1/9
Procedimiento Nº: PS/00152/2020
938-300320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
ANTECEDENTES
PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de
notificación de quiebra de seguridad remitido por FUNDACION SINDROME 5P
MENOS DE C.V. en el que informan a la AEPD de que los anteriores cargos directivos
de Vicepresidencia y Secretaría que realizaban a su vez las funciones de
responsables de la gestión y seguridad de la información, no han devuelto los
documentos y dispositivos
SEGUNDO: A la vista de la citada notificación de brecha de seguridad de los datos
personales, la Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación, teniendo conocimiento de los siguientes
extremos:
ANTECEDENTES
Fecha de notificación de brecha de seguridad: 10 de octubre de 2019
ENTIDAD INVESTIGADA
FUNDACIÓN SÍNDROME 5 P MENOS DE C.V. (en adelante Fundación) con NIF
G54272836, y con domicilio en Calle Calitxe nº 6, 03690 San Vicente del Raspeig,
Alicante.
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
1. Con fecha 31 de octubre de 2019 se solicita información a la Fundación y de la
respuesta recibida en fecha 14 de noviembre de 2019 se desprende:
Respecto de la Fundación.
Tal y como consta en la web www.fundaciónsindrome5p.org, la
Fundación es una organización sin ánimo de lucro bajo la tutela del
Protectorado que ejerce la Generalitat Valenciana, que destina la totalidad de
su patrimonio en ayudar e informar a familias con miembros afectados por un
raro síndrome.
Con fecha 13 de diciembre de 2018 los cargos directivos de Secretario
y Vicepresidente dimitieron de la Fundación ante notario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
La Fundación ha aportado copia de las modificaciones de los
Estatutos en donde consta -en el artículo 16- que la custodia de la
documentación son funciones del Secretario.
Respecto de los hechos y causas de la incidencia. Medidas de minimización de la
incidencia
La violación de seguridad ha sido provocada porque los anteriores
Secretario y Vicepresidenta de la Fundación no han devuelto los archivos
informáticos, soportes, documentos, control de cuentas, etc., tras su dimisión
como patronos de la Fundación en fecha 13/12/2018.
Se han denunciado los hechos ante el Juzgado de Instrucción de San
Vicente del Raspeig el día 16 de julio de 2019 y se ha reclamado la
documentación y datos personales a los denunciados en varias ocasiones, sin
recibir contestación.
La Fundación ha aportado copia de la denuncia ante el citado Juzgado donde se pone
de manifiesto, entre otros aspectos, que los denunciados no han entregado toda la
documentación faltando las historias clínicas de los niños, entre otros documentos.
Respecto de los datos afectados.
La Fundación manifiesta que el número de afectados es de
aproximadamente 220 personas y los documentos contienen datos
personales de afectados (muchos de ellos menores) y familiares, diagnóstico
clínico, grado de dependencia, nivel, situación económica familiar, números
de cuenta, información de padres, hermanos y afectados.
La Fundación tiene constancia y ha aportado un correo electrónico al
respecto, de que se ha utilizado el dato de correo electrónico para remitir
correos a los asociados de la Fundación con posterioridad a la dimisión de los
citados cargos directivos. El citado correo electrónico aportado tiene fecha de
14 de diciembre de 2018. Consta como cabecera del correo la siguiente:
--------- Forwarded message -------
From: A.A.A. <***EMAIL.1>
Date: vie., 14 dic. 2018 12:45
Subject: DIMISION IRREVOCABLE A.A.A. Y B.B.B. DE FUNDACION
SINDROME 5P
To: A.A.A. <***EMAIL.1>, AA B.B.B. ***EMAIL.2
La Fundación ha aportado escrito dirigido a los socios de la
Fundación, de fecha 15 de octubre de 2019, comunicándoles de que se ha
producido una incidencia de violación de la seguridad de los datos como
consecuencia de que los anteriores patronos de la Fundación -con cargos de
Vicepresidenta y Secretario- no han hecho entrega de los documentos que
custodiaban tras su dimisión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
Respecto de las acciones tomadas para la resolución final de la incidencia o para
minimizar su impacto.
Con fecha 23 de octubre de 2019 se ha remitido un burofax a los
antiguos cargos directivos instándoles a devolver la documentación
aprovechando la respuesta a una solicitud de supresión de datos.
En dicho burofax, aportado por la Fundación, figura que los datos de los afectados han
sido bloqueados conforme a la Ley Orgánica 3/2018, de 5 de diciembre, a excepción
de aquellos tratamientos para cumplir una obligación legal y para la formulación,
ejercicio o defensa de reclamaciones.
Asimismo, figura que la supresión de datos de la Fundación obrantes en las
plataformas de YouTube e Instragram no se ha podido realizar ya que fueron
publicados por ellos mismos cuando ostentaban los cargos de Vicepresidenta y
Secretario, por lo que la Fundación no dispone de las claves para la gestión de dichas
plataformas, aunque han solicitado a las mismas el control de los perfiles y poder
suprimir los datos personales solicitados.
