1/5 Procedimiento nº.: E/07779/2014 ASUNTO: Recurso de Reposición Nº RR/00454/2015 Examinado el recurso de reposición interpuesto por Don A.A.A., contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07779/2014 y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de mayo de 2015, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/07779/2014, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución fue notificada al recurrente en fecha 27 de mayo de 2015, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. (en adelante, el recurrente), asistido por Lancia Abogados y Consultores, ha presentado por Correo certificado de fecha 28 de mayo de 2015, y con registro de entrada en esta Agencia el día 5 de junio de 2015, recurso de reposición, fundamentándolo básicamente en que además de los hechos investigados y archivados se denunciaba al Partido Popular como responsable del fichero AFILIAD, inscrito en esa Agencia, y se solicitaba que se iniciara procedimiento sancionador para proteger y tutelar los derechos y garantías constitucionales del recurrente y evitar la repetición de conductas ilícitas; así como se solicitaba la sanción del mismo partido por mantener, o haber mantenido, el documento de seguridad en condiciones inaceptables. Solicitan que se trasladen los hechos denunciados a la Fiscalía General del Estado y se inmovilice el fichero AFILIAD hasta que el Partido Popular acredite que cumple las medidas de seguridad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Los hechos denunciados referidos en la Resolución que ahora se recurre se concretaban en los siguientes: “Con fecha 26 de abril de 2013, le es comunicada la cancelación de sus datos como militante del Partido Popular; no obstante, el citado Partido le sigue enviando correos electrónicos “sin copia oculta”, donde se incluye el nombre y apellidos del denunciante. Concretamente, con fecha 4 de noviembre de 2014, recibió dos correos electrónicos a diferentes horas, donde figuraba su dirección de correo y la de 96 personas más. (Se adjunta copia). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 El correo es enviado por Don B.B.B., aunque por la información que figura en el Asunto “RE: CONVOCATORIA DE REUNION”, parece una respuesta a otro, por lo que el citado señor contaría con todas esas direcciones, que corresponden a militantes del Partido Popular. Solicita que se sancione al Partido Popular por infringir la LOPD al ser el responsable del fichero AFILIAD y se protejan y tutelen los derechos del denunciante y de los afiliados del Partido” Las actuaciones previas de investigación se centraron en el origen de los datos para el envío de los correos electrónicos recibidos tras cancelar el Partido Popular sus datos. El resultado de la investigación determinó que los datos no se habían obtenido del fichero AFILIAD, cuyo responsable es el Partido Popular, sino que fue remitido por una persona que estaba incluida en una lista de correos (remitidos por el PP de Arona) del año 2012, y que dio a la opción contestar a todos, preguntando el motivo de que no fuese invitado a participar en las reuniones del partido en dicha localidad. En consecuencia, no se acreditó que el Partido Popular continuase tratando sus datos después de haberle contestado que los había cancelado. Las peticiones planteadas no eran coherentes con el resultado de las Actuaciones Previas de Investigación realizadas. No se había detectado la comisión de ningún delito por el Partido Popular que justificase su envío a la Fiscalía General de Estado. Tampoco existía justificación para la inmovilización del fichero AFILIAD ya que no se había constatado la concurrencia de los requisitos previstos en el artículo 49 de la LOPD. III Por otra parte, en el mencionado escrito del recurrente al que se alude en el punto segundo de los hechos del presente documento; manifiesta el recurrente que adjunta a su escrito “como documentación complementaria como DOC-4 el Documento de Seguridad del Partido Popular” que ha sido remitido al despacho Lancia Abogados y Consultores por la Secretaria de la Sección Primera de la Sala de lo Contencioso– Administrativo de la Audiencia Nacional como parte del expediente administrativo que remitió la Agencia Española de Protección de Datos con relación a los procedimientos PS/00275/2013 y PS/00276/
- Con relación al dicho documento de seguridad el recurrente manifiesta en su escrito lo siguiente: “…, Auditado por nuestro despacho de Consultoría & Abogados el Documento de Seguridad del Partido Popular entendemos que infringe palmariamente prácticamente todo el articulado del RD 1720/2007, de 21 de diciembre en lo referido a lo que debe ser un documento de seguridad que sirva como real instrumento rector de la seguridad de la organización, lo que en este caso es manifiesto que no concurre en sentido estrictamente legal, si bien en el pleno formal y teniendo en cuenta las dimensiones de la organización, el volumen de datos de especial protección que deben custodiarse y las exigencias de seguridad de un partido político como es el Partido Popular es evidente que el documento de seguridad no puede contar con escasas 20 hojas cuando una mera asociación juvenil de menos de 150 miembros requiere de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Documento de Seguridad mucho más amplio y detallado que con el que cuenta el Partido Popular.” En concreto el recurrente manifiesta que, entre los aspectos mínimos que debe contener el Documento de Seguridad, de acuerdo con la exhaustiva lista incluida en el apartado 3 del artículo 88 del Reglamento, no figuran determinadas informaciones, como el contenido del registro de incidencias; la identificación de la persona que ejecuta