PS-00091-2020 | Europaius

1/20  Procedimiento Nº: PS/00091/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: AYUNTAMIENTO DE ***LOCALIDAD.1 (en adelante, el reclamante) con fecha 07/05/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GIRONA INTEGRAL EXPRESS, S.L. con NIF B17770991 (en lo sucesivo GIEXPRESS), por los siguientes hechos según manifestaciones del reclamante: Que el 19/03/2019 el técnico de Medioambiente del Ayuntamiento de ***LOCALIDAD.1 localizó un vertido de residuos fuera de los contenedores con restos de basura, albaranes y documentación de entrega de paquetería de la empresa TIPSA GIRONA (un total de 212 folios) en la que figuran nombres, apellidos, DNI y dirección de personas físicas. El ayuntamiento requirió audiencia al responsable de dicha empresa para recoger la documentación y darle el trato oportuno. Que no ha comparecido en el plazo requerido. Y, entre otra, anexa la siguiente documentación:  Fotografías de los contenedores con basura fuera de los mismos.  Copia de requerimiento del Ayuntamiento de ***LOCALIDAD.1 al denunciado con fecha 27/03/

 Acuse de recibo del requerimiento con fecha de aceptación 29/03/2019 por D. A.A.A. con NIF ***NIF.
 Copia de los albaranes y documentación de entrega de TIPSA GIRONA donde constan datos de nombre, apellidos, NIF, dirección postal y teléfono de contacto de personas físicas. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: Con fecha 22/04/2019, se da traslado de la denuncia a TRANSPORTE INTEGRAL DE PAQUETERIA, S.A., en las actuaciones con referencia E/05813/
Con fecha 12/07/2019, TRANSPORTE INTEGRAL DE PAQUETERIA, S.A. remite a esta Agencia la siguiente información y manifestaciones:
Que para poder prestar sus servicios, su modelo de negocio se encuentra focalizado en la creación de una red de distribución nacional de agencias de transporte de mercancías. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20
Que TRANSPORTE INTEGRAL DE PAQUETERIA, S.A. procede a la firma de un contrato con todas las agencias existentes. Se aporta contrato de colaboración entre TRANSPORTE INTEGRAL DE PAQUETERIA, S.A. y GIEXPRESS con fecha 21/10/
En su cláusula séptima se manifiesta: “SÉPTIMA.- El presente contrato no constituye vinculo societario o de agencia, empresa o actividad conjunta o coparticipada entre TIPSA y GIE, manteniendo cada una de las partes su plena independiente y diferenciada personalidad juridica, capacidad de obrar, actividad, desarrollo y funcionamiento, respondiendo, sobre todo, en lo que atañe a GIE de todas las consecuencias derivadas de su industria o negocio, cuyo riesgo y ventura asume plenamente con total indemnidad de TIPSA, a la que deberá preservar ante terceros de cualquier consecuencia dañosa derivada de su actuación propia o de su personal o que le sea imputable por cualquier causa, incluso por acuerdos o pactos que concierte con aquellos, respondiendo con carácter ilimitado por todo ello, incluyéndose en el ámbito de su responsabilidad los daños y perjuicios propios y a terceros en personal, instalaciones y propiedades. Como evidente consecuencia de los anterior, este contrato no implica vínculo o relación laboral de clase alguna, principal, solidaria o subsidiaria entre TIPSA y GIE y el personal de ésta, quien asumirá y se responsabilizará de todo cuanto conlleve o sea inherente a su propia condición laboral y de sus trabajadores o dependientes, sea cualquiera la naturaleza de la relación que le una con ellos... Para que pueda tener lugar la exención pactada de responsabilidad de TIPSA, GIE, se obliga a hacer constar ante su personal, terceros y organismos públicos que es el único responsable de la actividad que lleve a cabo en ejecución de este contrato, y que TIPSA no tiene responsabilidad alguna.” Se aporta novación del contrato de colaboración suscrito en fecha 21/10/2004 entre TIPSA y GIEXPRESS de fecha 01/05/
En su cláusula quinta en relación a la protección de datos de carácter personal y compromisos de confidencialidad, se manifiesta: “Con relación a los datos que facilite TIPS@ a GIEXPRES, la primera tiene la condición de responsable del fichero que se constituyere con los datos tratados y GIEXPRES ostentará la condición de encargado del tratamiento… Con relación a los datos que facilite GIEXPRES, a TIPS@, el primero tiene la condición de responsable del fichero que se constituyere con los datos tratados y TIPS@ ostentará la condición de encargado del tratamiento… Asimismo, ambas partes se comprometen a tratar con la máxima confidencialidad cuantos datos de carácter personal le sean facilitados con motivo del presente contrato de servicios, comprometiéndose a tratarlos de acuerdo con las medidas establecidas en la normativa vigente de protección de datos así como a adoptar en el futuro cuantas medidas de seguridad sean exigidas por las leyes y reglamentos destinadas a preservar el secreto, confidencialidad e integridad en el tratamiento automatizado de datos personales. …. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 Ambas partes se comprometen a informar a su personal, colaboradores y subcontratistas de las obligaciones establecidas en el presente contrato sobre confidencialidad, así como de las obligaciones relativas al tratamiento de datos de carácter personal GIEXPRES y TIPS@, realizarán cuantas advertencias y suscribirán cuantos documentos sean necesarios con su personal y colaboradores, con el fin de asegurar el cumplimiento de tales obligaciones. Una vez cumplida la prestación contractual establecida, ambas partes se obligan respecto de la otra a destruir o devolver todos los datos, soportes o documentos titularidad de la contraparte, incluidos todos los datos de carácter personal objeto del tratamiento que en aquel momento obrasen en su poder, salvo los que por imperativo legal tengan que conservar.”
