← España

PS-00365-2020

1/6  Procedimiento Nº: PS/00365/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: GUARDIA CIVIL - PUESTO DE ALSASUA (en adelante, el reclamante) con fecha 12/06/2020 traslada denuncia por hechos que tuvieron lugar el 31/03/2020. Se indica que “por la patrulla de Seguridad Ciudadana del puesto de Alsasua, en el punto kilométrico 27,150, de carretera NA 1300, término municipal de Araitz, Navarra, se observa que en un camino sitio en la ribera del río Araxes, paraje , hay un depósito de residuos en la zona de servidumbre del río, directamente en la ladera del cauce del río. Se observa que los materiales que conforman el mismo proceden de la reforma y limpieza de un local o vivienda al encontrarse entre otros, restos de material de construcción así como gran cantidad de restos de archivos de contabilidad perteneciente a la empresa BOUTIQUE DEL AUTOMÓVIL GAIKI, conformado por albaranes de cobro, facturas de proveedores, todo ello a nombre de la titular de la empresa, A.A.A.. Tras la inspección de los residuos depositados, por los agentes, se verifica la existencia de albaranes expedidos por proveedores y letras de pago de los titulares, así como un talonario compuesto por 594 facturas correspondientes a los años 93 a 96 donde se pueden ver de forma clara datos personales correspondientes a nombre y apellidos, DNI y domicilio de 341 clientes. La documentación se encuentra depositadas en el puesto de la Guardia Civil de Alsasua”. Junto a la reclamación aporta -Diversas fotografías en blanco y negro, en las que se revela y se titula el paraje donde se encontraron los documentos. -Fotografías con detalle de los albaranes con los datos fiscales de la reclamada, así como diversas facturas donde figura la fecha, por ejemplo 20/11/93 o 9/07/1996, con los datos personales, DNI, nombre y apellidos, dirección del cliente y la descripción del producto. Cada factura aparece con una numeración y se aprecia que en la parte superior figuran los datos de la reclamada junto al logo de la empresa. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados, la Subdirección General de Inspección de Datos trasladó el 12/06/2020, de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) la reclamación a la reclamada. Con carta certificada fechada el 14/09/2020, registro entrada, 5/10/2020, manifestó la reclamada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 -El día 1/01/1992, “abrí junto a mi marido … un negocio de venta menor de accesorios piezas y recambios de vehículos terrestres llamado BOUTIQUE DEL AUTOMÓVIL GAIKI, que realizaba su actividad en un local de la calle Rondilla 35 en la localidad de Tolosa, Guipúzcoa. El negocio cesó en 1999.” Aporta histórico de actividades económicas de la Diputación Foral de Guipúzcoa con fecha de baja 20/11/1999 y certificado de alta del IAE de la reclamada y su esposo. “Desde entonces el local ha estado vacío sin ningún tipo de actividad ni comercial ni privada.” “El 15/11/2019, arrendamos el local de nuestra propiedad a construcciones HUGAR SL”. Aportan como documento 4 copia del contrato de alquiler. “El contrato de arrendamiento se hizo con la mediación de una inmobiliaria” que identifica, añadiendo, que le informó de unas personas que se dedicaban a la limpieza de locales-identifica a las personas- de las que solo dispone como señas, de su número de teléfono móvil, “contratando de palabra la limpieza del local” “desconociendo el método de trabajo, ni uso o destino de la documentación, ni los objetos que desalojara del local.” -Aporta escritos que manifiesta haber enviado a sus clientes comunicando el hallazgo de sus datos explicando la incidencia de lo sucedido y aportan copia, indicando: “Notificación de brechas de seguridad” informando del hallazgo en zona pública de facturas con los datos de la persona, así como explicando el motivo del fallo y un teléfono de contacto. TERCERO: Con fecha 6/10/2020 se firmó el acuerdo de admisión a tramite de la reclamación. CUARTO: Con fecha 14/01/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción del artículo 32.1 del RGPD, conforme señala el artículo 83.4.

