PS-00305-2019

1/7 Procedimiento Nº: PS/00305/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 25 de enero de 2019 se recibe una declaración de brecha de seguridad de CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA y COMISIONES OBRERAS. Como consecuencia de ello la Agencia Española de Protección de Datos abre el expediente E/02875/2019, e inicia de oficio actuaciones previas de inspección que permitan el esclarecimiento de tales hechos. De tales actuaciones se desprende que esta brecha de seguridad se ha producido por la pérdida de 6 pendrives con datos personales en la sede de COMISIONES OBRERAS dentro del edificio de CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA con datos de ambas entidades. SEGUNDO: A.A.A., perteneciente a la Unión Sindical Obrera de RTVE, es decir, USO CORPORACIÓN RADIO TELEVISIÓN ESPAÑOLA, (en adelante, el reclamante) con fecha 14 de marzo de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos contra CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA con NIF A84818558 (en adelante, el reclamado). Los motivos en que basa la reclamación son que se ha producido una brecha de seguridad tras la desaparición de dispositivos extraíbles sin cifrar de la Oficina de atención al Participe del Plan de Pensiones (en adelante OPP) en el Edificio de Corporación RTVE (en adelante RTVE) en Prado del Rey, que contenían datos personales. La fecha de inicio de la brecha (estimada, ya que no se puede precisar con exactitud) es el 12 de noviembre de 2018. TERCERO: Con fecha 12 de septiembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. CUARTO: El 13 de septiembre de 2019, es notificado a la reclamada el acuerdo de inicio de este procedimiento sancionador, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes, es decir, hasta el 27 de septiembre de 2019. El 26 de septiembre de 2019 la reclamada presenta escrito de alegaciones y solicita el archivo del procedimiento sancionador alegando que la brecha de seguridad por la desaparición de los pendrives se produce en la oficina de Atención al Partícipe del Plan de pensiones (centro de trabajo de RTVE en Prado del Rey), no en la sede de Comisiones Obreras y que los pendrives son propiedad de un delegado de sección sindical de CCOO, que formaba parte, como miembro, de la Comisión de Control del Plan de pensiones y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 que, como tal, tenía acceso a dicha oficina, para ello aporta una serie de documentos, respecto de los cuales se solicita que se tengan recibidos como prueba. Continúa diciendo en su escrito de alegaciones que los representantes sindicales forman parte de la empresa y, como trabajadores de RTVE, están sujetos a las mismas obligaciones que el resto de trabajadores en cuanto al cumplimiento de la Normativa interna y el convenio colectivo y además al deber de sigilo recogido en el artículo 65 del Estatuto de los Trabajadores de dichos representantes, es decir, que tienen un plus en sus obligaciones de sigilo y confidencialidad como representantes de los trabajadores. En consecuencia, afirma que la brecha de seguridad no es consecuencia de una actitud negligente por parte de RTVE, puesto que la comunicación de los datos a los sindicatos está legitimada en los supuestos establecidos por el artículo 6 del RGPD y se guardan las medidas de seguridad necesarias e implantadas en la remisión. Por ello, incide en que RTVE, no decide, por tanto, la finalidad de los datos que se han cedido ni les da instrucciones a los sindicatos acerca de cómo tratar los mismos al no estar sujeta la comunicación de datos en un contrato de encargado del tratamiento mediante el cual el sindicato accede a datos de carácter personal de los empleados de RTVE para prestar un servicio. QUINTO: El 27 de septiembre de 2019 la reclamante solicita copia del expediente. Esta remisión se cursa mediante correo certificado, puesto que la copia del expediente solicitada tiene un tamaño que excede el máximo permitido en el sistema notific@, empleado por los órganos de la Administración para la práctica electrónica de sus notificaciones, lo que ocasiona que hasta el 10 de octubre no se reciba la documentación. SEXTO: Con fecha 15 de octubre de 2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/02875/2019, así como los documentos aportados por la reclamada, junto al escrito de alegaciones aportado. SEXTO: Con fecha 17 de octubre de 2019 se notificó a la reclamada propuesta de resolución, proponiéndose que por la Directora de la Agencia Española de Protección de Datos se sancione a la reclamada, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 60.000,00 € (SESENTA MIL euros). A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 22 de noviembre de 2018, la reclamada comunica a la Dirección de Seguridad mediante formulario de denuncia, la desaparición de cinco pendrives que se encontraban en una bolsita monedero en la Oficina de atención al Participe del Plan de Pensiones. Dichos dispositivos fueron vistos por última vez el 12 de noviembre de 2018. La Dirección de Seguridad en el trámite de investigación de dicha desaparición tiene conocimiento que se trata de seis dispositivos y obtiene una relación del contenido de estos. La Dirección de Seguridad presenta denuncia en la Dirección General de Policía el día 11 de diciembre y en cumplimiento de la Norma interna 3/2014 Reguladora de las actuaciones a seguir en el caso de desaparición de material perteneciente a RTVE, a sus empleados o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 a sus colaboradores, lo notifica el 12 de diciembre a la Dirección de Recursos Humanos (en adelante DRRHH), Dirección de Asesora Jurídica (DAJ) y Dirección Área Litigación y