Imagen generada con IA.
Unos exámenes con nombre, apellidos, DNI y calificaciones aparecieron tirados junto a unos contenedores de basura, a la vista de cualquiera. Una reciente resolución muestra cómo una sanción AEPD por no anonimizar datos en formato físico puede comprometer gravemente a una entidad. El caso ha llevado a la Agencia Española de Protección de Datos a apercibir al Ayuntamiento de Canals (Valencia) por dejar en la calle documentación confidencial de ciudadanos.
El caso de Canals: Sanción de la AEPD por datos personales en la vía pública
Los hechos se remontan a un taller municipal de empleo gestionado por el Ayuntamiento de Canals dentro de un programa del Servicio Valenciano de Empleo y Formación (LABORA). Varios vecinos se encontraron, abandonados en la calle junto a unos contenedores, los exámenes de tres alumnos del taller, con su nombre, apellidos, DNI y calificaciones perfectamente visibles. Una de las ciudadanas denunció el hallazgo en redes sociales, cuestionando cómo el consistorio había podido «perder» documentación que identificaba a personas concretas, y varios vecinos trasladaron los hechos a la AEPD.
En su defensa, el Ayuntamiento alegó una «posible confusión»: los exámenes habrían acabado en la papelera y, desde ahí, en el contenedor, sin que mediara ninguna intención de exponerlos. Según explicó el propio consistorio, el protocolo habitual consiste en destruir primero el papel y solo después depositarlo en la papelera para su recogida por los servicios de limpieza. El problema es que, en este caso, ese protocolo no se siguió, o no se siguió de forma que impidiera que los datos personales de tres alumnos quedaran expuestos ante cualquier viandante.
Claves de la sanción AEPD: por qué anonimizar datos en papel es obligatorio
La resolución de la AEPD (expediente nºEXP202408290) declara que el Ayuntamiento vulneró el principio de integridad y confidencialidad del artículo 5.1.f) del RGPD, que obliga al responsable del tratamiento a garantizar una seguridad adecuada de los datos, incluida la protección frente al tratamiento no autorizado y frente a su pérdida o destrucción accidental. La Agencia considera que el consistorio no aplicó las medidas técnicas y organizativas necesarias para evitar que terceros accedieran a esos datos, y que una gestión deficiente de la destrucción de los documentos permitió que acabaran expuestos en la calle.
Que la AEPD no imponga una sanción económica no equivale a que no haya infracción. El Ayuntamiento, como entidad de la Administración local, está sometido al régimen específico del artículo 77 de la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), que reserva las multas económicas propiamente dichas para el sector privado y, para las administraciones públicas, sustituye la sanción pecuniaria por otras medidas, entre ellas el apercibimiento. El resultado práctico es el mismo que en cualquier expediente sancionador: una infracción declarada, con su correspondiente reproche formal, que queda registrada frente a la Agencia y frente a la ciudadanía que denunció los hechos.
La importancia de la destrucción segura de documentación en papel
El caso de Canals recuerda algo que suele quedar en segundo plano frente a las brechas puramente digitales: gran parte de las organizaciones, sean administraciones públicas, clínicas, despachos o pequeños negocios, siguen generando y almacenando documentación en papel con datos personales, desde exámenes y currículums hasta historiales o formularios de contacto. Ese papel es tan dato personal como cualquier registro en una base de datos, y su eliminación exige el mismo cuidado que cualquier otra baja de información: no basta con tirarlo a la papelera esperando que «nadie lo mire», porque en la práctica cualquiera puede acceder a un contenedor situado en la vía pública.
La diferencia entre una destrucción segura y un incidente como el de Canals no está en la intención de quien maneja el documento, sino en si existe un procedimiento claro, conocido por el personal y efectivamente aplicado en cada caso, que impida que un documento con datos identificativos llegue a un contenedor sin haber sido destruido antes de forma irreversible.
Protocolo de eliminación de documentos con datos personales
Para evitar un incidente equivalente, cualquier organización que gestione documentación en papel con datos personales debería tener claros, como mínimo, estos puntos:
- Destruir antes de desechar, nunca al revés. El papel con datos identificativos (nombre, DNI, calificaciones, datos de salud, datos bancarios) debe pasar por una trituradora o un servicio de destrucción certificado antes de depositarse en cualquier papelera o contenedor, nunca después.
- No confiar la destrucción a la buena voluntad individual. Si el protocolo depende de que cada persona recuerde triturar el documento antes de tirarlo, tarde o temprano fallará, como ha ocurrido aquí. Conviene que existan contenedores de destrucción específicos, de acceso sencillo, junto a los puestos donde se maneja este tipo de documentación.
- Formar al personal sobre qué documentos requieren destrucción segura. No solo historiales o nóminas: exámenes, formularios de inscripción, currículums o cualquier papel con datos identificativos deben tratarse con el mismo cuidado.
- Registrar la política de conservación y destrucción por escrito. Tener un procedimiento documentado, aunque sea sencillo, permite acreditar ante la AEPD que el incidente fue una excepción puntual y no la ausencia de cualquier medida de seguridad, lo que puede marcar la diferencia entre un apercibimiento y una sanción más severa.
- Revisar periódicamente que el protocolo se cumple en la práctica. Una política que existe solo sobre el papel, nunca mejor dicho, no protege a nadie si no se verifica que se aplica de verdad en el día a día.
🛡️ Evita sanciones de la AEPD con el respaldo de Dataibérica
La gestión de datos personales —tanto en entorno digital como en soporte papel— requiere protocolos estrictos para evitar filtraciones y expedientes sancionadores de la AEPD. En Dataibérica ayudamos a empresas, clínicas, autónomos y organismos a auditar sus procesos, implementar protocolos de anonimización y cumplir al 100% con la normativa de protección de datos (RGPD / LOPDGDD).
📩 Solicita tu presupuesto personalizado o auditoría de cumplimiento en Dataibérica y protege la reputación de tu organización.
Fuente: Confilegal