Manifiesta, entre otras, que se han tomado las siguientes decisiones: a. Revisión del contrato de arrendamiento de servicios firmado con GIEXPRESS. b. Revisión de si los contenidos de formación en materia de Protección de Datos se ajustan a la operativa de la entidad.
Aporta contestación remitida por GIEXPRESS a TIPSA como adjunto al correo electrónico remitido por ***EMAIL.1 con fecha 25/06/2019 y las siguientes manifestaciones: a. Que la empresa que tienen contratada para la recogida periódica de residuos de materia orgánica, plástico y papel es RECUPERACIONS MARCEL I NAVARRO FILLS, S.L. con NIF B
b. Que su empresa nunca ha depositado albaranes o documentación de clientes en ningún sitio que no sea en sus instalaciones para su destrucción. c. Que la única explicación que encuentran a este incidente es que un proveedor de su empresa haya depositado los documentos en el contenedor de ***LOCALIDAD.
d. Manifiesta que en relación a la recepción de la notificación electrónica por parte del Ayuntamiento de ***LOCALIDAD.1, ocurrió una mala canalización del correo recibido en ***EMAIL.2, siendo el correo que tienen para recibir notificaciones telemáticas por parte de algún organismo como Hacienda, Seguridad Social u otros el siguiente; ***EMAIL.1, que es su correo personal y, entendiendo, que era una sanción por algún radar lo reenvió a su asesor desde la cuenta ***EMAIL.2 y su asesor le respondió a esa misma cuenta, perdiéndole así la pista. e. Que entienden que todo ha sido un error humano por parte de su proveedor que desconocía las causas sobre la ley de protección de datos personales. f. C/ Jorge Juan, 6 28001 – Madrid Que por su parte procederán a revisar los procesos de este tipo de documentos para que no se extravíe en ningún momento ningún albarán. Que de hecho, esto ya es imposible que ocurra ya que sus proveedores ya no llevan hojas físicas sino que van con teléfonos móviles. www.aepd.es sedeagpd.gob.es 4/20
Que solicitaron a GIEXPRESS el contrato con el proveedor que se encarga de la destrucción documental pero no les ha sido remitido por lo que suponen que dicho contrato no existe.
Que han procedido a adoptar las siguientes medidas: a. Que se ha procedido a una reestructuración organizativa en el seno de su entidad para integrar la vigilancia y cumplimiento en materia de protección de datos dentro del departamento legal o cumplimiento normativo desde el departamento de calidad donde se encontraba. b. Que, ante los incumplimientos contractuales detectados por parte de GIEXPRESS. se va a proceder a la apertura de un procedimiento de depuración de responsabilidades a la misma. c. Manifiestan: “Por parte de TIPSA se han dado instrucciones a su departamento de Informática de habilitar una plataforma on-line especifica en cumplimiento en materia de Protección de Datos, al igual que ya existe en cuanto al cumplimiento en materia laboral, en la que tendrán acceso todos aquellos terceros que trabajen para TIPSA, los cuales, deberán adjuntar en la misma todos aquellos documentos que acrediten que cumplen con todos aquellos puntos que la misma plataforma les ira solicitando de manera automáticas, de cara a poder justificar de una manera más verídica, que cada empresa cuanta con las garantías legales solicitadas por TIPSA para poder trabajar, como pueden ser por ejemplo el disponer de un Registro de Actividades, cumplir con el deber de información, disponer realizado de un análisis de Riesgos, Evaluaciones de Impacto, Transferencias internacionales de Datos, etc etc.. Asi pues, si en el momento que la misma plataforma detecte que no se encuentra toda la Documentación solicitada, o bien es incorrecta, por parte de la misma se elaborará una señal o signo distintivo por el que se avisará de cara a requerir dicha documentación y si la falta o el error en la documentación persiste en el tiempo, proceder incluso por parte de TIPSA a la resolución de los correspondientes contratos que se mantenían en vigor o la imposibilidad de contratar con la misma.”