Laboral (DLL) junto con escrito resumen de los hechos y el contenido de los dispositivos se deduce que el número de afectados es aproximadamente once mil personas y los datos afectados son del siguiente tipo: 1. Datos identificativos: nombre y apellidos, DNI, matrícula de RTVE, teléfono, dirección (postal y electrónica) 2. Circunstancias personales: fecha de nacimiento, sexo, estado civil 3. Detalles del empleo: puesto de trabajo, categoría, nivel salarial, localidad de trabajo, fechas de jubilación 4. Categorías especiales de datos:  Afiliación a CCOO, salud (resoluciones médicas, resoluciones de la Seguridad Social sobre incapacidades),  Infracciones penales o condenas (sentencias completas con datos personales y posiblemente alguna notificación de embargo)  En cuanto al número de afectados es muy elevado ya que los datos de partícipes del plan de pensiones se remontan a la fecha de inicio de este en 1995, y los datos del Censo de RTVE son de todos los empleados de esta, siendo muchos de ellos también participes del Plan de Pensiones. SEGUNDO: La reclamada reitera nuevamente las alegaciones realizadas el 26 de septiembre de 2019 y solicita la nulidad de pleno derecho del presente procedimiento sancionador, alegando que la propuesta de resolución de este procedimiento se ha realizado prescindiendo total y absolutamente del procedimiento legalmente establecido, porque hasta el 10 de octubre de 2019 (las razones se exponen en el punto quinto de la página 2), no tuvo en su poder la copia del expediente y por lo tanto no ha podido presentar sus alegaciones antes de la propuesta de resolución vulnerándose lo establecido en el artículo 76.1 de la Ley 39/2015 del procedimiento administrativo. En este sentido, hay que señalar que en el artículo 89.2 de dicho texto legal se establece que, en el procedimiento sancionador, “una vez concluida la instrucción del procedimiento, el órgano instructor formulará una propuesta de resolución que deberá ser notificada a los interesados. La propuesta de resolución deberá indicar la puesta de manifiesto del procedimiento y el plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes”, por ello se considera que se ha cumplido con la normativa y no se ha vulnerado el derecho a la legítima defensa de la reclamada, ni su derecho a presentar alegaciones. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 32 del RGPD, que señala que “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

1. a)la seudonimización y el cifrado de datos personales;
2. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
3. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
4. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” III La infracción se tipifica en el artículo 83.4
5. a)del RGPD, que considera que la infracción de “las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43” es sancionable, de acuerdo con el apartado 4 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 La regulación de las infracciones en la LOPDGDD es más precisa en cuanto a las situaciones que dan lugar a una infracción y su consideración, de modo que sea mucho más sencillo conocer el plazo de prescripción de esa infracción (es decir, si es considerada leve, grave o muy grave) y de cara a la sanción administrativa a imponer por su incumplimiento. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
6. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.
7. e)La falta de adopción de las medidas técnicas y organizativas apropiadas para garantizar que, por defecto, solo se tratarán los datos personales necesarios para cada uno de los fines específicos del tratamiento, conforme a lo exigido por el artículo 25.2 del Reglamento (UE) 2016/679.
8. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.
9. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. IV A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. En consecuencia, se han tenido en cuenta, como agravantes los siguientes:  En el presente caso estamos ante acción negligente sobre datos significativos que permiten la identificación de una persona (artículo 83.2
10. b)como: - Detalles del empleo: puesto de trabajo, categoría, nivel salarial, localidad de trabajo, fechas de jubilación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 - Categorías especiales de datos como: • Afiliación a CCOO, salud (resoluciones médicas, resoluciones de la Seguridad Social sobre incapacidades), • Infracciones penales o condenas (sentencias completas con datos personales y posiblemente alguna notificación de embargo)  Se encuentran afectados identificadores personales básicos, según el artículo 83.2
11. g)como: 1. Nombre y apellidos, DNI, teléfono, dirección (postal y electrónica) 2. Circunstancias personales: fecha de nacimiento, sexo, estado civil Como atenuantes los siguientes:  Se han adoptado medidas por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados según el art. 83.2
12. c)como: - identificar exactamente: o el tratamiento de datos personales que realizan, y tipos de datos, o ubicación de las bases de datos automatizadas. - realizar medidas de formación y concienciación. - colocar carteles en todos los despachos sobre cultura de protección de datos (como mesas limpias, bloqueo del ordenador cada vez que se abandone el puesto de trabajo, protección dispositivos extraíbles, etc.) V Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA con NIF A84818558, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa de 60.000 € (sesenta mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA con NIF A84818558 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
13. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
14. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es