1/7 Procedimiento Nº: PS/00312/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 6 de marzo de 2020 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito firmado el 02/03/2020 por el Jefe Provincial de ***LOCALIDAD.1 de la Unidad de Policía Nacional Adscrita a la Comunidad ***COMUNIDAD.1 (en adelante, la reclamante) con el que remite el “Acta de Infracción LOPDGDD” levantada durante la inspección efectuada el 07/02/2020 en un establecimiento de la ASOCIACIÓN ***ASOCIACIÓN.1, con CIF G54790191 (en adelante, la reclamada). El motivo en el que se basa la reclamación -tal y como consta en el apartado “Observaciones” del Acta de Infracción remitida- es la “Falta de diligencia debida en la custodia de los datos de carácter personal de los asociados. Se observan numerosas fotocopias de documentos como DNI, Pasaporte y fichas de inscripción apoyadas en bandejas en el hall de entrada del local, con acceso de cualquier usuario o socio”. El escrito enviado por la reclamante a la AEPD es un documento que lleva impreso el anagrama de la Generalitat Valenciana y de la Agencia de Seguridad y Emergencia y está firmado el 02/03/2020 por el Jefe Provincial de ***LOCALIDAD.1. Anexos al citado escrito se remiten a esta Agencia dos documentos: a. Un escrito con los mismos anagramas que el anterior, que lleva estampado un sello de “Entrada” en la “Comisaría Provincial de ***LOCALIDAD.1” en fecha 19/02/2020. Va dirigido al “Comisario Provincial, Jefe de la Comisaría Provincial de ***LOCALIDAD.1” y lo remite la reclamada firmado por el “Jefe Provincial de la Unidad”. El asunto es “Acta Infracción. Ley de Protección de Datos”. En él se informa al destinatario de que se le da traslado de una copia del Acta de Infracción y de que “...La inspección se realizó en asociación ***ASOCIACIÓN.1, ubicada en C/***DIRECCIÓN.1 de ***LOCALIDAD.2, en colaboración con el Grupo de Policía Judicial de la Comisaría Local de ***LOCALIDAD.2, relacionado con las diligencias n º. ***DILIGENCIAS.1 del Juzgado de Instrucción n º 2 de dicha localidad”. a. Un escrito, con los mismos anagramas que los anteriores, que lleva el número “***ESCRITO.1” y la rúbrica “Acta de Infracción de Ley Protección Datos”. El Acta está firmada por los funcionarios con carné profesional número ***CARNET.1 y ***CARNET.2. En el apartado destinado a la firma del denunciado no figura ninguna. En su lugar se ha indicado “Se niega. Se entrega copia”, seguido del NIF del tesorero de la asociación reclamada. Los policías que suscriben el Acta dan cuenta de las irregularidades observadas durante una visita inspectora realizada en el local, sito en calle C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 ***DIRECCIÓN.1, de ***LOCALIDAD.2, propiedad de la Asociación ***ASOCIACIÓN.1, en colaboración con la policía judicial, en un operativo relacionado con las diligencias seguidas ante el Juzgado de Instrucción número 2 de ***LOCALIDAD.2 y con presencia del Letrado de la Administración de Justicia de ese órgano jurisdiccional. Se hace constar en ella que la inspección se realiza en presencia del tesorero de la Asociación, D. A.A.A., cuyo domicilio particular y NIF consta en el Acta. Que la Asociación está inscrita en el Registro Municipal de Asociaciones con fecha 09/12/2014, número ***NÚMERO.1, así como en el Registro de Asociaciones de la Comunidad ***COMUNIDAD.1, con número ***NÚMERO.2, siendo su número de identificación fiscal G54790191. El Acta indica que el servicio se realizó el 07/02/2020 a las 11 horas. SEGUNDO: En el marco del expediente E/03350/2020, la AEPD, en escrito firmado el 01/06/2020, da traslado de la reclamación a la reclamada para que en el plazo de un mes facilite a esta Agencia una explicación sobre los hechos denunciados y detalle las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares. El envío se efectuó por correo postal y fue recibido por la reclamada el 09/06/2020. Obra en el expediente un documento emitido por la Sociedad Estatal Correos y Telégrafos, S.A., “Prueba de Entrega”, en el que declara que el envío de la AEPD con referencia NT28**********XX, admitido el 05/06/2020, ha resultado entregado el 09/06/2020, a las 12:58 horas, siendo el receptor D. B.B.B. con NIF ***NIF.1. En fecha 09/09/2020 no se había recibido en la AEPD la respuesta de la reclamada a la solicitud informativa. Así pues, de conformidad con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD) por la Directora de la AEPD se acuerda en esa fecha admitir a trámite la reclamación. El acuerdo de admisión a trámite se notificó al reclamante por correo postal. El documento emitido por la Sociedad Estatal Correos y Telégrafos, S.A., “Prueba de Entrega”, que obra en el expediente administrativo, acredita que el envío se efectuó el 21/09/2020 y fue entregado el 24/09/2020. TERCERO: En fecha 09/09/20 se procede a la admisión a trámite de la reclamación por parte de la Directora de esta AEPD, de conformidad con el art. 65 LOPDGDD. CUARTO: Con fecha 5 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. QUINTO: El representante de la asociación presenta escrito de alegaciones al acuerdo de inicio, en el que expone que, cuando se levantó el Acta habían actuado anteriormente los Policías Nacionales y habían sacado la documentación de los cajones para que se pudiese inspeccionar. La asociación mantiene toda la documentación de sus socios que contiene datos personales en un despacho en cajones cerrados con un responsable que impide que nadie pueda acceder a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 mismos. En cuanto finalizó el registro, la documentación fue nuevamente colocada bajo llave. SEXTO: En fecha 13/07/21 se procede a notificar a la reclamada “propuesta de resolución” en la que se confirma la infracción imputada del art. 5.1