Aporta contrato firmado de encargo de tratamiento de datos de carácter personal de fecha 25/05/2018 entre TRANSPORTE INTEGRAL DE PAQUETERIA, S.A. y GIEXPRESS donde se recoge: a. “Con relación a los datos que facilite TIPSA a GIRONA INTEGRAL EXPRESS, S.L., la primera tiene la condición de Responsable del Fichero que se constituye con los datos tratados y GIRONA INTEGRAL EXPRESS, S.L ostentará la condición de Encargado del Tratamiento…” b. “Con relación a los datos que facilite GIRONA INTEGRAL EXPRESS, S.L. a TIPSA, el primero tiene la condición de Responsable del Fichero que se constituyere con los datos tratados y TIPSA ostentará la condición de Encargado del Tratamiento…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 c. “En particular, el Encargado del tratamiento aplicará las medidas de seguridad técnicas y organizativas detalladas en el Apéndice I del presente Contrato.” d. “…el Encargado garantiza al Responsable que su personal así como las personas autorizadas para tratar los Datos de carácter personal se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente, manteniendo a disposición del Responsable la documentación acreditativa del cumplimiento de la presente obligación. Asimismo, garantiza la formación necesaria en materia de protección de datos de su personal y de las personas autorizadas para tratar los Datos de carácter personal.” e. “Una vez cumplida la prestación de los Servicios, el Encargado del tratamiento destruirá o devolverá al Responsable del tratamiento o al encargado que designe por escrito el Responsable los referidos Datos de carácter personal (según le indique el Responsable), así como cualquier soporte o documentos en los que consten los Datos de carácter personal objeto de tratamiento en el marco del presente Contrato. De optar el Responsable por la destrucción por parte del Encargado del tratamiento de los Datos de carácter personal así como de cualquier soporte o documentos en los que consten los Datos de carácter personal, el Encargado del tratamiento deberá certificar su destrucción por escrito…” f. “El Responsable del tratamiento reconoce al Encargado del tratamiento la facultad para subcontratar con terceros, en todo o en parte, los Servicios objeto del presente Contrato.” g. Aporta Apéndice I del contrato con las siguientes medidas de seguridad técnicas y organizativas entre otras: i. “El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.” ii. “Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” iii. “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20
Se aporta documento “Instrucción manual operativo / Entrega de envíos operativa” de fecha 01/01/2019 cuyo alcance, según se recoge en el documento, es todas las agencias TIPSA y donde en su apartado “3.10 Digitalización y Archivo de Albaranes” se recoge: a. “Con la finalidad de cumplir con la normativa legal vigente sobre los plazos de reclamación por servicios de transporte, la agencia de destino se obliga a archivar digitalmente en sus instalaciones todos los albaranes de los envíos que le haya encomendado la Red Tipsa para su reparto, al menos durante 24 meses. La agencia de destino será responsable de guardar la debida diligencia en la custodia y conservación de dichos albaranes, para el cumplimiento ante terceros y organismos judiciales y/o administrativos de las obligaciones legales de exhibición de estos documentos ante los mismos.”
Se aporta encuesta rellenada por GIEXPRESS en fecha 25 de mayo de 2018 en cuya cabecera figura el título “AUDITORÍA MEDIDAS IMPLANTADAS EN SU EMPRESA SOBRE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL” y donde esta entidad manifiesta que: a. Se ha informado a los trabajadores conforme a la nueva normativa de protección de datos. b. Se han definido reglas para la destrucción de soportes de datos y documentos. Con fecha 27/01/2020, GIEXPRESS remite a esta Agencia la siguiente información y manifestaciones:
Que tuvieron conocimiento del incidente en fecha 18 de junio de 2019 a través de un comunicado de TIPSA.
Que el transportista causante del incidente fue contratado como refuerzo dado el aumento del volumen de trabajo en ese periodo.
Manifiesta que “…se procedió a mantener conversaciones con el transportista implicado, para determinar la motivación del depósito irregular de la documentación fuera del contenedor, en la vía pública. Esta entidad, tras la investigación del suceso, concluyó que dicho transportista, por desconocimiento, procedió a deshacerse inadecuadamente de la misma en el entendimiento que se desecharían por el servicio municipal de recogida. Esta entidad concluyó que se trató de un error humano por falta de diligencia, sin apariencia de mala fe o de intención de perjudicar la privacidad de los datos obrantes en dichos documentos y sin que se desprenda ningún beneficio económico de tal actuación para el transportista causante.”
Que la identificación del transportista que desechó los documentos es D. B.B.B. con NIF ***NIF.
