1/9 Procedimiento Nº: PS/00245/2018 RESOLUCIÓN R/01220/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00245/2018, instruido por la Agencia Española de Protección de Datos a EULEN SEGURIDAD S.A.., vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1 de junio de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad EULEN SEGURIDAD S.A.., mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00245/2018 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EULEN SEGURIDAD S.A.. en virtud de denuncia presentada ante la misma por Don B.B.B. y en base a los siguientes, HECHOS PRIMERO: Con fecha 2 de marzo de 2018, tuvo entrada en esta Agencia un escrito presentado por Don B.B.B., en calidad de representante legal de los trabajadores, en tanto que miembro del (......) en EULEN SEGURIDAD, S.A. en el Aeropuerto de ***LOC.1 por ***SINDICATO.1, (en lo sucesivo el denunciante), en el que expone que, a principios de diciembre de 2017, una compañera de trabajo le presto un dispositivo USB con unas películas, pudiendo comprobar que en el citado dispositivo había una carpeta con el nombre “TEO” que contenía un fichero con los datos personales de nombre y apellidos y D.N.I. de la mayoría de los trabajadores de la empresa en el citado Aeropuerto (alrededor de 40), así como las cartas de servicios mínimos de huelga personalizadas y dirigidas a cada trabajador. Señala el denunciante que al preguntar a la dueña del dispositivo sobre el citado fichero, ésta, que es (......) de la empresa EULEN SEGURIDAD, S.A. en el citado Aeropuerto, le manifiesta que el dispositivo es de su propiedad, pero que se lo había dado a Don C.C.C., (en adelante XXX.1), también (......) en dicho Centro, para que le grabara unas películas, y quien, según señala el denunciante, no ostentaba ningún cargo en la empresa de seguridad en el momento de los hechos denunciados. También indica que los hechos se pusieron en conocimiento del Gerente de la empresa en una reunión del (......) celebrada el 20 de diciembre de 2017, y también mediante correo electrónico de fecha 23 de diciembre de 2017 dirigido al gerente de EULEN SEGURIDAD, S.A. en Canarias, cuya copia aporta, y que no ha sido contestado por la empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Añade que a mediados de enero de 2018, Don XXX.1 es nombrado ***CARGO.2, lo cual, según entiende el denunciante, quizá responda a un intento de la empresa de justificar que el citado trabajador tuviera en su poder los datos personales de los trabajadores. En relación con esta circunstancia, indica que “aunque en ese momento hubiese sido, cosa que no era, coordinador del servicio, nada justifica que pase en un pendrive los datos personales de los trabajadores.”. Asimismo, expone que a mediados de febrero de 2018 se produce un encuentro entre la compañera dueña del dispositivo, cuya identificación obra en la denuncia, y Don XXX.1, para intentar aclarar este asunto, produciéndose una conversación entre ambos que es grabada por la primera. Se aporta audio y transcripción de la citada conversación, en la que según el denunciante, Don XXX.1 “se adjudica una autorización por parte de la empresa EULEN SEGURIDAD, S.A. para tratar con nuestros datos personales”. El denunciante también aporta un dispositivo de memoria USB con 50 ficheros en formato Word identificados con nombre y apellidos, correspondiendo cado uno de los documentos con una carta personalizada con el nombre, apellidos y DNI de cada trabajador relativa a los servicios mínimos a prestar durante la huelga convocada los días 23 y 24 de septiembre y parte de octubre de 2017. SEGUNDO: En respuesta al requerimiento que le fue efectuado por los Servicios de Inspección de esta Agencia, la entidad EULEN SEGURIDAD, S.A., con fecha 10 de abril de 2018, remitió a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Don XXX.1 es el ***CARGO.1 de la empresa en la Comunidad Canaria. Aportan copia de la notificación de fecha 4 de diciembre de 2017 remitida a la empresa desde la Unidad Central de Seguridad Privada de la Dirección General de la Policía, Ministerio del Interior, participando que se tomaba nota de la comunicación efectuada por el Jefe de Seguridad de EULEN SEGURIDAD, S.A. indicando que, en virtud de lo establecido en el artículo 99 del Reglamento de Seguridad Privada, delegaba sus funciones para la comunidad de Canarias en la persona de Don XXX.1. Según dicho precepto, corresponde a dicho Delegado la dirección e inspección del personal de seguridad privada de la empresa. 2. De acuerdo con su cargo, Don XXX.1 tenía acceso a los datos del fichero de personal necesarios para llevar a cabo sus funciones, entre ellos: el nombre y apellidos, DNI, Carnet profesional, horarios de trabajo y cuadrantes. 3. Con anterioridad, en junio de 2017, Don XXX.1 había sido designado responsable de equipo en el Aeropuerto de ***LOC.1, con las funciones de coordinación, distribución del trabajo y confección de los partes de trabajo oportunos. Por lo que ya desde esa fecha tuvo acceso a los datos personales del equipo de personas a su cargo en dicho Aeropuerto para el desarrollo de sus funciones. Se adjuntan copia de la comunicación de nombramiento dirigida a dicha persona. 4. Respecto a la causa por la que tenía en un dispositivo de memoria USB, aproximadamente 50 ficheros en formato WORD, con los datos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 trabajadores de la empresa en el citado aeropuerto, dispositivo que entregó a una compañera de trabajo, manifiestan que: a. Tanto el Don XXX.1 como la empresa niegan que el primero dispusiera de un dispositivo USB con los datos que se indican y que lo hubiera entregado a ninguna compañera. b. Los ficheros contenidos en el dispositivo le fueron remitidos al mismo por correo electrónico en formato WORD, quien descargo los ficheros en un ordenador que se encuentra en la oficina que la empresa tiene en el Aeropuerto de ***LOC.1 con objeto de imprimirlos y comunicar a cada trabajador a su cargo el horario en que debían cumplir los servicios mínimos durante la huelga convocada a partir del 2 de octubre de 2017. Según manifiesta, posteriormente eliminó los ficheros del ordenador. c. La única explicación posible de que los ficheros estuvieran en el dispositivo USB aportado por el denunciante, es que alguna de las personas con acceso a dicho ordenador descargara dicha información durante los días en que ésta estuvo alojada en el mismo. d. El único objetivo de descargar los ficheros era el de imprimir las cartas con los horarios que debían cumplir los trabajadores durante el periodo de huelga. 