- f)RGPD, al no haber adoptado las medidas necesarias para la correspondiente custodia de la documentación con datos personales de sus clientes (as). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS UNICO: El Jefe Provincial de ***LOCALIDAD.1 de la Unidad de Policía Nacional Adscrita a la Comunidad ***COMUNIDAD.1 remite el “Acta de Infracción LOPDGDD” levantada durante la inspección efectuada, el 07/02/2020, en un establecimiento de la ASOCIACIÓN ***ASOCIACIÓN.1. En el apartado “Observaciones” del Acta de Infracción remitida- se indica “Falta de diligencia debida en la custodia de los datos de carácter personal de los asociados. Se observan numerosas fotocopias de documentos como DNI, Pasaporte y fichas de inscripción apoyadas en bandejas en el hall de entrada del local, con acceso de cualquier usuario o socio”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El RGPD se ocupa en su artículo 5 de los principios que han de presidir el tratamiento de los datos personales y menciona entre ellos los de “integridad y confidencialidad”. El precepto dispone: “1. Los datos personales serán: (…)
- f)Tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito, contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)”. El artículo 5.2. RGPD establece: “El responsable del tratamiento será responsable del cumplimiento de los dispuesto en el apartado 1 y capaz de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 demostrarlo (<<responsabilidad proactiva>>)” El principio de integridad establecido en el artículo 5.1.
- f)RGPD se desarrolla a través de los artículos 32 a 34 RGPD, encuadrados en la sección II del capítulo IV que lleva por rúbrica “Seguridad de los datos personales”. El artículo 32, “Seguridad del tratamiento”, dice: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. (…) 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” (El subrayado es de la AEPD) III La conducta de la reclamada que determinó la apertura del presente expediente sancionador es la omisión de las medidas de seguridad necesarias para garantizar la confidencialidad de los datos personales objeto de tratamiento, habida cuenta de que, en el “Acta de Infracción LOPDGDD” que la reclamante nos ha remitido, los funcionarios actuantes constataron que en un local de la asociación reclamada existían numerosos documentos con datos personales - fotocopias de DNI, de pasaportes y fichas de inscripción- apoyados en bandejas ubicadas en el hall del local “al acceso de cualquier usuario o socio”. Esta conducta de reclamada evidencia que no adoptó las medidas organizativas necesarias para garantizar la seguridad de los datos personales de terceros que ella C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 trataba, incumpliendo de este modo la obligación que el RGPD, artículo 32.1., le impone. Este precepto concreta el principio general de “integridad” que ha presidir el tratamiento de los datos personales de terceros. A dicho principio se refiere el Considerando 39 del RGPD cuando dice “…Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizado de dichos datos”. En el mismo sentido, el Considerando 74 del RGPD indica que “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe de estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los dere chos y libertades de las personas físicas.” IV De conformidad con las pruebas de las que se dispone en este expediente sancionador, los hechos conocidos son constitutivos de una infracción del artículo 32.1. RGPD, en relación con el artículo 5.1.
- f)RGPD, tipificada en el artículo 83.4.
- a)RGPD, que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 Euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8,11, 25 a 39,42 y 43;”. El art. 77 apartado 5º de la Ley 39/2015 (1 octubre) dispone lo siguiente: “5. Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario” (*la negrita pertenece a este organismo). Se aporta copia del Acta de Inspección de fecha 07/02/21 (Anexo I reclamación) dónde en el apartado “Observaciones” se constata a juicio de la fuerza actuante la presencia de diversos documentos con datos personales que no cumplen con las medidas de seguridad requeridas para este tipo de datos, siendo fácilmente “observables” por cualquier persona que entre en el establecimiento objeto de investigación. Sobre el plazo de prescripción de esta infracción, habremos de estar a las previsiones de la (LOPDGDD). El artículo 73,
- f)LOPDGDD califica de infracción grave “La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 términos exigidos por el artículo 32.1 del Reglamento (UE)2016/679”. El artículo 73 LOPDGDD dispone que las infracciones graves tendrán un plazo de prescripción de dos años. V El artículo 58.2 RGPD atribuye a las autoridades de control los siguientes poderes correctivos: “(...)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; c)...
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (...) i)Imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (...)” Pese a la sanción de multa que el artículo 83.4 RGPD fija para las infracciones tipificadas en dicho precepto, el Considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” Se recuerda que una nueva constatación de cualquier “irregularidad” en materia de protección de datos, puede dar lugar a la apertura de un nuevo procedimiento sancionador de carácter pecuniario. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR un apercibimiento a la entidad ASOCIACIÓN CANNABIS ***ASOCIACIÓN.1, con CIF G54790191, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEGUNDO: ORDENAR a la reclamada para que en el plazo de 1 mes desde la notificación del presente acto adopte las medidas necesarias para la salvaguarda de los datos personales de los clientes que son tratados bajo su responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 TERCERO: NOTIFICAR la presente resolución a ASOCIACIÓN CANNABIS ***ASOCIACIÓN.1 e INFORMAR del resultado de las actuaciones UNIDAD DE POLICÍA (COMUNIDAD ***COMUNIDAD.1). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es