En relación al transportista que desechó los documentos manifiesta que “Este empleado no ha realizado formación en materia de protección de datos.”
Que dicho transportista tuvo la información en documentación física porque en el momento del incidente la gestión de albaranes y entregas estaba en un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 momento de adaptación tecnológica y estaba aún en pleno proceso de cambio de la documentación física al uso de una aplicación móvil.
Que dicho proceso de innovación tecnológica en la forma de gestionar los albaranes se puso en marcha el 6 de mayo de 2019 hasta el 9 de julio de 2019 momento a partir del cual se prescindió totalmente de la documentación física.
Que con carácter previo al conocimiento real del incidente ya contaban con un prestador de servicios de recogida periódica en sus instalaciones con RECUPERACIONS MARCEL I NAVARRO FILLS, S.L utilizando contenedores precintados para la introducción de documentación con datos personales o confidenciales. Que dicho contrato sigue vigente en la actualidad. Se aporta contrato firmado fechado a 2 de enero de 2019, según su traducción no oficial del Catalán, de tratamiento de residuos con la empresa RECUPERACIONS MARCEL I NAVARRO FILLS, S.L OBSERVACIONES: Dicho contrato no parece incluir la destrucción de documentos.
Que su entidad contaba con una consultora en material de protección de datos. Se aporta contrato firmado en fecha 21 de mayo de 2018 de encargo de tratamiento con CENSOR CONSULTING, S.L. siendo los ficheros incluidos en el encargo los de Recursos Humanos, Nóminas y personal y curriculums vitae y siendo el servicio que presta el de “Consultor LOPD”.
Que ya se habían trasladado a los empleados un Compromiso de Confidencialidad y un Comunicado Interno. Se aportan documentos fechados a 21 de mayo de 2018 y firmados por 13 empleados respecto a Información a Usuarios y al deber de secreto profesional donde se recoge que: “Los soportes que contengan los datos del Fichero deberán ser almacenados en lugares a los que no tengan acceso personas no autorizadas para el uso del Fichero.” OBSERVACIÓN: No consta este documento firmado por el transportista identificado que desechó los documentos.
Que en fecha 8 de julio de 2019 se procedió a remitir el siguiente documento a toda la plantilla. Se aporta Circular Interna firmada por empleados, sin fechar y en relación a la protección de datos, en la que establece en el punto 2: “Se debe evitar la revelación de los datos personales tratados, quedando expresamente prohibida la cesión no autorizada de cualquiera de ellos. … Todo documento que pueda confeccionarse dentro de las instalaciones de GIEXPRES con datos de carácter personal deberá ser depositado en el contenedor precintado para su adecuada destrucción posterior.” OBSERVACIÓN: No consta este documento firmado por el transportista identificado que desechó los documentos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20
Que en abril de 2019 se contrató a una consultora especializada en el cumplimiento normativo contratando el servicio de adaptación a la normativa vigente en materia de protección de datos. Se aporta copia de contrato firmado y fechado a 25 de abril de 2019 con la empresa PROFESSIONAL GROUP CONVERSIA, S.L.U.
Que procedieron a documentar la incidencia en fecha 19 de junio de 2019 concluyendo que no se procedía a comunicar la misma a esta Agencia ni a los interesados. Aporta copia de documento con título “Modelo de Comunicación de la Resolución ante la Violación o Brecha de Seguridad” fechado a 19 de junio de 2019 y dirigido a GIEXPRESS donde en el apartado “Conclusión del análisis de la operación” se recoge que: “-De conformidad con el articulo 4 apartado 12 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 951461CE (en adelante RGPD) supone una violación de la seguridad al haberse producido una perdida accidental de datos personales. -Puede suponer un acceso no autorizado a datos de carácter personal. -Teniendo en cuenta el volumen de ficheros y personas afectadas, la tipología de datos y el impacto (exposición) no se procede a la notificación a la Autoridad de Control ni la comunicación a los afectados del incidente de seguridad.” En el apartado de “Acciones Efectuadas” se recoge: “-Se ha Documentado la violación de la seguridad de conformidad con el articulo 33.5 RGPD -Valoración y Análisis de la incidencia para constatar la probabilidad que la violación constituya un riesgo para los derechos y libertades de las personas físicas -No Notificación ante la Autoridad de control según lo establecido en el artículo 33 del RGPD y el Análisis realizado”
Que se contrató el servicio de teleformación en Privacidad y Gestión de la Información en fecha 23 de julio de 2019 para dos trabajadores. Se aporta copia de contrato firmado fechado a 23 de julio de 2019 en cuyo apartado de “Objeto del contrato” se recoge ”TELEFORMACIÓN POR VÏA ELECTRÓNICA MEDIANTE PLATAFORMA FORMATIVA” y el apartado de “cursos contratados” se recoge el curso con título “Privacidad y gestión de la información” con una duración de 56 h.
