PS-00044-2016

1/18 Procedimiento Nº PS/00044/2016 RESOLUCIÓN: R/01878/2016 En el procedimiento sancionador PS/00044/2016, instruido por la Agencia Española de Protección de Datos a la entidad WORTEN ESPAÑA, S.L.., vista la denuncia presentada por la entidad Asociación de Consumidores y Usuarios en Acción (FACUA), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/02/2015, tuvo entrada en esta Agencia un escrito de la entidad Asociación de consumidores y Usuarios en Acción FACUA (en lo sucesivo la denunciante) en el que formula denuncia contra la entidad WORTEN ESPAÑA, S.L. (en lo sucesivo WORTEN ESPAÑA) por la comercialización de un disco duro, que fue adquirido en un establecimiento de dicha entidad en Sevilla por D. B.B.B. (en lo sucesivo el cliente), el cual contenía un directorio de “Recursos Humanos” con multitud de datos personales de empleados de la entidad, advirtiendo al respecto sobre lo dispuesto en el artículo 9 y 44.4.

1. b)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Aportó un tique de compra fechado el 27/11/2014. SEGUNDO: Dado que la denuncia se sustentaba únicamente en las afirmaciones contenidas en dicho escrito, sin aportar elemento acreditativo de los hechos, en cumplimiento de lo dispuesto en los artículos 122.3 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, y el artículo 71 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, esta AEPD remitió a la entidad denunciante comunicación de 09/03/2015 solicitando la subsanación de la denuncia y la aportación de elementos acreditativos de los hechos. En fecha de entrada en el Registro de esta AEPD, 31/03/2015, FACUA presentó escrito en el que adjuntaba un CD en el que afirmaban se encontraba alojada una copia de los ficheros controvertidos y procedentes de WORTEN ESPAÑA. Sin embargo, realizadas las comprobaciones pertinentes por esta AEPD, resultó que dicho CD carecía de la información señalada por la denunciante, por lo que se procedió a dictar resolución de inadmisión a trámite en fecha 11/05/2015, al no haberse aportado por la denunciante pruebas, siquiera indiciarias de los supuestos hechos infractores. La citada Asociación presentó recurso de reposición, aportando CD en el que se encuentran alojados ficheros relativos a la mercantil WORTEN ESPAÑA con gran cantidad de datos personales de empleados de la entidad, como elemento probatorio de la existencia de una infracción a la LOPD, el cual fue estimado mediante resolución de 15/07/2015, en la que, además, se acordó la apertura de expediente de investigación en el marco del expediente de actuaciones previas E/04419/2015. TERCERO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevó a cabo una inspección en los locales de WORTEN ESPAÑA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 Según consta en el Acta de Inspección de fecha 07/10/2015, los representantes de la entidad manifestaron lo siguiente: 1. Los representantes de la entidad manifestaron que el fichero de Recursos Humanos de WORTEN ESPAÑA se encuentra en Portugal y al mismo tienen acceso remoto los Gestores de Operaciones de Recursos Humanos (GORH). La gestión de Recursos Humanos en España está dividida en 3 Zonas de Gestión Operacional denominadas Centro Norte, Sur y Levante. Los Gestores Operacionales de Recursos Humanos de cada zona se desplazan a cada una de las tiendas y supervisan junto con el Director las cuestiones laborales de los empleados de la tienda, recogiendo toda la documentación generada en papel y enviándola por valija interna a la sede social de Portugal. Para agilizar la tramitación de algunas gestiones, como las bajas laborales, el Director de tienda las escanea y remite directamente a la sede central de Portugal. 2. En el año 2012 había otro modelo de gestión contando cada tienda con personal de Recursos Humanos, denominada SAF, que apoyaba al Director. 3. La persona responsable de la aplicación de la normativa de Protección de Datos de Carácter Personal se encontraba de baja, motivo por el que los representantes de la entidad desconocen, en el momento de realizarse la presente inspección, si existe una política específica de tratamiento de datos de carácter personal en las tiendas. La representante de la entidad realizó una llamada telefónica a la sede central de Portugal donde le confirmaron que el fichero de personal no se encuentra distribuido y los directores de tienda no deben mantener ninguna copia de datos históricos relativos a los recursos humanos, salvo los necesarios para la actividad diaria, como tablas de vacaciones, turnos, etc. Por otra parte, consta que los inspectores actuantes facilitaron el CD aportado por la denunciante y mostraron copia impresa de algunos documentos contenidos en el mismo, relativos a partes de asistencia a cursos y valoraciones, fichas internas de investigación de accidentes de trabajo, comunicaciones de situaciones de embarazo, currículums de