← España

PS-00433-2015

1/18 Procedimiento Nº PS/00433/2015 RESOLUCIÓN: R/00309/2016 En el procedimiento sancionador PS/00433/2015, instruido por la Agencia Española de Protección de Datos a la entidad ASOCIACION ESPAÑOLA DE ATENCIÓN Y APOYO A FAMILIA Y ADOPCION, vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 04/09/2014, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de Dña. A.A.A. (en lo sucesivo la denunciante), y con fecha de 29/10/2014 otro escrito de respuesta al requerimiento de información que le fue realizado por la Subdirección General de Inspección de Datos, en los que declara lo siguiente: Que el día 3 de abril, recibió un mensaje a través de su teléfono móvil, en el que una persona desconocida le alertaba de que había encontrado, diseminados por varias calles de Cartagena, folios con datos personales pertenecientes al expediente de adopción internacional de su hijo. Asimismo, manifiesta haber encontrado fotografías en las que aparece su hijo y otros menores y miembros de su familia. Que la misma persona le comenta que no es el único expediente extraviado y que encontró datos y fotografías correspondientes a otro menor. Asimismo, manifiesta que desconoce si falta algún documento en el expediente. A los pocos días, la persona que encontró la documentación y las fotografías se las entregó personalmente, copia de las cuales se acompañaron a la denuncia. Que la adopción internacional de su hijo se tramitó a través de la Entidad Colaboradora de Adopción Internacional (ECAI) en Cartagena, de la Asociación Española de Atención y Apoyo a Familia y Adopción (ASEFA), por lo que se deduce que ha sido esta entidad la que, por acción u omisión, ha dado un tratamiento, cuanto menos, negligente, a la información e imágenes que se le han facilitado, puesto que la profesional que gestionaba los expedientes lo hacía desde su propio domicilio particular. Que la entidad ECAI, como entidad responsable, ha incumplido gravemente sus obligaciones en materia de protección de datos de carácter personal, la de velar por la intimidad de los menores y sus familias, y ha vulnerado principios y derechos fundamentales, como son el derecho a la propia imagen y el interés superior del menor. Con el escrito de denuncia, adjuntó la siguiente documentación: . Informe de Seguimiento: de fecha 17/06/2013, en el que constan datos del menor: país, región, sexo, nombre y apellidos, fecha de nacimiento y de sentencia de adopción; datos de los padres adoptantes: nombre y apellidos, fecha de nacimiento, dirección postal, empresa y puesto de trabajo (1 folio). En el encabezamiento consta ASEFA ECAI. . Cobertura de las necesidades del menor: Necesidades afectivas, Necesidades familiares (datos de salud, de estudios, de desarrollo y de hábitos. Capacidad de los padres. Factores familiares y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 sociales (6 folios). En el encabezamiento consta ASEFA ECAI. . 13 fotografías, en las que figuran imágenes de menores con la familia, con su profesora y con compañeros del colegio, según notas manuscritas escritas en las mismas. . Reclamación formulada por la denunciante ante la Dirección General de Política Social de la Comunidad Autónoma de la Región de Murcia, de fecha 07/04/2014, requerimiento del Servicio de Acreditación e Inspección y respuesta a la misma de la denunciante, de 01/07/2014. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se realizaron las siguientes actuaciones: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “ADOPCION INTERNACIONAL”, cuyo responsable es la Dirección General de Política Social de la Consejería de Sanidad y Política Social, con nivel de seguridad alto. 2. La Dirección General de Política Social de la Consejería de Sanidad y Política Social de la Región de Murcia ha informado a la Inspección de Datos, con fecha de 26/05/2015, en relación con la documentación encontrada en la vía pública lo siguiente: . La Entidad Pública competente en materia de Adopción Internacional es la Dirección General de Política Social, de la Consejería de Sanidad y Política Social, y la entidad privada colaboradora de adopción internacional (ECAI) autorizada por la Administración es ASEFA, que figura acreditada para tramitar expedientes de Adopción Internacional a República Dominicana, siendo Dña. C.C.C. trabajadora social de la ECAI ASEFA. . Los documentos a que hace referencia el asunto no fueron depositados intencionadamente en zona pública, sino que la trabajadora social dispuso del expediente de la denunciante y su cónyuge que se encontraba en la sede ECAI, introduciéndolo en una cartera con el objetivo de realizar una visita domiciliaria a la interesada, para proceder a la obtención de información, para la elaboración del correspondiente informe de seguimiento de su hijo adoptado en República Dominicana, al parecer se rompió el fondo de la cartera donde iba el expediente y cayó al suelo, donde lo encontró un transeúnte que pasaba por el lugar. La trabajadora social no advirtió la falta de la documentación hasta un momento posterior, iniciando urgentemente