los procesos de realización y recuperación de datos; el modelo de autorización para recuperación de datos, la relación actualizada de usuarios y perfiles de usuarios y accesos autorizados, la descripción del control de acceso físico; el inventario de soportes de información; el contenido del registro de entrada y salida de soportes; la identificación de soportes; la descripción del sistema concreto de cifrado; la descripción de los procedimientos concretos de autenticación e identificación de usuarios; la descripción de los procedimientos concretos de copia de seguridad y respaldo; los procedimientos de registro de accesos o la descripción del mecanismo concreto que garantiza la seguridad en la transmisión de los datos a través de redes. Con carácter previo al análisis de las alegaciones del recurrente cabe precisar que el referido documento de seguridad del fichero “AFILIAD” obra esta Agencia como resultado de las actuaciones realizadas con relación a los citados procedimientos PS/00275/2013 y PS/00276/2013 y se corresponde con la versión “17/10/2012” del mismo, más concretamente la incorporación de dicho documento tiene lugar durante las actuaciones previas de inspección de referencia E/05233/2012 en respuesta a la solicitud de información remitida por esta Agencia al denunciado en fecha 1 de octubre de 2012, con relación al punto cuarto de la misma: “
- Especificación detallada de las medidas de seguridad implementadas en el fichero que contiene los datos publicados, adjuntado el Documento de Seguridad del mismo”. En cuanto a las alegaciones del recurrente con relación al contenido del documento de seguridad según lo previsto en el artículo 88.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RDLOPD) es preciso tener en cuenta lo previsto en el artículo 88.2 de la referida normativa: “
- El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización.” En el presente caso, el referido Documento de Seguridad, ha de entenderse no en los términos que indica el recurrente en la página 3 de su escrito “como instrumento rector de la seguridad de la organización” sino como documento que responde a una solicitud concreta de información de esta Agencia con el fin de determinar la existencia o no de medidas de seguridad para el acceso a los datos del fichero “AFILIAD” a través de redes de comunicaciones, hecho que se pone de manifiesto en el informe de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 actuaciones previas de referencia E/05233/2012 de 24 de abril de 2013 en el que se pone de manifiesto cuando se indica en el mismo que “Aportan copia del Documento de seguridad del sistema de información “Documentos Ofimáticos” que es uno de los sistemas que utilizan para el tratamiento del fichero “Afiliad”., cuestión que refleja el referido documento en su página16 en el epígrafe sobre “FICHEROS Y SISTEMAS DE INFORMACIÓN”. En definitiva lo que el recurrente refiere como “Documento de Seguridad que sirva como real instrumento de la seguridad de la organización” no puede entenderse como tal sino como la respuesta a la solicitud de información de esta Agencia acotada a un sistema de información denominado “Documentos ofimáticos” utilizado, entre otros, para el tratamiento de los datos del fichero “Afiliad” y en ningún caso dicho documento refiere a la totalidad de una organización como pretende el recurrente. En este sentido cabe señalar lo referido anteriormente sobre el artículo 88.2 del RDLOPD que otorga al responsable del fichero la capacidad de decidir sobre la estructura del documento o documentos de seguridad si bien el artículo 88.3 se significa acerca de los contenidos mínimos del Documento de Seguridad considerado en los términos de documento global de seguridad de una organización. Igualmente es preciso tener en consideración que el artículo 9 de la LOPD obliga al responsable del fichero, y, en su caso, el encargado del tratamiento, a adoptar las medidas de índole técnica y organizativas necesarias para garantizar la seguridad de los datos de carácter personal evitando su alteración, pérdida, tratamiento o acceso no autorizado en función del estado de la tecnología y la naturaleza de los datos y los riesgos a los que se encuentran expuestos. Por su parte el Título VIII del RDLOPD señala las medidas de seguridad de obligado cumplimiento que deberán ser tenidas en cuenta por el responsable del fichero y el encargado del tratamiento, en ningún caso, son medidas de seguridad únicas y excluyentes sino medidas de seguridad de obligado cumplimiento entendidas como requisitos mínimos para garantizar la seguridad de los datos, sin embargo el responsable del fichero a tenor de los riesgos a los que se exponen los datos personales debe adoptar las medidas organizativas y técnicas que considere necesarias atendiendo a la especificidad de los datos, los tratamientos y su organización, de esta forma el artículo 88.2 del RDLOPD permite al responsable del fichero y el encargado del tratamiento la elaboración de un documento de seguridad atendiendo a criterios de agrupación de ficheros, tratamientos, sistemas de tratamientos y criterios organizativos del responsable. En ningún caso el RDLOPD impone la obligación de un único documento de seguridad que sea el “real instrumento rector de la seguridad de la organización” se trata de un instrumento encaminado a garantizar la seguridad de los datos personales de forma flexible para cada organización concreta. Por tanto, dado, que en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 12 de mayo de 2015, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 expediente de actuaciones previas de inspección E/07779/
- SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es