← España

PS-00071-2017

1/9 Procedimiento Nº: PS/00071/2017 RESOLUCIÓN R/00856/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00071/2017, instruido por la Agencia Española de Protección de Datos a la entidad ASITUR ASISTENCIA, S.A.., vista las denuncias presentada por tres denunciantes, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ASITUR ASISTENCIA, S.A.., mediante el Acuerdo que se transcribe: <<ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASITUR ASISTENCIA, S.A.. en virtud de denuncias presentadas ante la misma por y de acuerdo con los siguientes HECHOS PRIMERO: Con fecha 31 de marzo de 2016, tuvo entrada en esta Agencia un escrito de denuncia y con fecha 20 de enero de 2017 se reciben dos nuevos escritos de denuncia que se incorporan a las actuaciones, en ellos se pone de manifiesto lo siguiente: Que en la Intranet de la empresa denunciada se han publicado varios archivos con datos personales de los trabajadores al alcance de cualquier empleado. Que según los denunciantes los hechos tuvieron lugar a fecha 20 de julio de 2015 Y, entre otra, anexa la siguiente documentación:  Denuncia número 1:  Impresión de una carpeta denominada EMPLEADOS ASTUR ****, en la que figuran, entre otros, los datos personales: identificación de empleado, nombre, NIF, Centro, Puesto, Contrato, fecha de inicio, jornada, estado de IRPF, importe bruto anual, banco, número de cuenta bancaria (IBAN), grupo de tarifa. El listado obtenido de la carpeta tiene unos 500 empleados. Los datos han sido obtenidos, según manifestaciones de uno de los denunciantes, de una herramienta denominada DIANA a la que tienen acceso todos los trabajadores de la compañía.  Correo electrónico de fecha 28 de julio de 2015 a las 20:50, remitido a la empresa (..........@asitur.