Que con fecha 20 de enero de 2020 se ha dado traslado a todos los empleados de un Comunicado con la finalidad de reforzar la importancia en la diligencia en el tratamiento de datos personales.
Se aporta Registro de Actividades compuesto exclusivamente de los siguientes apartados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 a. En relación a los datos del responsable del tratamiento y su delegado de protección de datos: i. Datos mercantiles Tratamiento. y de contacto del Responsable del ii. Datos del Delegado de Protección de Datos. b. En relación a los datos del encargado del tratamiento y su delegado de protección de datos: i. Datos mercantiles y de contacto del Encargado del Tratamiento. ii. Datos del Delegado de Protección de Datos. c. En relación a las transferencias internacionales de datos: i. Identificación del país y organización internacional. d. En relación a las medidas de seguridad. i. Medidas de seguridad implantadas para este tratamiento.
Se aporta análisis y gestión de riesgos fechado a 13 de junio de 2019 donde se recoge: a. En el apartado de “Identificación de los tratamientos de datos personales” entre otros figuran “Gestión de envíos y entregas”. b. En el apartado de “Medidas Previstas Inicialmente” en relación a la “Gestión de envíos y entregas” se relacionan las medidas previstas inicialmente que, entre otras, constan: i. En relación al potencial escenario de riesgo con código RO.01 y descripción “Se incumple la regulación general sobre el derecho a la protección de los datos de carácter personal” se recoge que “NO se dispone de un documento donde se reflejan las medidas de seguridad que debe adoptar la empresa para minimizar los riesgos,..:” ii. En relación al potencial escenario de riesgo con código ROS.05 y descripción “Hay acceso no autorizado a datos personales” se recoge que “NO se ha implantado medidas de seguridad, ni físicas ni informatizadas, a los sistemas de información para evitar accesos no autorizados” iii. En relación al potencial escenario de riesgo con código ROS.08 y descripción “Hay incapacidad para detectar y gestionar incidentes que afecten la seguridad de los datos” se recoge que “NO se dispone de un procedimiento para detectar y gestionar incidentes o violaciones de seguridad de la información.” iv. En relación al potencial escenario de riesgo con código RDL.04 y descripción “Violación del secreto de las comunicaciones” se recoge que “El personal NO ha formalizado el compromiso de confidencialidad por parte de la organización.”
Que dentro de la oficina se cuenta con depósitos precintados para introducir cualquier documento donde puedan obrar datos personales. Que a pesar de no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 haber aún un procedimiento formal y escrito facilitado a los empleados para la destrucción de soportes y documentos, se trasladó a los empleados un Comunicado con la finalidad de reforzar la importancia en la diligencia en el tratamiento de los datos personales figurando expresamente instrucciones para la destrucción de documentación.
Que con la anterior consultora no se realizó ninguna auditoría. En el marco de la contratación de la consultora especializada en materia de protección de datos se realiza una auditoría en el segundo año. Con fecha 28 de enero de 2020, TIPSA, remite a esta Agencia la siguiente información y manifestaciones:
Que realizadas las investigaciones oportunas, se ha podido verificar lo siguiente: “-De toda la información recibida o conocida con anterioridad a la incidencia relativa al cumplimiento de la normativa de protección de datos por parte de GIEXPRESS y, al no haberse detectado ningún tipo de anomalía por su parte, no podía entreverse por parte de TIPSA tal falta de diligencia por parte del encargado de tratamiento. … -Se trata de un incidente aislado, ningún otro empleado ha realizado o está realizando comportamiento similar. -Respecto al grado de intencionalidad, no se ha detectado ninguna causa o condición especial que pudiera motivar la producción de los hechos relatados. -Igualmente, no cabe apreciar reincidencia alguna, al ser la primera incidencia/incumplimiento constatado.”
