PS-00201-2014

1/13 Procedimiento Nº PS/00201/2014 RESOLUCIÓN: R/01945/2014 En el procedimiento sancionador PS/00201/2014, instruido por la Agencia Española de Protección de Datos a la entidad BINGO ROMA, S.A., vista la denuncia presentada por la entidad DIRECCION GRAL. GUARDIA CIVIL, COMANDANCIA DE ZARAGOZA, PUESTO DE CALATORAO, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22/04/2013, tuvo entrada en esta Agencia un escrito de la Dirección General de la Guardia Civil, Comandancia de Zaragoza, Puesto de Calatorao, en el que denuncia lo siguiente: <<Que siendo las 09:26 horas del 27 de Febrero de 2013 se establece punto de verificación de seguridad ciudadana en proximidad a incorporación a la vía de comunicación A-2 dirección Madrid punto kilométrico 280, procediendo a la identificación de un vehículo que viajaba por la citada vía. Que una vez se ha detenido el vehículo, se observa en el interior del mismo varios archivadores con documentación de una empresa de Zaragoza, BINGO ROMA S.A. donde además se observa que en uno de los tomos contiene fotocopias de DNIs y número bancarios de personas ajenas a la empresa. Que se toma manifestación al conductor acerca de la procedencia y uso del mismo y manifiesta que lo ha cogido del interior de un contenedor azul de la Calle… de Zaragoza (Z) y se disponía a venderlo a una empresa en Madrid en el barrio de Leganés. - Que la fuerza actuante interviene los archivadores por no dar fianza suficiente de su lícita procedencia y el valor de dicha documentación, extendiéndose un recibo que es firmado por la fuerza actuante y el conductor del vehículo. Que posteriormente, los agentes se ponen en contacto con la empresa consiguiendo hablar con el responsable de la misma, quien manifiesta que había procedido a la destrucción de los materiales intervenidos, habiéndose arrojado a un contenedor azul de Zaragoza (Z). - Que tras ponerse en contacto la fuerza actuante con una empresa de eliminación de datos y ser remitidos a realizar llamada telefónica a la Agencia Española de Protección de Datos, se realizan las directrices marcadas por la Agencia, informando a la empresa en cuestión de que se va a poner en conocimiento de la Agencia Española de Protección de Datos por medio de una infracción al artículo 44.h de la Ley Orgánica 15/1999, de diciembre, de protección de Datos de Carácter Personal en vigencia desde 14 Enero de 2000. Se realiza informe fotográfico de lo intervenido, donde se observan los diferentes tomos aprehendidos. En dicho informe se resalta el tomo-archivador con fotocopias de documentación de personas y se adjuntan en Anexo 1, Anexo II y Anexo III tres copias de documentación de dicho tomo, como ejemplos de la documentación que portaba el archivador para mejor comprensión de los hechos que nos ocupan. Visualizado por los agentes, dicho tomo consta de 84 fotocopias de DNI junto con datos bancarios en forma y modo de los anexos; así como de otros 15 recibis de entrega y datos personales sin fotocopia de DNI de diferentes personas. Que por parte de los agentes intervinientes se realiza destrucción del material intervenido por rotura de maquina picadora de papel. Posteriormente serán arrojados los pedazos al interior de un camión de SAICA NATURA para su tratamiento de reciclado, como se aconsejó realizar por la Agencia Española de Protección de Datos para su destrucción>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se realizaron las siguientes actuaciones: 1. Solicitada información a BINGO ROMA, S.A. (en lo sucesivo BINGO ROMA), la entidad manifiesta: <<Durante el primer trimestre de 2013, Bingo Roma realizó reformas de sus instalaciones, entre ellas de las oficinas. Aprovechando la reforma se realizó una actualización de los datos, dejando los archivadores de datos antiguos almacenados en el almacén privado del bingo. El personal autorizado tenía orden de destruir de manera manual el contenido de los archivadores y guardar el archivador físico para su reutilización. Desconocemos cómo llego información del Bingo a manos del conductor del coche, pues había un protocolo para la destrucción de los datos y la reutilización de los archivadores>>. 2. Aporta la entidad copia del Documento de Seguridad (en adelante DS) en el que se aprecia que no está actualizado al RDLOPD, pues en el DS se referencia al antiguo Reglamento de Seguridad, así como se aprecia que carece de apartados específicos dedicados a las medidas de seguridad específicas para ficheros manuales. Únicamente contiene una referencia a los “Listados en papel” con la siguiente indicación: “La eliminación de estos listados se hará de forma que queden ilegibles, teniendo especial cuidado con los posibles listados de prohibidos”. Dicho Documento de Seguridad se refiere a los ficheros de datos denominados “Jugadores”, de nivel de seguridad alto, y “Gestión”, de nivel de seguridad básico. El apartado F de este Documento contiene las diligencias suscritas por los trabajadores de la entidad en los años 2001, 2002 y 2012, por las que declaran haber leído el Documento de Seguridad y aceptar su cumplimiento. TERCERO: Con fecha 07/04/2014, el Director de la AEPD acordó iniciar, procedimiento sancionador a BINGO ROMA, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 88, 89, 92.4, 97.2 y 108; e infracción del artículo 10 de la citada LOPD; tipificadas como graves en los artículos 44.3.

