← España

PS-00164-2015

1/12 Procedimiento Nº PS/00164/2015 RESOLUCIÓN: R/02265/2015 En el procedimiento sancionador PS/00164/2015, instruido por la Agencia Española de Protección de Datos a la entidad BULL ESPAÑA, S.A., vista la denuncia presentada y en base a los siguientes: ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 3/4/14, escrito presentado por el Servicio de Protección de la Naturaleza de la Comandancia de la Guardia Civil de Madrid (en adelante PACPRONA), y subsanación del mismo con fecha 20/5/14, con los que adjuntan dos Actas, dos informes fotográficos y diverso material relativo a residuos urbanos que se han encontrado en el término municipal de San Sebastián de los Reyes. Se ha aportado la Acta del PACPRONA de fecha 10/3/14 en la que constan los hechos denunciados. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/2683/2014. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 23/1/15 TERCERO Por parte del Director de la Agencia Española de Protección de Datos se Acordó, con fecha 26/3/15, iniciar procedimiento sancionador la presunta infracción de los artículos 9 y 10 de la LOPD CUARTO: Se presentaron, por parte de la entidad denunciada, escrito de alegaciones al Acuerdo de Inicio, manifestando, en síntesis, lo siguiente: Sobre los hechos Que no se ha producido un tratamiento de datos de carácter personal puesto que los residuos encontrados no contienen datos de carácter personal incluidos en un fichero Sobre la ausencia de culpabilidad de Bull Que dicho vertido fue causado por las empresas contratadas para reformar las oficinas que claramente incumplieron un contrato de servicios con Bull sin conocimiento de esta. BULL había adoptado todas las medidas de diligencia debida exigibles para la protección de los datos de carácter personal y para la adecuada destrucción de los datos que desecharan Sobre la existencia de un concurso medial que implicaría que, en todo caso, se ha cometido una sola infracción Concurrencia de los requisitos exigidos en el art. 45.6 para la realización de un apercibimiento * Se ha regularizado la situación de forma diligente puesto que una vez comunicado el hallazgo de la documentación se procedió inmediatamente a retirar los escombros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 * Existe una cualificada disminución de la culpabilidad o de la antijuricidad del hecho -- se trata de un hecho puntual -- Que en caso que se considerada que existe un tratamiento este sería muy reducido -- No ha habido beneficios -- Falta de intencionalidad -- Ausencia de reincidencia -- No se ha producido ningún perjuicio a los sujetos titulares de los supuestos datos -- Que tenía implantados procedimiento adecuados de actuación en la recogida y tratamiento de los datos de carácter personal con anterioridad a los hechos Aplicación subsidiaria de los artículos 45.4 y 45.5 QUINTO: Con fecha 27/5/15 por el instructor del expediente se abrió periodo de prácticas de pruebas incorporando al expediente la denuncia interpuesta, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02683/2014. Además se incorporaron al expediente los documentos aportados por BULL en el escrito de alegaciones. SEXTO: Por el instructor del procedimiento se dictó, con fecha, 13/7/05 la siguiente propuesta de resolución: <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a BULL ESPAÑA con multa de 4.000 € (cuatro mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma. >>>>> SEPTIMO: Por parte de la entidad denunciada se han presentado, con fecha 31/7/15, las siguientes alegaciones – en síntesis – a la propuesta de resolución: * Que no existe tratamiento de datos de carácter personal puesto que los residuos encontrados no contienen datos de carácter personal incluidos en un fichero * Se ratifican en las alegaciones remitidas en su día ante el Acuerdo de Inicio. * Subsidiariamente aplicación de los artículos 45.4 y 5. HECHOS PROBADOS 1º Consta escrito presentado por el Servicio de Protección de la Naturaleza de la Comandancia de la Guardia Civil de Madrid (en adelante PACPRONA), en los que adjuntan dos Actas, dos informes fotográficos y diverso material relativo a residuos urbanos que se han encontrado en el término municipal de San Sebastián de los Reyes. 