← España

A-00030-2014

1/11 Procedimiento Nº: A/00030/2014 RESOLUCIÓN: R/00681/2014 En el procedimiento A/00030/2014, instruido por la Agencia Española de Protección de Datos a la entidad SIDECU, S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de mayo de 2013 tienen entrada en esta Agencia escrito de Dña. A.A.A. mediante el que denuncia que, tras haber finalizado la relación contractual con la entidad SUPERA, en el centro deportivo municipal denominado “ABASTOS” en Valencia en fecha 11 de noviembre de 2012, en fecha 15 de mayo de 2013 ha recibido una carta de la mercantil SIDECU, S.L. en el que la advertían que si no mostraba su negativa expresamente y mediante carta dirigida a sus oficinas, los datos personales de que es titular, y que obran en su poder serían incorporados a un fichero de tratamiento automatizado o no, propiedad de la entidad SIDECU, S.L. con fines promocionales, comerciales y de marketing, entre otros, y susceptibles de ser comunicados o cedidos a cualquier empresa, fuera o no del grupo SIDECU. Adjunta a su denuncia una solicitud de baja, en la que la denunciante, en calidad de titular, solicita la baja del abono en el centro ABASTOS, que será efectiva el día 1 de diciembre de 2012, y en la que, en las CONDICIONES DE PROTECCIÓN DE DATOS, la denunciante ha marcado la casilla “en el supuesto de que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá marcar la siguiente casilla:” Asimismo, adjunta el escrito recibido, de fecha 2 de mayo de 2013, en el que figura el nombre de la entidad SUPERA GESTION DEPORTIVA y COMPLEJO DEPORTIVO ABASTOS, en el que se comunica que una nueva cláusula aplicable para poder comunicarse con los clientes, así como ofrecerles productos o servicios de interés, y que para mostrar su negativa a dichas comunicaciones, dispone de un plazo de 30 días. Dicha cláusula dispone: “de acuerdo con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD, el abonado y/o usuario, en adelante el cliente, presta su consentimiento para que sus datos personales se incorporen a los ficheros, automatizados o no, propiedad de SIDECU, S.L., que tienen como finalidad la gestión de clientes, premiar su fidelidad y mantenerlos informados (envío de boletín de noticias) por cualquier medio, (electrónico o no), de todas las ofertas de productos y/o servicios y/ o promociones, incluyendo el análisis y la formación de perfiles y, en general, la realización de acciones comerciales, de promoción y/o marketing relacionadas con las actividades propias del objeto social de SIDECU, S.L., así como con el deporte, ocio, salud, bienestar, material deportivo, proveedores de transporte, seguros, servicios inmobiliarios, financieros y bancarios, publicidad y la prestación de servicios de valor añadido. A los efectos de lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 el art. 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, el cliente autoriza a SIDECU, S.L., a remitirle comunicaciones comerciales, promocionales o publicitarias, por correo electrónico o cualquier medio de comunicación electrónica equivalente. Asimismo, el cliente presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el Grupo SIDECU (www.centrosupera.........) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU, S.L., y/o proporcionen al cliente los productos y/o servicios ofrecidos por SIDECU, S.L., o las empresas del Grupo Sidecu. A los efectos previstos en la LOPD, el cliente se da por notificado de tales cesiones.” Por último, la cláusula recoge la dirección ante la cual el cliente se podrá dirigir al efecto de ejercitar los derechos de acceso, rectificación, cancelación y oposición. SEGUNDO: Con fecha 17 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00030/2014. Dicho acuerdo fue notificado a la denunciante y a la entidad denunciada. TERCERO: Con fecha 17 de marzo de 2014 se recibe en esta Agencia escrito del representante de la entidad denunciada en el que comunica: • Que la denunciante se dio de alta como usuario en noviembre de 2005, y que en noviembre de 2012 solicito la baja de su abono, firmando dicha baja con una política de protección de datos. Es decir, que con motivo de la solicitud de baja cursada fue informada de la recogida y tratamiento de sus datos personales a los efectos que recogía la cláusula, consintiendo así la afectada el tratamiento. En consecuencia, consideran que la entidad no ha vulnerado lo dispuesto en el art. 5 LOPD. • Con relación a la comisión de una infracción del art. 4.5 manifiesta que la denunciada, con motivo de su alta consintió el tratamiento de sus datos personales con fines informativos. Al solicitar la baja, en dicho formulario se informó a la denunciante de que “aun habiéndose dado de baja el abono, el abonado queda informado y presta su consentimiento para que sus datos personales sean incorporados a los ficheros, automatizados o no, cuya responsabilidad corresponde a SIDECU. • Consideran que con la solicitud de baja la denunciante volvió a consentir para que sus datos personales fueran utilizados por la entidad denunciada, con los fines y fechas referidas. • Por tanto, consideran que no se ha producido ninguna vulneración a la LOPD por parte de la entidad denunciada, debido a que entre las partes existía una relación negocial derivada de la solicitud del alta que ampara a la entidad a enviar comunicaciones informativas, promociones y ofertas, y que consideran que ampara a la entidad a enviar la comunicación que se remitió a la denunciante en mayo de 2013, ello aun en el supuesto de que se trate de una relación contractual ya extinguida. • Por último, señala que, en relación a la infracción del art. 4.5 que el art. 16.5 LOPD permite la conservación de datos personales aun cuando los titulares hayan cancelado los datos, cosa que la denunciante no había efectuado cuando recibió la carta de SIDECU en mayo de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 HECHOS PROBADOS PRIMERO: Consta que en fecha 28 de mayo de 2013 tiene entrada en esta Agencia escrito de Dña. A.A.A., mediante el que denuncia que, a pesar de haber manifestado no consentir el tratamiento de sus datos por parte de la entidad denunciada al solicitar la baja del servicio en noviembre de 2012, ha recibido por parte de la entidad denunciada SIDECU, un