1/13 Procedimiento Nº PS/00176/2013 RESOLUCIÓN: R/02664/2013 En el procedimiento sancionador PS/00176/2013, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, vista la denuncia presentada por POLICIA MUNICIPAL DE ALCORCON y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18/2/13 tiene entrada en esta Agencia un escrito de la POLICIA MUNICIPAL DE ALCORCON en el que se pone de manifiesto la aparición, el día 13 de febrero del 2013 sobre las 00:45 horas, de un gran número de documentación bancaria esparcida por la vía pública, en la confluencia de la A.A.A. de Alcorcón. Informan que los agentes procedieron a recoger toda la documentación sin que hubiese nadie a cargo de la misma o que manifestase estar bajo su responsabilidad, y que, tras clasificar la documentación en las dependencias policiales, se comprueba que ésta pertenece a la oficina bancaria con denominación “BANESTO” (oficina ****), sita en la calle D.D.D. de Alcorcón. Aportan la documentación original recogida de la vía pública en dos cajas, mediante las que se separan los documentos según se refieran a personas jurídicas o físicas SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/1208/2013 y concluyó la investigación con el informe de fecha 13/03/13 TERCERO Por parte del Director de la Agencia Española de Protección de Datos se acordó iniciar procedimiento sancionador la presunta infracción del artículo 9 de la LOPD al deducirse que, salvo prueba en contrario, Banesto no adoptó u observó las medidas técnicas y organizativas con la consecuencia que una documentación procedente de una sucursal apareciese en la vía pública. CUARTO: La entidad denunciada presentó escrito de alegaciones, acompañado de documentación, que se han valorado en la resolución de este expediente QUINTO: Con fecha 5/9/13 por el instructor del expediente se abrió periodo de prácticas de pruebas incorporando al expediente la denuncia interpuesta, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01208/2013. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por Banco Santander y la documentación que a ellas acompaña C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 SEXTO: Se ha dictado Propuesta de Resolución, notificada a la entidad denunciada, en la misma se propone que por parte del Director de la Agencia de Protección de datos se sancione a Banco Santander con 6.000 euros por la infracción del artículo 9 de la LOPD. SEPTIMO. Se ha presentado escrito de alegaciones por el representante de Banco Santander con fecha 08/11/03, reiterando las alegaciones ya realizadas, manifestando que los hechos enjuiciados se deben no a la falta de medidas de seguridad sino a la actuaciones negligente de un empleado de la empresa de limpieza. Se considera además que Banco Santander como entidad absorbente de Banesto no puede declararse responsable de la infracción ya que en virtud del art. 130.1 de la LRJPAC sólo pueden ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos. HECHOS PROBADOS 1º Consta informe/denuncia presentado por la Policía Municipal de Alcorcón, que tuvo entrada en esta Agencia el día 18/02/13 en relación a la localización el día 13/02/13, de un gran número de documentación bancaria esparcida por la vía pública, en la confluencia de la A.A.A. de Alcorcón. 2º Se manifiesta en dicho informe que los agentes procedieron a recoger toda la documentación sin que hubiese nadie a cargo de la misma o que manifestase estar bajo su responsabilidad, y que, tras clasificar la documentación en las dependencias policiales, se comprobó que ésta pertenece a la oficina bancaria con denominación “BANESTO” (oficina ****), sita en la calle D.D.D. de Alcorcón. 3º En la documentación recupera incluyen datos de personas físicas con las siguientes tipologías : nombre y apellidos, números de DNI, domicilios, teléfonos, saldos, recibos, vencimientos impagados, créditos hipotecarios, contratos de cuentas a plazo, ordenes de domiciliación de recibos, ingresos netos, datos patrimoniales y laborales, accionistas, fondos de inversión, entradas a dudoso, etc. 4º Consta Acta de Inspección (E/01208/2013) levantada, el día 7/3/13, en la oficina nº **** de BANESTO sita en el número C.C.C. de Alcorcón, Madrid. En el transcurso de la misma constan acreditados los siguientes hechos: 4.1 Que los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: - Los documentos mostrados por los inspectores se corresponden con documentación antigua que la sucursal **** de BANESTO ha utilizado para su actividad diaria. En concreto, los listados mostrados se corresponderían con relaciones de clientes emitidas por los servicios centrales de la entidad, y remitidos