2º Consta Acta de Pacprona, de fecha 10/3/14 en la que se manifiesta lo siguiente: <<<<< * Que se encuentra en la localidad de San Sebastián de los Reyes dos montones de residuos, consistentes en material de oficina, provenientes de una reforma, que por la documentación se identifica a la empresa BULL ESPAÑA, S.A. Que puestos en contacto con un responsable de la citada empresa que se identifica como A.A.A. confirma que los residuos provienen de su empresa. Que manifiesta que la empresa contratada para la reforma es ON LINE RETAIL, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 * Que puestos en contacto con la responsable de la empresa ON LINE RETAIL, S.L. participa que subcontrataron a la empresa POSTVENTA INTEGRAL DEL MOBILIARIO, S.L. (en adelante POSIMOB) para gestionar los contenedores de residuos y escombros generados por la reforma Se aportan dos reportajes fotográficos, de las dos zonas donde se han encontrado los residuos, con un total de 22 fotogramas, en los que se observan, entre otros, diversos documentos (no legibles), tarjeteros, cajas de dispositivos informáticos, etc. En algunos de ellos se aprecia el nombre y anagrama de la empresa BULL y entre el etiquetado del material se observan los siguientes textos: -- En una funda de plástico de un soporte informático: B.B.B. backup, hiperkids: aplicación, documentación, correo electrónico: 18 de diciembre de 1998. -- En un diskette: de BANESTO a SERVIACCESO, S.A.: fecha 12 de enero de 1999. -- En una caja: despacho C.C.C.: fecha traslado 31/01/14 -- En una caja: D.D.D.: fecha traslado 10/01/14, BULL. BULL. * También indican en su escrito el PACPRONA que aportan dos bolsas que contienen en su interior 195 disquettes, 5 cintas y tres tarjetero >>>>> 3º Del análisis de los soportes informáticos remitidos por el PACPRONA a la AEPD se deduce que contenían la siguiente información: -- Tres tarjeteros y la portada de un cuarto con tarjetas de visitas algunas con anotaciones manuscritas. -- Cinco: data cartridge tape con los siguientes etiquetados: Todo 1996 Año 95 completo 3/1/96 BACKUP SERVIDOR año 95 completo 3/1/96 Tesorería 96 2/1/97 Backup Ester C: 2/1/97 No ha sido posible verificar el contenido de los citados soportes debido a su antigüedad y de que no se dispone de dispositivos para su lectura. -- Siete: magneto optical disk rewritable con los siguientes etiquetados: Jorge backup 22/10/98 E.E.E.21/12/98 F.F.F. backup 2/2 30/11/98 G.G.G. backup 17/12/98 3 sin etiquetar que podrían no haber sido utilizados No ha sido posible verificar el contenido de los citados soportes debido a su antigüedad y de que no se dispone de dispositivos para su lectura. -- “178” diskettes DOS format 3 ½” almacenados en 8 cajas con anagrama BULL y 9 paquetes que a continuación se detallan: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 ---- “3” cajas con 42 diskettes, etiquetadas “J.R. backup 1 al 14”, “J.R. 15 al 28”, “J.R. 29 al 42”, fecha 9-5-95, todos ellos de la marca BULL. Se ha verificado por parte de la Inspección de Datos que el diskette nº 1 tiene dos ficheros etiquetados: backup.001 y control.001 y el diskette nº 41 contiene dos ficheros etiquetados: backup.041 y control.041 ambos de fecha 9/5/1995 que no ha posible leer su contenido, se adjunta impresión como documento nº 1 adjunto a la Diligencia de fecha 22 de enero de 2015. ---- “2” cajas con 22 diskettes etiquetados “12” al “22” y del “23” al “33”, todos ellos de la marca BULL. ---- “1” caja con 14 diskettes, de ellos 12 de la marca BULL, etiquetados “novell” que podrían contener el producto informático con dicha denominación. ---- “1” caja, etiquetada “backup directorios micro Esther 3/12/93”, con 12 diskettes, de ellos 7 de la marca BULL, etiquetados “bankinter”, “infobanc”, “banesto”, “santande”, “bbv”, etc. ---- “1” caja etiquetada “backup cibsa 91 03/12/93”, con 15 diskettes, todos ellos de la