← España

PS-00191-2017

1/12 Procedimiento Nº: PS/00191/2017 RESOLUCIÓN R/02623/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00191/2017, instruido por la Agencia Española de Protección de Datos a la entidad SINDICAT DE MOSSOS D'ESQUADRA, y vistas las denuncias presentadas, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 26 de abril de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad SINDICAT DE MOSSOS D'ESQUADRA, mediante el Acuerdo que se transcribe: <<Procedimiento Nº: PS/00191/2017 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos en relación con la entidad SINDICAT DE MOSSOS D'ESQUADRA, y en base a los siguientes: HECHOS PRIMERO: Con fecha 19 de mayo de 2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar actuaciones previas de investigación en relación con la posible filtración de datos personales de unos 5.540 usuarios que presuntamente figuraban en ficheros titularidad del sindicato de policía SINDICAT DE MOSSOS D'ESQUADRA (en adelante SME), difundidos en Internet, en el Twitter oficial del sindicato SME, así como en otras redes sociales, y publicándose en diversos medios de comunicación. Los datos difundidos, entre otros, son: DNI, nombre y apellidos, TIP (tarjeta identificación policial), fecha de nacimiento, fecha de alta y baja, dirección postal de residencia, números de teléfono fijo y móvil, correo electrónico, condición de afiliado y número de cuenta bancaria. De igual modo, tuvieron entrada en esta Agencia diversas denuncias al respecto recibidas entre el 24 de mayo de 2016 y el 28 de diciembre de 2016 (denunciantes que quedan detallados en el correspondiente anexo). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 SEGUNDO: A la vista de la orden cursada de actuar de oficio y de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se realizó la investigación más abajo detallada. De esta manera, en el informe de actuaciones de investigación E/02667/2016 se detalla lo siguiente: 1. <<Los datos filtrados el 18/5/2016 constan en fichero aportado por uno de los denunciantes de fecha 14/06/2016. Véase entrada CD con nº registro ***REGISTRO.2. 2. De la inspección de 31/1/2017 se han recogido las siguientes manifestaciones del SME: El sindicato se escindió de la Confederación CC.OO. y ésta le traspasó la base de datos de afiliados con su aplicación de gestión. El servidor atacado se contrató a la empresa CONTROL ZETA que, a su vez, contrató el alojamiento en OVH, en el que estaba ubicada la página web, el campus de formación y la base de datos de afiliados. Tras el ataque el servidor se desconectó de Internet y se inmovilizó como prueba en el procedimiento judicial que se sigue en el Juzgado nº 33 de Barcelona. La gestión y mantenimiento de la web, el campus de alumnos y la aplicación web de afiliados no estaba formalizada por contrato escrito sino tácitamente con la empresa CONTROL ZETA, facturándose los servicios prestados uno a uno, según se iban adaptando a la seguridad y legislación aplicables. Con posterioridad al ataque, la empresa CONTROL ZETA montó en OVH un nuevo servidor con la web y el campus de alumnos, pero la aplicación de gestión de afiliados se recupera de una copia de seguridad, con autorización judicial, y se mantiene en modo local sin acceso a Internet, en la sede de SME. Para este nuevo servidor de la web y el campus se ha contratado a la empresa ZEED-SECURITY para la realización de auditorías de seguridad mensuales. Se aporta copia de las auditorías correspondientes a los meses de julio y agosto de 2016 y enero de 2017. Se aporta copia de Cierre de Proyecto con la empresa INFOREIN relativo a instalación de cortafuegos de 25/01/2017. 3. El documento de seguridad de 13/6/2016 referido a la base de datos de afiliados es aportado por SME en su escrito de 14/6/2016 como Doc. 1. No consta ninguna incidencia. 4. La investigación de las circunstancias que han motivado la quiebra de la confidencialidad ocurrida el 16 de mayo de 2016 y que ha dado lugar a la difusión pública el 18 de mayo, sin ningún tipo de restricción, en Internet, en la cuenta oficial de Twitter del Sindicato de Mossos d'Esquadra y redes sociales, de los datos personales de agentes del cuerpo de los Mossos d'Esquadra, se realiza por de la Unidad de Delitos Informáticos de los Mossos en coordinación con la Fiscalía de Delitos Tecnológicos y el Juzgado de Instrucción nº 33 de Barcelona, que han sido declaradas secretas. 