a la sucursal, al objeto de que ésta los utilice para la realización de campañas, seguimiento de riesgos, captación de clientes, control de vencimientos, etc. - La entidad tiene establecido un procedimiento de destrucción de la documentación bancaria de las sucursales. Dicho procedimiento consiste, para pequeña documentación diaria, en la utilización de destructoras de papel que existen en las oficinas de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 - Para mayores volúmenes de papel, existe un lugar especifico en el almacén de documentación de cada sucursal donde se almacena la documentación destinada a su destrucción, que es recogida por solicitud cursada por la propia sucursal o mediante una recogida ordenada por los servicios centrales con una periodicidad variable. - La recogida la efectúa la empresa de destrucción de papel EVENCIO NIÑO, S.A. con la que se tiene suscrito un contrato al efecto cuya copia se aporta. Dicha empresa entrega a la sucursal un albarán de recogida y entrega de contenedores cuando recoge la documentación, y emite un documento donde certifica que los documentos recogidos han sido íntegramente destruidos. - No consta ninguna solicitud de recogida de documentación efectuada por la sucursal **** en los últimos meses. - Por la fecha de la documentación mostrada por los inspectores, ésta debe ser documentación obsoleta procedente de una limpieza efectuada por el anterior director de la sucursal entre los días 6 y 8 de febrero de 2013, fechas en las cuales se produjo un cambio en la dirección de la sucursal. - El director actual de la sucursal manifiesta que vio las cajas conteniendo los documentos de la limpieza efectuada por el anterior director en el cuarto que la sucursal dispone habilitado de almacén, indicando que pudiera tratarse de la documentación que supuestamente ha aparecido en la vía pública. - Desconocen como la documentación puede haber llegado a la confluencia de las calles citada, ya que se encuentra alejada de la ubicación de la sucursal. No obstante, existe la posibilidad que dicha documentación haya sido arrojada a los contenedores de reciclaje de papel del Ayuntamiento ubicados al lado de la sucursal por el personal de limpieza del banco, al haber estado la documentación en el lugar del almacén donde se sitúan los objetos a retirar por el personal de limpieza, en vez del sitio especifico destinado a los documentos a retirar por el servicio de destrucción. - la entidad mantiene a disposición de los empleados de la entidad amplia información sobre las funciones y obligaciones del personal respecto de la normativa de Protección de Datos personales de los clientes, entre la que se encuentra referencia a la custodia y destrucción de la documentación en papel conteniendo datos de carácter personal. - Además, en los contratos de trabajo del personal de nueva incorporación se incluye una cláusula específica de Confidencialidad, recursos Tecnológicos y Protección de Datos ( VARI-228 ). - Además, BANESTO ha editado una “Guía básica de Seguridad de la Información” con fines formativos y divulgativos que explica mas amigablemente a los empleados los conceptos de Protección de Datos. Toda la documentación anterior se encuentra disponible para los empleados en la Intranet de la entidad. La entidad no ha tenido conocimiento hasta la presente inspección de la aparición en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 vía pública de documentación mencionada, por lo que no ha podido realizar ningún tipo de actuación al objeto de recuperar dicha documentación o intentar regularizar la situación. Por las mimas razones, no se ha realizado ninguna inscripción en el Registro de Incidencias.” 4.2 Los inspectores actuantes realizaron las siguientes comprobaciones habiendo solicitado el acceso al archivo o lugares de la oficina donde se almacena la documentación en papel. - Durante la visita se comprueba la existencia de dos destructoras de papel, la primera situada aproximadamente en el centro de la sucursal y la segunda en el almacén de documentación. - Se comprueba que la sucursal tiene armarios dotados de cerradura que según manifiestan los representantes de la entidad contienen la documentación de trabajo más reciente. - Se comprueba que la sucursal dispone de un almacén de documentación también dotado de puerta con cerradura. En dicho almacén existen diversas estanterías con documentación y un rincón diferenciado del almacén, en el que, según manifestaciones de los representantes de la entidad, se recoge la documentación destinada a su destrucción por el servicio contratado al efecto. 