marca BULL, etiquetados “cibsa 1”….”cibsa 15”. ---- “1” paquete con “10” diskettes, 4 de la marca BULL y que a continuación se detallan: ---- “3” diskettes etiquetados “comunicaciones Aviron”: se ha verificado por parte de la Inspección de Datos que contienen tres relaciones de empresas y de “50” personas físicas con nombre y apellidos, cuya impresión se adjunta como documento nº 2 adjunto a la Diligencia de fecha 22 de enero de 2015. ---- “1” diskette etiquetado “avales”: se ha verificado por parte de la Inspección de Datos que contiene tres ficheros denominados: “avales2.xls” 24/1/1995, “jungle.ad” 6/10/1993 y “sorcerer.ad” 6/10/1993. El primer archivo contiene información de “1596” entidades y asociadas a ellas, en algunos casos, iniciales del nombre y primer apellido de una persona física. El segundo y tercer fichero no han podido ser leído. Se adjunta impresión documento nº 3 adjunto a la Diligencia de fecha 22 de enero de 2015. ---- “1” diskette etiquetado “copia cibsa año 1990 –I-“: se ha verificado por parte de la Inspección de Datos que se encuentra grabado en un formato que no ha sido posible su lectura. ---- “1” paquete con “10” diskettes, 4 de la marca BULL y que a continuación se describen: --- “1” diskette etiquetado “copia recibos cobro desde 09/99“: se ha verificado por parte de la Inspección de Datos que no contiene datos personales y que podría corresponder a información relativa a contabilidad. ---- “1” diskette etiquetado “poderes BULL historia año 1995”: no ha sido posible su lectura por parte de la Inspección de Datos por estar bloqueado ya que posiblemente tenga contraseña. ---- “1” diskette etiquetado “empresa”: soporte deteriorado. ---- “1” paquete con “7” diskettes, 6 de la marca BULL, etiquetados “concept 1993 09/01/95 -1-“, “concept 1993 09/01/95 -2”, “concept 1993 09/01/95 -3”, “copia seguridad CIBSA 1991”, etc. ---- “1” paquete con “10” diskettes, 8 de la marca BULL, y que a continuación se describen: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 ---- “1” diskette etiquetado “tesorería ferran”: se ha verificado por parte de la Inspección de Datos que no contiene datos personales y que podría corresponder a información relativa a contabilidad. ---- “1” paquete con “10” diskettes, 6 de la marca BULL, y que a continuación se describen: ---- “1” diskette etiquetado “nominas comunicaciones aviron”: se ha verificado por parte de la Inspección de Datos que contiene dos ficheros y en uno de ellos figura una relación de empresas y “19” personas físicas con nombre y apellidos, cuya impresión se adjunta como documento nº 4 adjunto a la Diligencia de fecha 22 de enero de 2015.. ---- “1” diskette etiquetado “tesorería”: se ha verificado por parte de la Inspección de Datos que no contiene datos personales y que podría corresponder a información relativa a contabilidad. ---- “1” paquete con “10” diskettes, 2 de la marca BULL, etiquetados “DE BANESTO A SERVIACCESO S.A. 04-01-99”, “DE BANESTO A SERVIACCESO S.A. 07-01-99”, “DE BANESTO A SERVIACCESO S.A. 08-01-99” “DE BANESTO A SERVIACCESO S.A. 09-01-99”, etc. Se ha verificado por parte de la Inspección de Datos que los dos primeros diskettes contienen datos de contabilidad numéricos en formato hoja de cálculo (xls). ---- “1” paquete con “10” diskettes, 5 de la marca BULL, etiquetados “DE BANESTO A SERVIACCESO S.A. 19-01-99”, “AVALES 11/02/02”, etc. ---- “1” paquete con “6” diskettes, todos de la marca BULL, etiquetados “copia s.os. CIBSA año 1989 -1-“, “copia s.os. CIBSA año 1989 -2-“, “copia s.os. CIBSA año 1989 -3-“, “copia s.os. CIBSA año 1989 -4-“, etc. --“1” paquete con “10” diskettes, “6” de la marca BULL, y que a continuación se describen: ---- “1” diskette etiquetado “copia cc nominas”: Se ha verificado por parte de la Inspección de Datos que contiene varios ficheros en formato ejecutables de aplicaciones de versiones antiguas (32 bits). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD II El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  2. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento …...
