1/6 Procedimiento N.º.: PS/00166/2021 Recurso de reposición N.º RR/00163/2022 Examinado el recurso de reposición interpuesto por EULEN SEGURIDAD, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00166/2021, y en base a los siguientes HECHOS PRIMERO: En fecha 15 de febrero de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00166/2021, en virtud de la cual se imponía una sanción de tres mil euros, por vulneración de lo dispuesto en el artículo 5.1.
- f)y 32 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracciones tipificadas en los artículos 83.5 y 83.4, respectivamente, del RGPD y calificadas de muy grave: la primera, y grave: la segunda, en los artículos 72.1
- a)y 73 f), respectivamente, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada al recurrente, en fecha 16 de febrero de 2022, fue dictada, previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00166/2021, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: En fecha 3 de febrero de 2021, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, manifestando que la entidad reclamada estaba revelando el número de DNI de los empleados de la empresa a través de una nota informativa que debían firmar. SEGUNDO: Comprobada la documentación aportada y que se encuentra incorporada al expediente, consta que terceros ajenos tuvieron acceso no autorizado a datos de carácter personal de empleados de la empresa. TERCERO: La parte reclamada reconoce que el documento se encontraba de forma temporal en una zona restringida con las debidas medidas de seguridad a la que solo tenía acceso el personal de seguridad y que, a raíz de esta reclamación, se está valorando la posibilidad de que, en el caso de que fuese necesario publicar un D.N.I, se cumpla con la disposición adicional séptima de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: En la actualidad parte reclamada expone que ha procedido a implantar las medidas correctoras adecuadas para evitar la repetición de hechos similares en el futuro.” TERCERO: EULEN SEGURIDAD S.A. (en lo sucesivo el recurrente), ha presentado en fecha 16 de marzo de 2022, en esta Agencia Española de Protección de Datos, recurso de reposición, en el que, en síntesis, manifiesta que no se deberían imponer dos sanciones por un mismo hecho, ya que la infracción del artículo 5.1.
- f)del RGPD contiene, de forma más agravada y como consecuencia de la falta de medidas, lo recogido en el artículo 32 del RGPD, muestra su disconformidad respecto a la argumentación de la falta de diligencia en la aplicación de medidas de seguridad, toda vez que en el momento de los hechos, el recurrente tenía aplicadas las medidas técnicas y organizativas que entendió necesarias en función del análisis de riesgo, reiterando, en este sentido, las alegaciones presentadas a lo largo del procedimiento sancionador objeto de recurso y solicita, atendiendo a la actuación diligente del responsable, los hechos, la naturaleza, la gravedad, los perjuicios causados respecto a la confidencialidad y las medidas aplicadas (forma previa como a posteriori), que se deje sin efecto la resolución del procedimiento sancionador o se acuerde imponer únicamente la sanción de apercibimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho II de la resolución recurrida, tal como se transcribe a continuación: “En primer lugar, de los hechos probados en este procedimiento se desprende que la visualización de los datos de carácter personal por parte terceros ajenos, permiten constatar que la parte reclamada no ha podido garantizar la seguridad adecuada en el tratamiento de los datos personales de los empleados de la empresa, incurriendo por ello en la vulneración del artículo 5.1
- f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. En el caso concreto que se examina, los hechos reclamados se concretan en la distribución de una nota informativa entre los empleados, que debían rellenar con su nombre, apellidos, DNI y firma, permitiendo el acceso entre ellos, al identificador de los que habían firmado antes. Es decir, la empresa tenía habilitación para tratar internamente y conocer determinada información, pero no estaba legitimada para transferirla a terceros. En este sentido se debe señalar que el DNI unido al nombre y apellido de la persona es considerado como un dato personal, tanto por el RGPD como por la LOPDGDD. Y es así porque a través de este, podría identificarse a una persona y al ser un dato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 personal, deben aplicarse las mismas medidas de protección que sobre otros datos personales. Tanto el RGPD como la LOPDGDD tienen por objeto garantizar los derechos fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales amparado por el artículo 18 de la Constitución. De esta forma, cualquier dato personal que la empresa pueda tratar en relación con los trabajadores, queda protegido por la normativa de protección de datos personales mediante la aplicación de una serie de principios y garantías que resultan exigibles en relación con cualquier tratamiento que se realice. En segundo lugar, en cuanto al argumento de que el incidente no ha acarreado una pérdida de disposición y control sobre los datos personales, ya que los mismos se encontraban perfectamente localizados y dentro de un entorno securizado, que no ha entrañado un riesgo para los derechos de los afectados en la medida que se tuvo un acceso limitado y temporal a datos de carácter personal básicos (no pertenecen a categorías especiales de datos), dentro de un entorno laboral y de confianza y no ha supuesto ningún perjuicio para los afectados transcurrido un año, no es causa de justificación o exculpación suficiente, toda vez que los afectados se han visto desprovistos del control sobre sus datos personales. En este caso la búsqueda en internet, por ejemplo, del nombre, apellidos de alguno de los afectados puede ofrecer resultados que combinándolos con los ahora accedidos por terceros ajenos, nos permitan el acceso a otras aplicaciones de los afectados o la creación de perfiles de personalidad, que no tienen por qué haber sido consentida por su titular. Esta posibilidad supone un riesgo añadido que se ha de valorar y que aumenta la exigencia del grado de protección en relación con la seguridad y salvaguarda de la integridad y confidencialidad de estos datos. El hecho de que fue un empleado el que incluyó por error el documento de identidad, saltándose los procedimientos internos, dada la urgencia del caso y la situación derivada del COVID, hay que señalar que las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. Este riesgo debe ser tenido en cuenta por el responsable del tratamiento que, en función de este, debe establecer las medidas técnicas y organizativas necesarias que impida la pérdida de control de los datos por parte del responsable del tratamiento y, por tanto, por parte de los titulares de los datos que se los proporcionaron.” En segundo lugar, considera el recurrente que no se deberían imponer dos sanciones por un mismo hecho, ya que la infracción del artículo 5.1.f del RGPD contiene, de forma más agravada y como consecuencia de la falta de medidas, lo recogido en el artículo 32 del RGPD. Pues bien, el artículo 5.1.
- f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 mediante la aplicación de medidas técnicas u organizativas apropiadas. Establece una obligación de resultado, no objetiva. Por otra parte, el artículo 32 del RGPD reglamenta cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. En este sentido, la Sala de lo Contencioso-Administrativo del Tribunal Supremo concluye en una reciente sentencia que la obligación de las empresas de garantizar la seguridad y privacidad de los ficheros que contengan datos personales de sus clientes es de medios y no de resultados. En la Sentencia 188/2922, de 15 de febrero, señala que, aunque “es exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La diferencia entre ambos tipos de obligación radica en la responsabilidad, ya que en la obligación de resultado la empresa responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y cualquiera que sea la diligencia de la empresa. En cambio, en la obligación de medios la empresa no será responsable si ha establecido medidas técnicamente adecuadas, las ha implantado y las mantiene activas y actualizadas con una diligencia razonable. En las obligaciones de medios, la suficiencia y la adecuación de las medidas de seguridad que el responsable planee establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con la tipología de los datos personales tratados, pero no se garantiza un resultado, es decir, no se asegura que no haya incidentes de seguridad, ya que este estado de garantía total es imposible de conseguir. Puede acontecer que las medidas no sean adecuadas sin que por ello se haya producido una pérdida de integridad y/o confidencialidad. En el presente supuesto concurren ambas infracciones acumulativamente. En primer lugar, porque se ha constatado la inexistencia de suficientes medidas de seguridad. Ello con independencia de si el resultado de pérdida de confidencialidad se hubiera producido. Pero, además, dicho resultado se produjo, también como consecuencia de la negligencia de la empresa en los tratamientos efectuados. Se trata, por lo tanto, de dos incumplimientos distintos, que se pueden cometer separadamente. Por otra parte, las infracciones derivadas de ambos preceptos se tipifican diferenciadamente en los artículos 83.4 y 83.5 del RGPD y con independencia plena, lo que determina que son infracciones distintas e incluso concurrentes, dependiendo de los hechos, sin que una de ellas englobe a la otra. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Hay que señalar que, de conformidad con la gravedad de las circunstancias concurrentes en el presente caso, la resolución sancionadora no ha infringido el principio de proporcionalidad para la determinación de las sanciones impuestas, que resulta ponderada y proporcionada a la gravedad de las infracciones cometidas y la entidad de los hechos puestos de manifiesto y acreditados en el procedimiento, sin que se aprecien razones que deban justificar su minoración. III Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por EULEN SEGURIDAD S.A., contra la resolución de esta Agencia Española de Protección de Datos, dictada en fecha 15 de febrero de 2022, en el procedimiento sancionador PS/00166/2021. SEGUNDO: NOTIFICAR la presente resolución a la entidad EULEN SEGURIDAD S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-160322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es