más no en otros sistemas de almacenamiento externos. Por otra parte, en las Condiciones Generales de Contratación de la entidad, en relación a las condiciones de cambio o devolución de artículos, en su apartado 4.2 se establece que ‘El comprador garantiza y será responsable de que el producto objeto de cambio o devolución no contenga datos personales y que ha procedido previo a su cambio o devolución, a eliminar cualquier Información de carácter personal que haya almacenado en el dispositivo durante su uso, así como a la desactivación de cualquier plataforma que haya utilizado para compartir o transferir información”. En base a lo expuesto, considera MEDIA MARKT que no ha existido Intencionalidad, ni imprudencia en los hechos relatados. Adicionalmente, hace constar que ha elaborado un documento a firmar por los clientes, garantizando que no hay datos personales en los dispositivos o equipos en el momento de la devolución. . Derivado del proceso de auditoría periódica en materia de protección de datos, se ha procedido a establecer un procedimiento adicional, en el que todos los centros de la Compañía deben proceder a eliminar periódicamente en todos los terminales expuestos al público la información que pudieran contener derivada del uso que los diferentes usuarios pueden realizar de los mismos, al encontrarse expuestos al público en pleno funcionamiento. . La actuación del denunciante no se encuentra conforme a los requerimientos de las obligaciones contractuales asumidas en el momento de la compra y devolución del terminal, así como la forma de avisar a la Compañía que no tuvo conocimiento efectivo hasta la posterior llamada del denunciante. . El hecho denunciado tiene la consideración de hecho aislado, aspecto que, teniendo en cuenta los volúmenes de ventas y devoluciones expuestas con anterioridad, recalcan las diligencias y garantías adoptadas por la Compañía, desde el más escrupuloso respeto a la legislación vigente. MEDIA MARKT cumple con las diferentes obligaciones establecidas en la LOPD y RLOPD, tanto desde el punto de vista jurídico, técnico y organizativo. Siempre ha manifestado y manifiesta su voluntad de colaborar con la Agencia Española de Protección de Datos y su personal, de cara a continuar el proceso de mejora continua en materia de protección de datos personales. . A los efectos de graduar la posible sanción, advierte sobre el acuerdo adoptado en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 PS/00153/2015, en el que se analiza un caso semejante, y señala que ha de tenerse en cuenta la falta de perjuicios causados a la denunciante, que cuenta con un protocolo interno de borrado seguro de los dispositivos electrónicos que son devueltos, que ha regularizado la situación irregular de forma diligente, no ha cometido esta infracción en ningún caso previo, el volumen de tratamiento de datos implicado es mínimo, no existe intencionalidad por su parte, sino todo lo contrario y lo más importante, que con anterioridad de los hechos objetos del procedimiento sancionador, tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, habiéndose producido este caso, como resultado de haberse incumplido por parte del usuario final de una de sus obligaciones contractuales (no devolver el terminal con dispositivos de almacenamiento de información no asociados al terminal), Entre otros documentos, aporta copia del Documento de Seguridad con el detalle del procedimiento de notificación, gestión y respuesta de incidencias, así como las referencias al control de accesos y gestión de soportes QUINTO: Con fecha 25/02/2016, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos que integran el expediente de investigación previa E/02446/2015, incluido el Informe de Actuaciones Previas de Inspección emitido, y por presentadas las alegaciones al acuerdo de inicio formuladas por MEDIA MARKT y la documentación que a ellas acompaña. Por otra parte, el instructor del procedimiento acordó requerir a la entidad MEDIA MARKT para que aportase copia de las anotaciones efectuadas en el Registro de Incidencias correspondientes a los hechos que han motivado la apertura del procedimiento de referencia, con detalle, al menos, de su tipología, fecha en la que se produjo, persona que realizó la notificación, lugar en el que se produjo y las gestiones llevadas a cabo para su resolución. En respuesta a este requerimiento, MEDIA MARKT aportó la documentación siguiente: . Copia del registro de incidencia correspondiente al año 2015. Consta una reclamación externa recibida por el Servicio de Asistencia Técnica el 26/02/2015, descrita con el detalle “devolución y reacondicionamiento de terminal móvil expuesto”, que motiva el “formateo y reinstalación del terminal”; y otra de 27/02/2015, por reclamación del usuario en relación al reacondicionamiento de terminal móvil expuesto. . Captura de pantalla del registro de incidencias informáticas, que incluye las incidencias de carácter técnico. . Informe de las actuaciones realizadas sobre el terminal objeto del procedimiento, con el siguiente contenido: . 26/09/2014. Devolución el terminal por parte del cliente, recepción en taller de SPV. . 01/10/2014. Solicitud de adecuación a web de Quatrotec por técnico SAP. . 31/10/2014. Readecuación del terminal. . 31/10/2014. Verificación del terminal… sin datos. . 26/02/2015. Se retira el terminal de la línea de venta y se revisa, sin datos. . 25/03/2015. Verificación por parte de las inspectoras de consumo… terminal si datos. SEXTO: Con fecha 16/06/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad MEDIA MARKT con multa de 2.000 euros (dos mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  2. h)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 Notificada la citada propuesta, el plazo concedido a MEDIA MARKT para formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS 1. El denunciante adquirió en un establecimiento de la entidad MEDIA MARKT un terminal de telefonía móvil, del que fue usuaria la hija del mismo. Por un problema de funcionamiento, el denunciante devolvió dicho terminal a la empresa vendedora, recibiendo otro a cambio. El terminal entregado en sustitución del anterior sufrió igualmente una avería que motivo nuevamente su devolución a MEDIA MARKT el día 26/09/2014, recibiendo el abono de su importe. Debido a que el terminal no entraba en funcionamiento, fue devuelto con toda la información que contenía. 2. El terminal de telefonía móvil devuelto por el denunciante a MEDIA MARKT fue dispuesto por esta entidad nuevamente para la venta en el mismo establecimiento en el que había sido adquirido por aquél y expuesto al público conteniendo información personal de la hija del denunciante (datos personales, fotografías de la misma, familiares y amigos). 3. MEDIA MARKT ha declarado que, con fecha 26/02/2015, el denunciante comunicó telefónicamente a la entidad los hechos reseñados en el Hecho Probado Segundo y que en ese momento retiró de forma inmediata el terminal referenciado. 4. Con fecha 27/02/2015, mediante el formulario establecido por la Consejería de Innovación, Industria, Turismo y Comercio del Gobierno de Cantabria, el denunciante formuló una reclamación ante MEDIA MARKT, que dio lugar a las comprobaciones realizadas por dicho Servicio de Consumo en fecha 25/03/2015. En el Acta de Inspección levantada se indica que en esa fecha el terminal no contiene datos y continúa en la exposición. 5. En el Registro de Incidencias de MEDIA MARKT correspondiente al año 2015 consta anotada una reclamación externa recibida por el Servicio de Asistencia Técnica el 26/02/2015, descrita con el detalle “devolución y reacondicionamiento de terminal móvil expuesto”, que motiva el “formateo y reinstalación del terminal”; y otra de 27/02/2015, por reclamación del usuario en relación al reacondicionamiento de terminal móvil expuesto. 6. En el Histórico de las actuaciones realizadas por MEDIA MARKT sobre el terminal objeto del procedimiento, consta el detalle siguiente: . 26/09/2014. Devolución el terminal por parte del cliente, recepción en taller de SPV. . 01/10/2014. Solicitud de adecuación a web de Quatrotec por técnico SAP. . 31/10/2014. Readecuación del terminal. . 31/10/2014. Verificación del terminal… sin datos. . 26/02/2015. Se retira el terminal de la línea de venta y se revisa, sin datos. . 25/03/2015. Verificación por parte de las inspectoras de consumo… terminal si datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  4. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  5. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  6. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este mismo sentido se pronuncia el artículo 2.
  7. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, la fotografía objeto del presente procedimiento se ajustará a este concepto siempre que permita la identificación de la persona que aparece en dicha imagen. La Directiva 95/46/CE en su Considerando 14 lo afirma expresamente al señalar lo siguiente: “Considerando que, habida cuenta de la importancia que, en el marco de la sociedad de la información, reviste el actual desarrollo de las técnicas para captar, transmitir, manejar, registrar, conservar o comunicar los datos relativos a las personas físicas constituidos por sonido e imagen, la presente Directiva habrá de aplicarse a los tratamientos que afectan a dichos datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Este concepto de dato personal no puede ser más amplio. La Audiencia Nacional en su sentencia de 08/03/2002, ha señalado que para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en sus apartados
  8. a)y
  9. f)y también del Considerando 26 de la invocada Directiva 95/46/CE que expresamente señala que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. De acuerdo con aquella definición, las imágenes de las personas se consideran datos de carácter personal incluidos en el ámbito de aplicación de la normativa citada. Así, en el presente supuesto, considerando las fotografías de la hija de la denunciante, familiares y amigos contenidas en el terminal de telefonía objeto de la denuncia, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías establecidos en la normativa de protección de datos de carácter personal. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  10. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  11. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad MEDIA MARKT el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  12. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  13. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  14. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  15. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  16. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  17. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  18. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  19. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  20. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, considerando la naturaleza de los datos afectados por la incidencia (fotografías), corresponde adoptar las medidas calificadas de nivel básico, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Los artículos 90, 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: Artículo 90. Registro de incidencias. “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas”. Artículo 91. Control de acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. Artículo 92. Gestión y soportes de documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. En definitiva, la entidad MEDIA MARKT está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas establecidas, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que se encuentren bajo su responsabilidad. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber dispuesto para la venta un terminal que había sido adquirido por el denunciante y expuesto al público conteniendo información personal de la hija del mismo, que había sido la usuaria del aparato (datos personales de la hija del denunciante, fotografías de la misma, familiares y amigos), incumpliendo las normas antes reseñadas sobre control de accesos y gestión de soportes. No se trata, por tanto, de imponderables que escapen del control y de la exigencia debida, sino de una incidencia producida en el ámbito de responsabilidad de MEDIA MARKT, que consta anotada en su registro de incidencias. Ha quedado acreditado en el procedimiento, y así lo ha reconocido la propia imputada MEDIA MARKT, que incumplió estas obligaciones, en lo relativo a la supresión de los datos personales contenidos en el terminal en cuestión. Dicha eliminación hubiese impedido que pudiera accederse por terceros a la información personal. La citada entidad ha aportado documentación según la cual intentó eliminar la información en las fechas posteriores a la devolución del aparato por el denunciante (octubre de 2014), pero ha quedado acreditado que este intento de eliminación no fue efectivo y que en febrero de 2015 el aparato estaba expuesto al público conteniendo la información personal mencionada, lo que motivó la reclamación efectuada por el denunciante ante MEDIA MARKT, dando lugar a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 retirada del dispositivo de la exposición y a su readecuación definitiva. En consecuencia, en este caso, resulta que MEDIA MARKT no había garantizado la seguridad de los datos personales de la hija del denunciante, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que MEDIA MARKT ha incurrido en la infracción grave descrita. ANDALEX es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. V En este caso, se ha comprobado que MEDIA MARKT cuenta con un protocolo de eliminación de datos en dispositivos electrónicos, dispone de mecanismos de identificación y autenticación de usuarios y ha establecido normas sobre la gestión de soportes y documentos, que, obviamente, no funcionaron debidamente en este caso. En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional en la misma Sentencia citada en el Fundamento de Derecho anterior, así como en su Sentencia de 11/12/2008 (recurso 36/08), en la que indica lo siguiente: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad MEDIA MARKT la obligada última a garantizar la seguridad de los datos y la efectividad de las medidas adoptadas. VI El artículo 44.3.
  21. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que MEDIA MARKT ha incurrido en la infracción grave descrita. VII El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan de la exposición al público de un terminal de telefonía móvil que contenía datos personales de los afectados, sin haber procedido previamente a su eliminación, lo que posibilitaba el acceso por parte de terceros a tales datos. Por tanto, procede analizar el cumplimiento por parte de dicha entidad del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la entidad MEDIA MARKT vulneró este deber de confidencialidad en relación con los datos personales de la hija del denunciante y otros afectados (familiares y amigos). Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los clientes afectados. VIII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
  22. d)de la LOPD. En este precepto se establece lo siguiente: “
  23. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros por la entidad MEDIA MARKT, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a MEDIA MARKT se ajusta a la tipificación prevista en el 44.3.
  24. d)de la LOPD. IX Los hechos constatados, que resultan de la exposición al público de un terminal de telefonía móvil que contenía datos personales de los afectados, sin haber procedido previamente a su eliminación, constituyen una base fáctica para fundamentar la imputación a dicha entidad de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, con la recuperación del terminal móvil objeto de la denuncia para su venta, sin haber procedido a la eliminación de la información perteneciente al usuario anterior del aparato, se está produciendo un incumplimiento de las medidas de seguridad exigidas que, a su vez, deriva en una vulneración del deber de secreto profesional. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. X El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad.
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 A juicio de esta Agencia, en el presente caso se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando la ausencia de reincidencia, que los hechos denunciados se producen por un fallo puntual de las medidas de seguridad adoptadas y por las mejoras acordadas para mejorar los protocolos de actuación en casos similares. En concreto, consta que MEDIA MARKT ha dispuesto un software específico para la supresión de información en dispositivos electrónicos, elaborado un documento para que sea firmado por los clientes en garantía de que los equipos no contienen datos de carácter personal en el momento de la devolución y ha implementado un procedimiento adicional para que se proceda periódicamente a eliminar la información en todos los terminales expuestos al público derivada del uso que pudieran hacer los clientes, debido a que los apartaos se exponen en pleno funcionamiento. En cuanto a la graduación de la sanción, según los criterios establecidos en el artículo 45.4, se tiene en cuenta y el volumen de datos personales afectados por la incidencia; la ausencia de intencionalidad, la ausencia de beneficios y de perjuicios distintos a los que derivan de la propia infracción, así como la naturaleza de la información contenida en el terminal objeto de la denuncia. Por todo ello, procede la imposición de una multa por importe de 2.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MEDIA MARKT SANTANDER VIDEO TV HIFI ELEKTRO COMPUTER FOTO, S.A.U., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  40. h)de la LOPD, una multa de 2.000 euros (dos mil euros, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a MEDIA MARKT SANTANDER VIDEO TV HIFI ELEKTRO COMPUTER FOTO, S.A.U., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.