  3. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento …… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, BULL ESPAÑA S.A. es responsable de los ficheros y tratamientos, derivados de su actividad laboral, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. Por su parte, el artículo 3
  4. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para interpretar cuándo ha de considerarse que nos encontramos ante un dato de carácter personal esta Agencia ha venido siguiendo el criterio sustentado por las distintas Recomendaciones emitidas por el Comité de Ministros del Consejo de Europa, en las que se indica que la persona deberá considerarse identificable cuando su identificación no requiere plazos o actividades desproporcionados. Queda fuera de toda duda que tanto el nombre y apellidos, como la dirección son datos de carácter personal, siendo en todo caso suficientes para considerar que por parte de la entidad denunciada se ha infringido lo dispuesto en la LOPD. Debe tenerse en cuenta la definición de documento, que establece el artículo 5.2.f del Reglamento de desarrollo de la LOPD como “todo escrito, gráfico, sonido, imagen o cualquier clase de información como una unidad diferenciada”, la documentación encontrada en la vía pública entra en la consideración de documento de trabajo, incorporando información derivada de un fichero automatizado, que contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros.: En consecuencia la norma establece una equivalencia entre registro en soporte físico y fichero aunque, si bien, para que una actuación manual sobre datos personales (recogida, grabación, conservación, elaboración, modificación, bloqueo ...) tenga la consideración de “tratamiento de datos” sujeto al sistema de protección de la Ley Orgánica 15/1999 es necesario que dichos datos estén contenidos o destinados a ser incluidos en un fichero, esto es, en un conjunto estructurado u organizados de datos con arreglo a criterios determinados. Si no es así, el tratamiento manual de datos personales quedará fuera del ámbito de aplicación de la ley, no será un “tratamiento de datos personales” según el concepto normativo que la ley proporciona. En el caso que nos ocupa de la inspección de la documentación recuperada que se analizó en el informe E/2683/14 ha quedado acreditada, al menos, la existencia de “1 diskette etiquetado “nóminas comunicaciones aviron” se ha verificado por parte de la inspección de datos que contiene dos ficheros y en cada uno de ellos figura una relación de empresas y 19 personas físicas con nombres y apellidos (cuya impresión se ha adjuntado). Por consiguiente son datos contenidos y derivados de un fichero automatizado por lo que la LOPD resulta plenamente de aplicación al supuesto examinado. Debe tenerse en cuenta, en contestación a la alegación planteada relativa a que no existe, en el caso que nos ocupa, tratamiento de datos de carácter personal, que en lo relativo a ficheros manuales es preciso tener en cuenta el considerando 27 de la propia Directiva que dispone lo siguiente: “Considerando que la protección de las personas debe aplicarse tanto al tratamiento automático de datos como a su tratamiento manual; que el alcance de esta protección no debe depender, en efecto, de las técnicas utilizadas, pues lo contrario daría lugar a riesgos graves de elusión; que, no obstante, por lo que respecta al tratamiento manual, la presente Directiva sólo abarca los ficheros, y no se aplica a las carpetas que no están estructuradas; que, en particular, el contenido de un fichero debe estructurarse conforme a criterios específicos relativos a las personas, que permitan acceder fácilmente a los datos personales; que, de conformidad con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 definición que recoge la letra c)del artículo 2, los distintos criterios que permiten determinar los elementos de un conjunto estructurado de datos de carácter personal y los distintos criterios que regulan el acceso a dicho conjunto de datos pueden ser definidos por cada Estado miembro; que, las carpetas y conjuntos de carpetas, así como sus portadas, que no estén estructuradas conforme a criterios específicos no están comprendidas en ningún caso en el ámbito de aplicación de la presente Directiva.” Consecuentemente con lo previsto en la Directiva, el criterio seguido para dilucidar si nos encontramos ante un fichero manual o no automatizado y, por ello, sujeto a las previsiones de la normativa de protección de datos, parte de la necesidad de que los datos sean objeto de una organización sistemática, con arreglo a criterios que permitan la búsqueda de los mismos a partir de los datos personales de una determinada persona, así en el Reglamento de desarrollo de la Ley Orgánica 15/1999, ha aportado, a efectos de clarificación del ámbito objetivo de dicha Ley Orgánica un concepto de fichero no automatizado. Nos encontramos así en su artículo 5.1 letras
  6. k)y
  7. n)ante las siguientes definiciones: “Fichero: Todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” “Fichero no automatizado: todo conjunto de datos de carácter personal organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica.” Por consiguiente, y en lo que al presente supuesto se refiere, siendo la existencia de un fichero consustancial al régimen de protección de datos, en la medida en que el listado encontrado permite una fácil identificación de las personas allí relacionadas se pueden considerar como parte de un archivo estructurado siendo la LOPD de aplicación al presente caso. IV El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Sintetizando las previsiones legales puede afirmarse que:
  8. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  9. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  10. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  11. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El art. 92.4 del citado Reglamento de desarrollo de la LOPD (RLOPD) dispone lo siguiente: “Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior” Este artículo regula las obligaciones que tendrán que aplicarse cuando vaya a desecharse cualquier documento o soporte que contenga datos personales, estableciéndose que deberá procederse a su destrucción o borrado. No se definen cuáles son esas medidas, pero en cualquier caso, se establece que serán aquellas que eviten el acceso a la información contenida en los mismos, así como su posible recuperación posterior Según el relato de los hechos, consta que el día 10/03/14 se localizó por la Guardia Civil, (Pacprona Madrid Norte) en un descampado en la localidad de San Sebastián de los Reyes, dos montones de residuos, consistentes en material de oficinas, provenientes de una reforma en las oficinas de la empresa BULL ESPAÑA. Entre la documentación recuperada existían disketes y documentación con datos de carácter personal (nombre y apellidos de personas físicas). Siendo responsable de la custodia de dicha documentación, o de su destrucción con el fin de no ser recuperada por terceros, la empresa denunciada, que debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Esta necesidad de especial diligencia en la custodia de la documentación tanto por el responsable como por el encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor” La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado. Existe una obligación de resultado, que no se ha cumplido, existiendo una falta de negligencia del responsable del tratamiento, debiéndose valorar positivamente la existencia de dichas medidas e instrucciones implementadas, y que se trate de un hecho puntual, El artículo 44.3
  12. h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de la entidad denunciada se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos de carácter personal, cuya custodia era responsabilidad de esa entidad, acabaran siendo recuperados. V Debe precisarse que los hechos acreditados, por el contra, no suponen una vulneración del art. 10 de la LOPD que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Ahora bien la obligación impuesta por el artículo 10 debe entenderse como una obligación de resultado, donde lo relevante, tal como lo ha entendido la Audiencia Nacional, entre otras en la sentencia de 18/06/09, es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto), que exista o no una omisión de las medidas de seguridad. En el caso que nos ocupa, aun cuando a entidad denunciada es responsable de la custodia de la documentación relativa a su actividad laboral, la documentación fue recuperada y retirada por la Guardia Civil pero no se puede considerar que fuera revelada a terceras personas vulnerando así el deber de secreto. Entendiéndose así que no se ha producido vulneración del artículo 10 por parte de la denunciada. VI El artículo 45 apartados 2,4 y 5 de la LOPD estipula: “3. Las infracciones graves serán sancionadas con multa de 60.101,21€ a 300.506,05 €. 4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. En primer lugar hay que tener en cuenta lo establecido en el art. 45.5, que trata de hacer efectivo hasta sus últimas consecuencias el principio de proporcionalidad, mediante la aplicación de la sanción correspondiente relativa a la escala inferior y ello cuando se aprecie disminución de la culpabilidad del imputado o de la antijuridicidad del hecho. Estos dos criterios no son sino criterios jurídicos indeterminados que deben concretarse en cada supuesto en el que se pretenda su aplicación. Debe tenerse en cuenta la interpretación establecida la Audiencia Nacional, en sus Sentencias, entre otras, de 24/05/2002 y 16/02/2005, “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos.” Valorando las circunstancias del presente caso donde se ha establecido, en los hechos probados, que se trató de un hecho puntual; que la entidad denunciada dispone de documento de seguridad y de medios técnicos y organizativos para salvaguardar la seguridad de los datos, que el abandono de dicha documentación se produjo en el proceso de reforma de las oficinas de la entidad que se había contratado con ON LINE RETAIL, y que en el contrato suscrito con la misma se detalla que “No constituye el objeto del contrato la gestión documental, así como el manejo, traslado y/o destrucción de documentación y ficheros, contenidos en cualquier soporte físico, digital o analógico” Debe entenderse, en conclusión, que operan dichas circunstancias atenuantes de la responsabilidad; aplicadas ya por esta Agencia, en otros procedimientos similares relativos a la localización en la vía pública de documentación con datos de carácter personal. Procediéndose además a retirar la documentación en cuanto tuvo conocimiento de los hechos denunciados. En segundo lugar, el art. 45.4 de la LOPD recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  13. a)la existencia de intencionalidad o reiteración,
  14. b)la naturaleza de los perjuicios causados,
  15. c)la reincidencia”. Pues bien teniendo en cuenta, la existencia de circunstancias atenuantes, como el escaso volumen de documentación con datos de carácter personal recuperada y la índole de la misma, permiten, que en este caso, se considere procedente imponer una la sanción en 4.000 euros, al haberse constatado una disminución cualificada de la culpabilidad. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BULL ESPAÑA, S.A., por una infracción del artículo 9 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 LOPD, tipificada como grave en el artículo 44.3.h de dicha norma, una multa de 4.000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BULL ESPAÑA, S.A., y a DG. GUARDIA CIVIL - PACPRONA MADRID-NORTE. TERCERO:. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.