5. Respecto a los usuarios que tenían acceso al citado ordenador, son los Responsables de Equipo y el Jefe de Seguridad con funciones delegadas, un total de siete personas, entre ellos Don XXX.1. 6. Según manifiestan en la fecha en que se producen los hechos denunciados, todos los usuarios tenían un usuario y contraseña común a todos ellos, por lo que consideran que cualquiera pudo extraer la información. En la actualidad y tras los hechos denunciados, se toma la decisión de que cada usuario disponga de un usuario y contraseña individualizado. 7. Respecto a las medidas adoptadas por la empresa, como consecuencia del correo electrónico remitido por el denunciante con fecha 23 de diciembre de 2017, en el que informa de los hechos denunciados, manifiestan que: El ordenador en el que se alojaron los ficheros temporalmente, se encuentra en un local cerrado con llave y está protegido por contraseña y que tras la citada comunicación se han tomado las siguientes medidas: a. Reiterar a todo el personal, con acceso a la oficina, sus obligaciones en materia de protección de datos e información confidencial. b. Comprobar que cada uno de los usuarios con acceso al citado ordenador (Auxiliar administrativa, Responsables de Equipo, Delegado de Seguridad) tengan una clave de acceso individual, restringiendo a estos mismos y al Responsable del Centro, el uso de las llaves del local. c. Recordar a todo el personal que la puerta debe estar cerrada con llave en todo momento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 d. Incorporar en la oficina, un mostrador de entrada, de manera que los trabajadores no autorizados al acceder a la información únicamente puedan acceder hasta el mostrador. e. Limitar el horario de atención al personal. Durante el resto del horario la documentación solo puede ser entregada al jefe de equipo o depositada en un buzón cerrado que se encuentra en la puerta de la oficina. f. Aportan fotografías del local y de la ubicación del ordenador y del mostrador de entrada así como del buzón. 8. Aportan copia del documento complementario al contrato de trabajo firmado con Don XXX.1 en el que consta que está obligado a guardar el secreto profesional respecto de los datos de las empresas del Grupo, sus clientes o de terceros, sean o no de carácter personal, a los que tenga acceso en virtud de su relación laboral. 9. Igualmente, en el Manual de acogida se incluye un resumen de las obligaciones del personal en relación con la protección de datos personales, firmando el interesado quedar enterado del contenido de las obligaciones. FUNDAMENTOS DE DERECHO Los hechos expuestos podrían suponer, por parte de EULEN SEGURIDAD, S.A., la comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el artículo 93 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), que establece lo siguiente: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. La vulneración del precepto citado aparece tipificada como infracción grave en el artículo 44.3.
- h)de la LOPD, que considera como tal “Mantener los ficheros, locales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. De las evidencias obtenidas en la fase de investigaciones previas y sin perjuicio de lo que resulte de la instrucción, se estima que, de conformidad con el art. 45.5 LOPD, procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso. Se entiende que se produce una cualificada disminución de la culpabilidad por la concurrencia del supuesto previsto en el punto
- b)de dicho artículo, según el cual: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que EULEN SEGURIDAD, S.A., una vez tuvo conocimiento de los hechos a través del correo electrónico de fecha 23 de diciembre de 2017 remitido por el denunciante, actuó con razonable diligencia procediendo a adoptar las medidas de seguridad técnicas y organizativas necesarias para solucionar la irregularidad en materia de seguridad de datos descrita, que se subsanó con anterioridad a la recepción del requerimiento de información por la Agencia. Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave, pero sancionarse conforme a las multas establecidas para las infracciones leves. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD: - El apartado
- c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - El apartado
- d)“El volumen de negocio o actividad del infractor”, puesto que se trata de una de las mayores empresas del país en su sector de negocio o actividad. - El apartado
- j)“Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora, habiendo quedado probado que con anterioridad a los hechos constitutivos de infracción la entidad denunciada no tenía implantado un procedimiento adecuado para identificar y autenticar a cada uno de los usuarios del fichero de personal en la oficina en el Aeropuerto de ***LOC.1, ya que éstos no disponían de clave de acceso individual. Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 20.000 euros por la infracción del artículo 9.1 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 1. INICIAR PROCEDIMIENTO SANCIONADOR a EULEN SEGURIDAD S.A.., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 9.1 de la LOPD en su relación con lo dispuesto en el artículo 93 del RLOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley. 2. NOMBRAR como Instructor a Dña. E.E.E. y a Dña. A.A.A., indicando que cualquiera de ellas podrá ser recusada, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre y art. 127 letra
- b)del RLOPD, la sanción que pudiera corresponder sería de 20.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a EULEN SEGURIDAD S.A.. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
- f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 4.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 4.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (16.000 euros o 12.000 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00245/2018 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
- g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de junio de 2018, EULEN SEGURIDAD S.A.. ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 I Es competente la Directora de la Agencia Española de Protección de Datos para sancionar las infracciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la citada norma; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
- d)e
- i)y 38.4 d),
- g)y
- h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 PRIMERO: DECLARAR la terminación del procedimiento PS/00245/2018, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a EULEN SEGURIDAD S.A... De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es