la búsqueda sin llegar a encontrarla. . En cuanto a las medidas de seguridad adoptadas por la Dirección General de Política Social se encuentra la creación de un fichero con datos de carácter personal sobre Adopción Internacional. En cuanto a la ECAI, el Decreto 46/2006, de 28 de abril, por el que se regula la Acreditación y Funcionamiento de las Entidades Colaboradoras de Adopción Internacional y las Instituciones Colaboradoras de Integración Familiar, en el artículo 23.d), se establece la obligación de mantener la documentación de las familias que tramitan Adopción Internacional en un único archivo, teniendo que ser remitidos una vez finalizado el proceso de adopción, a la Administración en un plazo máximo de tres meses, según artículo 24 del mencionado Decreto. Para dar traslado del expediente a la ECAI se exige la autorización de los interesados por escrito. . La Dirección General de Política Social, cuando tuvo conocimiento de los hechos, los comunicó al Servicio de Acreditación e Inspección para tramitar el correspondiente expediente. En respuesta a la reclamación, el Servicio de Acreditación e Inspección, abrió un expediente informativo, concluyendo que se había incurrido en hechos objeto de sanción administrativa. En la actualidad se tramita expediente sancionador, por el Servicio de Desarrollo Normativo, encontrándose en fase de alegaciones por parte de la ECAI. 3. La Asociación Española de Atención y Apoyo a Familia y Adopción ha comunicado a la Inspección de Datos, con fecha 19/05/2015, en relación con la documentación encontrada en la vía pública, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 . Las funciones de Mediación en Adopción Internacional han sido realizadas por ASEFA en virtud de las acreditaciones concedidas por la Consejería de Sanidad y Política Social de la Región de Murcia. La denunciante firmó Contrato de Mediación para la Tramitación de solicitud de adopción en fecha 22/02/2007 y el expediente finalizó el 26/11/2009. . Una vez finalizado el proceso de adopción internacional, se inician las actuaciones postadoptivas, siendo preceptiva la realización de diez informes de seguimiento. En el caso que nos ocupa, la Trabajadora Social de la Entidad ASEFA fue la responsable de la realización de los citados informes y la denunciante firmó, el 22/02/2007, el compromiso para la realización de los mismos. . La Trabajadora Social, el día 2 de abril de 2014, metió en su mochila copia del Informe de Seguimiento, con la intención de asistir al domicilio de la denunciante. El informe estaba dentro de una funda de plástico, grapado, para su entrega a la denunciante como en anteriores ocasiones. La Trabajadora Social no se percató de la pérdida del Informe (consta de 6 folios más 2 de fotografías) al deshilacharse la costura inferior de la mochila y caer al suelo. . La pérdida es consecuencia de la actitud y exigencia de la propia denunciante, ya que si hubiera acudido a la sede de ASEFA, como todas las familias, se le hubiera entregado el Informe de Seguimiento en mano. . Por lo expuesto, el Informe de Seguimiento no se depositó en zonas públicas, se extravió accidentalmente al cumplir la Trabajadora Social las órdenes de la denunciante de trasladar el Informe desde la Sede de ASEFA a su domicilio particular. . La Trabajadora Social suscribió un Contrato de Arrendamiento de Servicios Profesionales con ASEFA, el día 05/09/2012, para el asesoramiento, información y apoyo profesional en los procesos de adopción internacional en los que ASEFA intervenga como ECAI. En la cláusula OCTAVA: CONFIDENCIALIDAD se especifica el carácter confidencial de toda la información y su devolución a ASEFA. . Con respecto a las medidas de seguridad adoptadas por ASEFA para la custodia de la documentación, aporta la portada del documento Auditoría de cumplimiento de las medidas de seguridad, ECAI ASEFA, realizada por el Grupo Corpodat, de fecha 21/11/2014. . En cumplimiento de las obligaciones que se especifican en el Decreto 46/2006, la entidad ASEFA procedió a poner en conocimiento de la Dirección General de Política Social la pérdida de la documentación, motivando la apertura de expediente sancionador contra la ASEFA, actualmente a la espera de su resolución. TERCERO: Con fecha 24/08/2015, el Director de la AEPD acordó iniciar, procedimiento sancionador a ASEFA, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 89, 92, 97, 108 y 114; tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la misma Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, ASEFA solicitó el archivo de las actuaciones en atención a las siguientes consideraciones: . Declara reproducidas las alegaciones contenidas en su escrito de fecha 19/05/2015, obrante en el expediente. . Niega que se hubiese producido un abandono de documentación, a lo sumo habría existido un extravío accidental de la documentación en cuestión, y señala que no consta probado el extremo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 relativo a un “lugar público” a que se alude en la apertura, por cuanto no se cuenta en el expediente con