5. Las Diligencias Previas ***DILIGENCIAS.1 del citado Juzgado se siguen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 por delito de descubrimiento y revelación de secretos, constando como investigados cuatro personas, según documento aportado por el Juzgado con nº de registro ***REGISTRO.1 de DD/MM/AA. 6. Tras producirse el ataque, en colaboración con la Dirección General de la Policía (DGP) se puso a disposición de todos los agentes del Cuerpo de Mossos d’Esquadra un teléfono de la Unidad de Ciberseguridad disponible 24h y un email de la DGP para que los agentes pudieran llamar y confirmar si estaban entre los afectados y qué datos se habían publicado. Paralelamente se ha procedido a realizar unas charlas informativas en las diferentes comisarías para informar a los afectados de las medidas de seguridad que tenían que adoptar, así como por parte de todos los delegados sindicales se ha dado atención telefónica a los afectados indicando las medidas (cambiar el número de teléfono móvil, cambiar las contraseñas de redes sociales y emails, avisar a la entidad bancaria y en su caso cambiar el número de cuenta, y en caso de detectar cualquier tipo de hecho anómalo informar inmediatamente al teléfono de DGP arriba indicado). Se adjunta copia del comunicado y su traducción. Mediante una diligencia de inspección se ha comprobado que las páginas web que contenían los supuestos datos filtrados están inaccesibles. 7. Como medidas adoptadas para evitar una nueva quiebra de confidencialidad, en el documento de seguridad se reflejan todas las medidas existentes actualmente: a. Bloqueo de la página web así como del campus y base datos de afiliados. b. A la base de datos de afiliados se puede acceder actualmente solo a través de un único ordenador que no tiene ninguna conexión a internet y cuyo acceso está restringido con contraseña de usuario del ordenador, teniendo cada usuario su propia contraseña de base de datos, cada una de las cuales se han modificado después del ataque. Durante la inspección realizada en la sede del SME el 31/1/2017 se ha comprobado este acceso. c. Contratación de empresa de adaptación a la LOPD. d. Revisión de todos los sistemas informáticos de seguridad implantados por el encargado del tratamiento: empresa CONTROL ZETA. Se adjunta informe de la empresa CONTROL ZETA con las medidas de seguridad implementadas (el original en catalán y el texto traducido). 8. El nº de personas afectadas fueron 5.540, principalmente miembros de los MOSSOS, según comunicado de prensa de 2/2/2017 de los MOSSOS sobre la detención de tres personas en relación con el suceso y la presentación de un cuarto investigado en dependencias policiales. En el mismo comunicado se refiere que el ataque ocurrido el 24/4/2016, se reivindicó el 17/5 y se difundió el 18/5. Véase diligencia de documentación. 9. Los datos de los afiliados y exalumnos estaban bloqueados en la base de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 datos (acceso restringido a una sola persona autorizada y prohibición de uso de los mismos). 10. El acceso a los datos de los exalumnos estaba restringido a una sola persona autorizada con usuario y contraseña. 11. Con los datos filtrados no se puede acceder a ninguno de los servicios de SME. 12. A fecha 14/6/2016 el SME no había recibido reclamación alguna. Los afectados solo pedían información y 40 afiliados han solicitado baja del sindicato. En este último caso, se les indica que se procederá a la cancelación de sus datos en 10 días, si bien estos se conservarán de conformidad a la LOPD, si bien bloqueados. Durante la inspección realizada en la sede del SME el 31/1/2017 se ha comprobado que:  El acceso a la página web y al campus de alumnos se realiza a través de Internet con protocolo https con usuario y contraseña de un miembro del sindicato. Se verifica que a la base de datos de alumnos, al introducir como criterio de búsqueda el nº de DNI de seis afectados seleccionados aleatoriamente se obtienen todos los datos de tres afectados. Durante la investigación se verifica que buscando por primer apellido de un cuarto afectado porque el DNI no coincide, se obtienen todos los datos en el fichero filtrado.  El acceso a la base de datos de afiliados es mediante un equipo sin conexión a Internet con usuario y contraseña, y se comprueba que al introducir como criterio de búsqueda el nº de DNI de otros seis afectados seleccionados aleatoriamente se obtienen todos los datos de los seis, cinco de ellos exafiliados y un afiliado. 13. Tras el ataque sufrido en la noche entre el 17 y 18 de mayo se procedió inmediatamente a presentar denuncia ante la comisaría de Mossos. Dicha denuncia ha recaído en el Juzgado de Instrucción nº 20 de Barcelona. Las actuaciones han sido declaradas secretas. 14. La empresa CONTROL ZETA (encargada del tratamiento) lleva dos años trabajando para el SME para el mantenimiento y asesoramiento periódico, así como control de las medidas de seguridad y ataques. Se adjunta copia de las facturas (de 1/9/2015 a 9/4/2016) e informes emitidos periódicamente (de 9/7/2015 a 1/9/2015) por la empresa CONTROL ZETA en la que se indica las gestiones de mantenimiento y asesoramiento que se realizaban, en el escrito de SME de 27/6/2016. 