Resolución Directoral N JUS/DGTAIPD-DPDP

Transcripción

1 Expediente N JUS/DPDP-PS Resolución N JUS/DGTAIPD-DPDP Lima, 30 de mayo de 2018 VISTOS: El Informe N JUS/DGPDP-DSC1 del 07 de diciembre de 2016 (Expediente de Fiscalización N DSC), emitido por la Dirección de Supervisión y Control de la Dirección General de Protección de Datos Personales, y demás documentos que obran en el respectivo expediente, y; CONSIDERANDO: I. Antecedentes 1. Mediante Orden de Visita de Fiscalización N JUS/DGPDP-DSC2, de fecha 26 de julio de 2016, la Dirección de Supervisión y Control de la Dirección General de Protección de Datos Personales (en adelante, DSC) dispuso la realización de una visita de fiscalización a JAPAN AUTOS S.A. (en adelante, la administrada). 2. Mediante Acta de Fiscalización N se deja constancia de los hallazgos encontrados durante la visita de supervisión realizada a las instalaciones de la administrada el día 02 de agosto de 2016, en su domicilio Av. San Luis N 2445, Distrito de San Borja, Provincia y Departamento de Lima, fecha en la cual se adjuntó documentación`' adicional a efectos de su evaluación por parte del personal supervisor. 1 Folio 75 a 79 2 Folio 09 3 Folio 16 a 21 4 Folio 22 a 26 Página 1 de 44

2 3. Mediante Acta de Fiscalización N , se deja constancia de los hallazgos encontrados durante la visita de supervisión realizada a las instalaciones de la administrada el día 11 de agosto de 2016, en su domicilio Av. San Luis N 2445, Distrito de San Borja, Provincia y Departamento de Lima, fecha en la cual se adjuntó documentación adicionai8 a efectos de su evaluación por parte del personal supervisor. 4. Mediante Acta de Fiscalización N , se deja constancia de los hallazgos encontrados durante la visita de supervisión realizada a las instalaciones de la administrada el día 17 de agosto de 2016, en su domicilio Av. Javier Prado Este N 1197, Urb. Santa Catalina, Distrito La Victoria, Provincia y Departamento de Lima, fecha en la cual se adjuntó documentación adicional8 a efectos de su evaluación por parte del personal supervisor. 5. Mediante Informe N DSC-ORQR9 y documentos adjuntos1 de 24 de noviembre de 2016, el personal técnico de la DSC emite informe sobre la supervisión realizada a la administrada. 6. Mediante Informe N JUS/DGPDP-DSC11 de 07 de diciembre de 2016, se emitió el informe sobre el procedimiento de fiscalización a la administrada, remitiendo a la Dirección de Sanciones de la Dirección General de Protección de Datos Personales el resultado de la fiscalización realizada, adjuntando el acta de fiscalización así como los demás anexos y documentos que conforman el respectivo expediente administrativo; dicho informe fue notificado con Oficio N JUS/DGPDP-DSC12 el 16 de diciembre de Mediante Resolución Directoral N JUS/DGTAIPD-DFI13 de 13 de setiembre de 2017, la Dirección de Fiscalización e Instrucción de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales, en adelante DFI, resolvió iniciar procedimiento administrativo sancionador a la administrada, por las siguientes infracciones: (i) Habría incumplido el deber de información establecido en el artículo 18 de la Ley N 29733, Ley de Protección de Datos Personales (en adelante, LPDP), ya que al recopilar datos de los visitantes de su sitio web no habría informado que realiza flujo transfronterizo de datos; configurándose la Infracción grave tipificada en el literal a. del numeral 2 del artículo 38 de la LPDP consistente en: "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento". (ii) Habría incumplido lo dispuesto por los artículos 26 y 77 del DS N JUS, (en adelante, Reglamento de la LPDP), ya que no habría comunicado al Registro Nacional de Protección de Datos Personales, la realización de flujo transfronterizo; configurándose la Infracción grave tipificada en el literal a. del numeral 2 del artículo 38 de la LPDP consistente en: "Dar tratamiento a los datos personales 6 Folio 32 a 36 6 Folio 37 a 41 7 Folio 47 a 51 a Folio 52 a 53 9 Folio 57 a 60 1 Folio 61 a Folio 75 a Folio Folio 84 a 90 Página 2 de 44

3 Resolución Directoral N' JUS/DGTAIPD-DPDP contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento". (iii) Habría incumplido lo dispuesto por el artículo 9 de la LPDP, los numerales 1 y 2 del artículo 39 y los artículos 40, 42 y 43 del Reglamento de la LPDP, ya que no habría implementado las medidas de seguridad de la información establecidas en la normativa de protección de datos personales, tales como (i) no documentar los procedimientos de gestión de accesos y gestión de privilegios de los usuarios del sistema, ni la verificación periódica de privilegios; (ii) no genera ni mantiene registros de interacciones lógicas con los bancos de datos personales en soporte automatizado, (iii) no implementa medidas de seguridad para sus servidores de datos, ya que estos no se encontrarían ubicados en ambientes aislados, ni protegidos por cerraduras o mecanismos similar; (iv) no implementa medidas de seguridad para el almacenamiento de documentación no automatizada; (y) no implementa políticas ni controles de seguridad para la restricción de copias de datos personales contenidos en los bancos de datos personales, además que el equipo de cómputo del área de asesoría comercial tiene los puertos USB habilitados, lo que permite la visualización y grabación de archivos; configurándose la Infracción grave tipificada en el literal a. del numeral 2 del artículo 38 de la LPDP consistente en: "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento". 8. Mediante Oficio N JUS/DGTAIPD-DFI" recibido por la administrada el 15 de setiembre de 2017, se le notificó la Resolución Directoral N JUS/DGTAIPD-DFI que inicia el procedimiento administrativo sancionador. 9. Mediante escrito presentado con hoja de trámite MSC15 el 06 de octubre de 2017, la administrada presentó sus descargos y documentos adjuntos Mediante Informe N DFI-VARS17 de fecha 07 de noviembre de 2017, personal técnico de la Dirección de Fiscalización e Instrucción, emitió un informe de evaluación de implementación de las medidas de seguridad de la administrada. " Folio Folio 92 a 109 1' Folio 110 a Folio 123 a 124 Página 3 de 44

4 11. Mediante Proveído N 0171" (Expediente N JUS/DGTAIPD-PS) de fecha 21 de noviembre de 2017, la DFI resolvió ampliar el plazo de la etapa instructiva por treinta (30) días hábiles adicionales; notificándose a la administrada con Oficio N JUS/DGTAIPD-DFI19, el 27 de noviembre de Mediante Resolución Directoral N JUS/DGTAIPD-DF12 de fecha 29 de diciembre de 2017, la DEI dio por concluidas las actuaciones instructivas correspondientes al procedimiento sancionador. Dicha resolución fue notificada a la administrada el 15 de enero de 2018, a través del Oficio N JUS/DGTAIPD- DF Mediante Informe N JUS/DGTAIPD-DFI22 de fecha 29 de diciembre de 2017, la Dirección de Fiscalización e Instrucción emitió el Informe Final de Instrucción, remitiendo a la Dirección de Protección de Datos Personales los actuados para que resuelva en primera instancia el procedimiento administrativo sancionador iniciado, recomendando lo siguiente: 1) Se recomienda imponer sanción administrativa de multa ascendente a dos (2) UIT a Japan Autos S.A., por el cargo acotado en el hecho imputado N 01, por infracción tipificada en el literal f, numeral 1, artículo 132 del RLPDP: "Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento". 2) Se recomienda imponer sanción administrativa de multa ascendente a dos (2) UIT a Japan Autos S.A., por el cargo acotado en el hecho imputado N 02, por infracción tipificada en el literal f, numeral 1, artículo 132 del RLPDP: "Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento". 3) Se recomienda imponer sanción administrativa de multa ascendente a cuatro (4) UIT a Japan Autos S.A., por el cargo acotado en el hecho imputado N 03, Sub Hecho N 3A, 3B, 3C, 3D y 3E, por infracción tipificada en el literal f, numeral 1, artículo 132 del RLPDP: "Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento". 14. Mediante escrito presentado con hoja de trámite MSC23 el 22 de enero de 2018, la administrada presentó alegatos complementarios. 15. Mediante Oficio N JUS/DGTAIPD-DTAIP24, recibido por la administrada el 21 de marzo de 2018, se le requirió que en el plazo de 05 días hábiles presentara la documentación sobre los procedimientos de gestión de accesos y gestión de privilegios que habría implementado, siendo que cumplido el plazo otorgado, no se presentó documentación alguna. 16. Mediante Oficio N JUS/DGTAIPD-DTAIP25 recibido 15 de marzo de 2018, se solicitó a la DEI la realización de una visita de fiscalización a la administrada a fin 18 Folio Folio Folio 127 a Folio Folio 132 a Folio 143 a Folio 201 a Folio 199 Página 4 de 44

5 Resolución Directoral N' JUS/DGTA1PD-DPDP de verificar si había cumplido las medidas de seguridad respecto del servidor de datos y de los bancos de datos no automatizados. 17. Mediante Orden de Visita de Fiscalización N JUS/DGTAIPD-DFI26 de fecha 19 de marzo de 2018, se dispuso la realización de una visita de fiscalización a la administrada a fin de verificar el cumplimiento de las medidas de seguridad requerido por el documento antes citado. 18. Mediante Acta de Fiscalización N se deja constancia de los hallazgos encontrados durante la visita de supervisión realizada a las instalaciones de la administrada el día 19 de marzo de 2018, en su domicilio Av. San Luis N 2445, Distrito de San Borja, Provincia y Departamento de Lima. Dat M. GO ALEZ 19. Mediante Informe Técnico N DFI-VARS28 de fecha 23 de marzo de 2018, la DFI emitió el informe solicitado, el mismo que fue remitido a la DTAIP el 26 de marzo de 2018 con Oficio N JUS/DGTAIPD-DFI29. II. Competencia 20. Mediante Decreto Supremo N JUS de fecha 21 de junio de 2017, se aprobó el Reglamento de Organización y Funciones del Ministerio de Justicia y Derechos Humanos (en adelante. ROF del MINJUS), derogando el Decreto Supremo N JUS. 21. El artículo 70 del ROF del MINJUS crea la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales como órgano de línea encargado de ejercer la Autoridad Nacional de Protección de Datos Personales, para el cumplimiento de sus funciones fiscalizadoras y sancionadoras en materia de protección de datos personales. 22. Conforme a lo dispuesto en el artículo 74 del ROF del MINJUS, la Dirección de Protección de Datos Personales, es la unidad orgánica competente para resolver en 26 Folio Folio 201 a Folio Folio 212 Página 5 de 44

6 primera instancia, los procedimientos administrativos sancionadores iniciados por la Dirección de Fiscalización e Instrucción. 23. Sin embargo, mediante Resolución Directoral N JUS/DGTAI PD, se designó a la señora Anais Caridad Zavala Huaisara, Directora (e) de Transparencia y Acceso a la Información Pública, como autoridad administrativa que resolverá el procedimiento sancionador iniciado a JAPAN AUTOS S.A., debido a que se aceptó la abstención presentada por la Directora de Protección de Datos Personales. 24. Dado que, la encargatura de la Dirección de Transparencia y Acceso a la Información Pública a la señora Anais Caridad Zavala Huaisara culminó el 03 de abril del presente; mediante Resolución Directoral N JUS/DGTAIPD, se dejó sin efecto la abstención aceptada para resolver el procedimiento sancionador iniciado a JAPAN AUTOS S.A. señalando que la autoridad administrativa que resolverá el mencionado procedimiento sancionador será la Directora de Protección de Datos Personales. 25. En tal sentido, en ejercicio de sus facultades, corresponde a la Dirección de Protección de Datos Personales de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales determinar si se ha cometido infracción a la LPDP y a su Reglamento. III. Normativa sancionadora aplicable 26. Mediante el Decreto Supremo N JUS de fecha 15 de setiembre de 2017, se aprobó el reglamento del Decreto Legislativo N 1353 que crea la Autoridad Nacional de Transparencia y Acceso a la Información Pública, fortalece el Régimen de Protección de Datos Personales y la regulación de la gestión de intereses (en adelante, Decreto Legislativo N 1353). 27. La Tercera Disposición Complementaria Modificatoria del mencionado reglamento incorpora el capítulo de infracciones al Título VI del Reglamento de la LPDP, agregando el artículo 132 que tipifica las infracciones. 28. Por su parte, el presente procedimiento sancionador se inició estando vigente él artículo 38 de la LPDP que en el numeral 2 literal a. estableció como infracción grave: "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento". 29. Entonces, el sistema jurídico ha permitido una excepción en torno al principio de irretroactividad3 en materia penal y administrativo sancionador, conocido como la retroactividad benigna. 3 Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS. "Artículo Principios de la potestad sancionadora administrativa La potestad sancionadora de todas las entidades está regida adicionalmente por los siguientes principios especiales: (...) 5.- Irretroactividad.- Son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado en la conducta a sancionar, salvo que las posteriores le sean más favorables. Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones en ejecución al entrar en vigor la nueva disposición. (El subrayado es nuestro) Página 6 de 44

7 Resolución Directoral AP) JUS/DGTAIPD-DPDP 30. La retroactividad benigna se hace efectiva si luego de la comisión de un ilícito administrativo, se produce una modificación normativa y dicha norma establece una consecuencia más beneficiosa para el infractor, ya sea ia destipificación o el establecimiento de una sanción menor, en comparación con la norma anterior (vigente al momento que se cometió la infracción), por lo que debe aplicarse retroactivamente la nueva norma. Cabe señalar, que la retroactividad debe ser el resultado de una evaluación integral por parte de la Administración y como tal debe verificarse los supuestos y requisitos que la norma exija de manera que produzca consecuencias jurídicas favorables para el administrado. 31. En este sentido, el artículo 2 del Decreto Legislativo N 1272 :modificó el principio de irretroactividad recogido en el TUO de la LPAG, en el cual se precisó los supuestos sobre los cuales se podría aplicar la excepción, siendo los siguientes: Tipificación de la infracción más favorable Previsión de la sanción más favorable, incluso de aquellas que se encuentran en etapa de ejecución. Plazos de prescripción más favorables. 32. En la línea de lo expuesto, apreciándose que los supuestos de hechos (incumplimiento de la obligación) en los cuales habría incurrido la administrada ha variado de tipificación y de sanción (al momento en que se detectó la infracción); en atención a la excepción (retroactividad benigna) establecida en el principio de irretroactividad que rige la potestad sancionadora administrativa, se aplicará la disposición que resulte más favorable al administrado. 33. Sobre la obligación de informar el tratamiento de los datos personales a su titular, entre ellos la realización de flujo 1:ransfronterizo de datos personales: Norma Regulación anterior Re. ulación actual Sustantiva Obligación regulada en el Obligación regulada en el artículo 18 de la Ley de artículo 18 de la Ley de Protección de Datos Protección de Datos Personales, Ley N Personales, Ley N (LPDP). (LPDP). Página 7 de 44

8 Ti pificadora Literal a. del numeral 2 del artículo 38 de la LPDP, esto es: "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento". Literal f. del numeral 1 del artículo 132 del Reglamento de la LPDP, esto es: "Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento". Eventual sanción Numeral 2 del artículo 39 Numeral 1 del artículo 39 de la LPDP que establece de la LPDP que establece la infracción grave la infracción leve sancionada con más de 5 sancionada con más de a 50 UIT. 0,5 UIT hasta 5 UIT. 34. En atención a lo anterior, se evidencia que el marco normativo actual (norma que entró en vigencia el 16 de setiembre de 2017) es más favorable para la administrada en comparación con la norma anterior a la fecha en la que se cometió la infracción (02 de agosto de 2016), toda vez que actualmente la sanción conforme a la tipificación resulta más beneficiosa al haber cambiado de grave a leve. En ese sentido, en virtud de la excepción al principio de irretroactividad (retroactividad benigna) establecido en el artículo 246 del TUO de la LPAG31, corresponde aplicar la tipificación más favorable a la administrada, esto es el literal f. del numeral 1 del artículo 132 del Reglamento de la LPDP: "Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento"; al presunto incumplimiento de la disposición legal del artículo 18 de la LPDP, al no informar sobre el tratamiento que se realizará sobre los datos personales a su titular, entre ellos, no comunicar el flujo transfronterizo. 35. Sobre la obligación de comunicar la realización de flujo transfronterizo a la Autoridad de Protección de Datos Personales: Norma Regulación anterior Regulación actual Sustantiva Obligación regulada en el Obligación regulada en el artículo 26 y 77 del numeral 2 del artículo 34 Reglamento de la LPDP. de la LPDP, en concordancia con el artículo 26 y 77 del Reglamento de la LPDP. 31 Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS. "Artículo Principios de la potestad sancionadora administrativa La potestad sancionadora de todas las entidades está regida adicionalmente por los siguientes principios especiales: 5.- Irretroactividad.-Son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado en la conducta a sancionar, salvo que las posteriores le sean más favorables. Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones en ejecución al entrar en vigor la nueva disposición. (..)" Página 8 de 44

9 Tipificadora Literal a. del numeral 2 del artículo 38 de la LPDP, esto es: "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento". Eventual sanción Numeral 2 del artículo 39 de la LPDP que establece la infracción grave sancionada con más de 5 a 50 UIT. Literal e. del numeral 1 del artículo 132 del Reglamento de la LPDP, esto es: "No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la Ley'. Numeral 1 del artículo 39 de la LPDP que establece la infracción leve sancionada con 0,5 UIT hasta 5 UIT. 1, de ció de rs n 36. En atención a lo anterior, se evidencia que el marco normativo actual (norma que entró en vigencia el 16 de setiembre de 2017) es más favorable para la administrada en comparación con la norma anterior a la fecha en la que se cometió la infracción (02 de agosto de 2016), toda vez que actualmente la sanción conforme a la tipificación resulta más beneficiosa al haber cambiado de grave a leve. En ese sentido, en virtud de la excepción al principio de irretroactividad (retroactividad benigna) establecido en el artículo 246 del TUO de la LPAG32, corresponde aplicar la tipificación más favorable a la administrada, esto es el literal e. del numeral 1 del artículo 132 del Reglamento de la LPDP: "No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la Ley"; al presunto incumplimiento de las disposiciones de los artículos 26 y 77 del Reglamento de la 32 Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS. "Artículo Principios de la potestad sancionadora administrativa La potestad sancionadora de todas las entidades está regida adicionalmente por los siguientes principios especiales: (...) 5.- Irretroactividad.-Son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado en la conducta a sancionar, salvo que las posteriores le sean más favorables. Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones en ejecución al entrar en vigor la nueva disposición. Página 9 de 44

10 Resolución Directoral N JUSYDGTAIPD-DPDP LPDP; al no haber presuntamente comunicado/inscrito la realización de flujo transfronterizo. 37. Sobre la obligación de implementar medidas de seguridad de la información, entre ellas, (i) documentar los procedimientos de gestión de accesos y gestión de privilegios de los usuarios del sistema, así coma la verificación periódica de privilegios; (ii) generar y mantener registros de interacciones lógicas con los bancos de datos personales en soporte automatizado, (iii) implementar medidas de seguridad para servidores de datos, ya que estos no se encontrarían ubicados en ambientes aislados, ni protegidos por cerraduras o mecanismos similares; (iv) implementar medidas de seguridad para el almacenamiento de documentación no automatizada; (v) implementar políticas y controles de seguridad para la restricción de copias de da:os personales contenidos en los bancos de datos personales, ya que el equipo de cómputo del área de asesoría comercial tiene los puertos USB habilitados, lo que permite la visualización y grabación de archivos: Norma Regulación anterior Regulación actual Sustantiva Obligación regulada en el numeral 1 y 2 del artículo 39, artículos 40, 42 y 43 del Reglamento de la LPDP, Obligación regulada en el numeral 1 y 2 del artículo 39, artículos 40, 42 y 43 del Reglamento de la LPDP, aprobado mediante aprobado mediante Decreto Supremo N 003- Decreto Supremo N JUS, en 2013-JUS, en concordancia con el concordancia con el artículo 9 de la LPDP. artículo 9 de la LPDP. Tipificadora Literal a. del numeral 2 del artículo 38 de la LPDP, esto es: "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento" Eventual sanción Numeral 2 del artículo 39 de la LPDP que establece la infracción grave sancionada con más de 5 a 50 UIT. Literal a. del numeral 1 del artículo 132 del Reglamento de la LPDP, esto es: "Realizar tratamiento de datos personales incumpliendo las medidas de seguridad establecidas en la normativa sobre la materia". Numeral 1 del artículo 39 de la LPDP que establece la infracción leve sancionada con 0,5 UIT hasta 5 UIT. 38. En atención a lo anterior, cabe señalar que el incumplimiento de la obligación de implementar medidas de seguridad en la actual regulación de infracciones, se subsume en una tipificación específica que comprende dicho hecho infractor, por lo que corresponde aplicar dicha tipificación. Asimismo, se evidencia que el marco normativo actual (norma que entró en vigencia el 16 de setiembre de 2017) es más favorable para la administrada en comparación con la norma anterior a la fecha en la que se cometió la infracción (02 de agosto de 2016), toda vez que actualmente la sanción conforme a la tipificación resulta más beneficiosa al haber cambiado de grave a leve. Página 10 de 44

11 4.111 Ya.] Mff; de Judid /auno Resolución Directoral N JUS/DGTAIPD-DPDP En ese sentido, en virtud de la excepción al principio de irretroactividad (retroactividad benigna) establecido en el artículo 246 del TUO de la LPAG33, corresponde aplicar la tipificación más favorable a la administrada, esto es el literal a. del numeral 1 del artículo 132 del Reglamento de la LPDP: "Realizar tratamiento de datos personales incumpliendo las medidas de seguridad establecidas en la normativa sobre la materia"; al presunto incumplimiento de las disposiciones de los artículos 39, 40, 42 y 43 del Reglamento de la LPDP. 39. De otro lado, acerca de la responsabilidad de la administrada, se debe tener en cuenta que el literal f) del numeral 1 del artículo 255" del Texto Único Ordenado de la Ley del Procedimiento Administrativo General, aprobado mediante Decreto Supremo N JUS (en adelante, LPAG), establece como una causal eximente de la responsabilidad por infracciones, la subsanación voluntaria del acto imputado como infractor, si es realizada de forma previa a la notificación de imputación de cargos. 40. Asimismo, se debe atender a lo dispuesto en el artículo 126" del Reglamento de la LPDP, que considera como atenuantes la colaboración con las acciones de la autoridad y el reconocimiento espontáneo de las infracciones conjuntamente con la Da M. GON ALEZ L. 33 Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS. "Artículo Principios de la potestad sancionadora administrativa La potestad sancionadora de todas las entidades está regida adicionalmente por los siguientes principios especiales: (...) 5.- lrretroactividad.-son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado en la conducta a sancionar, salvo que las posteriores le sean más favorables. Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones en ejecución al entrar en vigor la nueva disposición. 34 Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS. "Artículo Eximentes y atenuantes de responsabilidad por infracciones 1.- Constituyen condiciones eximentes de la responsabilidad por infracciones las siguientes: U.) f) La subsanación voluntaria por parte del posible sancionado del acto u omisión imputado como constitutivo de infracción administrativa, con anterioridad a la notificación de la imputación de cargos a que se re fiere el inciso 3) del artículo 253." 35 Reglamento de la Ley de Protección de Datos Personales, aprobado por Decreto Supremo N JUS. "Articulo Atenuantes. La colaboración con las acciones de la autoridad y el reconocimiento espontáneo de las infracciones acompañado de acciones de enmienda se considerarán atenuantes. Atendiendo a la oportunidad del reconocimiento y a las fórmulas de enmienda, la atenuación permitirá incluso la reducción motivada de la sanción por debajo del rango previsto en la Ley" Página 11 de 44

12 adopción de medidas de enmienda; dichas atenuantes, de acuerdo con la oportunidad del reconocimiento y las fórmulas de enmienda puede permitir la reducción motivada de la sanción por debajo del rango previsto en la LPDP. 41. Dicho artículo debe leerse conjuntamente con lo previsto en el numeral 2 del artículo de la LPAG, que establece como condición atenuante el reconocimiento de la responsabilidad por parte del infractor de forma expresa y por escrito, debiendo reducir la multa a imponérsele hasta no menos de la mitad del monto de su importe; y por otro lado, las que se contemplen como atenuantes en las normas especiales. IV. Análisis de la cuestión en discusión 42. Para emitir pronunciamiento en el presente caso, se debe determinar lo siguiente: (i) Si la administrada habría incumplido el deber de información establecido en el artículo 18 de la LPDP, al no informar a los usuarios de su página web que realizaba flujo transfronterizo de los datos personales que recopilaba; y si en consecuencia, la administrada incurrió en la infracción leve tipificada en el literal f. del numeral 1 del artículo 132 del Reglamento de la LPDP: 'Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento". (ii) Si la administrada no habría comunicado e inscrito en el Registro de Protección de Datos Personales, la realización de flujo transfronterizo de datos personales, de acuerdo a lo dispuesto por los artículos 26 y 77 del Reglamento de la LPDP y el artículo 34 de la LPDP; y si en consecuencia, la administrada incurrió en la infracción leve tipificada en el literal e. del numeral 1 del artículo 132 del Reglamento de la LPDP: "No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la Ley". (iii) Si la administrada no habría implementado las medidas de seguridad consistentes en (a) documentar los procedimientos de gestión de accesos y gestión de privilegios de los usuarios del sistema, y la verificación periódica de privilegios; (b) generar y mantener registros de interacciones lógicas con los bancos de datos personales en soporte automatizado, (c) implementar medidas de seguridad para sus servidores de datos, ya que estos no se encontrarían ubicados en ambientes aislados, ni protegidos por cerraduras o mecanismos similar; (d) implementar medidas de seguridad para el almacenamiento de documentación no automatizada; (e) implementar políticas y controles de seguridad para la restricción de copias de datos personales contenidos en los bancos de datos personales, ya que el equipo de cómputo del área de asesoría comercial tenia los puertos USB habilitados al momento de la fiscalización, lo que permitía la visualización y grabación de archivos; incumpliendo lo dispuesto por los artículos 39, 40, 42 y 43 del Reglamento de la LPDP; y si en consecuencia, la administrada incurrió en la infracción leve tipificada en el literal a. del numeral 1 del artículo Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS. "Artículo Eximentes y atenuantes de responsabilidad por infracciones (...) 2.- Constituyen condiciones atenuantes de la responsabilidad por infracciones las siguientes: a) Si iniciado un procedimiento administrativo sancionador el infractor reconoce su responsabilidad de forma expresa y por escrito. En los casos en que la sanción aplicable sea una multa esta se reduce hasta un monto no menor de la mitad de su importe. b) Otros que se establezcan por norma especial." Página 12 de 44

13 del Reglamento de la LPDP: "Realizar tratamiento de datos personales incumpliendo las medidas de seguridad establecidas en la normativa sobre la materia". (i) Sobre el deber de informar la realización de flujo transfronterizo de datos personales a sus titulares 43. Se imputa a la administrada que habría efectuado tratamiento de datos personales incumpliendo las disposiciones de la Ley y su Reglamento, dado que habría incumplido la disposición legal del artículo 18 de la LPDP, en tanto que no habría informado que realizaba flujo transfronterizo de datos personales a sus titulares, usuarios de su página web; por lo que habría incurrido en la infracción leve tipificada en el literal f. del numeral 1 del artículo 132 del Reglamento de la LPDP, esto es: "Dar tratamiento a los datos personales contraviniendo las disposiciones de la Ley y su Reglamento". En tal sentido corresponde analizar la normativa vigente y aplicable sobre la materia, los medios probatorios que dejan constancia de los hallazgos encontrados en el procedimiento, y los descargos presentados por la administrada para desvirtuar el hecho imputado. 44. Así, se tiene que el artículo 2 de la LPDP modificado por la Tercera Disposición Complementaria Modificatoria del Decreto Legislativo N 1353, establece las definiciones de los términos que coadyuvan a la comprensión de la LPDP y su Reglamento y la protección que otorgan; entre aquellas definiciones, para este caso, importa resaltar lo que se entiende por datos personales, titular de datos personales, titular del banco de datos personales y tratamiento de datos personales; los que se detallan a continuación: "Artículo 2. Definiciones Para todos los efectos de la presente Ley, se entiende por: ( 9 4. Datos personales. Toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados." (- 9 Página 13 de 44

14 10. Flujo transfronterizo de datos personales. Transferencia internacional de datos personales a un destinatario situado en un país distinto al país de origen de los datos personales, sin importar el soporte en que estos se encuentren, los medios por los cuales se efectuó la transferencia, ni el tratamiento que reciban. 16. Titular de datos personales. Persona natural a quien corresponde los datos personales. ( Titular del banco de datos personales. Persona natural, persona jurídica de derecho privado o entidad pública que determina la finalidad y contenido del banco de datos personales, el tratamiento de estos y las medidas de seguridad. ( Tratamiento de datos personales. Cualquier operación o procedimiento técnico, automatizado o no, que permite la recopilación, registro, organización, almacenamiento, conservación, elaboración, modificación, extracción, consulta, utilización, bloqueo, supresión, comunicación por transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso, correlación o interconexión ce los datos personales." 45. Por su parte, el numeral 4 del artículo 2 del Reglamento de la LPDP define los datos personales en los siguientes términos: "4.Datos personales: Es aquella información numérica, alfabética, gráfica, fotográfica, acústica, sobre hábitos personales, o de cualquier otro tipo concerniente a las personas naturales que las identifica o las hace identificables a través de medios que puedan ser razonablemente utilizados." de c de rs nal 46. De las normas acotadas se desprende que los datos personales consisten en toda información, incluida la información fotográfica, que sirve para identificar o hacer identificables a las personas naturales; estos datos son susceptibles de conformar bancos de datos personales diferenciados a cargo de personas naturales o jurídicas encargadas de administrarlos, determinando su finalidad y contenido, así como el tratamiento que se dará a dicha información, a través de las operaciones o procedimientos técnicos, que entre otros, permitan la recopilación, registro, almacenamiento, conservación, utilización de los datos personales. 47. De otro lado, el artículo 18 de la LPDP establece el derecho de los titulares de los datos personales a ser informados sobre el tratamiento que se realizará con aquellos, indicando: "Artículo 18. Derecho de información del titular de datos personales El titular de datos personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequívoca y de manera previa a su recopilación, sobre la finalidad para la que sus datos personales serán tratados; quiénes son o pueden ser sus destinatarios, la existencia del banco de datos en que se almacenarán, así como la identidad y domicilio de su titular y, de ser el caso, del o de los encargados del tratamiento de sus datos personales; el carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles; la transferencia de los datos personales; las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo; el tiempo durante el cual se conserven sus datos personales; y la posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello." Página 14 de 44

15 48. Así, de la normas acotadas se desprende que los titulares de los datos personales deben ser informados sobre el tratamiento que se realizará respecto de los mismos, se trate de información gráfica, fotográfica, sonora o conductual, indicándoles la finalidad de dicho tratamiento, como por ejemplo el fin de la recopilación y almacenamiento de los datos, informando además si existe una base de datos que conservará la información (sea nacional o internacional) y el tiempo de la conservación, qué personas se encargarán de administrar la información y los terceros destinarios de aquella si los hubiera. 49. En el Acta de Fiscalización N se dejó constancia de la visita de supervisión realizada a la administrada el 02 de agosto de 2016, indicando lo siguiente: "(...) se verificó que cuentan con una aplicación móvil denominada Japan Autos la cual registra el correo electrónico del cliente y tiene como finalidad principal la reserva de citas de servicios, se verificó que cuentan con el servicio de internet y página web la cual recopila información de los clientes a través de las siguientes opciones: (...) Solicitud de cotización, cuya información recopilada es direccionada a la cuenta de correo del Gerente de Ventas; 3) Formulario de Contacto, cuya información es direccionada a la cuenta de correo del Gerente de Servicio y/o Jefe de Taller (...)." 50. Con el Informe N DSC-ORQR38 de fecha 24 noviembre de 2016 y documentos adjuntos" el personal técnico de la DSC describió la supervisión realizada a la administrada, indicando: "(...) Tratamiento de datos a través de la página web 22. Se indicó que la página web de la entidad es La página web se encuentra localizada en la ciudad de Montreal en Canadá. (. V. Conclusiones (...) 37 Folio 16 a 21 " Folio 57 a Folio 61 a 67 Página 15 de 44

16 8. Japan Autos S.A. realiza flujo transfronterizo de datos personales ya que el servidor de datos que guarda información de la página web, se encuentra localizado en la ciudad de Montreal en Canadá." 51. De otro lado, el Informe N JUS/DGPDP-DSC4 de 07 de diciembre de 2016, mediante el cual se emiten las conclusiones sobre el procedimiento de fiscalización realizado, indica: "(...) 15. Se verificó que el servidor de datos que guarda la información que se recopila a través de las opciones: "Formulario de Reserva de Servicio de Cliente Nuevo", "Solicitud de Cotización" y "Formulario de Contacto" de la página web wwwjapanautos.com.pe es almacenada en un servidor de datos que se encuentra en la ciudad de Montreal, Canadá. (..-) IV. Conclusiones (..-) 2. Japan Autos S.A. recopila datos personales a través de las opciones "Formulario de Reserva de Servicio del Cliente Nuevo", "Solicitud de Cotización" y "Formulario de Contacto' de la página web wwwjapanautos.com.pe, sin cumplir con informar a los titulares de los datos personales (...)." 52. De los documentos antes descritos, se observa que el servidor de la web se ubica en Canadá", específicamente en la ciudad de Montreal, y que a través de las opciones "Formulario de Reserva de Servicio del Cliente Nuevo", "Solicitud de Cotización" y "Formulario de Contacto", la administrada recopilaba datos personales de los usuarios visitantes de su página web; en tal sentido, verificándose la recopilación de datos a través de una página web cuyo servidor se ubica en Canadá, se colige que la administrada al momento de la fiscalización, realizaba flujo transfronterizo de tales datos. 53. Asimismo, de la revisión de la página web en mención, así como de los documentos citados anteriormente, se observa que no se ha consignado dispositivo alguno en las opciones "Formulario de Reserva de Servicio del Cliente Nuevo", "Solicitud de Cotización" y "Formulario de Contacto" de la web que indique a los usuarios visitantes de dicha página sobre la realización de flujo transfronterizo de datos personales, lo cual permite concluir que la administrada realizaba flujo transfronterizo de datos personales sin informarlo a los usuarios, incumpliendo así el deber de información establecido en el artículo 18 de la LPDP. 54. Por su parte, el 06 de octubre de 2017, la administrada presentó sus descargós señalando que ha implementado una política de privacidad a través de la cual informa sobre el tratamiento de datos personales a los usuarios de su página web; señala además que no cuenta con base de datos en Canadá y no transfiere datos personales de sus clientes fuera del país, ya que los datos ingresados mediante el formulario no se guardan en esa ubicación, son encriptados en un servidor en EE.UU. los cuales a su vez sólo pueden ser leídos por el administrador de la web en Perú, lo que sustenta en los informes técnicos42 de parte que adjunta; agrega finalmente que los usuarios voluntariamente consignan sus datos en una etapa precontractual lo cual no implica recopilación de datos. 4 Folio 75 a Folio Folio 118 a 122 Página 16 de 44

17 55. Sobre lo alegado por la administrada, cabe recordar que el artículo 18 de la LPDP establece que es un derecho de toda persona ser informada sobre el uso/tratamiento que se dará a sus datos personales, sin excepciones, por lo que aun cuando la consignación de datos se efectúe en una etapa pre contractual de manera voluntaria en un formulario virtual, ello implica el acopio de datos, subsistiendo la obligación de informar quien los recopila, qué vías atraviesan estos datos para llegar al lugar de almacenamiento final, quienes tendrán acceso a dicha información, quienes se encargarán de administrar y dar tratamiento a la base que almacena los datos, que tiempo se conservan los datos, entre otros tratamientos que se realice sobre los mismos. 56. De otro lado, en cuanto a lo que se entiende por flujo transfronterizo de datos personales, siguiendo la definición establecida en el artículo 2 de la LPDP norma legal aplicable en esta caso, se entiende por tal a la transferencia internacional de datos a un destinatario situado en un país distinto al país de origen a aquellos, sin importar el soporte en que estos se encuentren, los medios por los cuales se efectuó la transferencia, ni el tratamiento que reciban. Es decir que, aun cuando el servidor de la web a través de la cual se recopilan los datos solo sirva de respaldo y estos lleguen a aquella de manera encriptada, el sólo hecho de que el servidor de la web se ubique en otro país y reciba los datos por una fracción de tiempo como un medio para facilitar su destino de almacenamiento final, ya configura la realización de flujo, en tanto que la norma es clara en señalar que sin importar los medios por los cuales se efectuó la transferencia (respaldo de la web que sirve como medio) y el soporte en que se encuentren (datos encriptados), existe flujo transfronterizo de datos. 57. En ese sentido, se puede concluir que no sólo el almacenamiento final de los datos configura un flujo transfronterizo sino también los medios que se utiliza para la transferencia de datos; por otro lado, si bien la administrada indica que estos (la transferencia y almacenamiento) se concretan en servidores ubicados en Estados Unidos, tampoco existe evidencia de la comunicación a los usuarios sobre dicha transferencia, así como tampoco se advierte que se comunique la realización de flujo en la política de privacidad que indica haber implementado en su página web panautos.com. pe/politica-de-privacidad. Página 17 de 44

18 58. En consecuencia, habiendo quedado acreditado a través de los documentos generados en el marco del procedimiento de fiscalización que la administrada recopilaba datos personales de los usuarios de su página web cuando estos registraban sus datos a través de las opciones "Formulario de Reserva de Servicio del Cliente Nuevo", "Solicitud de Cotización' y "Formulario de Contacto", y que a su vez el servidor de dicha web se ubicaba en Canadá, por lo que tales datos automáticamente se enviaban a dicho servidor, aunque sea por una fracción de tiempo mínima, está probada la realización de flujo transfronterizo de datos personales, siendo que la administrada no ha podido desvirtuar la comisión de tal hecho infractor. 59. No obstante lo anterior, con el escrito de fecha 22 de enero de 2018, la administrada presentó alegatos adicionales indicando haber realizado acciones de enmienda para subsanar la omisión de informar a los usuarios de su página web sobre el flujo transfronterizo de datos personales que realiza, lo que acredita con la copia de la política de privacidad" que exhibe a tales usuarios, en los cuales se observa la forma como se realiza la transferencia de los datos, lo cual se puede calificar como acción de enmienda a ser considerada como atenuantes al momento de graduar la sanción a imponer, de acuerdo al artículo 126 del Reglamento de la LPDP. (ii)sobre el deber de comunicar la realización de flujo transfronterizo al Registro Nacional de Protección de Datos Personales 60. Se imputa a la administrada que no habría comunicado al Registro Nacional de Protección de Datos Personales, la realización de flujo transfronterizo de datos personales; por lo que habría incurrido en la infracción tipificada en el literal e. del numeral 1 del artículo 132 del Reglamento de la LPDP consistente en: "No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la Ley"; En tal sentido, corresponde analizar la normativa vigente y aplicable sobre la materia, los medios probatorios que dejan constancia de los hallazgos encontrados en el procedimiento, y los descargos presentados por la administrada para desvirtuar el hecho imputado. 61. Sobre la obligación de la comunicación de la realización de flujo transfronterizo, la LPDP establece lo siguiente: "Artículo 2. Definiciones Para todos los efectos de la presente Ley, se entiende por: (..) 10. Flujo transfronterizo de datos personales. Transferencia internacional de datos personales a un destinatario situado en un país distinto al país de origen de los datos personales, sin importar el soporte en que estos se encuentren, los medios por los cuales se efectuó la transferencia, ni el tratamiento que reciban." "Artículo 34. Registro Nacional de Protección de Datos Personales Créase el Registro Nacional de Protección de Datos Personal como registro de carácter administrativo a cargo de la Autoridad Nacional de Protección de Datos Personales, con la finalidad de inscribir en forma diferenciada, a nivel nacional, lo siguiente: (...) 2. Las comunicaciones de flujo transfronterizo de datos personales." 43 Folio 154 a 159 Página 18 de 44

19 62. Por su parte, el Reglamento de la LPDP respecto de la obligación de comunicación de flujo transfronterizo señala lo siguiente: "Artículo 26.- Participación de la Dirección General de Protección de Datos Personales respecto del flujo transfronterizo de datos personales. Los titulares del banco de datos personales o responsables del tratamiento, podrán solicitar la opinión de la Dirección General de Protección de Datos Personales respecto a si el flujo transfronterizo de datos personales que realiza o realizará cumple con lo dispuesto por la Ley y el presente reglamento." En cualquier caso, el flujo transfronterizo de datos personales se pondrá en conocimiento de la Dirección General de Protección de Datos Personales, incluyendo la información que se requiere para la transferencia de datos personales y el registro de banco de datos." "Artículo 77.- Actos y documentos inscribibles en el Registro. Serán objeto de inscripción en el Registro Nacional de Protección de Datos Personales con arreglo a lo dispuesto en la Ley y en este título: (..) 5. Las comunicaciones referidas al flujo transfronterizo de datos personales. (...)" 63. De las normas legales antes citadas se desprende que el flujo transfronterizo de datos personales es la transferencia internacional de datos personales a un destinatario situado en un país distinto al país de origen de los datos, transferencia que debe ser comunicada a la Dirección de Protección de Datos Personales, con la finalidad que aquella pueda llevar a cabo la supervisión del cumplimiento de las exigencias legales para la realización del flujo transfronterizo. 64. En el Acta de Fiscalización N , se dejó constancia de la visita de supervisión realizada a la administrada el 02 de agosto de 2016, indicando lo siguiente: "(...) se verificó que cuentan con una aplicación móvil denominada Japan Autos la cual registra el correo electrónico del cliente y tiene como finalidad principal la reserva de citas de servicios, se verificó que cuentan con el servicio de internet y página web la cual recopila información de los clientes a " Folio 16 a 21 Página 19 de 44

20 través de las siguientes opciones: (...) Solicitud de cotización, cuya información recopilada es direccionada a la cuenta de correo del Gerente de Ventas; 3) Formulario de Contacto, cuya información es direccionada a la cuenta de correo del Gerente de Servicio y/o Jefe de Taller (...)." 65. Con el Informe N DSC-ORQR45 de fecha 24 noviembre de 2016 y documentos adjuntos", el personal técnico de la DSC describió la supervisión realizada a la administrada, indicando: "(...) Tratamiento de datos a través de la página web 22. Se indicó que la página web de la entidad es La página web se encuentra localizada en la ciudad de Montreal en Canadá. (..) V. Conclusiones Japan Autos S.A. realiza flujo transfronterizo de datos personales ya que el servidor de datos que guarda información de la página web, se encuentra localizado en la ciudad de Montreal en Canadá." 66. Asimismo, mediante la comunicación de correo electrónico de fecha 11 de noviembre de , se solicitó a la DSC informar si la administrada había comunicado la realización de flujo transfronterizo al Registro Nacional de Protección de Datos Personales, observándose que mediante correo electrónico de fecha 23 de noviembre de , la DSC informó que la administrada a dicha fecha no había inscrito comunicación de flujo transfronterizo. 67. De otro lado, el Informe N JUS/DGPDP-DSC49 de 07 de diciembre de 2016, mediante el cual se emiten las conclusiones sobre el procedimiento de fiscalización realizado, indica: "(...) 15. Se verificó que el servidor de datos que guarda la información que se recopila a través de las opciones: "Formulario de Reserva de Servicio de Cliente Nuevo", "Solicitud de Cotización" y "Formulario de Contacto" de la página web wwwiapanautos.com.pe es almacenada en un servidor de datos que se encuentra en la ciudad de Montreal, Canadá. (...) IV. Conclusiones (--.) 2. Japan Autos S.A. recopila datos personales a través de las opciones "Formulario de Reserva de Servicio del Cliente Nuevo", "Solicitud de Cotización" y "Formulario de Contacto" de la página web sin cumplir con informar a los titulares de los datos personales (...)." 68. Por su parte, el 06 de octubre de 2017, la administrada presentó sus descargos señalando que no cuenta con base de datos en Canadá y no transfiere datos personales de sus clientes fuera del país, ya que los datos ingresados mediante el formulario no se guardan en esa ubicación. 45 Folio 57 a Folio 61 a Folio Folio Folio 75 a 79 Página 20 de 44