nuevo escrito en el que se le comunicaba que, salvo su negativa expresa y por carta, autorizaba a la entidad SIDECU a incorporar sus datos a un fichero con fines promocionales, comerciales o de marketing y susceptibles de ser comunicados a otras empresas. SEGUNDO: Consta que el responsable del fichero es la entidad SIDECU, S.L. TERCERO: Consta que la denunciante Dña. A.A.A., solicitó la baja en el centro ABASTOS con fecha 15 de noviembre de 2012. CUARTO: Consta que, en dicha solicitud de baja, hay unas “CONDICIONES DE PROTECCION DE DATOS” entre las que se recoge un apartado “en el supuesto de que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá marcar la siguiente casilla ” que, en este caso, ha sido marcada por la denunciante, no consintiendo con ello al posterior tratamiento. QUINTO: Consta que, a pesar de encontrarse la casilla marcada, la entidad responsable del fichero SIDECU, S.L. ha enviado a la denunciante, en mayo de 2013 una carta en la que se le solicita su consentimiento para incorporar sus datos a un fichero propiedad de SIDECU que tiene como finalidad la gestión de los clientes, premiar su fidelidad y mantenerlos informados (envío de boletín de noticias), por cualquier medio (electrónico o no), de todas las ofertas de productos, y/o servicios y/o promociones, incluyendo el análisis y la formación de perfiles y, en general, la realización de acciones comerciales, de promoción y/o marketing relacionadas con las actividades propias del objeto social de SIDECU, S.L., así como el deporte, ocio, salud, bienestar, material deportivo, proveedores de transporte, seguros, servicios inmobiliarios, financieros y bancarios, publicidad y la prestación de servicios sin valor añadido. Asimismo, en dicha carta se pone de manifiesto que a los efectos de lo dispuesto en el art. 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, el cliente autoriza a SIDECU, S.L., a remitirle comunicaciones comerciales, promocionales o publicitarias, por correo electrónico o cualquier otro medio de comunicación electrónica equivalente. SEXTO: Consta que, en la solicitud de baja de la denunciante, dentro de las “CONDICIONES DE PROTECCION DE DATOS”, así como en la comunicación recibida en mayo de 2013, se recoge un apartado en el que se señala “Asimismo, el abonado presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el Grupo SIDECU, (…) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU, S.L., y/o proporcionen al abonado los productos y/o servicios ofrecidos por SIDECU, S.L., o las empresas del Grupo SIDECU. A los efectos previstos en la LOPD, el cliente se da por notificado de tales cesiones.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Con esta comunicación se pretende una cesión de datos a terceros, sin que se pueda conocer la finalidad a la que se destinaran los datos o el tipo de actividad de aquel a quien se pretenden comunicar. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II En el caso que nos ocupa se denunciaba que, tras haber finalizado la relación contractual con la entidad, y a pesar de haber marcado la casilla por la que no se consentía el tratamiento o comunicación de datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, en fecha posterior, había recibido una comunicación del responsable del fichero, por la cual, salvo negativa expresa, sus datos serían incorporados a un fichero con fines promocionales, comerciales o de marketing, susceptibles de ser cedidos. Se denunciaba, por tanto, dos cuestiones, por una parte, que a pesar de haber manifestado su negativa a recibir nuevas comunicaciones por parte del responsable del fichero, se había producido una nueva comunicación, lo que supone una infracción del art. 4.5 LOPD, y que, en dicha cláusula, se recogía la posibilidad de una cesión de los datos a sociedades que en cada momento integren el GRUPO SIDECU y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU S.L., y/o proporcionen al cliente los productos y/o servicios ofrecidos por SIDECU, lo que supone una infracción del art. 5 en relación con el art. 11.3 LOPD. En primer lugar, procede analizar la infracción que se imputa a la entidad denunciada SIDECU, S.L., que es una infracción del art. 5 de la LOPD, en el que se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  6. e)De la identidad y dirección del responsable del tratamiento o, en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 caso, de su representante (...) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” Por su parte, el art. 11.3 LOPD establece: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” En este sentido, la obligación que impone el art. 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el art. 5 transcrito, la entidad SIDECU, S.L., debe dar a sus clientes la información prevista en el art. 5.1 de la LOPD, y debe suministrarse a los clientes previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. En el caso que nos ocupa, se ha podido comprobar que la entidad denunciada SIDECU, S.L. incumple lo dispuesto en el art. 5.1 LOPD en relación con el art. 11.3 LOPD, en la medida en que se ha podido comprobar que en el párrafo 2º de la cláusula enviada a la denunciante, se recoge que el cliente presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el GRUPO SIDECU, (www.centrosupera.........) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU y/o proporcionen al cliente los productos y/o servicios ofrecidos por SIDECU o las empresas del GRUPO SIDECU. Dicha cláusula es contraria a lo dispuesto en el art. 11.3 LOPD, ya que la información proporcionada, en este caso a la denunciante, no permite conocer el tipo de actividad de aquel a quien se pretendan comunicar. En este sentido, el art. 12.2 del RD. 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece: “Cuando se solicite el consentimiento del afectado para la cesión de sus datos, este deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinaran los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 Por tanto, en este caso, procede apercibir a la entidad denunciada por una infracción del art. 5 LOPD, y se va a requerir para que acredite que no va a proceder a comunicar los datos a terceros, en la medida en que no están identificados, tal y como se requiere en el art. 11.3 LOPD. III El artículo 44.2.