el testimonio de la persona que supuestamente encontró la documentación. . La entidad ASEFA ha cumplido y cumple con todas las obligaciones impuestas por la LOPD. . Invoca los principios de presunción de inocencia, principio de tipicidad, principio “non bis in idem”, in dubio pro reo, culpabilidad, etc., aplicables en el ámbito administrativo sancionador, que impiden que alguien pueda ser condenado si no es en virtud de una actuación dolosa o culposa, que no existe en el presente caso. En todo caso, estaríamos ante un hecho fortuito no imputable a esta entidad. No procede la imposición de una sanción basada en un criterio objetivo única y exclusivamente, prescindiendo de la existencia del dolo o culpa necesario para poder sancionar, tal y como queda reseñado en las sentencias que cita, en las que se exige que las infracciones administrativas, tienen que ser culpables, esto es atribuibles a un autor a título de dolo o culpa, y en el presente caso es evidente que no concurre. . Subsidiariamente, solicita la aplicación del apartado 6 del artículo 45 de la LOPD y, para el caso de que se continúe con el procedimiento sancionador, lo dispuesto en el apartado 5 del artículo 45 de la misma norma. ASEFA aportó copia de los documentos siguientes: 1. Documento de Confidencialidad firmado por Dña. C.C.C.. 2. Autorización de ECAI-ASEFA a Dña. C.C.C. para acceso y gestión de expedientes, así como para la gestión de expedientes en el domicilio de los solicitantes a petición de éstos. 3. Documento contractual con el Encargado del Tratamiento Dña. C.C.C.. 4. Protocolo funciones de Trabajadores Sociales. 5. Registro de Incidencias: en la anotación correspondiente a los hechos denunciados se hace constar lo siguiente: “EN FECHA 04/04/2014, LA TRABAJADORA SOCIAL DE ASEFA MURCIA… TENIA PROGRAMADA ENTREVISTA PARA REALIZACIÓN DEL 2 INFORME DE SEGUIMIENTO DEL MENOR ADOPTADO POR LA FAMILIA… EN EL DOMICILIO DE LA MISMA. ESE MISMO DÍA, MEDIANTE MENSAJE AL CONTESTADOR Y CORREO ELECTRONICO, SE RECIBE INFORMACIÓN DE LA SRA... (MADRE ADOPTANTE) COMUNICANDO QUE LA TARDE ANTERIOR HABÍA RECIBIDO LA LLAMADA TELEFÓNICA DE UNA SEÑORA QUE LE COMUNCÓ QUE OBRABA EN SU PODER DOCUMENTACIÓN, QUE HABÍA ENCONTRADO EXTRAVIADA, REFERENTE A SU HIJO. SE CONSTATAN TALES HECHOS CON LA TRABAJADORA SOCIAL MENCIONADA, QUIEN CONFIRMA QUE SE TRATABA DEL INFORME DE SEGUIMIENTO Nº7 REFERENTE AL MENOR ADOPTADO POR LA FAMILIA…, QUE SE HABÍA REALIZADO UNOS MESES ANTES Y QUE LO LLEVABA A LA FAMILIA PUESTO QUE ÉSTA NO SE HABÍA DESPLAZADO A LAS OFICINAS DE ASEFA MURCIA A RECOGERLO. ASIMISMO, SE ENCONTRARON ANOTACIONES REFERENTES A LA ENTREVISTA QUE MANTUVO CON OTRA FAMILIA LA TARDE DEL 03/04/2014 EN LAS OFICINAS DE ASEFA MURCIA, JUNTO CON UNAS FOTOGRAFÍAS… SE PONE EN CONOCIMIENTO DE LA SITUACIÓN TANTO A ASEFA CENTRAL (MADRID), COMO A ACOGIMIENTO Y ADOPCIÓN (COMUNIDAD AUTÓNOMA DE LA REGIÓN DE MURCIA)”. En el apartado “Medidas correctoras adoptadas” se indica: “REITERAR PROHIBICIÓN DE SACAR DE LAS OFICINAS DE ASEFA MURCIA CUALQUIER TIPO DE DOCUMENTACIÓN O SOPORTE REFERENTE A UN EXPEDIENTE DE ADOPCIÓN INTERNACIONAL, A LAS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 SUCESIVAS TRABAJADORAS SOCIALES QUE PRESTEN SUS SERVICIOS EN ESTA ECAI”. 6. Nombramiento de Dña. C.C.C. como Trabajadora Social por parte de ECAI ASEFA como usuaria del fichero. QUINTO: En fecha 26/11/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación que forman parte del expediente E/06086/2014 y por presentadas las alegaciones formuladas a la apertura del procedimiento por ASEFA y la documentación adjunta. Asimismo, en atención a lo solicitado por la entidad ASEFA, el instructor del procedimiento acordó requerir a la denunciante para que aportase los datos identificativos y de contacto de la persona que le comunicó el hallazgo en la vía pública de la documentación objeto de su denuncia. En respuesta a dicho requerimiento, la denunciante presentó escrito en el que manifiesta desconocer los datos de contacto de la persona que comunicó el hallazgo del expediente en la vía pública. Añade que dicha información resulta irrelevante, puesto que la entidad denunciada y la trabajadora social han reconocido los hechos, y niega que el informe en cuestión lo llevase la trabajadora para asistir a su domicilio, sino como modelo para la realización de otro. Asimismo, declara que nunca solicitaron que dicha trabajadora visitase su domicilio. En todo caso, considera la denunciante que no puede sacarse ningún documento de la ECAI, menos aún sin que conste en el correspondiente registro. Por otra parte, en cuanto a la prueba instada por ASEFA para que se recabase declaración testifical de D. B.B.B., se consideró que la citada entidad no justificó cómo puede influir esta declaración en la resolución del procedimiento ni la intervención en los hechos del testigo propuesto; que la persona propuesta como testigo pertenece a la esfera organizativa de la entidad, lo que posibilita que dicha declaración pueda ser aportada por la misma en cualquier momento de la tramitación del procedimiento, empleando