trabajadores y organigramas de la tienda de Sevilla del Rey con valoraciones de la capacidad y desempeño de los trabajadores. Ante esta documentación los representantes de la entidad realizaron las siguientes manifestaciones: . En el sistema de ficheros figura “VERO SAF_RRHH”, al figurar SAF que corresponde al sistema antiguo de gestión de Recursos Humanos, se trata de documentación de recursos humanos de WORTEN ESPAÑA recibida por el director de tienda al producirse un nuevo nombramiento. . La tienda en cuestión, situada en Sevilla del Rey, fue cerrada a principios de 2015 por lo que el director responsable de la misma en noviembre de 2014 no está disponible para dar las oportunas aclaraciones. . Tienen conocimiento de que un cliente se dirigió a la tienda a finales de 2014 reclamando una compensación ya que un disco duro externo que compró contenía datos personales de la entidad. Desde WORTEN ESPAÑA enviaron un burofax al citado cliente en fecha 11/12/2014 solicitándole que borrara los datos confidenciales de las copias que hubiera realizado y que procediera a la devolución del disco duro para que se lo cambiaran por uno nuevo. El contenido de dicho burofax consta reproducido en el Hecho Probado Tercero. . Los representantes de la entidad desconocían cómo pudo ponerse a la venta un disco duro externo usado, ya que no es política de la entidad utilizar para las oficinas de la compañía material informático destinado a la venta. Todo este incidente estuvo motivado por un error humano del personal que pone a la venta productos en liquidación, que nunca debía haber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 destinado al público un material usado por WORTEN ESPAÑA. 4. Los representantes de la entidad aportaron copia del Documento de Seguridad aplicable al fichero de Recursos Humanos de la entidad, en el que se deja constancia en el apartado 5.5 que no está permitido el almacenamiento de datos en soportes distintos de equipos o puestos de trabajo de la entidad, así como copia de las instrucciones impartidas a los empleados sobre la gestión de soportes y documentos. En estas instrucciones se prohíbe a los empleados el almacenamiento de datos personales en soportes automatizados distintos de los equipos asignados, así como la salida y entrada de soportes con datos de carácter personal. El citado Documento de Seguridad incluye medidas control de accesos y autenticación de usuarios, registro de incidencias, control y gestión de soportes, entre otras. CUARTO: Con fecha 09/02/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a WORTEN ESPAÑA, por la presunta infracción de los artículos 9 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.
2. h)y 44.3.d), respectivamente, de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, WORTEN ESPAÑA presentó escrito de alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, se acuerde apercibir a la entidad requiriéndole la adopción de las medidas de seguridad complementarias que considere oportunas, o la imposición de una sanción leve en su cuantía mínima, de acuerdo con las consideraciones siguientes: . Falta de concreción del hecho que da lugar a la apertura del procedimiento, en cuyo acuerdo no se justifica cómo la comercialización al público del soporte en cuestión puede suponer una quiebra de las medidas de seguridad, que constan definidas en el Documento de Seguridad aportado por la compañía. No se ha realizado la mínima actividad indagatoria o probatoria que justifique la imputación, provocando indefensión a la misma. El citado Documento de Seguridad incluye el procedimiento de gestión y registro de incidencias de seguridad implantado por la entidad, que da cumplimiento a la obligación establecida en el artículo 90 del Reglamento de desarrollo de la LOPD; describe el control de accesos a los sistemas que albergan datos personales de acuerdo con el artículo 91 del mismo Reglamento (el hecho que genera la incidencia es una actuación realizada por un usuario autorizado); no consta ningún acceso no autorizado a los datos contenidos en el sistema (el acceso se produce fuera de los sistemas y con posterioridad a una extracción irregular de información por parte de un usuario validado y respecto a datos a los que tenía acceso legítimamente). El único punto en el que existe una mínima relación con los hechos investigado tiene que ver con la gestión de soportes, ya que el acceso no autorizado a datos por un tercero se produce después de su fijación en un disco duro portátil, pero tampoco se concreta cuál sería la posible infracción de la que se acusa. Dicho disco duro se utilizó en contra de las políticas establecidas por WORTEN en el Documento de Seguridad, según el cual no se permite el almacenamiento de datos en soportes automatizados distintos de los equipos asignados. Dicho Documento es conocido por todos los usuarios desde el momento de su contratación. Además, ese