15. El contrato de mantenimiento entre SME y CONTROL ZETA es de 1/7/2016. Mediante una diligencia de inspección se ha comprobado que ya no están accesibles las páginas que contenían enlaces a los datos filtrados>>. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Los hechos expuestos podrían suponer la comisión por parte de SINDICAT DE MOSSOS D'ESQUADRA de una infracción del artículo 9, “Seguridad de los datos”, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), que señala que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Por otra parte, el artículo 88, “El documento de seguridad”, del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), establece que. “1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:

  1. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  2. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  3. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  4. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  5. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  6. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  7. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
  8. a)La identificación del responsable o responsables de seguridad.
  9. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. 5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo. 6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados. En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento. 7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. 8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal”. Asimismo, el artículo 93, “Identificación y autenticación”, del RLOPD dice que: “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. La infracción está tipificada como grave en el artículo 44.3.
  10. h)de dicha norma, que considera como tal: “Mantener los ficheros, locales, programas o equipos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”; pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. II Por otra parte, el artículo 12 de la LOPD, “Acceso a los datos por cuenta de terceros”, establece que: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. La infracción está tipificada como leve en el artículo 44.2.
  11. d)de dicha norma, que considera como tal: “La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley”; pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. III Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con el criterio que establece el artículo 45.5.b), dado que la entidad ha regularizado la situación irregular de forma diligente, pues el sindicato en cuanto tuvo conocimiento de los hechos procedió inmediatamente a desconectar los servidores de Internet. Procede, por lo tanto, imponer una multa por la infracción del artículo 9 de la LOPD, cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, pero pudiendo para sancionarse con el importe de una multa correspondiente a las infracciones leves. Por su parte, procede imponer una multa por la infracción del artículo 12 de la LOPD, cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción leve. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD, tomando en consideración el carácter continuado de la infracción, de manera especial, en la ausencia de documento de seguridad, así como en la ausencia del contrato previsto en el artículo 12 de la LOPD, pues se ha constatado que la gestión y mantenimiento de la web en cuestión no estaba formalizada por contrato escrito sino tácitamente con la empresa CONTROL ZETA (apartado 4.a); el volumen de tratamientos efectuados (apartado 4.
  12. b)y, por último, los perjuicios ocasionados a los denunciantes (apartado 4.h); procede la imposición de una multa por importe de 20.000 € por la infracción grave del artículo 9 de la LOPD y otra por importe de 2.000 € por la infracción leve del artículo 12 de la LOPD, esto es, una sanción consistente en multa por importe total de 22.000 € por las dos infracciones cometidas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a SINDICAT DE MOSSOS D'ESQUADRA, con arreglo a lo dispuesto en el artículo 127 del RLOPD por la presunta infracción del artículo 9 de la LOPD, en relación con los artículo 88 y 93 del RLOPD; infracción tipificada como grave en el artículo 44.3.
  13. h)de la LOPD. 2. INICIAR PROCEDIMIENTO SANCIONADOR a SINDICAT DE MOSSOS D'ESQUADRA, con arreglo a lo dispuesto en el artículo 127 del RLOPD por la presunta infracción del artículo 12 de la LOPD; infracción tipificada como leve en el artículo 44.2.