para ello cualquier medio que deje constancia formal de la identidad de la persona que realiza las manifestaciones y la condición bajo la que actúa; y lo dispuesto en el artículo 17.3 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, según el cual no se estimarán como prueba pertinente los documentos que los interesados puedan aportar en cualquier momento de la tramitación. En consecuencia, se rechazó la prueba señalada en el párrafo anterior, si bien se advirtió a ASEFA sobre la posibilidad de aportar cualquier documentación que considere de interés para la defensa de sus derechos, en el sentido expresado en el artículo 3 del citado Reglamento, que otorga al interesado la facultad de efectuar alegaciones y aportar documentos en cualquier momento anterior al trámite de audiencia que sigue a la propuesta de resolución que deberá elaborarse por este instructor. Finalmente, se concedió a la entidad ASEFA plazo para que aportase el cuestionario de preguntas que pretende plantear a la persona que comunicó a la denunciante el hallazgo en la vía pública de la documentación objeto de su denuncia, de modo que pudiera resolverse sobre la pertinencia de dichas preguntas. El escrito dirigido a ASEFA con el contenido expresado no pudo ser entregado por el Servicio de Correos después de dos intentos, que tuvieron lugar en fechas 02 y 04/12/2015. Dicho Servicio procedió a la devolución del envío una vez finalizado el plazo del aviso efectuado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 a ASEFA para retirarlo en las oficinas de Correos. SEXTO: Con fecha 19/01/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad ASEFA con multa de 4.000 euros (cuatro mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibe escrito de la entidad ASEFA en el que, básicamente, reproduce sus alegaciones anteriores, negando nuevamente que se hubiese producido una actuación negligente por parte de la profesional que gestionaba los expedientes, o que se hubiese sacado de la sede el original del informe (según ASEFA, se trataba de una fotocopia para entregar a la familia y no un modelo para confeccionar el informe siguiente), e insistiendo en señalar que el único motivo por el cual fotocopia de la documentación sale de las oficinas de la entidad fue por el capricho e imposición de la denunciante, que en ningún momento quiso desplazarse a las oficinas de ASEFA para la realización de los informes de seguimiento postadoptivo, lo que obligó a la profesional a desplazarse al domicilio de ésta para el cumplimiento de la normativa que rige la adopción, la cual en el caso de la República Dominicana impone la elaboración de diez informes. Reitera que la documentación en cuestión no se depositó intencionadamente en lugar público y que tampoco está acreditado el extremo relativo a un “lugar público” a que se alude en la propuesta de resolución, al no contarse con el testimonio de la persona que supuestamente encontró la misma. Considera que la actuación de la denunciante ha obstaculizado el esclarecimiento de los hechos, al igual que la desestimación de la prueba propuesta por ASEFA para que se prestara testimonio por D. B.B.B., que constituye motivo de indefensión, puesto que se trata de la persona responsable del tratamiento de los ficheros. Advierte, además, que la notificación del acuerdo del Instructor sobre la prueba no fue efectuada a la Asociación, mientras que si lo fue la propuesta. Reitera que ha cumplido y cumple todas las obligaciones de seguridad impuestas por la LOPD, que se tomaron las adecuadas para el traslado de la documentación y que el hecho de la sustracción o extravío de la misma de manera fortuita (esta aun por identificar si hubo sustracción o extravío involuntario), no presupone el incumplimiento de la obligación. Por lo que respecta a las Sentencias del Tribunal Supremo de 16 de abril de 1991, y de 22 de abril de 1991, aportadas de contrario; dichas sentencias no hacen más que abundar o expuesto por ASEFA, a la que no puede imputarse haber actuado dolosamente, ni con negligencia ni ignorancia inexcusable, se tomaron las medidas con la diligencia debida. Otra cuestión bien diferente es que, aun habiéndose actuado de manera diligente, entren en juego factores externos que en ningún caso se han tenido en cuenta en este procedimiento, que han llevado al acceso de terceras personas a los datos contenidos en la fotocopia del informe de seguimiento del menor. En este caso, la colaboración necesaria de la familia denunciante. En relación con la ponderación realizada por el órgano sancionador, muestra su disconformidad, considerando que, a su juicio, no ha quedado probado que la entidad actuara con negligencia, ha sido sometida a indefensión por parte del órgano instructor, y a la falta de colaboración interesada de la parte denunciante. Sobre la aplicación de lo dispuesto en el artículo 45.6 de la LOPD, argumenta que, por la actividad que desarrolla, está sometida a controles por parte de la administración del país de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 origen de los menores y de los