← España

PS-00152-2020

1/9  Procedimiento Nº: PS/00152/2020 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y ANTECEDENTES PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de quiebra de seguridad remitido por FUNDACION SINDROME 5P MENOS DE C.V. en el que informan a la AEPD de que los anteriores cargos directivos de Vicepresidencia y Secretaría que realizaban a su vez las funciones de responsables de la gestión y seguridad de la información, no han devuelto los documentos y dispositivos SEGUNDO: A la vista de la citada notificación de brecha de seguridad de los datos personales, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de brecha de seguridad: 10 de octubre de 2019 ENTIDAD INVESTIGADA FUNDACIÓN SÍNDROME 5 P MENOS DE C.V. (en adelante Fundación) con NIF G54272836, y con domicilio en Calle Calitxe nº 6, 03690 San Vicente del Raspeig, Alicante. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Con fecha 31 de octubre de 2019 se solicita información a la Fundación y de la respuesta recibida en fecha 14 de noviembre de 2019 se desprende: Respecto de la Fundación.  Tal y como consta en la web www.fundaciónsindrome5p.org, la Fundación es una organización sin ánimo de lucro bajo la tutela del Protectorado que ejerce la Generalitat Valenciana, que destina la totalidad de su patrimonio en ayudar e informar a familias con miembros afectados por un raro síndrome.  Con fecha 13 de diciembre de 2018 los cargos directivos de Secretario y Vicepresidente dimitieron de la Fundación ante notario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9  La Fundación ha aportado copia de las modificaciones de los Estatutos en donde consta -en el artículo 16- que la custodia de la documentación son funciones del Secretario. Respecto de los hechos y causas de la incidencia. Medidas de minimización de la incidencia  La violación de seguridad ha sido provocada porque los anteriores Secretario y Vicepresidenta de la Fundación no han devuelto los archivos informáticos, soportes, documentos, control de cuentas, etc., tras su dimisión como patronos de la Fundación en fecha 13/12/2018.  Se han denunciado los hechos ante el Juzgado de Instrucción de San Vicente del Raspeig el día 16 de julio de 2019 y se ha reclamado la documentación y datos personales a los denunciados en varias ocasiones, sin recibir contestación. La Fundación ha aportado copia de la denuncia ante el citado Juzgado donde se pone de manifiesto, entre otros aspectos, que los denunciados no han entregado toda la documentación faltando las historias clínicas de los niños, entre otros documentos. Respecto de los datos afectados.  La Fundación manifiesta que el número de afectados es de aproximadamente 220 personas y los documentos contienen datos personales de afectados (muchos de ellos menores) y familiares, diagnóstico clínico, grado de dependencia, nivel, situación económica familiar, números de cuenta, información de padres, hermanos y afectados.  La Fundación tiene constancia y ha aportado un correo electrónico al respecto, de que se ha utilizado el dato de correo electrónico para remitir correos a los asociados de la Fundación con posterioridad a la dimisión de los citados cargos directivos. El citado correo electrónico aportado tiene fecha de 14 de diciembre de 2018. Consta como cabecera del correo la siguiente: --------- Forwarded message ------From: A.A.A. <***EMAIL.1> Date: vie., 14 dic. 2018 12:45 Subject: DIMISION IRREVOCABLE A.A.A. Y B.B.B. DE FUNDACION SINDROME 5P To: A.A.A. <***EMAIL.1>, AA B.B.B. ***EMAIL.2  La Fundación ha aportado escrito dirigido a los socios de la Fundación, de fecha 15 de octubre de 2019, comunicándoles de que se ha producido una incidencia de violación de la seguridad de los datos como consecuencia de que los anteriores patronos de la Fundación -con cargos de Vicepresidenta y Secretario- no han hecho entrega de los documentos que custodiaban tras su dimisión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Respecto de las acciones tomadas para la resolución final de la incidencia o para minimizar su impacto.  