Por último, en el burofax remitido figura. “Aprovecho la ocasión para instarles que
entreguen cualquier documentación, soportes y equipos que aún conserven de la
Fundación y les recuerdo que cualquier tratamiento de datos que hagan con ellos,
incluso su mera conservación, carece de cualquier base jurídica que lo legitime”.
La Fundación manifiesta que ninguna convocatoria y burofaxes han sido recogidos y
aporta Certificado del Servicio de Correos de los intentos de entrega del burofax de
fecha 23 de octubre de 2019.
Respecto de las medidas de seguridad implantadas con anterioridad a la incidencia
La Fundación manifiesta que todos los empleados firman una cláusula
confidencialidad y aportan modelo al respecto, indicando que no disponen de
los documentos firmados al no haber sido devueltos a la Fundación.
Asimismo, aportan las cláusulas de confidencialidad anexas a los contratos de trabajo
adaptados al RGPD.
La Fundación ha aportado copia del Documento de Seguridad, donde
se indican, entre otras, las funciones y obligaciones de los usuarios.
Respecto de las medias implementadas con posterioridad a la incidencia.
La Fundación manifiesta que se han adoptados nuevas medidas al no
disponer de los documentos:
o Designación de un Delegado de Protección de Datos.
o Renovación de los documentos de confidencialidad y política de
seguridad de la información conforme al RGPD y LOPDGDD.
o Realización de copias de seguridad que garantizan la disposición
de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
o Revisión de procedimientos de actuación ante quiebras de
seguridad.
o Implantación de revisiones periódicas de seguridad.
TERCERO: Con fecha 17 de junio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a FUNDACION
SINDROME 5P MENOS DE C.V. por la presunta infracción del artículo 33 del RGPD,
tipificada conforme a lo dispuesto en el artículo 83.4 del citado RGPD, calificada como
leve a efectos de prescripción en el artículo 74.m) de la LOPDGDD.
CUARTO: Con fecha 16/06/2020 se notificó el acuerdo de inicio a FUNDACION
SINDROME 5P MENOS DE C.V., que no presentó alegaciones.
HECHOS PROBADOS
PRIMERO: Tras la dimisión del Secretario y Vicepresidenta de la Fundación en fecha
13/12/2018, no han devuelto los soportes informáticos que contenían datos personales
objeto de tratamiento por la Fundación en calidad de responsable.
SEGUNDO: Los hechos se denunciaron ante el Juzgado de Instrucción de San
Vicente del Raspeig el día 16/07/2019 reclamándose la documentación y datos
personales en poder del Secretario y Vicepresidenta de la Fundación desde su
dimisión.
TERCERO: Con fecha 10/10/2019 la Fundación notificó a la AEPD la brecha de
seguridad:
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
II
Las fundaciones se rigen por la Ley 50/2002 y establece, en cuanto a su creación,
que pueden crearse tanto de forma privada o por parte de la iniciativa pública.
En el presente caso, la Fundación consta como fundación sujeta a derecho privado
según figura los propios estatutos fundacionales.
III
El artículo 58 del RGPD, Poderes, señala:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
El Considerando 148 del RGPD señala lo siguiente:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
El artículo 33 del RGPD, Notificación de una violación de la seguridad de los datos
personales a la autoridad de control, establece que:
“1. En caso de violación de la seguridad de los datos personales, el responsable del
tratamiento la notificará a la autoridad de control competente de conformidad con el
artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de
que haya tenido constancia de ella, a menos que sea improbable que dicha violación
de la seguridad constituya un riesgo para los derechos y las libertades de las personas
físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72
horas, deberá ir acompañada de indicación de los motivos de la dilación.
2. El encargado del tratamiento notificará sin dilación indebida al responsable del
tratamiento las violaciones de la seguridad de los datos personales de las que tenga
conocimiento.
3. La notificación contemplada en el apartado 1 deberá, como mínimo:
a) describir la naturaleza de la violación de la seguridad de los datos personales,
inclusive, cuando sea posible, las categorías y el número aproximado de interesados
afectados, y las categorías y el número aproximado de registros de datos personales
afectados;
b) comunicar el nombre y los datos de contacto del delegado de protección de datos o
de otro punto de contacto en el que pueda obtenerse más información;
c) describir las posibles consecuencias de la violación de la seguridad de los datos
personales;
d) describir las medidas adoptadas o propuestas por el responsable del tratamiento
para poner remedio a la violación de la seguridad de los datos personales, incluyendo,
si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que
no lo sea, la información se facilitará de manera gradual sin dilación indebida.
5. El responsable del tratamiento documentará cualquier violación de la seguridad de
los datos personales, incluidos los hechos relacionados con ella, sus efectos y las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de
control verificar el cumplimiento de lo dispuesto en el presente artículo”.