Que las medidas de seguridad implementadas con anterioridad a la incidencia, son entre otras: “Con anterioridad al 25 de Mayo de 2018, TIPSA llevó a cabo un proceso de adecuación al RGPD en el que implementó un sistema específico de cumplimiento de la citada normativa, realizándose por la entidad la identificación, revisión y adecuación de los tratamientos de datos de carácter personal. Como resultado de dicho proceso, se elaboró una documental que conforma la base del Sistema de cumplimiento de la organización, compuesta, entre otros, por los siguientes elementos: -Registro de actividades de tratamiento realizadas por TIPSA. -Análisis de riesgos previos de todos y cada uno de los tratamientos de datos realizados por TIPSA, y definición de medidas de seguridad técnicas y organizativas a aplicar. -Modelos de contratos para regularizar la relación con terceros que tienen acceso a datos de carácter personalidad responsabilidad de TIPSA. -Modelos de acuerdos de confidencialidad y deber de secreto a suscribir con personal con acceso a datos (personal autorizado) y sin acceso a datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 (personal no autorizado), en los que se recogen las obligaciones de confidencialidad y secreto, así como protocolos de tratamiento de datos personales. -Cláusulas informativas redactadas ad hoc para dar cumplimiento al deber de transparencia e información de cada tratamiento. -Protocolos y procedimientos específicos para garantizar, interna y externamente, entre otros, el ejercicio y atención a los derechos de los interesados; la notificación y gestión de incidencias y violaciones de seguridad; la contratación de terceros con acceso a datos; la gestión de las autorizaciones y el control de accesos; la conservación de datos y la destrucción segura; la formación y capacitación del personal. -Valoración de la necesidad de realizar Evaluaciones de Impacto sobre la Protección de Datos (EIPD) de los tratamientos. … Con anterioridad al conocimiento de la incidencia que nos ocupa el presente informe, TIPSA tenía implementadas, entre otras, las siguientes medidas de seguridad (organizativas y técnicas) con respecto a GIEXPRESS y a todos los terceros con acceso a datos por cuenta de TIPSA: -Establecimiento de un procedimiento interno para garantizar la firma del correspondiente contrato de encargo del tratamiento en los términos establecidos por la legislación de protección de datos con los proveedores con acceso a datos. -Establecimiento contractual de un protocolo de comunicación con los encargados de tratamiento para garantizar el ejercicio y atención a los derechos de los interesados, y la notificación y gestión de incidencias y violaciones de seguridad. -Establecimiento contractual de las medidas de seguridad concretas a implantar por los terceros con acceso a datos para garantizar la confidencialidad, integridad y disponibilidad de los datos de carácter personal. -Establecimiento contractual de mecanismos de supervisión, verificación y auditoría de los tratamientos encargados a terceros. -Establecimiento de procedimientos internos para comunicar y concienciar sobre las diferentes instrucciones a emplear en el tratamiento de datos personales (desde su recogida hasta su destrucción), tanto por el personal propio como por los terceros. …”
Que se ha acometido un plan de acción con una serie de medidas a llevar a cabo: a. Medidas de aplicación inmediata, entre otras: “-Establecimiento de mecanismos de supervisión, verificación y auditoría de los tratamientos encargados a terceros para verificar que cumplen las estipulaciones del contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 -Revisión del análisis de riesgo realizado respecto al tratamiento donde se ha producido la incidencia, al objeto de documentar un aumento de la probabilidad y definir nuevas medidas de seguridad en función del riesgo detectado. -Revisión de las cláusulas dispuestas en el contrato de encargo del tratamiento, al objeto de garantizar el correcto cumplimiento de las instrucciones dispuestas por TIPSA y la adopción de las medidas de seguridad adecuadas. -Exigencia a GIEXPRESS de suscripción/renovación de los compromisos de confidencialidad con todos sus empleados (personal autorizado), al objeto de que se notifique formalmente y se conciencie a éstos sobre las obligaciones de secreto y confidencialidad que tienen sobre los datos de carácter personal, a cumplir las medidas de seguridad correspondientes y de las consecuencias de su incumplimiento. -Solicitud y revisión de los acuerdos suscritos por GIEXPRESS, como encargado de tratamiento de datos personales responsabilidad de TIPSA, con aquellos subcontratistas afectados por la presente reclamación, al objeto de verificar que se ajustan a las mismas condiciones establecidas en el contrato de encargo del tratamiento firmado entre TIPSA y GIEXPRESS.” a. Medidas en proceso de aplicación, entre otras: “-Proceso de digitalización de documentos en papel y uso de dispositivos portátiles (POA, tablets...) que cuenten con medidas de seguridad adecuadas para garantizar la confidencialidad, integridad y disponibilidad de los datos alojados en dichos dispositivos. -Establecimiento de mecanismos de supervisión, verificación y auditoría a los encargados de tratamiento para verificar que todo subcontratista de éstos cumple las instrucciones y, especialmente, las medidas de seguridad, dispuestas por TIPSA en el contrato de encargo del tratamiento firmado entre TIPSA y el encargado de tratamiento. -Revisión de los contenidos de formación en materia de Protección de Datos, al objeto de valorar si se ajustan a la operativa de la entidad. … -Establecimiento de mecanismos de acreditación de la formación en materia de Protección de datos impartida a su personal por los encargados de tratamiento.”
Aporta Registro de Actividades de Tratamiento.
Aporta análisis y gestión de riesgos.