disco, una vez usado, fue repuesto por el usuario a su caja original con destino a la venta, en contra de las políticas comerciales de la compañía. No existe, por tanto, incumplimiento del artículo 9 de la LOP, sino una decisión unilateral de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 trabajador de incumplir sus obligaciones, en contra de las instrucciones de la empresa y sin posibilidad de control por la misma Se trataba del responsable de la tienda, al que se le suponía una especial diligencia En consecuencia, no pueden atribuirse posibles deficiencias en las medidas de seguridad adoptadas por WORTEN, que ha cumplido su deber de diligencia, no existiendo culpa imputable a la misma. Supone una transgresión de la buena fe contractual por parte del empleado, regulada en la normativa laboral, resultando aplicable el criterio mantenido por la Audiencia Nacional de 25/02/20 10, relativa a la intrusión en el sistema de seguridad por parte de un hacker. . En cuanto al deber de secreto, no puede ser sancionada porque sería consecuencia de la quiebra de seguridad analizada, lo que conlleva el concurso de ambas infracciones, declarada por la AEPD en multitud de resoluciones. Sólo sería posible sancionar por la adopción de medidas de seguridad inadecuadas, cuestión que, según lo expuesto, no se ha producido en este caso. Por otra parte, tampoco sería posible sancionar a WORTEN con único fundamento en el resultado, según declara nuestra jurisprudencia y tal y como ha admitido la AEPD en otros casos que cita. La diligencia desplegada por la entidad fue suficiente, y tampoco se ha producido la inobservancia del deber de cuidado, por tratarse de comportamientos imprevisibles. . WORTEN procedió a la comunicación inmediata de la contingencia y al envío de un burofax al cliente el mismo día que tuvo conocimiento de los hechos, advirtiéndole de las consecuencias de la conservación de la información y requiriendo el borrado de los datos. Asimismo, envío un recordatorio de las obligaciones de seguridad. . Invoca el principio de proporcionalidad y manifiesta que se cumplen todos los criterios requeridos para la reducción de la sanción: se trata de un hecho puntual y aislado, se trata de un único tratamiento y afecta a un número limitado de información, no afecta a datos de clientes, no existe beneficio ni intencionalidad, no se ha causado perjuicio a los empleados o a terceros y se ha comprobado que disponía de procedimientos adecuados en relación con el tratamiento de los datos. Por todo ello, procede la imposición de una sanción por el importe mínimo previsto, incluso el apercibimiento a WORTEN, según la propia Agencia ha resuelto en otros precedentes similares, como en las Resoluciones R/02698/2015 y R/02432/2015 (venta de dos teléfonos móviles con datos de otro cliente por una empresa dedicada a la reutilización de terminales para su puesta a disposición de clientes). SEXTO: Con fecha 07/03/2016, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos que integran el expediente de investigación previa E/04419/2015, incluido el Informe de Actuaciones Previas de Inspección emitido, y por presentadas las alegaciones al acuerdo de inicio formuladas por WORTEN ESPAÑA y la documentación que a ellas acompaña. Por otra parte, el instructor del procedimiento acordó requerir a la entidad WORTEN ESPAÑA para que aportase copia de las anotaciones efectuadas en el Registro de Incidencias correspondientes a los hechos que han motivado la apertura del procedimiento de referencia, con detalle, al menos, de su tipología, fecha en la que se produjo, persona que realizó la notificación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 lugar en el que se produjo y las gestiones llevadas a cabo para su resolución. En respuesta a este requerimiento, se recibe escrito de WORTEN ESPAÑA en el que manifiesta que no se ha podido verificar el contenido de la incidencia remitida por el director de la tienda al servicio técnico debido a que el centro se encuentra cerrado, habiéndose eliminado la información. Añade que tampoco la matriz del grupo en Portugal dispone de información en sus sistemas, señalando al respecto que al no ser factible de reparación por el equipo técnico, es posible que se cerrase la incidencia y, por el tiempo transcurrido, no es posible recuperar el reporte generado. SEPTIMO: Con fecha 16/06/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad WORTEN ESPAÑA con multa de 20.000 euros (veinte mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