Con fecha 23 de octubre de 2019 se ha remitido un burofax a los antiguos cargos directivos instándoles a devolver la documentación aprovechando la respuesta a una solicitud de supresión de datos. En dicho burofax, aportado por la Fundación, figura que los datos de los afectados han sido bloqueados conforme a la Ley Orgánica 3/2018, de 5 de diciembre, a excepción de aquellos tratamientos para cumplir una obligación legal y para la formulación, ejercicio o defensa de reclamaciones. Asimismo, figura que la supresión de datos de la Fundación obrantes en las plataformas de YouTube e Instragram no se ha podido realizar ya que fueron publicados por ellos mismos cuando ostentaban los cargos de Vicepresidenta y Secretario, por lo que la Fundación no dispone de las claves para la gestión de dichas plataformas, aunque han solicitado a las mismas el control de los perfiles y poder suprimir los datos personales solicitados. Por último, en el burofax remitido figura. “Aprovecho la ocasión para instarles que entreguen cualquier documentación, soportes y equipos que aún conserven de la Fundación y les recuerdo que cualquier tratamiento de datos que hagan con ellos, incluso su mera conservación, carece de cualquier base jurídica que lo legitime”. La Fundación manifiesta que ninguna convocatoria y burofaxes han sido recogidos y aporta Certificado del Servicio de Correos de los intentos de entrega del burofax de fecha 23 de octubre de 2019. Respecto de las medidas de seguridad implantadas con anterioridad a la incidencia  La Fundación manifiesta que todos los empleados firman una cláusula confidencialidad y aportan modelo al respecto, indicando que no disponen de los documentos firmados al no haber sido devueltos a la Fundación. Asimismo, aportan las cláusulas de confidencialidad anexas a los contratos de trabajo adaptados al RGPD.  La Fundación ha aportado copia del Documento de Seguridad, donde se indican, entre otras, las funciones y obligaciones de los usuarios. Respecto de las medias implementadas con posterioridad a la incidencia.  La Fundación manifiesta que se han adoptados nuevas medidas al no disponer de los documentos: o Designación de un Delegado de Protección de Datos. o Renovación de los documentos de confidencialidad y política de seguridad de la información conforme al RGPD y LOPDGDD. o Realización de copias de seguridad que garantizan la disposición de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 o Revisión de procedimientos de actuación ante quiebras de seguridad. o Implantación de revisiones periódicas de seguridad. TERCERO: Con fecha 17 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACION SINDROME 5P MENOS DE C.V. por la presunta infracción del artículo 33 del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del citado RGPD, calificada como leve a efectos de prescripción en el artículo 74.

  1. m)de la LOPDGDD. CUARTO: Con fecha 16/06/2020 se notificó el acuerdo de inicio a FUNDACION SINDROME 5P MENOS DE C.V., que no presentó alegaciones. HECHOS PROBADOS PRIMERO: Tras la dimisión del Secretario y Vicepresidenta de la Fundación en fecha 13/12/2018, no han devuelto los soportes informáticos que contenían datos personales objeto de tratamiento por la Fundación en calidad de responsable. SEGUNDO: Los hechos se denunciaron ante el Juzgado de Instrucción de San Vicente del Raspeig el día 16/07/2019 reclamándose la documentación y datos personales en poder del Secretario y Vicepresidenta de la Fundación desde su dimisión. TERCERO: Con fecha 10/10/2019 la Fundación notificó a la AEPD la brecha de seguridad: FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Las fundaciones se rigen por la Ley 50/2002 y establece, en cuanto a su creación, que pueden crearse tanto de forma privada o por parte de la iniciativa pública. En el presente caso, la Fundación consta como fundación sujeta a derecho privado según figura los propios estatutos fundacionales. III El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9
  2. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; El Considerando 148 del RGPD señala lo siguiente: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” El artículo 33 del RGPD, Notificación de una violación de la seguridad de los datos personales a la autoridad de control, establece que: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo:
  3. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
  4. b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
  5. c)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