4.3 Los inspectores se desplazaron con los representantes de la entidad al lugar de la vía pública donde se encuentran los contenedores de recogida de papel del Ayuntamiento de Alcorcón, verificándose la existencia de un contenedor subterráneo con una boca en la superficie que imposibilita la recuperación del papel arrojado a él a no ser mediante un camión dotado de grúa que permita elevar el contenedor hasta la superficie. - Se realizó un reportaje fotográfico del contenedor que consta adjunto al acta de inspección. 4.4 Se solicitó a los representantes de BANESTO el acceso a la Intranet de la entidad, realizando las siguientes comprobaciones desde el puesto de trabajo ubicado en el despacho del director de la oficina: - Se verificó la publicación de la “Guía Básica de Seguridad de la Información”. - Se verificó la existencia de una serie de normativas internas de la entidad, entre las que se encuentra la denominada VARI-003, de datos de carácter personal, la denominada LOGI-024 de gestión de archivos, la mencionada VARI-228 de Confidencialidad, recursos Tecnológicos y Protección de Datos y la VARI-145, de “Protección de la Información”. 4.5 los inspectores de la Agencia solicitan a los representantes de BANESTO que les permitieran el acceso al fichero de clientes de la entidad, realizando comprobaciones sobre la muestra de documentos facilitados por la Policía Local de Alcorcón mostrados por los inspectores a los representantes de BANESTO al comienzo de la inspección. Para realizar las comprobaciones se escogió la primera persona que aparecía en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 documentos, realizando búsquedas en el sistema de información utilizando su nombre y apellidos, y obteniendo impresión del resultado de la búsqueda. De las dieciséis personas buscadas se encuentran datos sobre once de ellas. De las otras cinco personas no figuran datos asociados en el sistema de información, si bien, analizando los documentos donde se encuentran los datos, los representantes de BANESTO colaboraron en la inspección indicando en cada caso las posibles causas por las cuales no aparecen datos en el sistema de información: CASO 1: posiblemente se trate de una solicitud de subrogación de hipoteca que no llegó a efectuarse. CASO 2: el listado en el cual aparece la persona posiblemente se trate de una relación de clientes potenciales para su captación. CASO 3: existe la cuenta que figura en el documento si bien no se muestran los datos asociados al titular por estar bloqueados para el usuario. CASO 4: el listado en el cual aparece la persona es una relación de clientes sin recursos, es decir, de personas que mantienen productos pero con saldo cero. Debido a que el listado es de 1998, posiblemente el cliente ya ha sido cancelado. CASO 5: el listado en el cual aparece la persona es una relación de clientes que han obtenido regalos por la apertura de una cuenta y posiblemente no haya mantenido la relación con la entidad. 4.6 Que Examinada la normativa interna de BANESTO, así como el extracto del Documento de Seguridad aplicable a los ficheros de la entidad, se desprende lo siguiente: - La norma interna denominada VARI-003, de datos de carácter personal, incluye en su apartado “deber de secreto” una obligación a guardar y proteger los documentos conteniendo datos de carácter personal de los clientes, y en su caso asegurarse de su total destrucción. Se informa de la política de “mesas limpias”. - La norma interna denominada LOGI-024, de gestión de archivos, especifica la necesidad mantener el secreto bancario en la destrucción de documentación. Se especifican los documentos que no tiene sentido archivar, entre los que se encuentran los listados periódicos. Se indica que las listas, una vez cumplida su función, deberán destruirse. - La norma interna denominada VARI-228, de Confidencialidad, recursos Tecnológicos y Protección de Datos, especifica, entre otras obligaciones del personal, la de guardar secreto sobre los datos de los clientes. - La Guía básica de Seguridad de la Información, cita que “eres responsable de la adecuada destrucción de documentación confidencial. Verifica siempre que el procedimiento que utilizas tiene éxito”, así como que “El material físico (papel) debe ser destruido de forma irrecuperable”. - El documento de seguridad aplicable al fichero de clientes de la entidad recoge la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 gestión de documentación en papel. En cuanto a su destrucción especifica lo siguiente “Se dispone de destructoras de documentación a disposición de los empleados. Cada departamento del banco tiene accesible una destructora de documentación, siendo en