organismos públicos españoles. Se someten a auditorias, inspecciones, controles mensuales y, sobre todo, a la obligación del cumplimiento de la Ley de Protección de Datos, cuyo cumplimiento ha quedado sobradamente probado, puesto que en caso contrario habría sido sancionada también por los organismos públicos competentes de la Administración Publica encargados de controlar a las Entidades de Adopción. Finalmente, advierte que la sanción propuesta es inasumible por ASEFA, como entidad sin ánimo de lucro, y en virtud del momento que está atravesando actualmente en la adopción internacional, al no disponer de fondos para cubrir su importe, y solicita, subsidiariamente, la imposición de una multa por el importe mínimo previsto, teniendo en consideración la necesaria intervención de la denunciante en la producción de los hechos. HECHOS PROBADOS 1. ASEFA está autorizada por la Consejería de Sanidad y Política Social del Gobierno de la Región de Murcia como entidad colaboradora de adopción internacional (ECAI) y como tal está acreditada para tramitar expedientes de Adopción Internacional a República Dominicana. Entre los trabajadores sociales de ASEFA figura Dña. C.C.C.. 2. La denunciante firmó con ASEFA un Contrato de Mediación para la Tramitación de solicitud de adopción en fecha 22/02/2007. El expediente respectivo, que finalizó el 26/11/2009, c conlleva, una vez finalizado el proceso de adopción internacional, la realización posterior de diez informes de seguimiento, que fue encomendada a Dña. C.C.C.. 3. Con fecha de 04/09/2014, la denunciante formuló denuncia ante la AEPD contra la entidad ASEFA por el extravío de documentación relativa a su expediente de adopción internacional en un lugar público de la ciudad de Cartagena, señalando que fue alertada de ello por un tercero en fecha 03/04/2014. Con el escrito de denuncia adjuntó la documentación objeto de la denuncia siguiente: . Informe de Seguimiento, de fecha 17/06/2013, en el que constan datos del menor: país, región, sexo, nombre y apellidos, fecha de nacimiento y de sentencia de adopción; datos de los padres adoptantes: nombre y apellidos, fecha de nacimiento, dirección postal, empresa y puesto de trabajo (1 folio). En el encabezamiento consta ASEFA ECAI. . Cobertura de las necesidades del menor: Necesidades afectivas, Necesidades familiares (datos de salud, de estudios, de desarrollo y de hábitos. Capacidad de los padres. Factores familiares y sociales (6 folios). En el encabezamiento consta ASEFA ECAI. . 13 fotografías, en las que figuran imágenes de menores con la familia, con su profesora y con compañeros del colegio, según notas manuscritas que figuran en las mismas. 4. La entidad ASEFA, en respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección de la AEPD, manifestó que, el día 2 de abril de 2014, Dña. C.C.C. metió en su mochila copia del Informe de Seguimiento relativo al expediente de adopción de la denunciante, con la intención de asistir al domicilio de ésta, y no se percató de la pérdida accidental del mismo (según ASEFA, consta de 6 folios más 2 de fotografías) al deshilacharse la costura inferior de la mochila y caer al suelo. 5. La Dirección General de Política Social de la Consejería de Sanidad y Política Social del Gobierno de la Región de Murcia, tuvo conocimiento de los hechos ocurridos y llevó a cabo las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 correspondientes investigaciones. Dicha entidad, en el marco de las actuaciones previas desarrolladas por los Servicios de Inspección de la AEPD, informó que los documentos a que hace referencia la denuncia reseñada en el Hecho Probado Tercero no fueron depositados intencionadamente en zona pública, sino que la trabajadora social, Dña. C.C.C., dispuso del expediente de la denunciante y su cónyuge que se encontraba en la sede ECAI, introduciéndolo en una cartera con el objetivo de realizar una visita domiciliaria a la interesada para la elaboración del correspondiente informe de seguimiento, y que, al parecer, se rompió el fondo de la cartera donde iba el expediente y cayó al suelo, donde lo encontró un transeúnte que pasaba por el lugar. La trabajadora social no advirtió la falta de la documentación hasta un momento posterior, iniciando urgentemente la búsqueda sin llegar a encontrarla. 6. En el Registro de Incidencias de ASEFA consta la siguiente anotación en relación con los hechos denunciados: “EN FECHA 04/04/2014, LA TRABAJADORA SOCIAL DE ASEFA MURCIA… TENIA PROGRAMADA ENTREVISTA PARA REALIZACIÓN DEL 2 INFORME DE SEGUIMIENTO DEL MENOR ADOPTADO POR LA FAMILIA… EN EL DOMICILIO DE LA MISMA. ESE MISMO DÍA, MEDIANTE MENSAJE AL CONTESTADOR Y CORREO ELECTRONICO, SE RECIBE INFORMACIÓN DE LA SRA... (MADRE ADOPTANTE) COMUNICANDO QUE LA TARDE ANTERIOR HABÍA RECIBIDO LA LLAMADA TELEFÓNICA DE UNA SEÑORA QUE LE COMUNCÓ QUE OBRABA EN SU PODER DOCUMENTACIÓN, QUE HABÍA ENCONTRADO EXTRAVIADA, REFERENTE A SU HIJO. SE CONSTATAN TALES HECHOS CON LA TRABAJADORA SOCIAL MENCIONADA, QUIEN CONFIRMA QUE SE TRATABA DEL INFORME DE SEGUIMIENTO Nº7 REFERENTE AL MENOR ADOPTADO POR LA