1/9 Procedimiento Nº PS/00152/2013 RESOLUCIÓN: R/02228/2013 En el procedimiento sancionador PS/00152/2013, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por DIRECCION GENERAL DE LA GUARDIA CIVIL y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de julio de 2012, tiene entrada en esta Agencia un escrito de la DIRECCION GENERAL DE LA GUARDIA CIVIL, PUESTO PRINCIPAL DE ALMUÑECAR, mediante el cual se remiten diligencias realizadas por Agentes pertenecientes al Puesto de la Guardia Civil de Almuñécar, por el hallazgo en un vertedero de un polígono industrial de unos 300 documentos, entre los que se incluye un libro de contabilidad, en los que aparecen datos personales. Se ha adjuntado una muestra de la documentación recuperada así como fotografías de la zona donde estaba depositada. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/5272/2012 que concluyeron con informe de la Inspección de Datos de fecha 26/2/13. TERCERO: Con fecha 8/5/13 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. A.A.A. por la presunta infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. CUARTO: Con fecha 7/5/13 se remitió al denunciado, con acuse de recibo, notificación del Acuerdo de Inicio. Certificando el Servicio de Correos, la no posibilidad de la misma por “domicilio desconocido”. QUINTO: Que procedió a la notificación del citado acuerdo de inicio de procedimiento sancionador mediante su exposición en el Tablón de edictos del Ayuntamiento de Almuñécar y fue publicado en el Boletín Oficial del Estado, otorgándose al denunciado plazo para efectuar alegaciones a dicho acuerdo, acabando el mismo sin que por parte de éste se presentara escrito alguno SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 HECHOS PROBADOS 1º Consta denuncia presentada con fecha 4/7/12 por la DIRECCION GENERAL DE LA GUARDIA CIVIL, PUESTO PRINCIPAL DE ALMUÑECAR, en la cual se remiten diligencias realizadas por Agentes pertenecientes a dicho Puesto de la Guardia Civil de Almuñécar, en relación al hallazgo en un vertedero de un polígono industrial de unos 300 documentos, entre los que se incluye un libro de contabilidad, en los que aparecen datos personales. Se ha adjuntado una muestra de la documentación recuperada así como fotografías de la zona donde estaba depositada. 2º Consta informe de la Inspección de Datos de fecha 26/2/13 acreditando los siguientes hechos 2.1 Del examen de la documentación remitida por la Guardia Civil se desprende que con fecha 13 de junio de 2012 se personó en el Acuartelamiento el Jefe de Inspección del Área Municipal de Medio Ambiente del Excmo. Ayuntamiento de Almuñécar, poniendo en conocimiento la existencia en un solar urbano de vertidos con documentación que contenía datos personales. 2.2 Una vez personados los agentes en dicho solar y comprobar la identidad del responsable, se ponen en contacto finalmente con D. A.A.A., propietario de la documentación, el cual manifiesta a los Agentes que efectivamente son de su propiedad, que de hecho ya los ha retirado. 2.2 Con fecha 29 de noviembre de 2012 se remite escrito de solicitud de información relativa a los hechos denunciados por correo certificado a D. A.A.A., recogido con fecha 3 de diciembre de 2012. No obstante a fecha de hoy no se ha recibido contestación. 2.4 Con fecha 30 de enero de 2013, se reitera la solicitud de información, siendo devuelta la carta por el servicio de Correos, figurando “Ausente reparto” y no habiendo sido retirada por el titular en el plazo establecido para ello. 3º Que intentada la notificación del acuerdo de inicio a la persona denunciada, no se pudo realizar la misma. 4º Consta notificado mediante su publicación en el Boletín Oficial del Estado y su exposición en el Tablón de Anuncios del Ayuntamiento de Almuñécar. 5º No han efectuado alegaciones al acuerdo de inicio del procedimiento sancionador PS/00152/2013 por parte del denunciante FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 II El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, D. A.A.A. manifestó a la Guardia Civil que los documentos encontrados eran de su propiedad, por lo tanto debe considerarse como responsable del tratamiento de dicha documentación por lo que está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD IV El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada procedente de esa entidad entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentariamente. Los hechos, que traen causa en este procedimiento, derivan de la localización el día 13/6/12 en un solar urbano en Almuñécar de unos vertidos. Dicho solar se encontraba semi cerrado por una valla estando en parte derribada por lo que cualquier persona podía acceder al mismo. Junto a diverso material de obra se encontraban unos 2,5 metros cúbicos de documentos. Se entregó a la Guardia Civil dos carpetas representativas de los citados documentos, considerándose que se tratan de documentos personales y empresariales de alguna empresa inmobiliaria o constructora/promotora, sobre compra-venta de inmuebles, con DNI, cuentas bancarias, nominas, escrituras públicas de viviendas, vidas laborales, contratos compra-venta. La Guardia Civil se personó en dicho