1. h)y 44.3.d), respectivamente, de dicha norma, pudiendo ser sancionadas cada una de las infracciones con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la misma Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, BINGO ROMA solicitó el archivo de las actuaciones en atención a las siguientes consideraciones: Manifiesta desconocer cómo pudo llegar un archivador con documentación de la empresa a un contenedor ubicado en la vía pública, ya que disponía de un procedimiento para la destrucción de documentación y de las medidas de seguridad aplicables al tratamiento de datos de carácter personal, tanto en soporte automatizado como no automatizado. Añade que, no obstante, el pasado mes de enero se procedió a la actualización del Documento de Seguridad para su adecuación a la normativa vigente y las nuevas circunstancias de la empresa, en el que se detallan las medidas de seguridad adoptadas por Bingo Roma S.A. para garantizar la confidencialidad de la información, conocidas por todos los empleados. Reitera que en el primer trimestre de 2013 realizaron obras en sus instalaciones que motivaron el expurgo de documentación antigua y se dieron las instrucciones oportunas para la destrucción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 manual y confidencial de todos los documentos y la reutilización de los archivadores. Concretamente, se llevo a cabo la destrucción de la documentación relativa a ejercicios anteriores al año 2006 debido a que en diciembre de ese año se produjo la compra del negocio por los actuales accionistas. Así, la documentación que fue hallada en un contendor azul de la vía pública relativa al ejercicio 2001 era propiedad de otra empresa, la cual debería haber procedido a su destrucción o a su almacenamiento de manera que personal ajeno a la misma no pudiera tener acceso. Es por ello que no procede imputar a esta parte la infracción pretendida por destruir documentación de un tercero desactualizada ni les corresponde la obligación de guardar secreto por unos datos de otros propietarios. Con sus alegaciones, BINGO ROMA aporta copia de un Documento de Seguridad fechado el 13/01/2014, elaborado para su adecuación al Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en el que se recoge, entre otras, la siguiente medida de seguridad: “Destruir toda la información en soporte papel que pueda resultar delicada de manera que resulte ilegible después del desechado. Aquellos informes en papel que contengan datos de carácter personal más sensible y no sean voluminosos, deberán ser destruidos en una destructora de papel. En caso de no existir destructora de papel o en el caso de que los listados o informes sean muy voluminosos, deberán ser depositados en unos contenedores confidenciales herméticos para ser entregados a una compañía de reciclaje que garantice mediante contrato, la destrucción de los mismos de manera confidencial”. Consta formalizada, asimismo, la entrega del citado Documento de Seguridad al personal de la entidad. Por otra parte, aporta escritura de cese de Consejo de Administración, modificación de estatutos sociales y nombramiento de Administrador de fecha 29/12/2006. QUINTO: En fecha 07/05/2014, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación que forman parte del expediente E/03097/2013 y las alegaciones a la apertura del procedimiento y documentación presentadas por BINGO ROMA. Por otra parte, el instructor del procedimiento acordó incorporar a las actuaciones la información obtenida del Registro General de Protección de Datos sobre los ficheros inscritos por BINGO ROMA. Constan inscritos tres ficheros denominados “Jugadores”, de nivel de seguridad alto, “Gestión” y “Videovigilancia”, de nivel de seguridad básico. SEXTO: Con fecha 29/7/14, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad BINGO ROMA con multa de 6.000 euros (seis mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibe escrito de alegaciones de la entidad BINGO ROMA en el que solicita el archivo del procedimiento de acuerdo con las siguientes consideraciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 . El Documento de Seguridad vigente en el momento en que tuvieron lugar los hechos incorpora el Anexo F en el que figuran los trabajadores con acceso a los datos personales que firmaron haber leído y aceptado las normas de seguridad expresadas en el mismo. . No ha reconocido haber depositado documentación de la empresa en un contenedor de la vía pública, sino todo lo contrario. En todo momento se han adoptado las medidas