FAMILIA…, QUE SE HABÍA REALIZADO UNOS MESES ANTES Y QUE LO LLEVABA A LA FAMILIA PUESTO QUE ÉSTA NO SE HABÍA DESPLAZADO A LAS OFICINAS DE ASEFA MURCIA A RECOGERLO. ASIMISMO, SE ENCONTRARON ANOTACIONES REFERENTES A LA ENTREVISTA QUE MANTUVO CON OTRA FAMILIA LA TARDE DEL 03/04/2014 EN LAS OFICINAS DE ASEFA MURCIA, JUNTO CON UNAS FOTOGRAFÍAS… SE PONE EN CONOCIMIENTO DE LA SITUACIÓN TANTO A ASEFA CENTRAL (MADRID), COMO A ACOGIMIENTO Y ADOPCIÓN (COMUNIDAD AUTÓNOMA DE LA REGIÓN DE MURCIA)”. En el apartado “Medidas correctoras adoptadas” se indica: “REITERAR PROHIBICIÓN DE SACAR DE LAS OFICINAS DE ASEFA MURCIA CUALQUIER TIPO DE DOCUMENTACIÓN O SOPORTE REFERENTE A UN EXPEDIENTE DE ADOPCIÓN INTERNACIONAL, A LAS SUCESIVAS TRABAJADORAS SOCIALES QUE PRESTEN SUS SERVICIOS EN ESTA ECAI”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II ASEFA ha manifestado su oposición a la desestimación de la prueba acordada por el instructor del procedimiento, señalando que la misma es motivo de indefensión. En esta caso, ASEFA solicitó que se recabase declaración testifical de D. B.B.B., habiéndose considerado por el instructor, según consta en los antecedentes, que la citada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 entidad no justificó cómo puede influir esta declaración en la resolución del procedimiento ni la intervención en los hechos del testigo propuesto; y que la persona propuesta como testigo pertenece a la esfera organizativa de la entidad, lo que posibilita que dicha declaración pueda ser aportada por la misma en cualquier momento de la tramitación del procedimiento, empleando para ello cualquier medio que deje constancia formal de la identidad de la persona que realiza las manifestaciones y la condición bajo la que actúa; y lo dispuesto en el artículo 17.3 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, según el cual no se estimarán como prueba pertinente los documentos que los interesados puedan aportar en cualquier momento de la tramitación. En concreto, el citado artículo 17 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en sus apartados 2 y 3, establece lo siguiente: “2. En el acuerdo, que se notificará a los interesados, se podrá rechazar de forma motivada la práctica de aquellas pruebas que, en su caso, hubiesen propuesto aquéllos, cuando sean improcedentes de acuerdo con lo dispuesto en el artículo 137.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. 3. La práctica de las pruebas que el órgano instructor estime pertinentes, entendiéndose por tales aquellas distintas de los documentos que los interesados puedan aportar en cualquier momento de la tramitación del procedimiento, se realizará de conformidad con lo establecido en el artículo 81 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común”. En consecuencia, se rechazó la prueba propuesta, si bien se advirtió a ASEFA sobre la posibilidad de aportar cualquier documentación que considere de interés para la defensa de sus derechos, en el sentido expresado en el artículo 3 del citado Reglamento, que otorga al interesado la facultad de efectuar alegaciones y aportar documentos en cualquier momento anterior al trámite de audiencia que sigue a la propuesta de resolución que deberá elaborarse por este instructor. Por tanto, el rechazo de la prueba propuesta por ASEFA se acordó motivadamente y conforme a las reglas establecidas en los preceptos transcritos. Finalmente, se concedió a la entidad ASEFA plazo para que aportase el cuestionario de preguntas que pretende plantear a la persona que comunicó a la denunciante el hallazgo en la vía pública de la documentación objeto de su denuncia, de modo que pudiera resolverse sobre la pertinencia de dichas preguntas. El escrito dirigido a ASEFA con el contenido expresado no pudo ser entregado por el Servicio de Correos después de dos intentos, que tuvieron lugar en fechas 02 y 04/12/2015. Dicho Servicio procedió a la devolución del envío una vez finalizado el plazo del aviso efectuado a ASEFA para retirarlo en las oficinas de Correos. A este respecto, cabe señalar que ASEFA no comunicó a la Agencia su cambio de domicilio y que el traslado de su sede no fue conocido por esta entidad hasta un momento posterior, en la fase de notificación de la propuesta de resolución. Asimismo, interesa destacar que la notificación relativa a la prueba fue devuelta por el Servicio de Correos con la indicación “Ausente” y después de que hubiese finalizado el plazo para que ASEFA retirase el envío en las propias oficinas de Correos, de lo que fue puntualmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 avisada; mientras que la notificación de la propuesta de resolución fue devuelta con la indicación “dirección incorrecta”, lo que motivó el acceso a la web de la citada Asociación para verificar este datos, constatando que había establecido su sede en una nueva dirección. III De acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), se procedió a la apertura del presente procedimiento sancionador al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción. Dichos indicios derivan de la localización en la vía pública de documentación procedente de la entidad denunciada, que contenía datos de carácter personal, y que ha estado accesible a terceros, lo que puede suponer, salvo prueba en contrario, una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos. IV El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” V El artículo 9 de la LOPD establece lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  3. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  4. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  5. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  6. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  7. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  8. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  9. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Por otra parte, el Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad que deben implementarse en los ficheros y tratamientos automatizados o no automatizados. En el art. 81.3 del mismo se establece que además de las medidas de seguridad básica y medio, se aplicaran las medidas de seguridad de nivel alto a aquellos ficheros que contengan, entre otros, datos referidos a la salud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 Los artículos 89, 92, 97, 108 y 114 del citado Reglamento, aplicables en el presente caso, establecen lo siguiente: “Artículo 89. Funciones y obligaciones del personal”. “2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento”. Artículo 92. Gestión de soportes y documentos. “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Artículo 108, referido a la “Custodia de los soportes” y aplicable a los ficheros y tratamientos no automatizados, establece lo siguiente: “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. Artículo 114. Traslado de documentación. “Siempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 Así, ASEFA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, según reconoció la propia entidad imputada, cuyo responsable admitió que la documentación objeto de la denuncia fue extraviada. Así, en el presente caso, se ha reconocido que, en fecha 02/04/2014, una persona perteneciente a ASEFA dispuso del expediente de adopción de la denunciante y su cónyuge que se encontraba en la sede ECAI, introduciéndolo en una cartera con el objetivo de realizar una visita domiciliaria a la interesada para la elaboración del correspondiente informe de seguimiento, y que, al parecer, se rompió el fondo de la cartera donde iba el expediente y cayó al suelo, donde lo encontró un transeúnte que pasaba por el lugar. En concreto, se localizó un Informe de Seguimiento, de fecha 17/06/2013, en el que constan datos del menor: país, región, sexo, nombre y apellidos, fecha de nacimiento y de sentencia de adopción; datos de los padres adoptantes: nombre y apellidos, fecha de nacimiento, dirección postal, empresa y puesto de trabajo, con detalle de la valoración correspondiente a la cobertura de las necesidades del menor (necesidades afectivas, necesidades familiares-datos de salud, de estudios, de desarrollo y de hábitos), capacidad de los padres, factores familiares y sociales (en el encabezamiento consta ASEFA ECAI); así como diversas fotografías en las que figuran imágenes de menores con la familia, con su profesora y con compañeros del colegio. En relación con los hechos relatados, consta en las actuaciones que la entidad ASEFA, en su respuesta al requerimiento de información que le fue realizado por los Servicios de Inspección de la AEPD, reconoció expresamente que la Trabajadora Social, el día 02/04/2014, metió en su mochila copia del Informe de Seguimiento, con la intención de asistir al domicilio de la denunciante; que el informe estaba dentro de una funda de plástico, grapado, para su entrega a la denunciante como en anteriores ocasiones; y que la Trabajadora Social no se percató de la pérdida del Informe al deshilacharse la costura inferior de la mochila y caer al suelo. No sólo reconoció el extravío de la documentación, sino que, en la misma respuesta, informó que puso en conocimiento de la Dirección General de Política Social dela Región de Murcia la pérdida de la documentación, en cumplimiento de las obligaciones que se especifican en el Decreto 46/2006, y que esa información motivó la apertura de expediente sancionador contra la ASEFA. Asimismo, consta que la Dirección General de Política Social de la Consejería de Sanidad y Política Social de la Región de Murcia, a través del Servicio de Acreditación e Inspección, llevó a cabo la oportuna investigación, que concluyó igualmente que la trabajadora social dispuso del expediente de la denunciante y su cónyuge que se encontraba en la sede ECAI, introduciéndolo en una cartera con el objetivo de realizar una visita domiciliaria a la interesada; que al parecer se rompió el fondo de la cartera donde iba el expediente y cayó al suelo, donde lo encontró un transeúnte que pasaba por el lugar; y que la trabajadora social no advirtió la falta de la documentación hasta un momento posterior, iniciando urgentemente la