REPOSICION-PS-00287-2016

1/9 Procedimiento nº.: PS/00287/2016 ASUNTO: Recurso de Reposición Nº RR/00105/2017 Examinado el recurso de reposición interpuesto por la entidad SEGURIDAD EN LA GESTION, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00287/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 27 de diciembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00287/2016 , en virtud de la cual se imponía a la entidad SEGURIDAD EN LA GESTION, S.L. (en adelante SEGESTION), una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal(en lo sucesivo LOPD), en relación con el artículo 92.3 del Real Decreto 1720/2007, de 21 de diciembre, de desarrollo de la LOPD, infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.2. y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 30 de diciembre de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00287/2016, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha de 13 de julio de 2015 tiene entrada en esta Agencia un escrito la denunciante en el que declara que GRUPO SEGESTION está encargada de reclamar una deuda que mantiene con la empresa PABLO PENAS, S.L.. Manifiesta que la empresa le ha enviado 6 cartas y que en todas ellas está bien visible en el sobre en el que estaban insertas, a la vista de cualquiera el texto “impagados”, “cobro de morosos” o “vía judicial”, afectándole a su derecho a la privacidad. La denunciante consigna como su domicilio “ A.A.A.”. SEGUNDO: En fecha 27/01/2014 GRUPO SEGESTION suscribió un contrato con la empresa PABLO PENAS, S.L. para la prestación de los servicios de prevención de impagados y cobro de los mismos. Conforme a lo establecido en el mismo GRUPO SEGESTION trataría los datos de la denunciante, obrantes en los ficheros de PABLO PENAS, S.L. a los que tuviera acceso, conforme a lo estipulado en el artículo 12 de la LOPD. TERCERO: En los ficheros de GRUPO SEGESTION consta el nombre, primer apellido, teléfono fijo y móvil, y dirección de la denunciante coincidente con la señalada en su denuncia. CUARTO: Constan en el expediente las siguientes cartas remitidas a la denunciante por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 GRUPO SEGESTION en su correspondiente sobre según se detalla: - Carta de fecha 30/10/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “SEGESTION Desde 1984” - Carta de fecha 10/11/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “SEGESTION Desde 1984” y estampillado el texto “VIA JUDICIAL”, en tamaño ampliamente visible. - Carta de fecha 10/11/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “GRUPO SEGESTION desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible. - Carta de fecha 03/12/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección), sobre en el cual figura el nombre y anagrama de la empresa “GRUPO SEGESTION Desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible - Carta de fecha 05/01/2015 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “GRUPO SEGESTION Desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible - Carta de fecha 14/01/2015 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “SEGESTION Desde 1984”>> TERCERO: SEGESTION ha presentado en fecha 24 de enero de 2017 en el servicio de correos, con fecha de entrada 27/01/2017 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones ya planteadas en el procedimiento sancionador cuya resolución es objeto del presente recurso. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por SEGESTION, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho II de la Resolución recurrida, tal como se transcribe a continuación: <<II Se imputa a GRUPO SEGESTION el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.

1. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
2. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
3. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
4. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
5. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
6. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
7. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el RLOPD prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88.3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
8. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
9. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
10. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
11. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
12. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
13. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
14. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Igualmente el citado Reglamento regula: Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Así, GRUPO SEGESTION está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros (art. 92 RLOPD). Sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer un sistema de notificaciones de sus reclamaciones y requerimientos de deuda a sus clientes que no impidió de manera fidedigna que, por parte de terceros, se pudiera acceder a datos personales de los mismos, como es la situación de deudor moroso asociado a su nombre, apellido y domicilio completo. En este sentido se pronuncia la Audiencia Nacional, en Sentencia de 10/07/2014, en la que se declara lo siguiente: “A la vista de la normativa expuesta, la entidad recurrente estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constaban en sus ficheros sea cual fuere el soporte o documento que los contuviera. A C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 esta conclusión ha llegado la Sala en las Sentencias de 15 de abril -recurso n°. 143/2013- y 30 de abril -recurso n°. 140/2013- de 2014, en supuestos semejantes al que nos ocupa en que la parte actora era la misma. Decíamos en la segunda de las citadas Sentencias lo siguiente: «Como ha señalado la Sala en la SAN, de 15 de abril 2014 (Rec. 143/2013) referente a un supuesto similar en el que incluso la entidad recurrente era la misma entidad: "Esta obligación fue incumplida por dicha empresa cuando llevó a cabo la notificación o comunicación al deudor denunciante de la reclamación de deuda, cuya gestión le habla sido encomendada, de forma que posibilitaba el acceso de terceros a los datos personales del denunciante asociados a su condición de deudor "moroso", mediante la inclusión en el reverso del sobre con ventanilla donde se recogían los datos personales del destinatario, concretamente, nombre, apellidos y dirección postal, así como la indicación en el anverso del remitente "GRUPO SUGESTIÓN" con las direcciones de su sede central ...y en su reverso la expresión "COBRO DE MOROSOS" estampada en gran tamaño..." Pues bien, en el caso de autos, la expresión "COBRO DE MOROSOS" no sólo figura en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO SEGESTIÓN", en el anverso del sobre que contiene los requerimientos de pago enviados al denunciante, sino también y en grandes caracteres en el reverso de dicho sobre -folios 6 y 7 del expediente-.. La citada expresión, aisladamente considerada, no puede ser considerada como dato personal ni permite su asociación a ningún dato de carácter personal. Sin embargo, al estamparse en el anverso y reverso del sobre o soporte que contiene la información, destacando su presencia, y en el que aparecen los datos personales del destinatario -nombre, apellidos y dirección postal- y con independencia de que dicha expresión se refiera a la descripción de la actividad de la recurrente, resulta evidente que se relaciona con el destinatario de la comunicación, revelando su condición de deudor "moroso" a cualquier tercero que acceda al citado sobre. Por otro lado, ha de considerarse que el estampillado de la citada expresión en el sobre de la correspondencia remitida al deudor resulta absolutamente innecesaria par los lícitos fines perseguidos por la empresa de recobros demandante, consistentes en la comunicación de la deuda al deudor y la realización de las gestiones oportunas para procurar su pago. En definitiva, y como ha señalado ya esta Sala en la citada sentencia de 15 de abril de 2014, el sistema de notificaciones empleado por la denunciante permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Es decir, resulta acreditado que el sistema de envíos de comunicaciones utilizado, contrariamente a lo que alega la actora, posibilita un acceso no autorizado a la condición de moroso del destinatario de la comunicación, que tendría que estar vedado a terceros para salvaguardar la confidencialidad del contenido de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Sistema de comunicación que supone una flagrante violación de las medidas de seguridad impuesta por la normativa reguladora de la protección de datos de carácter personal para los ficheros y tratamientos de datos de carácter personal, que obliga expresamente al titular del fichero, en el traslado de la documentación, a adoptar las medidas adecuadas para evitar el acceso indebido a la información (art. 92.3 del RLOPD) Por tanto la conducta realizada por la entidad recurrente tiene pleno encuadre en la infracción prevista en el artículo 44.3.