  6. d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo”. Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en el artículo 73 de la LOPDGDD, a efectos de prescripción califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  7. r)El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. Los hechos puestos de manifiesto en la notificación de la brecha de seguridad en los sistemas de información de la Fundación y de la investigación llevada a cabo por la AEPD, vulneran el citado artículo 33 del RGPD. IV El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable del tratamiento aplicará medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Al respecto, la Fundación ha aportado un documento de seguridad actualizado al RGPD y LOPDGDD en donde figuran las medidas técnicas y organizativas adoptadas entre las que consta, entre otras, la cláusula de confidencialidad que en su momento suscribieron los anteriores directivos. En este sentido, se debe señalar que de la documentación obrante en el expediente no se acredita la autoría de la supuesta sustracción de los equipos informáticos, soportes con datos personales ni tampoco que los exdirectivos denunciados hayan hecho uso de los datos personales que contenían toda vez que de la cabecera del correo electrónico aportada no se infieren estas circunstancias. En concreto, se trata de un correo electrónico <reenviado> (Forwarded message), con origen <From: A.A.A. <***EMAIL.1> y destinatario <To: A.A.A. <***EMAIL.1>, AA B.B.B. ***EMAIL.2>, que si bien el contenido hace alusión a los motivos de la dimisión, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 ningún momento consta acreditado tratamiento alguno de datos de asociados o afectados de la Fundación ni origen ni destino a otras personas ajenas a ellos mismos. Regula también el citado artículo que las violaciones de seguridad que puedan suponer un riesgo para los derechos y libertades de las personas físicas deben notificarse a la autoridad de control competente, circunstancia que se cumpliría en este caso toda vez que los datos supuestamente sustraídos pertenecen a la categoría de datos regulada en el artículo 9.1 del citado RGPD (Tratamiento de categorías especiales de datos personales). El artículo 33 del RGPD establece de forma explícita que las brechas de seguridad, siempre que se vean afectados datos de carácter personal e implique un riesgo alto para los derechos y libertades de las personas físicas, deben notificarse por el responsable del tratamiento en el plazo de 72 horas después de que haya tenido constancia de ella a la Autoridad de Control (AEPD). En el presente caso, consta que la Fundación tuvo conocimiento del incidente de brecha de seguridad en diciembre de 2018, denunció los hechos ante el Juzgado en fecha 16 de julio de 2019 y no notificó la brecha de seguridad hasta el 10 de octubre de 2019. De conformidad con lo que antecede, la Fundación es responsable de la infracción del artículo 33 del RGPD, tipificada en el artículo 83.4 del RGPD, calificada como leve a efectos de prescripción en el artículo 74.
  8. m)de la LOPDGDD y sancionable con apercibimiento al no apreciar intencionalidad, ser una fundación sin ánimo de lucro y no constar la existencia de infracción previa V El artículo 74.
  9. m)de la LOPDGDD señala: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  10. m)La notificación incompleta, tardía o defectuosa a la autoridad de protección de datos de la información relacionada con una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679”. El artículo 70.1 de la LOPDGDD señala los sujetos responsables. “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  11. a)Los responsables de los tratamientos”. VI En el presente caso, en atención a que la Fundación es una organización sin ánimo de lucro bajo la tutela del Protectorado que ejerce la Generalitat Valenciana, que destina C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 la totalidad de su patrimonio en ayudar e informar a familias con miembros afectados por un raro síndrome, no se aprecia intencionalidad ni reincidencia, se considera conforme a derecho no imponer sanción consistente en multa administrativa y sustituirla por la sanción de apercibimiento de conformidad con el artículo 76.3 de la LOPDGDD en relación con el articulo 58.2
  12. b)del RGPD. Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a FUNDACIÓN SÍNDROME 5 P MENOS DE C.V., con NIF G54272836, por una infracción del Artículo 33 del RGPD, tipificada en el Artículo 83.4 del RGPD, calificada como leve a efectos de prescripción en el art 74.
  13. m)de la LOPDGDD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a FUNDACIÓN SÍNDROME 5 P MENOS DE C.V. con NIF G54272836, y con domicilio en Calle Calitxe nº 6, 03690 San Vicente del Raspeig, Alicante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  14. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.