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
Y en el artículo 73 de la LOPDGDD, a efectos de prescripción califica de “Infracciones
consideradas graves”:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
r) El incumplimiento del deber de notificación a la autoridad de protección de datos de
una violación de seguridad de los datos personales de conformidad con lo previsto en
el artículo 33 del Reglamento (UE) 2016/679.
Los hechos puestos de manifiesto en la notificación de la brecha de seguridad en los
sistemas de información de la Fundación y de la investigación llevada a cabo por la
AEPD, vulneran el citado artículo 33 del RGPD.
IV
El RGPD define las violaciones de seguridad de los datos personales como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o
alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos”.
Hay que señalar que el RGPD no establece un listado de las medidas de seguridad
que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino
que establece que el responsable del tratamiento aplicará medidas técnicas y
organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en
cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance,
contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los
derechos y libertades de las personas interesadas. Al respecto, la Fundación ha
aportado un documento de seguridad actualizado al RGPD y LOPDGDD en donde
figuran las medidas técnicas y organizativas adoptadas entre las que consta, entre
otras, la cláusula de confidencialidad que en su momento suscribieron los anteriores
directivos.
En este sentido, se debe señalar que de la documentación obrante en el expediente
no se acredita la autoría de la supuesta sustracción de los equipos informáticos,
soportes con datos personales ni tampoco que los exdirectivos denunciados hayan
hecho uso de los datos personales que contenían toda vez que de la cabecera del
correo electrónico aportada no se infieren estas circunstancias. En concreto, se trata
de un correo electrónico <reenviado> (Forwarded message), con origen <From:
A.A.A. <***EMAIL.1> y destinatario <To: A.A.A. <***EMAIL.1>, AA B.B.B.
***EMAIL.2>, que si bien el contenido hace alusión a los motivos de la dimisión, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
ningún momento consta acreditado tratamiento alguno de datos de asociados o
afectados de la Fundación ni origen ni destino a otras personas ajenas a ellos mismos.
Regula también el citado artículo que las violaciones de seguridad que puedan
suponer un riesgo para los derechos y libertades de las personas físicas deben
notificarse a la autoridad de control competente, circunstancia que se cumpliría en este
caso toda vez que los datos supuestamente sustraídos pertenecen a la categoría de
datos regulada en el artículo 9.1 del citado RGPD (Tratamiento de categorías
especiales de datos personales).
El artículo 33 del RGPD establece de forma explícita que las brechas de seguridad,
siempre que se vean afectados datos de carácter personal e implique un riesgo alto
para los derechos y libertades de las personas físicas, deben notificarse por el
responsable del tratamiento en el plazo de 72 horas después de que haya tenido
constancia de ella a la Autoridad de Control (AEPD).
En el presente caso, consta que la Fundación tuvo conocimiento del incidente de
brecha de seguridad en diciembre de 2018, denunció los hechos ante el Juzgado en
fecha 16 de julio de 2019 y no notificó la brecha de seguridad hasta el 10 de octubre
de 2019.
De conformidad con lo que antecede, la Fundación es responsable de la infracción del
artículo 33 del RGPD, tipificada en el artículo 83.4 del RGPD, calificada como leve a
efectos de prescripción en el artículo 74.m) de la LOPDGDD y sancionable con
apercibimiento al no apreciar intencionalidad, ser una fundación sin ánimo de lucro y
no constar la existencia de infracción previa
V
El artículo 74.m) de la LOPDGDD señala:
“Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83
del Reglamento (UE) 2016/679 y, en particular, las siguientes:
(…)
m) La notificación incompleta, tardía o defectuosa a la autoridad de protección de
datos de la información relacionada con una violación de seguridad de los datos
personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE)
2016/679”.
El artículo 70.1 de la LOPDGDD señala los sujetos responsables.
“1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679
y en la presente ley orgánica:
a) Los responsables de los tratamientos”.
VI
En el presente caso, en atención a que la Fundación es una organización sin ánimo de
lucro bajo la tutela del Protectorado que ejerce la Generalitat Valenciana, que destina
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
la totalidad de su patrimonio en ayudar e informar a familias con miembros afectados
por un raro síndrome, no se aprecia intencionalidad ni reincidencia, se considera
conforme a derecho no imponer sanción consistente en multa administrativa y
sustituirla por la sanción de apercibimiento de conformidad con el artículo 76.3 de la
LOPDGDD en relación con el articulo 58.2 b) del RGPD.
Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a FUNDACIÓN SÍNDROME 5 P MENOS DE C.V., con NIF
G54272836, por una infracción del Artículo 33 del RGPD, tipificada en el Artículo 83.4
del RGPD, calificada como leve a efectos de prescripción en el art 74.m) de la
LOPDGDD, una sanción de apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a FUNDACIÓN SÍNDROME 5 P
MENOS DE C.V. con NIF G54272836, y con domicilio en Calle Calitxe nº 6, 03690 San
Vicente del Raspeig, Alicante.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es