algunos casos compartidas para varios departamentos. Con carácter excepcional, se podrán llevar a cabo destrucciones de documentación masivas (por ej. con motivo de una mudanza, reubicaciones de departamentos, obras en las instalaciones, expurgo de archivo, etc.). Para ello, con carácter general se procederá a la contratación de una empresa de destrucción externa. Para estos casos, se deben considerar los siguientes puntos: Toda destrucción de documentos realizada por personal externo al banco deberá estar regulada mediante contrato formal escrito, en el cual deben garantizarse las medidas de seguridad indicadas en el presente documento. El proveedor deberá avisar a la persona designada por el banco, con antelación de la recogida de documentación y proporcionar los datos identificativos del personal que realizará la retirada (al menos el nombre y el D.N.I.). Se podrá exigir que un representante del banco tenga la posibilidad de presenciar la destrucción y compruebe las condiciones en que ésta se realiza. Se debe exigir al proveedor un certificado de destrucción que deje constancia del método- utilizado y del resultado de la destrucción. En caso de ser posible, se incluirá este apartado en el contrato de prestación de servicios.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01208/2013, se determinó que, salvo prueba en contrario, Banesto omitió el deber de adoptar o de observar las medidas técnicas y organizativas que garantizasen las seguridad de la documentación procedente de una sucursal de dicha entidad y que fue recuperada en la vía pública. El representante de Banco Santander manifiesta, en síntesis, que la documentación recogida lo fue por la policía municipal, sin que pasase a manos distintas, y que una parte importante de dicha documentación concernía a sociedades y no a personas físicas. Se manifiesta así mismo que Banesto se encuentra integrado en Banco Santander como consecuencia de la fusión llevada a cabo mediante la absorción del primero por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 segundo. Se añade que por la forma en que se produjeron los hechos la documentación pudo ser arrojada a los contenedores de reciclaje de papel del Ayuntamiento, situados al lado de la oficina, por el personal de limpieza del Banco por haber colocado en el lugar del almacén donde se sitúan por dicho personal los papeles y objetos que se retiran que es distinto al contiguo al que llevan el destinado a ser destruido. Se alega que el sistema de seguridad ha funcionado correctamente desde su implantación y el hecho de que en el presente caso se haya producido los hechos denunciados se explica en función de un error humano que con toda probabilidad hay que atribuirlo al personal de limpieza, que es el servicio que recoge los documentos y objetos que deben retirarse y que inadvertidamente sin duda no colocó adecuadamente la caja con datos de clientes en el lugar que correspondía sino en el de las cosas a tirar a la basura. Se manifiesta que no puede admitirse que Banco Santander se convierte en responsable de una infracción que no ha cometido, ya que esto va en contra del carácter personalísimo de las infracciones sino de la exigencia de culpa como soporte de cualquier responsabilidad porque Banco Santander es una entidad absolutamente ajena a los hechos y a las circunstancias que se produjeron III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso Banesto ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD La existencia de un proceso de absorción de Banesto en el Grupo Santander implica que Santander es la sucesora de Banesto en sus derechos y obligaciones, formando las sanciones administrativas parte del pasivo del patrimonio que se transmite a la nueva sociedad, no implicando una extinción de la responsabilidad, si bien pueda aplicarse lo dispuesto en el art. 45.5
- e)de la LOPD que dispone que el órgano sancionador aplicará la escala inferior de sanciones cuando: “se haya producido un proceso de fusión por absorción y la infracción fuese inferior a dicho proceso, no siendo imputable a la entidad absorbente” IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 El Art. 7 Del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en los ficheros de la entidad bancaria. Siendo aquellas que deben ser adoptadas las calificadas de nivel medio, en atención al tipo de información sensible que se manejan las entidades financieras, y tal como se especifica en el art. 81.2d) del RD 1720/2007, de 21 de diciembre, (Reglamento de desarrollo de la LOPD). Al contrario de la normativa anterior, el Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Dentro de estas últimas, en lo referente al nivel medio, deben tenerse en cuenta las siguientes prescripciones: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo Artículo 107. Dispositivos de almacenamiento. Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal deberán disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptará medidas que impidan el acceso de personas no autorizadas. Artículo 108. Custodia de los soportes. Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 De los hechos probados en este procedimiento, se deduce que Banesto, en su calidad de responsable del tratamiento, no aplicó la diligencia necesaria en orden a la observancia de las medidas de seguridad, con la consecuencia que documentos procedentes de la sucursal que contenían datos de carácter personal fueran recuperados de un contenedor de basuras. En definitiva, como razón la Audiencia Nacional en la SAN de 25/01/06: “No basta entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y por supuesto, no basta con la adopción formal de las medidas de seguridad, pues resulta exigible que aquellas se instauren y pongan en práctica de manera efectiva” Debe tenerse en cuenta la definición de documento, que establece el artículo 5.2.f del Reglamento de desarrollo de la LOPD como “todo escrito, gráfico, sonido, imagen o cualquier clase de información como una unidad diferenciada”, la documentación encontrada en la vía pública procedente de ese Banco entra en la consideración de documento de trabajo, incorporando información derivada de un fichero automatizado, que contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Además el art. 92.4 del citado Reglamento dispone lo siguiente: “Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior” Este artículo regula las obligaciones, que tendrán que aplicarse cuando vaya a desecharse cualquier documento o soporte que contenga datos personales, estableciéndose que deberá procederse a su destrucción o borrado. No se definen cuáles son esas medidas, pero en cualquier caso, se establece que serán aquellas que eviten el acceso a la información contenida en los mismos, así como su posible recuperación posterior. V El art. 44.3.
- h)de la LOPD, califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” De acuerdo con los fundamentos anteriores, se deduce que por parte de Banesto, como entidad en ese momento responsable del tratamiento, no se prestó la diligencia necesaria en orden a la efectiva observancia de las medidas de seguridad, con la consecuencia que documentos provenientes de una sucursal que contenían datos de carácter personal fueran encontrados en un contenedor y al alcance de cualquier viandante. Sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada…sino que es necesario que se aprecie en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Debe tenerse en cuenta que el art. 45.5 trata de hacer efectivo hasta sus últimas consecuencias el principio de proporcionalidad y ello pues no sólo se permite aplicar en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 cada caso los criterios que resultan de la aplicación de los dispuesto en el art. 45.4, sino que permite que tras una primera tarea de acomodación de la multa al caso concreto se pueda producir una segunda valoración mediante la aplicación de la sanción correspondiente relativa a la escala inferior y ello cuando se aprecie,- por quien tiene la competencia para fijar la sanción, esto es el Director de la Agencia de Protección de Datos -, una disminución de la culpabilidad del imputado o de la antijuricidad del hecho Pues bien en este caso a pesar que se ha acreditado la existencia de una vulneración, por parte de la entidad denunciada del principio del seguridad de los datos establecido en el art. 9 de la LOPD, se deduce que ha existido una cualificada disminución de la culpabilidad basada en lo siguiente: * Se ha producido un proceso de fusión de Banesto en el Grupo Santander, siendo el hecho anterior a dicho proceso (art 45.5
- e)* Que se trata de un error puntual, constando que la entidad denunciada tenía implementadas distintas medidas técnicas y organizativas de cara a garantizar la seguridad de los datos, (art. 45 a)) Teniendo en cuenta lo anterior, y los criterios de graduación de las sanciones establecidos en el art. 45.4, que recoge el principio de proporcionalidad en la aplicación de las sanciones, se considera procedente imponer una multa de 6.000 euros, por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO SANTANDER, por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANCO SANTANDER y a POLICIA MUNICIPAL DE ALCORCON. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es