oportunas para garantizar la confidencialidad de la documentación generada por la empresa, relativa a un sector profesional como es el juego donde prima la confidencialidad de los clientes, por lo que el hecho de que no figure en el Documento de Seguridad la obligación de destruir la documentación no conlleva que el personal desconozca dicha obligación. . Con motivo de las obras realizadas en las instalaciones se llevó a cabo un expurgo de la documentación y la destrucción manual de más de sesenta archivadores con documentación relativa a los ejercicios 1990 a 2006, realizada por los trabajadores de la entidad. . Todo parece indicar que las personas que realizaron la obra fueron las que pudieron depositar algunos archivadores en un contenedor ubicado en la vía pública, sin autorización para ello, de modo que no ha habido incumplimiento por parte de BINGO ROMA, a la que no puede imputarse la conducta de un tercero. Aporta copia del Anexo F citado, que ya figura incorporado a las actuaciones previas de investigación. HECHOS PROBADOS 1. Con fecha de 22/04/2013, tuvo entrada en esta Agencia un escrito de la Dirección General de la Guardia Civil, Comandancia de Zaragoza, Puesto de Calatorao, en el que denuncia lo siguiente: <<Que siendo las 09:26 horas del 27 de Febrero de 2013 se establece punto de verificación de seguridad ciudadana… procediendo a la identificación de un vehículo que viajaba por la citada vía. Que una vez se ha detenido el vehículo, se observa en el interior del mismo varios archivadores con documentación de una empresa de Zaragoza, BINGO ROMA S.A. donde además se observa que en uno de los tomos contiene fotocopias de DNIs y número bancarios de personas ajenas a la empresa. Que se toma manifestación al conductor acerca de la procedencia y uso del mismo y manifiesta que lo ha cogido del interior de un contenedor azul de la Calle… de Zaragoza (Z) y se disponía a venderlo a una empresa en Madrid en el barrio de Leganés. Que la fuerza actuante interviene los archivadores… Que posteriormente, los agentes se ponen en contacto con la empresa consiguiendo hablar con el responsable de la misma, quien manifiesta que había procedido a la destrucción de los materiales intervenidos, habiéndose arrojado a un contenedor azul de Zaragoza (Z)… Se realiza informe fotográfico de lo intervenido, donde se observan los diferentes tomos aprehendidos. En dicho informe se resalta el tomo-archivador con fotocopias de documentación de personas y se adjuntan en Anexo 1, Anexo II y Anexo III tres copias de documentación de dicho tomo, como ejemplos de la documentación que portaba el archivador para mejor comprensión de los hechos que nos ocupan. Visualizado por los agentes, dicho tomo consta de 84 fotocopias de DNI junto con datos bancarios en forma y modo de los anexos; así como de otros 15 recibis de entrega y datos personales sin fotocopia de DNI de diferentes personas. Que por parte de los agentes intervinientes se realiza destrucción del material intervenido por rotura de maquina picadora de papel…>>. 2. En el momento en que tuvieron lugar los hechos reseñados en el Hecho Probado Primero, la entidad BINGO ROMA disponía de un Documento de Seguridad que carecía de medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 seguridad específicas para ficheros manuales. Únicamente contenía una referencia a los “Listados en papel” con la siguiente indicación: “La eliminación de estos listados se hará de forma que queden ilegibles, teniendo especial cuidado con los posibles listados de prohibidos”. Dicho Documento de Seguridad se refería a los ficheros de datos denominados “Jugadores”, de nivel de seguridad alto, y “Gestión”, de nivel de seguridad básico. 3. Con fecha 13/01/2014, la entidad BINGO ROMA elaboró un nuevo Documento de Seguridad en el que se recogen, entre otras, la siguiente medida de seguridad: “Destruir toda la información en soporte papel que pueda resultar delicada de manera que resulte ilegible después del desechado. Aquellos informes en papel que contengan datos de carácter personal más sensible y no sean voluminosos, deberán ser destruidos en una destructora de papel. En caso de no existir destructora de papel o en el caso de que los listados o informes sean muy voluminosos, deberán ser depositados en unos contenedores confidenciales herméticos para ser entregados a una compañía de reciclaje que garantice mediante contrato, la destrucción de los mismos de manera confidencial”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
3. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 acceso al mismo. Por su parte, la letra
4. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
5. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
6. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
7. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
8. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
9. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Por otra parte, el Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad que deben implementarse en los ficheros y tratamientos automatizados o no automatizados. El artículo 92.4 de dicho Reglamento, referido a la “Gestión de soportes y documentos”, establece lo siguiente: “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Y el artículo 97.2 del mismo Reglamento se refiere a la misma cuestión en los siguientes términos: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Asimismo, el artículo 108 del citado Real Decreto, referido a la “Custodia de los soportes” y aplicable a los ficheros y tratamientos no automatizados, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. Así, BINGO ROMA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, según reconoció la propia entidad imputada, cuyo responsable declaró ante la Guardia Civil que la documentación se depositó en un contenedor sito en una calle de Zaragoza. En el presente caso, ha quedado acreditado que por la Comandancia de la Guardia Civil de Zaragoza, Puesto de Calatorao, se constató que en febrero de 2013, la entidad BINGO ROMA depositó en un contenedor situado en una vía pública de Zaragoza diversa documentación, que fue hallada por un tercero, en la que figuraban datos de carácter personal relativos a empleados y clientes de la misma. En concreto, se localizaron documentos de identidad de clientes, certificados de otorgación de premios a los mismos, en los que consta la identidad de los clientes y testigos, así como los nombres, apellidos y DNI de los Jefes de Sala y Mesa, además del premio obtenido; justificantes de los pagos de premios suscrito por los clientes, con detalle de su nombre, apellidos y DNI; talones bancarios expedidos a nombre de clientes de BINGO ROMA, en el que figura una fotocopia del DNI de los mismos. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, no dando lugar a su hallazgo por terceros, al haberlos depositado al alcance del público en una zona pública. Analizado el Documento de Seguridad de los ficheros de la entidad BINGO ROMA en el momento en que tuvieron lugar los hechos denunciados, resulta que la misma no había dispuesto como obligatoria la destrucción de la documentación y no disponía de las normas necesarias para controlar dicho proceso. Por tal motivo, dicha entidad incumplió la obligación de adoptar las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, impidiendo el acceso a los mismos por parte de terceros. En consecuencia, procede concluir que BINGO ROMA ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. La infracción se comete en relación con ficheros de datos personales cuya titularidad corresponde a BINGO ROMA y en su ámbito específico de responsabilidad, que obviamente no se ve modificado por el hecho que varíe la composición de sus accionistas o la titularidad de las acciones, o por los cambios producidos en su Consejo de Administración y en la persona que ostenta el cargo de Administrador. En sus alegaciones a la propuesta de resolución, BINGO ROMA niega haber reconocido que depositó en un contenedor situado en la vía pública la documentación que motivó la denuncia y añade que todo parece indicar que estos hechos se cometieron por las personas que contrataron para realizar una obra en sus instalaciones, aunque no aporta ninguna prueba que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 así lo acredite, limitándose a incluir esta manifestación en su escrito. Por otra parte, BINGO ROMA, al realizar esta alegación, no tiene en cuenta sus declaraciones anteriores, contrarias a lo señalado en el citado escrito. En concreto, en el informe de la Dirección General de la Guardia Civil, Comandancia de Zaragoza, Puesto de Calatorao, se indica expresamente lo siguiente: “Que posteriormente, los agentes se ponen en contacto con la empresa consiguiendo hablar con el responsable de la misma, quien manifiesta que había procedido a la destrucción de los materiales intervenidos, habiéndose arrojado a un contenedor azul de Zaragoza”. III En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). IV El artículo 44.3.
