PS-00448-2015

1/8 Procedimiento Nº PS/00448/2015 RESOLUCIÓN: R/02894/2015 Mediante Acuerdo de fecha 8/9/15 se inició procedimiento sancionador nº PS/00448/2015 instruido por la Agencia Española de Protección de Datos a CATALUNYA BANC S.A. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 23/9/14 tiene entrada en esta Agencia escrito de la Dirección General de la Guardia Civil (Compañía de Vecindario/ Las Palmas) remitiendo Acta Denuncia, levantada el día 1/8/14, por si los hechos allí formulados pudieran ser constitutivos de una infracción de la Ley Orgánica de Protección de Datos. SEGUNDO: Se refiere la misma a que en dicha fecha, se presentó una persona manifestando que en el lugar de los hechos (Margen derecho de la carretera XXXXXX), se habían vertido una serie de residuos, entre ellos documentación oficial de la entidad Caixa Catalunya. A dicho lugar se trasladó una patrulla de Seprona realizándose reportaje fotográfico de los objetos hallados (router de internet y documentación) TERCERO Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/6283/2014. CUARTO Por parte del Director de la Agencia Española de Protección de Datos se Acordó, con fecha 8/9/15, iniciar procedimiento sancionador la presunta infracción de los artículos 9 y 10 de la LOPD QUINTO: Por parte de la entidad denunciada se presentó escrito de alegaciones al Acuerdo de Inicio, manifestando, en síntesis, lo siguiente: De la procedencia de la documentación Que la documentación que consta en el expediente procede de la oficina 1556 de las Palmas de Gran Canaria que fue cerrada en 2014 De la responsabilidad de los hechos Que la entidad no ha sido responsable del incidente ya que cumple todas las medidas de seguridad técnica organizativas necesarias De la sucesión de los hechos Que se contrató con fecha 5/11/13 los servicios de la empresa TROOFI CONFIDENTIAL DATA SOLUTION para la realización de tareas de destrucción de documentación confidencial. Se ha adjuntado copia del contrato de prestación de servicio. Dentro del proceso de cierre de oficinas se solicitó a dicha empresa la recogida de 80 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 cajas que contenían documentación confidencial. Teniendo conocimiento que dicha empresa subcontrató con la empresa GESGRUP 7 OUTSOURCING SLU sin que dispongan copia del contrato de subcontratación. El 24 de julio 2014 GESGRUP recogió las 80 cajas de documentación confidencial De las acciones adoptadas Que el 1/8/14 La consejería de Agua del cabildo de Gran Canaria puso en conocimiento de Catalunya Bank los hechos realizándose las siguientes acciones: - Que se requirió a las dos empresas informes sobre el incidente remitiendo, en informe conjunto, certificado de destrucción y acta de trituración emitida por la empresa A.A.A. - No obstante, una vez realizadas las investigaciones internas se emite un anexo al primer informe en el que uno de los operarios admite el error al depositar una de las cajas en el punto limpio. - Que la empresa TROOFI CONFIDENTIASL manifestó que en el punto limpio suelen producirse robos frecuentes, por lo que es posible que se hubiera robado la caja de ese punto y desechada en el sur de la isla. Y que como medida disciplinaria se ha procedido a la recisión de los contratos de los trabajadores por incumplimiento del protocolo de entrega Subsidiariamente, aplicación del art .45.5d) SEXTO: Por diligencia de fecha 6/11/15 se ha procedido a incorporar, al presente presente expediente, las actuaciones realizadas en el expediente E/76283/2014, así como las alegaciones y documentación remitida por CATALUNYA BANC en el escrito de alegaciones al Acuerdo de Inicio HECHOS PROBADOS 1º Consta Acta denuncia, levantada el día 1/8/14 por la Dirección General de la Guardia Civil (Compañía de Vecindario/ Las Palmas) 2º Consta que los hechos denunciados y transcritos en la referida Acta se refieren a la localización en la carretera XXXXXX), de una serie de residuos, entre ellos documentación oficial de la entidad Caixa Catalunya. 3º Constan en el expediente una muestra de los documentos localizados en el cauce del barrando. Figurando entre ellos: - Copia de un DNI - Contrato de cuenta corriente - Una escritura notarial de poder especial - Contratos de planes de ahorro garantizado - Solicitud de tarjeta 4º Consta copia del contrato de prestación de servicios suscrito con TROOFI CONFIDENTIAL DATA SOLUTION para la realización de tareas de destrucción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 documentación confidencial. 5º Consta certificado de destrucción de TROOFI CONFIDENTIAL DATA SOLUTION, de fecha 1/8/14. 6º Consta acta de trituración XXX emitida con fecha 24/7/14. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
2. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
3. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, Catalunya Caixa es responsable del tratamiento por lo que está sometida al régimen de responsabilidad contemplado en la LOPD en relación al tratamiento de datos personales a los que tiene acceso en su actividad laboral. No obstante, y en relación a los hechos denunciados, debe tenerse en cuenta que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 entidad TROOFI RECYCLING FOR BUSSINES es encargada de tratamiento (en virtud del contrato suscrito para la prestación del servicio de destrucción confidencial de documentación con CATALUNYA BANC. Se ha remitido copia del contrato suscrito entra la entidad denunciada y dicha empresa, el día 5/11/13 en virtud del cual esta última se compromete a la destrucción confidencial de la documentación contenida en cajas suministradas por la entidad bancaria. Por la entidad encargada del tratamiento se manifiesta que se subcontrató con la empresa DELETE la recogida, transporte y destrucción de 80 cajas con documentación confidencial propiedad de Catalunya Caixa. Aportándose por TROOFI certificado, de fecha 24/4/14 de garantía de destrucción confidencial de documentos. Por tanto, en cuanto al régimen de responsabilidad contemplado en la LOPD se debe considerar que TROOFI es encargada del tratamiento, y que dichos tratamientos (recogida y destrucción confidencial de la documentación a la que se refieren las presentes actuaciones) se han subrogado en DELETE III Art. 7 Del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD en su artículo 9, recoge lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas”. El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
4. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte la letra
5. c)del mismo artículo permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
6. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
7. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
8. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
9. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
10. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El artículo 10 de la LOPD establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” El artículo 44.3.d de la LOPD califica como infracción grave: “La vulneración del deber de mantener secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente ley” V Procede valorar en primer lugar sí, de los hechos acreditados en este expediente, existen elementos de juicio suficiente para imputar responsabilidad a la entidad denunciada, como responsable del tratamiento en relación a los documentos que procedían de una sucursal bancaria de Caixa Catalunya sita en las Palmas de Gran Canaria y que fue recuperada en un barranco. En sentido contrario, si el abandono de dicha documentación no puede imputarse de modo claro a la entidad denunciada fallaría el principio de responsabilidad subjetiva, clave para establecer su culpabilidad. La Constitución Española, considera, en su artículo 24.2, el derecho a la presunción de inocencia como un derecho fundamental: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 “2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia” Conforme a lo anterior, el Tribunal Supremo señala, en su Sentencia de fecha 26/10/98, el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En tal sentido, el Tribunal Constitucional, en su Sentencia 24/1997, establece que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
11. a)La prueba indiciaria ha de partir de hechos plenamente probados.
12. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras Pues bien, en este caso deben valorarse los siguientes hechos: A- Que la entidad denunciada contrató el servicio de destrucción confidencial de la documentacion con TROOFY , B- Que dicha empresa certificó, con fecha 1/8/14 la destrucción confidencial de documentación, aportándose además acta de trituración de las mismas, de fecha 24/7/14. Independientemente del hecho de que una de las cajas que tenían que haberse triturado en realidad no lo fuera, pero cuya responsabilidad no puede atribuirse a Catalunya Bank. Debe por tanto deducirse que no procede apreciar culpabilidad en CATALUNYA BANK, sobre el supuesto que no adoptó las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Sin que de los hechos se derive una falta de diligencia en la custodia de dicha documentación. Ya que la obligación de custodia de la misma, en su traslado y destrucción confidencial, recaía en entidad contratada a tal efecto Por tanto la concurrencia de una intervención activa de un encargado de tratamiento y de un tercero (subcontratado) con sus propias obligaciones en cuanto a la custodia de la información con datos de carácter personal y posterior destrucción), permite considerar el archivo del presente procedimiento sancionador: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos 1. PROCEDER AL ARCHIVO del presente procedimiento sancionador actuaciones. 2. NOTIFICAR la presente resolución a CATALUNYA BANC S.A. y a la DIRECCION GENERAL DE LA GUARDIA CIVIL (Comandancia de las Palmas) De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es