La Agencia Española de Protección de Datos ha impuesto una multa de 4000 euros por una infracción relativa a las medidas de seguridad al no custodiar numerosas tarjetas de embarque que la Unidad Fiscal y Aeroportuaria de la Comandancia de Madrid de la Guardia Civil encontró en la terminal T4 del Aeropuerto de Madrid-Barajas.
Los hechos se remontan a junio de 2012, cuando la Unidad Fiscal y Aeroportuaria de la Comandancia de Madrid de la Guardia Civil localiza en la puerta de embarque K-69 de la terminal T-4 del Aeropuerto Madrid-Barajas 30 tarjetas de embarque con nombres y apellidos, sin custodia alguna por parte del personal de Iberia; ese mismo día vuelven a encontrarse otras 44 tarjetas de embarque correspondiente a otro vuelo. Ante estos hechos esta Unidad presentó denuncia ante la Agencia Española de Protección de Datos (AEPD).
A la luz de los hechos denunciados, la AEPD inicia una investigación por posible vulneración del artículo 9 de la LOPD, artículo que consagra el denominado principio de seguridad de los datos, al imponer medidas concretas para garantizar la seguridad de los datos de carácter personal y en concreto que eviten un acceso no autorizado.
Por parte de Iberia se aportó diversa documentación en relación a los protocolos seguidos para la destrucción de documentos que contuvieran información de carácter personal, así como las manifestaciones de los agentes que habían dejado las tarjetas en la puerta de embarque, informando éstos que "habían tirado las tarjetas de embarque a la papelera".
Por su parte, el supervisor de Iberia afirmó que "estando avisados todos los agentes de la necesidad de recoger todos los documentos una vez finalizado el embarque solo cabe suponer que las tarjetas de embarque encontradas se hayan depositado en la papelera anexa a la puerta. En lo sucesivo se insistirá en la necesidad de recoger la puerta de embarque y de llevar a la isleta de tránsito todos los documentos sobrantes del embarque".
Pero para la Agencia el asunto estaba claro: siendo la custodia de dicha documentación una responsabilidad de Iberia, debió adoptar las medidas necesarias para impedir cualquier acceso no autorizado. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho que dicha documentación fue encontrada por terceros no autorizados.
Esta necesidad de especial diligencia en la custodia de la documentación tanto por el responsable como por el encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008, fundamento cuarto, al indicar que: "como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor".
Por todo lo expuesto, la AEPD considera que se ha vulnerado este principio de seguridad de los datos, infracción calificada como grave en el artículo 44.3.h de la Ley Orgánica de Protección de Datos y termina, en resolución de 5 de noviembre de 2011, imponiendo una multa de 4000 euros entendiendo que procedía aplicar una disminución cualificada de la culpabilidad de Iberia en este caso concreto, pues las infracciones graves se castigan con multa de 40001 euros a 300000 euros.
La resolución comentada puede descargarse desde aquí.