Aporta análisis de la necesidad de realizar un EIPD con la conclusión de “..no se considera necesaria la realización de una EIPD por no cumplir con dos o más criterios de la lista tratamiento que requieren EIPD a la que se refiere en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 artículo 35.4 RGPD y por no concurrir ninguno de los restantes criterios analizados de forma significativa, lo que hace improbable que el tratamiento por su naturaleza, alcance, contexto o fines entrañe un alto riesgo para los derechos y libertades de las personas físicas” TERCERO: De conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 09/06/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD y sancionada conforme a lo dispuesto en el artículo 58.2.b) del RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 01/07/2020 presento escrito de alegaciones manifestando en síntesis lo siguiente: que se ha introducido explícitamente la destrucción de documentos en el contrato suscrito con el proveedor; aporta nuevo comunicado interno y compromiso de confidencialidad del conductor implicado y circular interna firmada por el mismo; se pretende realizar auditoria anual por la consultora contratada; además, se pretende unificar el protocolo de actuación de incidentes de seguridad, reuniones cada dos meses para determinar cualquier posible infracción y auditoria anual en materia de protección de datos. SEXTO: Con fecha 18/08/2020 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/08137/
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. SEPTIMO: El 04/02/2021 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione al reclamado por una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD, con una sanción de apercibimiento. Transcurrido el plazo legalmente señalado el reclamado no ha presentado escrito de alegación alguno. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Que el 07/05/2019 un técnico de Medioambiente del reclamante localizó un vertido fuera de los contenedores de residuos, entre los que se encontraban albaranes y documentación de entrega de paquetería de la empresa TIPSA (un total de 212 folios) en la que figuran nombres, apellidos, DNI y dirección de personas físicas. SEGUNDO: Consta aportado fotografías de los contenedores con la basura y copia de la documentación de entrega de TIPSA donde constan datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 TERCERO: TIPSA en escrito de 12/07/2019, ha señalado que su modelo de negocio se encuentra en la creación de una red de agencias de transporte de mercancías, procediendo a suscribir contrato con las agencias existentes; consta aportado contrato de colaboración entre TIPSA y el reclamado con fecha 21/10/2004, así como la novación del mismo de 01/05/
CUARTO: El reclamado en escrito de ha señalado que una vez conocido el incidente, tras la misiva de TIPSA, se entendió procedente investigar el suceso señalando que: “El transportista causante del incidente, en ese entonces, fue contratado como refuerzo dado el aumento del volumen de trabajo en ese período” y que “Esta entidad concluyó que se trató de un error humano por falta de diligencia, sin apariencia de mala fe o de intención de perjudicar la privacidad de los datos obrantes en dichos documentos y sin que se desprenda ningún beneficio económico de tal actuación para el transportista causante”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 58.2.b) del RGPD indica: “
Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; III Los hechos reclamados se concretan en el vertido fuera de los contenedores de residuos, de albaranes y documentación de entrega de paquetería de la empresa TIPSA, un total de 212 folios, entre los que figuran los datos de carácter personal de personas físicas, conducta que vulnera la normativa de protección de datos, deber de confidencialidad. Dicho tratamiento podría ser constitutivo de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “
Los datos personales serán: (…) f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 (…)” El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “
Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/
La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. IV En el presente caso, la conducta del reclamado evidencia la vulneración del artículo 5.1.f) en relación con el artículo 32.1 de la citada norma. Como consta en los hechos probados el 9/03/2020 un técnico de medioambiente del Ayuntamiento de ***LOCALIDAD.1 localizó un vertido de residuos fuera de los contenedores de basura, relativos a albaranes y documentación de entrega de paquetería de la empresa TIPSA, sumando un total de 212 folios, en los que figuran nombres, apellidos, DNI y dirección de personas físicas. El deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. Conforme a lo dispuesto en el artículo 5.1.f) del RGPD, los datos personales deben ser tratados de manera que se garantice la seguridad y confidencialidad adecuadas, incluyendo la imposibilidad de su acceso o uso no autorizados a dichos datos y del equipo utilizado en el tratamiento («principios de integridad y confidencialidad»). Constituye por tanto, un interés legítimo del responsable, el tratamiento de datos personales en la medida estrictamente necesaria y proporcionada para garantizar su seguridad (es decir la capacidad de resistir, en un nivel determinado de confianza, a acontecimientos accidentales o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos personales conservados o transmitidos), a lo que cabría incluir, impedir el acceso no autorizado a las redes de comunicaciones y la distribución malintencionada de códigos, frenar ataques y daños a los sistemas informáticos y de comunicaciones electrónicas. Debe tenerse en cuenta que la pérdida de confidencialidad de los datos sujetos al tratamiento, etc., supone un riesgo para los derechos y libertades de las personas físicas cuya gravedad y probabilidad dependerá de la naturaleza, el alcance, el contexto y los fines del tratamiento de datos. A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el RGPD, el responsable o el