10. h)de la LOPD, considera infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El abandono en un lugar público de documentación responsabilidad de la entidad BINGO ROMA, en la que se detallan datos personales de clientes y empleados, supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que BINGO ROMA ha incurrido en la infracción grave descrita. V Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta del hallazgo por un tercero de documentación en la que constan los datos personales de empleados y clientes de BINGO ROMA, según el detalle antes indicado. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
11. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, al haber posibilitado que un tercero accediera a los datos personales contenidos en la documentación objeto de la denuncia, según el detalle que consta en los hechos probados, sin que los titulares de los datos o sus representantes legales hubiesen prestado su consentimiento para ello, queda acreditado que por parte de BINGO ROMA se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
12. d)de la LOPD. En este precepto se establece lo siguiente: “
13. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros no interesados. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
14. d)de la LOPD. VI Los hechos constatados, es decir, el abandono de documentación sin destruir en un contenedor sito en la vía pública, accesible a terceros, constituye una base fáctica para fundamentar la imputación a BINGO ROMA de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del tratamiento de datos que supone incorporar una imagen a la web, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo imponer únicamente declarar la infracción más grave que, en este caso, corresponde a la prevista para la infracción del artículo 6 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 El artículo 45.1, 2, 4 y 5 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La Audiencia Nacional, en sus Sentencias de 24/05/2002 y 16/02/2005, ha señalado en cuanto a la aplicación del apartado 5 del citado precepto que “... la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Durante la tramitación del procedimiento, BINGO ROMA ha aportado copia de un nuevo Documento de Seguridad, en el que se establecen medidas específicas sobre la destrucción de la documentación que contenga datos de carácter personal. En concreto, se adopta la siguiente medida de seguridad: “Destruir toda la información en soporte papel que pueda resultar delicada de manera que resulte ilegible después del desechado. Aquellos informes en papel que contengan datos de carácter personal más sensible y no sean voluminosos, deberán ser destruidos en una destructora de papel. En caso de no existir destructora de papel o en el caso de que los listados o informes sean muy voluminosos, deberán ser depositados en unos contenedores confidenciales herméticos para ser entregados a una compañía de reciclaje que garantice mediante contrato, la destrucción de los mismos de manera confidencial”. Además, consta la entrega del citado Documento de Seguridad al personal de la entidad. Por tanto, se entiende que BINGO ROMA, ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo unas normas internas que obligan a las personas de su organización que tengan acceso los datos personales a garantizar la destrucción de los documentos en los que figuren datos personales que vayan a ser desechados. Atendiendo a estas circunstancias, cabe apreciar que las mismas suponen una disminución cualificada de la culpabilidad y de la antijuridicidad con entidad suficiente para la aplicación de lo dispuesto en el citado artículo 45.5 de la LOPD, estableciendo la sanción según la escala prevista para las infracciones leves. Por otra parte, teniendo en cuenta los criterios de graduación de las sanciones recogidos en el citado artículo 45.4 de la LOPD y, en especial, por un lado, la ausencia de reincidencia y de beneficios, y por otro lado, que BINGO ROMA no disponía de procedimientos adecuados para la destrucción de documentos y la naturaleza de los datos personales implicados en la infracción, pertenecientes a un fichero de datos de carácter personal de clientes de la entidad con nivel alto de seguridad, procede imponer a BINGO ROMA una sanción por importe de 6.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BINGO ROMA, S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
30. h)de dicha norma, una multa de 6.000 euros (seis mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BINGO ROMA, S.A. y a la entidad DIRECCION GRAL. GUARDIA CIVIL, COMANDANCIA DE ZARAGOZA, PUESTO DE CALATORAO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es