  7. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad denunciada ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. IV En segundo lugar, se imputa a la entidad denunciada una infracción del art. 4.5 LOPD, el cual establece: “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinara el procedimiento por el que, por excepción, atendiendo los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento integro de determinados datos.” En el caso que nos ocupa, tanto la denunciante con la documentación que aporta en su escrito de denuncia, como la entidad denunciada en su escrito de alegaciones al acuerdo de audiencia previa al apercibimiento, aportan la solicitud de baja de la persona denunciante. En dicho escrito, se recoge una cláusula que señala: “En el supuesto de que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá marcar la siguiente casilla…”, que en este caso se encuentra marcada. Por tanto, la entidad denunciada ha procedido a enviar una nueva comunicación a la persona denunciada, cuando ella ya se había opuesto, en la solicitud de baja, al tratamiento de sus datos personales, marcando la casilla mencionada. En este sentido, la LOPD, con el art. 4.5, está estableciendo la regla de que se cancelen los datos que ya no tengan utilidad, lo que implica que, cuando ya no son necesarios o pertinentes para la finalidad para la que se recabaron se deben cancelar, y por tanto, se considera que no se permite su conservación indefinida. Es cierto que, en algunos supuestos, como alega la entidad denunciada en su escrito de fecha de entrada 17 de marzo de 2014, aludiendo al art. 16 LOPD apartado 5 que establece “los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”, pero en este caso la relación contractual ya había finalizado, y la denunciante se había C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 opuesto al tratamiento de los datos, con lo cual, para el caso de que, de acuerdo con la normativa, fuera necesario el mantenimiento de los mismos, debería haberse hecho de acuerdo con lo dispuesto en el art. 4.5 ya mencionado, párrafo 2º que establece “no serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.” En este sentido, el art. 8.6 del citado Real Decreto establece: “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el periodo al que se refieren los párrafos anteriores, los datos solo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento.” Este precepto permite la conservación de los datos cuando se trate de supuestos en los que ya ha desaparecido la finalidad para la cual se recabaron, pero teniendo en cuenta que no podrán ser asociados a persona identificada o identificable. En estos casos debe producirse un procedimiento de disociación tal y como se recoge en el art. 3.
  8. f)LOPD. Por tanto, en este caso procede apercibir a la entidad denunciada por una infracción del art. 4.5 LOPD, y se va a requerir para que acredite que ha procedido al bloqueo de los datos de la persona denunciante. V El artículo 44.3.
  9. c)de la LOPD establece como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el art. 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” En este caso, la entidad denunciada no ha procedido a cancelar los datos de la persona denunciante, cuando así lo había solicitado, y ha procedido a reenviar una nueva comunicación, por lo que debe entenderse infringido el art. 4.5 LOPD. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  10. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  11. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  12. a)y
  13. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00030/2014) a la entidad SIDECU, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
  14. c)de la citada Ley Orgánica, y con relación a la denuncia por infracción del art. 4.5 LOPD, tipificada como grave en el art. 44.3.
  15. c)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 2.- REQUERIR a la entidad SIDECU, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 5, y 4.5 de la LOPD. En concreto, con relación al art. 5 LOPD se insta a la entidad denunciada a que acredite que no va a proceder a comunicar los datos de sus clientes a terceros de otros sectores que contraten o presten servicios a SIDECU. Asimismo, con relación al art. 4.5 LOPD, se insta a la entidad denunciada a que proceda al bloqueo de los datos de la denunciante, así como su posterior cancelación, cuando hayan transcurrido los plazos en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando certificaciones que acrediten que ha procedido al cumplimiento del requerimiento, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/01862/2014, podría incurrir en una infracción del artículo 37.1.
  16. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  17. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  18. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad SIDECU, S.L. 4.- NOTIFICAR el presente Acuerdo a Dña. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.