  1. es)dirigido por un denunciante desde la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 dirección ...asitur@gmail.com, en el que se pone en conocimiento de la entidad esta situación.  Denuncia número 2:  Listado del documento denominado ENVIO RRHH datos TMO-MONITO VIAJE Jul-Nov 14 donde figuran entre otros, los datos personales de nombre y NIF de unos 200 empleados.  Justificantes de Nóminas con los datos personales y retributivos de unos diez empleados.  Impresión de pantalla de una solicitud de un empleado realizada a través de la Intranet.  Correo electrónico de fecha 1 de septiembre de 2015 a las 13:35, remitido a la empresa (..........@asitur.
  2. es)dirigido por un denunciante desde la dirección ...asitur@gmail.com, en el que se pone en conocimiento de la entidad esta situación. Y contestación de la empresa en esa misma fecha donde le indican que están procediendo a analizar la incidencia.  Denuncia número 3:  Video extraído de Youtube de la ruta https://www.youtube.com....... en los que aparecen los datos de un cliente.  Denuncia número 4:  Correo electrónico de fecha 28 de enero de 2016 a las 12:12, remitido a la empresa (..........@asitur.
  3. es)dirigido por un denunciante desde la dirección ...asitur@gmail.com, en el que se pone en conocimiento de la entidad la publicación de un video y donde se informa del traslado a la Agencia Española de Protección de Datos de las denuncias efectuadas. Y contestación de la entidad solicitando información de la ubicación del video. También se ha aportado dos correos electrónicos de en marzo de 2016 indicando que se continúan detectado incidencias. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 5 de abril y 20 de octubre de 2016, desde la Inspección de datos se ha realizado un acceso a la dirección https://www.youtube.com....... no encontrándose disponible el video remitido por los denunciantes. Con fecha 21 de octubre de 2016 se remite escrito de solicitud a ASITUR ASISTENCIA, S.A.. (en adelante ASITUR) y de la respuesta recibida en esta Agencia con fecha de registro 23 de noviembre de 2016, se desprende: 2. ASITUR manifiesta que han tenido lugar diversas incidencias que han sido debidamente documentadas en el Registro de Incidencias, remitiendo toda la documentación relativa a cada una de ellas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 a. Incidencia ocurrida en fecha 2 de julio de 2015 a las 21:51 horas y resuelta a las 22:00 horas. La incidencia ha afectado a todo el personal de la compañía (473 empleados). En la descripción de la incidencia figura que se ha tenido conocimiento del acceso de personal no autorizado a un documento denominado “Empleados Asitur ****” con datos de carácter personal de todos los empleados de la entidad. Consta que ha ocurrido debido a que un empleado ha archivado el documento en una ubicación incorrecta. Para solucionar la incidencia se realizó una revisión de las medidas de seguridad constatándose que se debió a un error humano y se implementaron medidas de seguridad adicionales, entre ellas, se ha migrado el gestor documental de departamento de Recursos Humanos a otra plataforma y se ha implantado un sistema de cifrado para cualquier archivo de esta nueva plataforma que contenga datos personales. Consta asociada a esta incidencia el correo electrónico de fecha 28 de julio de 2015 a las 20:50, remitido desde la dirección ...asitur@gmail.com. b. Incidencia ocurrida en fecha 1 de septiembre de 2015 a las 15:00 horas y resuelta a las 16:05 horas. La incidencia ha afectado a 4 empleados En la descripción de la incidencia figura que personal no autorizado ha tenido acceso a un documento que contenía dos nóminas de empleados un acuerdo de complemento de puesto y un certificado de retenciones e ingresos. Consta que esta incidencia tuvo lugar al realizarse una búsqueda sobre una herramienta de gestión de solicitudes para Recursos Humanos y fue debida a que al implantarse la herramienta el proveedor no informó de la existencia de una biblioteca por lo que no se contemplaron las medidas de seguridad adecuadas para esta carpeta. ASISTUR manifiesta que el desarrollo de la Intranet fue realizado por la compañía QUIRIUS SPAIN, S.A. (posteriormente PRODWARE SPAIN) con la que mantenía un contrato de prestación de servicios, de fecha 3 de diciembre de 2012, y que fue rescindido por no atender las especificaciones solicitadas por ASISTUR. ASISTUR ha aportado copia del mencionado contrato. Para solucionar la incidencia se llevó a cabo una auditoria verificándose la asignación de permisos y los accesos según perfiles Consta asociada a esta incidencia el correo electrónico de fecha 1 de septiembre de 2015 a las 13:35, remitido desde la dirección ...asitur@gmail.com. c. Incidencia ocurrida en fecha 9 de marzo de 2016 y fue resuelta el 10 de marzo de 2016. La incidencia ha afectado a 281 empleados. En la descripción de la incidencia figura que se ha incluido el DNI para identificación de empleados en la planificación de vacaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 ASITUR manifiesta que se impartieron instrucciones internas para evitar la inclusión el DNI en aquellos documentos que se pusieran a disposición de los demás empleados. Consta un correo electrónico de reclamación asociado a esta incidencia. d. Incidencia ocurrida en fecha 28 de enero de 2016 en la que se comunica la existencia de un video en YouTube en el que figuran datos personales de un cliente. ASITUR manifiesta que el video estaba orientado a presentaciones internas de la compañía y en el minuto 13:57 del video se mostraba la imagen de un monitor en el que se podía leer el nombre y apellidos, dirección y compañía aseguradora de un cliente y manifiesta que la publicación fue realizada por un proveedor externo. ASITUR ha aportado las imágenes que se podía visualizar en el video y manifiesta que se reeditó el video nuevamente para eliminar las imágenes y se contactó con YouTube para el cese de la publicación. Consta asociado a esta incidencia el correo electrónico de fecha 28 de enero de 2016 a las 12:12, remitido desde la dirección ...asitur@gmail.com. e. Respecto del documento etiquetado como “ENVIO RRHH datos TMOMONITO VIAJE Jul-Nov 14”, remitido por los denunciantes, donde figuran entre otros, los datos personales de nombre y NIF de unos 200 empleados. ASITUR manifiesta que desconoce dicha incidencia y que con motivo del escrito de esta Agencia se ha procedido a revisar el archivo correspondiente sin haberse detectado ningún error. 3. ASISTUR manifiesta que por política interna de la compañía, todo empleado ha aceptado las condiciones que figuran en el documento Declaración de Alta de usuario y en el Manual de Usuario que informa a sus empleados sobre la normativa respecto de la Protección de Datos y el acceso a la información a la que únicamente están autorizados según sus permisos. FUNDAMENTOS DE DERECHO Los hechos expuestos podrían suponer infracción, por parte de la entidad ASITUR ASISTENCIA, S.A.., del artículo 9.1 de la LOPD, que señala que “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con el artículo 91 del Reglamento de desarrollo de la LOPD que, sobre el control de acceso, señala: 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Dicha infracción aparece tipificada como grave en el artículo 44.3.
  4. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente procedimiento hay que considerar que en la entidad denunciada se han producido varios accesos por personal no autorizado a los datos de carácter personal de los empleados. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. A este respecto puede apreciarse la concurrencia de los siguientes criterios como atenuantes:
  5. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción.
  6. f)El grado de intencionalidad. Se tiene en cuenta en esta ocasión que no hay constancia de actuación intencionada.
  7. g)La reincidencia por comisión de infracciones de la misma naturaleza. La entidad denunciada no figura como responsable de infracciones de la misma naturaleza que la cometida en el presente procedimiento. Como agravantes pueden mencionarse los siguientes criterios:
  8. a)El carácter continuado de la infracción, dado que en esta ocasión han tenido lugar varios episodios de accesos de personal no autorizado a los datos de los empleados.
  9. d)El volumen de negocio o actividad del infractor al tratarse de una empresa con importante volumen de negocio. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a la entidad ASITUR ASISTENCIA, S.A.. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  10. h)de la citada Ley. 2. NOMBRAR como Instructora a Dª A.A.A. y como Secretaria a Dª B.B.B. indicando que cualquiera de ellas podrá ser recusada, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por los denunciantes y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos forman parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
  11. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
  12. b)del RLOPD, la sanción que pudiera corresponder sería de 40.001 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a la entidad ASITUR ASISTENCIA, S.A.. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  13. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
  14. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 8.000,20 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,80 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 8.000,20 euros. Con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 aplicación de esta reducción, la sanción quedaría establecida en 32.000,80 Euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 24.000,60 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000,80 Euros o 24.000,60 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00071/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
  15. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos SEGUNDO: En fecha 15 de marzo de 2017, la entidad ASITUR ASISTENCIA, S.A.., ha procedido al pago de la sanción en la cuantía de 24.000,60 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio. TERCERO: En fecha 16 de marzo de 2017, tuvo entrada en esta Agencia escrito de la entidad ASITUR ASISTENCIA, S.A., en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00071/2017, de SEGUNDO: NOTIFICAR la presente resolución a ASITUR ASISTENCIA, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.