búsqueda sin llegar a encontrarla. ASEFA ha señalado reiteradamente que la pérdida de la documentación es consecuencia de la actitud y exigencia de la denunciante. Sin embargo, esta Agencia no comparte esta apreciación, por cuanto la visita domiciliaria supuestamente exigida por la denunciante nada tiene que ver con la adopción o no de las medidas de seguridad exigidas en relación con la salida de soportes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 Por tal motivo, resulta que dicha entidad incumplió las medidas de seguridad relativas a la salida y traslado de soportes y documentos, antes reseñadas, necesarias para evitar que los datos de que dispone fuesen accedidos por terceros, al haberlos extraviado al alcance del público. Por ello, procede concluir que ASEFA ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. La infracción se comete en relación con ficheros de datos personales cuya titularidad corresponde a ASEFA y en su ámbito específico de responsabilidad. VI Se alega por parte de la denunciada que los hechos se produjeron de modo accidental. Sin embargo, ASEFA no ha mostrado la diligencia necesaria para poner en práctica de manera efectiva un protocolo de seguridad adecuado para evitar que se produzcan estos incidentes. La circunstancia expresada por ASEFA, sin perjuicio que deban tenerse en cuenta a la hora de graduar la sanción, no exonera la responsabilidad de dicha entidad. En cualquier caso, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). VII El hecho constatado en el presente procedimiento, relativo al extravío de documentación procedente de la entidad denunciada, en un lugar accesible por terceros no interesados, supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable del tratamiento. El artículo 44.3
  10. h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de ASEFA se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales pudieran ser accedidos por un tercero, infracción que procede calificarla en el grado señalado. VIII El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  11. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  12. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. ASEFA ha solicitado la aplicación de este artículo, dada la inexistencia de expedientes sancionadores previos en esta materia. En este caso, se cumplen los presupuestos establecidos en dicho artículo, considerando que la infracción imputada está calificada como grave y que ASEFA no ha sido sancionada en materia de protección de datos de carácter personal con anterioridad. No obstante, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el artículo citado, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera la diligencia que se exige a las entidades que, por su actividad, realizan tratamiento de datos con nivel alto de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 En nada influye en esta conclusión el hecho alegado por ASEFA de que, por su actividad, esté sometida a otros controles y auditorías llevados a cabo por entidades públicas del país de origen de los menores y españolas. VIII El artículo 45.1, 2, 4 y 5 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Debe tenerse en cuenta la interpretación establecida la Audiencia Nacional, en sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 Sentencias, entre otras, de 24/05/2002 y 16/02/2005, “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos.” Valorando las circunstancias concurrentes, se considera la ausencia de intencionalidad que se aprecia en este caso, motivado por un hecho puntual, y que a raíz de los hechos se han adoptado las oportunas medidas de protección de datos, prohibiendo la salida de documentos de la oficina de la imputada. Atendiendo a estas circunstancias, cabe apreciar que las mismas suponen una disminución cualificada de la culpabilidad y de la antijuridicidad con entidad suficiente para la aplicación de lo dispuesto en el citado artículo 45.5 de la LOPD, estableciendo la sanción según la escala prevista para las infracciones leves. Por otra parte, teniendo en cuenta los criterios de graduación de las sanciones recogidos en el citado artículo 45.4 de la LOPD y, en especial, por un lado, el volumen de datos afectados por la infracción; la actividad de la imputada, desarrollada sin fines de lucro; la ausencia de reincidencia; y la ausencia de beneficios; y por otro lado, la naturaleza de los datos personales implicados en la infracción, pertenecientes a un fichero de datos de carácter personal con nivel alto de seguridad; y que no consta ningún perjuicio a los afectados distinto de los que derivan de la propia infracción sancionada, procede imponer a ASEFA una sanción por importe de 2.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ASOCIACION ESPAÑOLA DE ATENCIÓN Y APOYO A FAMILIA Y ADOPCION, por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  28. h)de la LOPD, una multa 2.000 euros (dos mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad ASOCIACION ESPAÑOLA DE ATENCIÓN Y APOYO A FAMILIA Y ADOPCION, y a DÑA. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.