  14. d)de la LOPD. 3. NOMBRAR como Instructor a D. (…) y Secretario a D. (…) indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 4. INCORPORAR al expediente sancionador, a efectos probatorios, las denuncias interpuestas por las personas denunciantes y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección E/02667/2016; todos ellos parte del expediente. 5. QUE a los efectos previstos en el art. 64.2
  15. b)de la Ley 39/2015, de 1 de octubre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y art. 127 letra
  16. b)del RLOPD, la sanción que pudiera corresponder sería de veinte mil euros (20.000 €) por la infracción del artículo 9 de la LOPD y de dos mil euros (2.000 €) por la infracción del artículo 12 de la LOPD, esto es, una sanción total de veintidós mil euros (22.000 €); sin perjuicio de lo que resulte de la instrucción. 6. NOTIFICAR el presente Acuerdo a SINDICAT DE MOSSOS D'ESQUADRA indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  17. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
  18. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a cuatro mil cuatrocientos euros (4.400 €). Con la aplicación de esta reducción, la sanción quedaría establecida en diecisiete mil seiscientos euros (17.600 €), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a cuatro mil cuatrocientos euros (4.400 €). Con la aplicación de esta reducción, la sanción quedaría establecida en diecisiete mil seiscientos euros (17.600 €), y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en trece mil doscientos euros (13.200 €). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (17.600 € o 13.200 €), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00191/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
  19. g)y 36 de la LOPD, en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos>> SEGUNDO: En fecha 6 de julio de 2017 tuvo entrada en esta Agencia un escrito de la representación de SINDICAT DE MOSSOS D'ESQUADRA en el que se alegaba que la notificación del acuerdo de inicio se llevó a cabo erróneamente en un domicilio distinto al que se realizó la inspección en su día. Dicha notificación se llevó a cabo en definitiva el fecha 30 de junio de 2017, por lo que las alegaciones se venían a realizar en plazo; además se solicitaba la suspensión del presente procedimiento sancionador por la excepción de prejudicialidad penal. TERCERO: En fecha 3 de agosto de 2017 se inició un período de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), notificándose a las partes interesadas, practicándose las siguientes: Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección E/02667/2016. Con esa misma fecha se solicitó nuevamente informe al Juzgado de Instrucción núm. 33 de Barcelona a efectos de que informase si las diligencias seguidas en dicho Juzgado núm. ***DILIGENCIAS.1 sobre los hechos imputados en el presente procedimiento sancionador guardan identidad con los allí investigados. CUARTO: Con fecha 10 de agosto de 2017, y transcurrido el periodo de práctica de pruebas citado en el punto anterior, se inició el trámite de audiencia, de acuerdo con el artículo 82 de la Ley LPACAP, poniéndose de manifiesto el expediente al presunto responsable, y se le concedió un plazo de quince días hábiles para formular alegaciones y aportar cuantos documentos estimase de interés. Asimismo, se le notificó la relación de documentos obrantes en el procedimiento a fin de que pudiera obtener las copias de los que estimase convenientes, previa cita, como se detalla también en el anexo a la presente propuesta de resolución. QUINTO: Con fecha 29 de agosto de 2017 se formuló propuesta de resolución en el sentido de: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Datos se sancione a SINDICAT DE MOSSOS D'ESQUADRA con multa de veinte mil euros (20.000 €), por la infracción del artículo 9 de la LOPD, en relación con los artículo 88 y 93 del RLOPD; infracción tipificada como grave en el artículo 44.3.
  20. h)de la LOPD. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione también a SINDICAT DE MOSSOS D'ESQUADRA con multa de dos mil euros (2.000 €), por la infracción del artículo 12 de la LOPD; infracción tipificada como leve en el artículo 44.2.
  21. d)de la LOPD>>. En su virtud se le notificó a los interesados cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Dicha propuesta de resolución fue en efecto notificada SINDICAT DE MOSSOS D'ESQUADRA en fecha 4 de septiembre de 2017, concediéndose el citado plazo para formular alegaciones. SEXTO: En fecha 22 de septiembre de 2017 la entidad SINDICAT DE MOSSOS D'ESQUADRA ha procedido al pago de la sanción en la cuantía de diecisiete mil seiscientos euros (17.600 €) haciendo uso de la reducción prevista en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR D'ESQUADRA. la presente resolución a PS/00191/2017, de SINDICAT DE MOSSOS De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.