15. h)de la LOPD apreciada por la resolución impugnada, sin que constituya una interpretación extensiva del citado tipo.” Argumenta GRUPO SEGESTION que fue sancionada en los procedimientos PS/00457/2012, PS/00236/2012 y PS/00202/2012, por infracción del artículo 9 de la LOPD por haber usado y enviado cartas en sobres con el estampillado “cobro de morosos” en letra de gran tamaño que ocupaba buena parte del sobre. Los sobres denunciados en los procedimientos PS/00457/2012 y PS/00236/2012 también incluían la expresión “cobro de morosos” en tamaño reducido como parte del logo y de los datos identificativos de la empresa tal como en el presente caso. Sin embargo en estos procedimientos la Agencia no se pronunció, ni reputó como ilícitos esos textos, sino que consideró que existía infracción por la existencia de grandes letras estampilladas con ese texto que ocupaban gran parte del anverso o reverso del sobre (PS/00457/2012 y PS/00236/2012), o porque aparecía en el sobre la expresión “cobro de morosos o vía judicial” impresos en caracteres muy superiores a lo normal (PS/00202/2012) Las resoluciones sancionadoras recaídas en dichos procedimientos y que han sido ratificadas por la audiencia Nacional en las sentencias anteriormente citadas, fijaban de manera clara que el hecho constitutivo de infracción era el sistema de notificaciones empleado por GRUPO SEGESTION, el cual permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Se especificaba que además de figurar en los sobres remitidos la expresión "COBRO DE MOROSOS" en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO SEGESTIÓN", en el anverso o reverso de los sobres que contenían los requerimientos de pago enviados a los denunciantes, figuraba dicha expresión en grandes caracteres. Es decir, se colige de los hechos y fundamentos de derecho de dichas resoluciones que la existencia en el sobre del texto “COBRO DE MOROSOS” impresa en negrilla debajo del logo y nombre de la empresa es en sí mismo hecho constitutivo de infracción del artículo 9 de la LOPD en la medida que permite el acceso indebido por parte de terceros a una información de carácter personal del denunciante que únicamente debe ser conocida por éste y por GRUPO SEGESTION. El hecho de que además de esto, en los sobres figurara en grandes caracteres estampillada la citada expresión “COBRO DE MOROSOS” no hace sino incidir en el hecho ya acreditado de la comisión de la infracción por la mera impresión de dicho texto en negrita junto al logo y nombre de la empresa Alega asimismo GRUPO SEGESTION que no se determina cual es la medida de seguridad, instrucción de la Agencia o tipificación específica infringida, salvo que se invoca una infracción genérica del artículo 9 de la LOPD. El acuerdo de inicio expresa de manera clara que la infracción del artículo 9 de la LOPD trae causa del incumplimiento de la medida de seguridad establecida en el artículo 92 del RLOPD en relación con la gestión de documentos habida cuenta que en el presente caso la gestión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 del documento en cuestión (carta inserta en un sobre ventanilla en el que se visualizan los datos personales de la denunciante, y en cuyo anverso consta la expresión “cobro de morosos”), supone que GRUPO SEGESTION no ha adoptado las medidas para que pueda producirse el acceso indebido por cuenta de terceros a la información relativa a la condición de moroso de la denunciante (art. 92.3 RLOPD). En consecuencia cabe rechazar tal alegación. Los hechos y fundamentos de derecho anteriores permiten concluir que GRUPO SEGESTION vulneró lo dispuesto en el artículo 9 de la LOPO en relación con el artículo 92.3 del RLOPD ya que de los 6 requerimientos de pago que remitió a la denunciante, 3 de ellos lo fueron mediante cartas fechadas el 10/11/2014, 03/12/2014 y 05/01/2015 insertas en sobres ventanilla en el que se podían ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobres en los cuales figuraba el nombre y anagrama de la empresa “GRUPO SEGESTION desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible. >> III Por lo tanto, en el presente recurso de reposición, SEGESTION no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SEGURIDAD EN LA GESTION, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de diciembre de 2016, en el procedimiento sancionador PS/00287/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad SEGURIDAD EN LA GESTION, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es