3. h)de dicha norma. Notificada la citada propuesta, WORTEN ESPAÑA presentó escrito en el que reitera sus alegaciones anteriores, señalando nuevamente que los hechos estuvieron causados por la acción no autorizada de un empleado y no por la inadecuación de las medidas de seguridad adoptadas, e invoca los principios de responsabilidad y culpabilidad aplicables al derecho administrativo sancionador. Por otra parte, entiende que el principio de proporcionalidad no ha sido aplicado con la intensidad que corresponde al caso, similar a otros en los que la AEPD ha impuesto una multa menor. Considera que no se han tenido en cuenta circunstancias como la existencia de procedimientos adecuados de actuación en la recogida y tratamiento de datos personales, la naturaleza de los perjuicios causados, el carácter aislado del hecho y la concurrencia de responsabilidad de un empleado, que no han resultado de una ausencia total de medidas y la diligencia mostrada para minimizar los efectos de la incidencia y evitar su futura repetición. En cuanto a los precedentes, cita las resoluciones señaladas con los números R/01810/2010 (se considera que concurre responsabilidad de un empleado), R/02686/2011 (se valora para la graduación de la multa el volumen de tratamientos efectuados), R/02210/2014 (se tiene en cuenta, especialmente, que la entidad reconoció la responsabilidad y que no se produjo un acceso numeroso a la información), R/00665/2008 (los hechos se produjeron por una conducta negligente por parte de una empleada, que no cumplió las medidas implementadas por la entidad imputada) y R/00458/2009 (la cuantía se determina en atención a la diligencia mostrada para corregir la infracción cometida). HECHOS PROBADOS 1. Con fecha 27/11/2014, el cliente adquirió un disco duro en un establecimiento de WORTEN ESPAÑA en Sevilla, el cual contenía un directorio de “Recursos Humanos” con multitud de información y documentación en la que constan datos personales relativos a empleados de dicha entidad. Entre tales documentos figuran partes de asistencia a cursos y valoraciones, fichas internas de investigación de accidentes de trabajo, comunicaciones de situaciones de embarazo, currículums de trabajadores y organigramas de la tienda de Sevilla del Rey con valoraciones de la capacidad y desempeño de los trabajadores. 2. Según consta en Acta de Inspección de fecha 07/10/2015, en relación con los hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 reseñados en el Hecho Probado Primero, los representantes de la entidad realizaron las siguientes manifestaron que el fichero contenido en el disco duro adquirido por el cliente contiene documentación de recursos humanos de WORTEN ESPAÑA recibida por el director de tienda al producirse un nuevo nombramiento. 3. En respuesta a una reclamación planteada por el cliente ante WORTEN ESPAÑA, esta entidad remitió al mismo un escrito de la misma fecha en el que se indicó lo siguiente: “Nos dirigimos a usted con motivo de la hoja de reclamaciones interpuesta en el día de hoy en nuestro establecimiento, así como por la conversación mantenida con el Responsable del mismo. En dicha hoja de reclamaciones indica que usted adquirió un disco duro en liquidación, que en el momento de la compra se le informó que tenía unos arañazos y por ello lo pudo adquirir en mejores condiciones económicas. Asimismo el otro motivo de su visita en el día de hoy 11 de diciembre a nuestro establecimiento al parecer ha sido para indicar al responsable de nuestro establecimiento que usted dispone de información confidencial relativa a nuestra mercantil, la cual se encontraba en el Disco Duro adquirido y que usted se ha encargado de grabar en un Pen Drive de su propiedad ya que se lo ha enseñado al personal de la tienda. A través de la presente le recordamos que la información anteriormente indicada es propiedad de nuestra mercantil y que en ningún momento hemos autorizado para que usted pueda utilizar. Es por ello que le informamos que dicha acción es una infracción penal recogida en los art. 197 y ss. del Código Penal, según los cuales la difusión, revelación o cesión a terceros de los datos captados de una persona jurídica, estaría tipificada en el ordenamiento jurídico español con penas de prisión de dos a cinco años. Por lo todo lo anterior le agradeceríamos procediera a la destrucción de las copias realizadas y en cuanto al Disco Duro adquirido tal y cómo le han indicado en nuestro establecimiento procederemos a su cambio por otro, en buenas condiciones, de iguales características al comprado. Confiando en su buena voluntad para solucionar lo mejor posible el incidente ocurrido, quedamos a la espera de recibir sus noticias en el plazo de 3 días, ya que una vez pasado dicho plazo sin haberse realizado satisfactoriamente el cambio y la destrucción de la información grabada, le comunicamos que nos veremos obligados a tomar las medidas oportunas existente en Derecho tendentes a solucionar el incidente”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
5. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
6. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido, que costa detallado en el Hecho Probado Primero, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
7. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
8. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En este caso, el incidente de seguridad se produce en el ámbito de responsabilidad de la entidad WORTEN ESPAÑA, en su condición de responsable del fichero o tratamiento. IV Se imputa a la entidad WORTEN ESPAÑA el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
9. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
10. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
11. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
12. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
13. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
14. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
15. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
16. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
17. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal incluidos en el disco duro adquirido por el cliente, correspondiendo adoptar las previstas para tales datos teniendo en cuenta su naturaleza y tipología, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Los artículos 90, 91, 92, 93, 97 y 101 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen lo siguiente: Artículo 90. Registro de incidencias. “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas”. Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. Artículo 92. Gestión y soportes de documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
18. b)del citado Reglamento define la autenticación como el procedimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. “Artículo 97. Gestión de soportes y documentos. 1. Deberá establecerse un sistema de registro de entrada de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción que deberá estar debidamente autorizada. 2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. “Artículo 101. Gestión y distribución de soportes. 1. La identificación de los soportes se deberá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas. 2. La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte. Asimismo, se cifrarán los datos que contengan los dispositivos portátiles cuando éstos se encuentren fuera de las instalaciones que están bajo el control del responsable del fichero. 3. Deberá evitarse el tratamiento de datos de carácter personal en dispositivos portátiles que no permitan su cifrado. En caso de que sea estrictamente necesario se hará constar motivadamente en el documento de seguridad y se adoptarán medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos”. En definitiva, la entidad WORTEN ESPAÑA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas establecidas, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que se encuentren bajo su responsabilidad. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber dispuesto para la venta un soporte informático (disco duro) que previamente había sido utilizado por el director de su centro en Sevilla para la gestión de recursos humanos, sin haber procedido a la eliminación de la información almacenada en el mismo, incumpliendo las normas antes reseñadas sobre control de accesos y gestión de soportes. Dicho disco duro, en el momento en que fue adquirido por el cliente, contenía datos personales de empleados de la entidad, según el detalle reseñado en los hechos probados, los cuales no había sido oportunamente cifrados, según está previsto para los dispositivos portátiles. No se trata, por tanto, de imponderables que escapen del control y de la exigencia debida, sino de una incidencia producida en el ámbito de responsabilidad de WORTEN ESPAÑA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 Ha quedado acreditado en el procedimiento, y así lo ha reconocido la propia imputada, que incumplió estas obligaciones, en lo relativo a la supresión de los datos personales contenidos en el dispositivo en cuestión. Dicha eliminación hubiese impedido que terceros no interesados pudieran accederse a la información personal. En consecuencia, en este caso, resulta que WORTEN ESPAÑA no garantizó la seguridad de los datos personales de sus empleados, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que WORTEN ESPAÑA ha incurrido en la infracción grave descrita. Dicha entidad es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a la misma. V En este caso, se ha comprobado que WORTEN ESPAÑA dispone de mecanismos de identificación y autenticación de usuarios, y ha establecido normas sobre la gestión de soportes y documentos, que, obviamente, no funcionaron debidamente en este caso. En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional en la misma Sentencia citada en el Fundamento de Derecho anterior, así como en su Sentencia de 11/12/2008 (recurso 36/08), en la que indica lo siguiente: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad WORTEN ESPAÑA la obligada última a garantizar la seguridad de los datos y la efectividad de las medidas adoptadas. VI El artículo 44.3.
19. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que WORTEN ESPAÑA ha incurrido en la infracción grave descrita. VII El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso por parte de terceros a los datos personales de los empleados de WORTEN ESPAÑA. Por tanto, procede analizar el cumplimiento por parte de dicha entidad del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la entidad WORTEN ESPAÑA vulneró este deber de confidencialidad en relación con los datos personales de sus empleados contenidos en el disco duro adquirido por el cliente, que pudo, en consecuencia, acceder a dicha información. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los clientes afectados. VIII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
20. d)de la LOPD. En este precepto se establece lo siguiente: “
21. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros por la entidad WORTEN ESPAÑA, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a WORTEN ESPAÑA se ajusta a la tipificación prevista en el 44.3.
22. d)de la LOPD. IX Los hechos constatados, que resultan de la venta de un dispositivo informático e almacenamiento que contenía datos personales de los afectados, sin haber procedido previamente a la eliminación de esta información, constituyen una base fáctica para fundamentar la imputación a dicha entidad de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, con la venta del disco duro objeto de la denuncia sin haber procedido a la eliminación de la información que el mismo contenía, se está produciendo un incumplimiento de las medidas de seguridad exigidas que, a su vez, deriva en una vulneración del deber de secreto profesional. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 X El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
23. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
24. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. WORTEN ESPAÑA ha solicitado la aplicación de este artículo, considerando las circunstancias concurrentes. En este caso, se cumplen los presupuestos establecidos en dicho artículo. Sin embargo, la previsión contenida en el artículo citado se declara expresamente como excepcional y su ponderación corresponde al órgano sancionador, atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. No cabe, por tanto, su aplicación como regla general por el sólo hecho de que se cumplan los presupuestos reseñados. En este caso, atendida la naturaleza de la información accedida por un tercero, el volumen de la misma y el número de empleados de WORTEN ESPAÑA a los que corresponde dicha información, no se estima aplicable el citado artículo. En cualquier caso, la inexistencia de precedentes en los que se hubiese sancionado a WORTEN ESPAÑA por infracciones similares se ha tenido en cuenta, según se expone en el Fundamento de Derecho siguiente, para considerar la aplicación de lo establecido en el artículo 45.5 de dicha norma. XI El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
25. a)El carácter continuado de la infracción.
26. b)El volumen de los tratamientos efectuados.
27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
28. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18
29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
30. f)El grado de intencionalidad.
31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. A juicio de esta Agencia, en el presente caso se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando la ausencia de reincidencia, que los hechos denunciados se producen por un fallo puntual de las medidas de seguridad adoptadas. En cuanto a la graduación de la sanción, según los criterios establecidos en el artículo 45.4, se tiene en cuenta, por un lado, la ausencia de intencionalidad, la ausencia de beneficios y de perjuicios distintos a los que derivan de la propia infracción, y, por otro lado, el volumen de datos personales afectados por la incidencia, así como la naturaleza y tipología de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 personales contenida en el dispositivo objeto de la denuncia. Asimismo, se considera especialmente que la incidencia dio lugar al acceso a la información únicamente por el denunciante. Por todo ello, procede la imposición de una multa por importe de 10.000 euros. WORTEN ESPAÑA alega que no se han considerado en la graduación de la multa algunas de las circunstancias concurrentes, como la existencia de procedimientos adecuados de actuación en la recogida y tratamiento de datos personales, la naturaleza de los perjuicios causados, el carácter aislado del hecho y la concurrencia de responsabilidad de un empleado, que no han resultado de una ausencia total de medidas y la diligencia mostrada para minimizar los efectos de la incidencia y evitar su futura repetición; y solicita que se imponga una multa por el importe mínimo establecido para las infracciones leves. Sin embargo, considerando las circunstancias ya expuestas en la presente resolución, se advierte que tales circunstancias han sido apreciadas en unos casos para la aplicación de lo establecido en el 45.5 de la LOPD y, en otros para la graduación de la multa según la escala prevista para las infracciones leves. En cambio, WORTEN ESPAÑA no tiene en cuenta al realizar sus alegaciones que los hechos constitutivos de infracción afectan a diversos empleados de la entidad, así como el volumen de datos personales afectados por la incidencia y su naturaleza y tipología, por lo que no se estima la solicitud formulada por dicha entidad para que se imponga una multa por el importe mínimo establecido para las infracciones leves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad WORTEN ESPAÑA, S.L.., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
40. h)de la LOPD, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a las entidades WORTEN ESPAÑA, S.L.. y Asociación de Consumidores y Usuarios en Acción (FACUA). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es