solar al que se accede por un camino de tierra que se encuentra cerrado con una valla con un candado. Sin embargo en su perímetro se localizó una valla tirada en el suelo por donde podía acceder cualquier viandante. Se observo una caja de madera completa de carpetas de documentación similares a los entregados por la policía local. Ante estos hechos debe tenerse en cuenta lo establecido tanto en el artículo 106 del RD 1720/07 de desarrollo de la LOPD que establece: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo. “ Y el art 92.2, 3 y 4, (de aplicación a los ficheros no automatizados en virtud de lo establecido en el artículo 105), que disponen: “2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” En conclusión, es de aplicación lo dispuesto en artículo 92.4 que regula las obligaciones que tendrán que aplicarse cuando vaya a desecharse cualquier documento o soporte que contenga datos personales. Estableciéndose, aunque no se definen en concreto las medidas, que serán aquellas que eviten el acceso a la información contenido en los mismos, así como su posible recuperación posterior. En este caso, la aparición de documentación con datos de carácter personal que aun cuando se encontraba en un solar urbano, al estar parte del vallado derribado era de fácil acceso por un tercero se puede deducir que el denunciado, como responsable de la debida custodia de dicha documentación, no se observó la diligencia adecuada, ya que tenía que haberse adoptado las medidas necesarias que imposibilitaran la recuperación posterior de la misma. V El hecho constatado en el presente procedimiento, relativo al abandono de documentación conteniendo datos de carácter personal en un solar y accesible a terceros supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable de la misma. El artículo 44.3
- h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de la entidad denunciada se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales, pudieran ser vistos por un tercero, infracción que procede calificarla en el grado señalado. La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado. Tal es la interpretación que ha establecido la Audiencia Nacional en la sentencia de 6/02/08. Existe una obligación de resultado, que no se ha cumplido, pues documentación con datos de carácter personal procedente de la entidad denunciada se encontró si destruir, de lo que se desprende una falta de negligencia del responsable del tratamiento, obligado a implementar las medidas de seguridad. No obstante, deben tenerse en cuenta otros elementos que sirven para aminorar dicha responsabilidad. La necesidad de especial diligencia en la custodia de la documentación por parte del responsable y encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en diversas sentencias, en particular en la sentencia de 25/06/09, Rec. 237/2008, que manifiesta: “Es doctrina reiterada en esta Sala, SSAN, sec. 1ª, de 25/1/06 (re. 227/2004), 28/06/06 (Re. 290/2004), que “No basta con la aplicación formal de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 medidas de seguridad, pues resulta exigible que aquellas se instauren y pongan en práctica de manera efectiva…Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva la recurrente es, por disposición legal, una deudora de seguridad en materia de datos y puesto que es una deudora de seguridad en materia de datos es insuficiente, según se desprende la doctrina de la Sala que se acaba de exponer, con acreditar que se adoptaron una serie de medidas, pues dicha entidad también es responsable de que las mismas se cumplan y ejecuten con rigor.” VII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Para establecer la responsabilidad lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Se deben considerar las circunstancias acreditadas a lo largo del procedimiento que modulan la responsabilidad del denunciado, como son que se tratase de una persona física cuya actividad, en principio, no parece estar vinculada con la realización de tratamientos de datos de carácter personal, que se trata de un hecho puntual, y que la documentación fue retirada con celeridad como manifiesta la Guardia Civil en su escrito de denuncia, por lo que puede entenderse que se regularizó la situación irregular de forma diligente. Por tanto las anteriores circunstancias permiten que según lo establecido en el citado art. 45.5 pueda aplicarse la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, siendo procedente imponer, por la infracción imputada, una multa cuyo importe se encuentre entre 900 € y 40.000 €, En el presente caso, en aplicación de lo dispuesto en los apartados 45.5
- a)y
- b)y 44.4
- c)
- d)
- e)y
- f)procede imponer una multa de 2.000€ por la infracción del artículo 9 de la LOPD Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. A.A.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma, una multa de 2.000€ (dos mil euros de conformidad con lo establecido en el artículo 45.4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a DIRECCION GENERAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 DE LA GUARDIA CIVIL. (Comandancia de Granada) CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es