Papeles en la basura: nadie recuerda quién los tiró

Como ya hemos visto en otros casos de currículums en la basura, hay dos cosas que se deben tener claras: no sirve de nada ante la Agencia Española de Protección de Datos (AEPD) alegar que el hecho sucedió “sin querer” y tampoco es alegación suficiente presentar muchas medidas de seguridad  teóricas, puesto que lo que exige la normativa es una obligación de resultado.

El procedimiento sancionador PS/00203/2010, instruido por la AEPD, se inició tras personarse en comisaría una persona que declaró haber encontrado tirados en la basura un total de 57 curriculum vitae con datos personales y fotografías de personas que han solicitado empleo en un despacho de arquitectos.

El profesional denunciado alegó que hasta finales de 2008 se imprimían y archivaban dichos curriculum en archivador cerrado con llave para estar disponibles para consulta en caso de requerir personal y que a principios 2009 se decidió gestionar dicha información exclusivamente a través del correo electrónico. Asimismo se procedió a destruir la documentación en papel archivada durante los 6 últimos meses del año 2008. Al haber un gran volumen de trabajo en ese momento, la persona autorizada a hacer dicha tarea dejó momentáneamente los CV en una caja junto a su puesto de trabajo con la intención de destruirlos en otro momento de la jornada de menor carga de trabajo.

Según manifiestan los representantes de la entidad ha sido imposible averiguar que pasó realmente ya que después de cuatro meses nadie recuerda haber tirado esa caja y menos en un contenedor que queda a 3 calles de su sede, cuando tenían uno mucho más próximo. Se hizo una investigación a nivel interno, preguntando incluso al personal de la limpieza, pero algunas personas ya no trabajaban en el estudio y no les pudo localizar. Aseguraron no poder comprender como aparecieron esos CV en la basura. Según consta en el escrito de respuesta, el abandono de esta documentación se trató de un accidente debido a un error humano que lamentan y que no debe volver a repetirse ya que la información se trata de forma confidencial y sólo es accesible para las personas autorizadas. Esta concatenación de hechos infortunados, es la única explicación posible a que la caja con los CV apareciera en un contenedor de basura. En resumen, el denunciado alega que el hecho se debe a un error humano que no le es imputable, y si a una tercera persona ajena a la empresa, contratada para realizar las labores de limpieza en el local. También aportó un documento interno de seguridad, en el que se establecen las medidas aplicables por todos sus empleados y/o personas que puedan tener acceso a los archivos que contienen datos personales.

Sin embargo la AEPD explica en los Fundamentos de Derecho de la resolución que de los hechos probados en este procedimiento, se deduce que el denunciado, en su calidad de responsable del tratamiento, debió adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información de carácter personal que contenían dichos documentos. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho que dicha documentación fuese recuperada por un tercero, al estar dentro de un contenedor situado en la vía pública.

Esta necesidad de especial diligencia en la custodia de la documentación por el encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto:

“Como ha dicho esta Sala en múltiples sentencias… se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros… la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor.”

Y por tanto el Director de la AEPD RESUELVE:

PRIMERO: IMPONER a A.A.A..P., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h) de dicha norma una multa de 4.000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica.