← España

A-00011-2014

1/6 Procedimiento Nº: A/00011/2014 RESOLUCIÓN: R/00516/2014 En el procedimiento A/00011/2014, instruido por la Agencia Española de Protección de Datos a la entidad A.A.A., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29 de noviembre de 2013 tiene entrada en esta Agencia un escrito de don B.B.B. en el que se refiere a una denuncia previa presentada contra el sitio web http://denuncio............, donde diversos usuarios le acusaban de una presunta estafa sobre la que, según exponía, no existía una sentencia firme y pública al respecto. La denuncia fue archivada mediante resolución del Director de la Agencia de 19 de noviembre de 2013 (E/06579/2013), en la que se instaba al denunciante a solicitar la cancelación de sus datos publicados en el sitio web. Junto al nuevo escrito, el denunciante acompaña copia impresa del mensaje electrónico recibido del responsable del sitio web el 23 de noviembre de 2013, en el que se deniega su solicitud, aludiendo a las bases de los foros. También se aporta copia impresa de la página http://denuncio........................, donde se informa de lo siguiente: “Ni el/los propietario/s de la web www.denuncio.............. ni sus moderadores se hacen responsables de las opiniones de los usuarios hacia alguna empresa o persona. No está permitido escribir datos personales en el foro, ya sean datos telefónicos, email, direcciones, etc…. Los moderadores del foro se reservan el derecho de poder vanear, sancionar o llamar la atención a cualquier usuario que infrinja las normas básicas de la página. Última actualización el Jueves, 12 de Abril de 2012 23:07”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron diligencias teniendo conocimiento de los siguientes extremos: 1. Por la Inspección de Datos se ha verificado, en fechas 4 y 16 de diciembre de 2013, que al buscar en internet, con el buscador Google, el nombre y apellidos del denunciante se obtiene como primer resultado un enlace con el sitio web http://denuncio............, cuyo resumen (XXXXXXX) contiene el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 B.B.B. ESTAFADOR XXXXXX denuncio.................../...-/.......-B.B.B.-estafador-en-XXXXXXý DD/MM/AA - 6 entradas - ý3 autores por desgracia he topado (con un presunto) ESTAFADOR LLAMADO. B.B.B. residente XXXXXX. puse un anuncio en ... Se ha comprobado que al seleccionar el citado resultado se accede a un tema del foro del citado sitio web, cuyo título es precisamente el título de ese resumen, con el nombre y apellidos del denunciante. En este hilo se vierten diversos comentarios de los usuarios acerca de la relación establecida con el denunciante. 2. En fecha 26 de diciembre de 2013 se ha verificado que a través de la dirección http://denuncio............ se accede a una relación de los temas abiertos en el citado foro, cuyos títulos contienen nombres y apellidos de personas, en particular los del denunciante, cuyo tema acumulaba en la citada fecha hasta 447 respuestas. TERCERO: Con fecha 27 de enero de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00011/2014. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 13 de febrero de 2014 se recibe en esta Agencia escrito del denunciado en el que comunica: En la misma fecha en que se ha recibido el acuerdo de audiencia previa, se ha suprimido y eliminado cualquier referencia a los datos personales y de filiación del reclamante que figuraban en la web www.denuncio............... A fecha del escrito solo figuran iniciales y testimonios y comentarios acerca del “estafador del Smartphone” reseñados por distintos usuarios que consideran han sido engañados y estafados por una persona en concreto. QUINTO: De las actuaciones practicadas han quedado acreditados los siguientes HECHOS PROBADOS Uno.- Resulta acreditado que en fechas 4 y 16 de diciembre de 2013, se realizó una búsqueda en internet con el buscador Google, introduciendo como criterios el nombre y apellidos del denunciante y se obtuvo como primer resultado un enlace con el sitio web http://denuncio............, cuyo resumen (XXXXXXX) contiene el siguiente texto: B.B.B. ESTAFADOR XXXXXX denuncio.................../...-/.......-B.B.B.-estafador-en-XXXXXX DD/MM/AA - 6 entradas - ý3 autores por desgracia he topado (con un presunto) ESTAFADOR LLAMADO. B.B.B. residente XXXXXX. puse un anuncio en ... Dos.- Resulta acreditado que al seleccionar el citado resultado se accede a un tema del foro del citado sitio web, cuyo título es precisamente el título de ese resumen, con el nombre y apellidos del denunciante. En este hilo se vierten diversos comentarios de los usuarios acerca de la relación establecida con el denunciante. Tres.- En fecha 26 de diciembre de 2013 se ha verificado que a través de la dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 http://denuncio............ se accede a una relación de los temas abiertos en el citado foro, cuyos títulos contienen nombres y apellidos de personas, en particular los del denunciante, cuyo tema acumulaba en la citada fecha hasta 447 respuestas. Cuatro.- Resulta acreditado que en fecha de 03 de marzo de 2014 se accedió al sitio web http://www.denuncio.............. y se comprobó que los datos personales del denunciante han sido anonimizado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 6.1 de la LOPD: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por lo tanto, se exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, A.A.A., como titular del dominio denuncio................... ha de considerarse responsable del fichero y del tratamiento, y por tanto ostenta una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 III Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. En el presente caso, ha resultado probado que A.A.A. ha tratado datos del denunciante sin su consentimiento. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Así las cosas el titular de los datos observa cómo éstos son tratados para fines al margen de su cualidad de cliente, lo que escapa del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales. De conformidad con la definición de tratamiento de datos personales, se ha acreditado el tratamiento por parte de A.A.A. de los datos del denunciante, sin que haya presentado ninguna prueba que acredite que contaba con su consentimiento , así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 IV Dispone el artículo 44.3.
  2. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  3. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  5. a)y
  6. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción y que tras recibir el Acuerdo de Audiencia Previa, ha anonimizado los datos personales del denunciante en el sitio web www.denuncio............... Por tanto, cabe entender que finalmente cumplió con los preceptos inicialmente vulnerados y en consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  7. b)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a D. A.A.A. y a D. B.B.B.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.