encargado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta aquellos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales, todo ello para evitar que sucedan perjuicios y que pueda producirse una violación de la seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 Hay que señalar que TIPSA y el reclamado mantienen un contrato de colaboración; ante el requerimiento de información del primero el reclamado señalaba que todo se había debido a un error humano. También el reclamado en su respuesta al requerimiento informativo de la Agencia manifestaba que tuvieron conocimiento del incidente a través de la información suministrada por TIPSA y que el transportista causante del incidente de seguridad habia sido contratado como refuerzo dado el aumento del volumen de trabajo en el periodo en el que se produjo la incidencia y que la gestión de albaranes y entregas se encontraba en un momento de adaptación tecnológica y proceso de cambio de la documentación física al uso de aplicación móvil, proceso que finalizaría el 09/07/2019 momento a partir del cual se prescindió totalmente de la documentación física. Asimismo, señalaba que contaban con un prestador de servicios para la recogida periódica de documentos utilizando contenedores precintados, habiendo trasladado a los empleados información con la finalidad de reforzar la importancia en la diligencia en el tratamiento de los datos personales figurando expresamente instrucciones para la destrucción de documentación. El reclamado también ha aportado Registro de Actividades del tratamiento y análisis y gestión de Riesgos, Por su parte TIPSA, una vez llevada a cabo el análisis e investigación de la incidencia, ha manifestado que se trató de un incidente aislado y que no se ha detectado intencionalidad que pudiera motivar los hechos producidos. El reclamado mediante escrito remitido a esta Agencia ha señalado haber procedido a adoptar una serie de medidas, sin perjuicio de adoptar e incorporar otras, a iniciativa propia o las que este organismo le pueda someter, entre las que se encuentra la realización de una auditoria anual por parte de la consultora en materia de protección de datos contratada por la empresa y que en el informe que le ha trasladado ha puesto de manifiesto una serie de deficiencias que deben ser subsanadas con su asesoramiento. Paralelamente y con el fin de evitar que se produzcan incidencias similares, y en un proceso de mejora en su cumplimiento normativo va a llevar a cabo una serie de actuaciones entre ellas la de unificar el protocolo de actuación ante incidentes de seguridad y el protocolo de actuación ante posibles incumplimientos o infracciones en materia de protección de datos en aras de mejorar la transparencia y coherencia interna en el tratamiento de datos; realizar reuniones con periodicidad bimensual a fin de determinar y detectar cualquier posible infracción en materia de protección de datos; realizar auditorías anuales en materia de protección de datos con la entidad contratada para determinar si los futuros cambios pudiesen justificar otro tipo de medidas a adoptar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 Por otra parte, se ha procedido a modificar el contrato con el proveedor introduciendo explícitamente determinada mención a la destrucción de documentos, a fin de dejar constancia de dicho extremo; compromiso de confidencialidad del transportista autónomo implicado en el incidente de seguridad reclamado y la circular firmada por este; los trabajadores han recibido nueva formación en la materia para impedir hechos como el ocurrido y que tiene implantados procedimientos adecuados de actuación en la destrucción de documentos, siendo la incidencia consecuencia de error puntual en el funcionamiento de dichos procedimientos, los cuales han sido reforzados para evitar hechos similares al producido. V El artículo 83.5 a) del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves:
En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/
(…) No obstante, el artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2 b) la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. En el supuesto que nos ocupa, el presente procedimiento sancionador ha quedado acreditado que el reclamado vulnero el principio de confidencialidad de los datos al posibilitar el acceso no permitido a los mismos como consecuencia del abandono de los documentos que los contenían. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 De conformidad con las evidencias de las que se dispone dicha conducta constituye por parte del reclamado la infracción a lo dispuesto en el artículo 5.1.f) del RGPD. Esta infracción podría ser sancionada con apercibimiento de acuerdo con el artículo 58.2.b) del RGPD y considerar que la multa administrativa que pudiera recaer con arreglo a los dispuesto en el artículo 83.5.b) del RGPD podría constituir una carga para el reclamado, amén de que no consta la comisión de ninguna infracción anterior en materia de protección de datos. Asimismo, es necesario señalar que no corregir las incidencias producidas de conformidad con lo señalado en el RGPD aplicando medidas técnicas adecuadas al riesgo que presente el tratamiento de los datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales que hayan sido transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales, o bien reiterar la conducta puesta de manifiesto en la reclamación y que es causa del presente procedimiento, así como no informar a esta AEPD del resto de las medidas adoptadas podría dar lugar al ejercicio de posibles actuaciones ante el responsable del tratamiento a fin de que se apliquen de manera efectiva las medidas apropiadas para garantizar y no comprometer la confidencialidad de los datos de carácter personal y el derecho a la intimidad de las personas. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GIRONA INTEGRAL EXPRESS, S.L., con NIF B17770991, por una infracción del aartículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a GIRONA INTEGRAL EXPRESS, S.L. con NIF B
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.