  1. b)del RGPD, indicando que “a los efectos previstos en el art. 64.2
  2. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de apercibimiento.”, y que “ Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  3. f)de la LPACAP.” QUINTO: La reclamada presentó escrito de alegaciones indicando que reconocía la infracción y estaba conforme con el acuerdo de inicio y no formularía alegaciones. HECHOS PROBADOS 1) GUARDIA CIVIL - PUESTO DE ALSASUA, reclamante, el 31/03/2020 encontró en vía rural un depósito de residuos relacionados con la reforma y limpieza de un local o vivienda, hallándose archivos de contabilidad perteneciente a la empresa BOUTIQUE DEL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 AUTOMÓVIL GAIKI, albaranes de cobro, facturas de proveedores, con el nombre de la titular de la empresa, la reclamada. 2) El reclamante verificó la existencia de albaranes expedidos por proveedores y letras de pago de los titulares, así como un talonario compuesto por 594 facturas correspondientes a los años 93 a 96 donde se pueden ver datos personales correspondientes a nombre y apellidos, DNI y domicilio de 341 clientes. El reclamante presentó a la AEPD fotografías con detalle de los albaranes con los datos fiscales de la reclamada, así como diversas facturas donde figura la fecha, por ejemplo 20/11/93 o 9/07/1996, con los datos personales, DNI, nombre y apellidos, dirección del cliente y la descripción del producto. Cada factura aparece con una numeración y se aprecia que en la parte superior figuran los datos de la reclamada junto al logo de la empresa. 3) La reclamada manifestó qué tuvo un negocio llamado BOUTIQUE DEL AUTOMÓVIL GAIKI, en la localidad de Tolosa, Guipúzcoa desde el año 1992 hasta 1999 fecha desde la que estuvo vacío sin ningún tipo de actividad y que en noviembre del 2019, al arrendar el local y efectuar su limpieza “contrataron verbalmente a unas personas que se dedicaban a la limpieza de locales “desconociendo el método de trabajo, ni uso o destino de la documentación, ni los objetos que desalojaran del local.” 4) La reclamada manifestó que “ha enviado escritos a sus clientes comunicando lo sucedido, y aporta copia, indicando: “Notificación de brechas de seguridad” informando del hallazgo en zona pública de los documentos con sus datos personales, explicando el motivo del fallo y proporcionando un teléfono de contacto. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos son constitutivos de una infracción, imputable a la reclamada, incluidos en el artículo 32 del RGPD, que indica: 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
  4. a)la seudonimización y el cifrado de datos personales;
  5. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  6. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  7. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento La reclamada debería haber suscrito un contrato con la finalidad de destruir de forma segura los documentos que cumpliera los requisitos del artículo 26 del RGPD para garantizar la seguridad en el manejo de los mismos. Se acredita la comisión de la infracción imputada originada por la falta de diligencia que no consideró que podía haber derivado en lo sucedido. Pese a haber transcurrido un considerable espacio de tiempo desde la emisión de los documentos encontrados en la vía pública, de acuerdo con la fecha de las facturas, la reclamada sigue siendo la responsable de los mismos y mantiene la obligación de custodiarlos. Considerando las fechas de los documentos hallados y el cese del negocio, contando con los efectos de conservación documental por el periodo de posible exigencia de responsabilidad, sería posible proceder a su destrucción, en cuyo caso deberá documentar lo siguiente: documentos que se destruyen, que tipo de datos personales contienen y de qué periodo temporal. La reclamada queda facultada para la retirada de los citados documentos que custodia la Guardia Civil, obteniendo una diligencia de los documentos de su titularidad hallados y de los que se habrá de hacer cargo para las finalidades expuestas en el anterior párrafo III Indica el artículo 83.4 del RGPD:” Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  8. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” La LODGDD indica en su artículo 73.1: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
  9. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  10. b)dirigir a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” El considerando 148 del RGPD indica que a efectos de imponer la medida correctiva adecuada, debe prestarse especial atención a la naturaleza, gravedad y duración de la infracción, o a cualquier infracción anterior pertinente, y a cualquier otra circunstancia agravante o atenuante. Para las personas físicas, en lugar de sanción mediante multa puede imponerse un apercibimiento. Asimismo, el artículo 58.2
  11. d)del RGPD establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en apercibimiento, según lo dispuesto en el art. 83.2 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del artículo 32 del RGPD, de conformidad con el artículo 83.4
  12. a)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.