A-00041-2015

1/11 Procedimiento Nº: A/00041/2015 RESOLUCIÓN: R/01143/2015 En el procedimiento A/00041/2015, instruido por la Agencia Española de Protección de Datos a la entidad PROYECTOS INMOBILIARIOS DEAPI S.L., vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 1 de julio de 2014, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que expone que en el año 2012 formalizó un contrato de alquiler en el que la entidad Proyectos inmobiliarios Deapi, S.L., actuaba como intermediario entre la parte arrendadora y la parte arrendataria, que era él. El contrato finalizó el día 30 de abril de 2014. A finales del mes de junio de 2014, recibió en su cuenta bancaria un ingreso de 1.100 euros en concepto de “alquiler mes de julio y fianza adicional”. Desde DEAPI se pusieron en contacto telefónico para informarle que el nuevo inquilino del piso que él había arrendado, transfirió ese dinero a su cuenta. Al pedir explicaciones del hecho, le contestaron que su número de cuenta aparecía por error en el contrato ya que lo habían cogido de modelo para el nuevo arrendador sin haber borrado el número de la cuenta del denunciante. Sin haber solicitado nada, le enviaron un mail con el justificante de la transferencia; en ese justificante consta el nombre y apellidos del nuevo inquilino y su DNI. El beneficiario de la transferencia es otra persona pero el número de cuenta es el del denunciante. Les escribió diciéndoles que habían cometido varias vulneraciones de la normativa de protección de datos ya que mantenían sus datos y se los habían comunicado a un tercero. SEGUNDO: Junto con la denuncia, Don A.A.A., acompaña varios e mails en los que Deapi le pide disculpas por los hechos sucedidos, pidiéndole la devolución de la transferencia, así como las contestaciones del denunciante indicándoles las irregularidades cometidas. TERCERO: Con fecha 26 de marzo de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00041/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 27 de abril de 2015, se recibe en esta Agencia escrito del denunciado en el que comunica que como consecuencia de un error se incorporó el número de cuenta del denunciante para hacer el ingreso del arrendamiento. Nunca se le identificó. Se ha obrado en todo momento de buena fe, explicando lo ocurrido al denunciante y pidiéndole disculpas por ello. Se han intensificado los mecanismos para controlar que no se vuelvan a producir situaciones similares. Tienen establecido un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 protocolo de actuación en cuanto al tratamiento de datos personales, con las medidas de seguridad incorporadas. Se ha procedido al bloqueo de los datos del denunciante tal y como solicitó. HECHOS PROBADOS PRIMERO: Don A.A.A., formalizó un contrato de alquiler, en el año 2012, en el que la entidad Proyectos inmobiliarios Deapi, S.L., actuaba como intermediario entre la parte arrendadora y la parte arrendataria, que era él. El contrato finalizó el día 30 de abril de 2014. SEGUNDO: A finales del mes de junio de 2014, recibió en su cuenta bancaria un ingreso de 1.100 euros en concepto de “alquiler mes de julio y fianza adicional”. Desde DEAPI se pusieron en contacto telefónico para informarle que el nuevo inquilino del piso que él tuvo arrendado, transfirió ese dinero a su cuenta. Al pedir explicaciones del hecho, le contestaron que su número de cuenta aparecía por error en el contrato ya que lo habían cogido de modelo para el nuevo arrendador sin haber borrado el número de la cuenta del denunciante. TERCERO: DEAPI ha indicado que han intensificado los mecanismos para controlar que no se vuelvan a producir situaciones similares. Tienen establecido un protocolo de actuación en cuanto al tratamiento de datos personales, con las medidas de seguridad incorporadas. Se ha procedido al bloqueo de los datos del denunciante tal y como solicitó. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. La LOPD circunscribe el ámbito de aplicación objetivo de la norma a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
2. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
3. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
4. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. En este sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
5. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
6. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Debe tenerse en cuenta, además, la definición de tratamiento de datos contenida en el artículo 3 de la LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 “
7. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Dentro de la doctrina expuesta, en el presente caso, ha quedado acreditado el tratamiento de los datos del denunciante por el denunciado, que se considera responsable del específico tratamiento de datos personales que conlleva la utilización realizada de los mismos para, finalmente, ser comunicados a la autoridad de tráfico. En el presente caso, el denunciado actúa como responsable del tratamiento, de conformidad con la definición del artículo 3.
8. d)de la LOPD y 5.1.
9. q)del RDLOPD, por cuanto ha decidido sobre la “finalidad, contenido y uso del tratamiento”. Por tanto, de acuerdo con el artículo 43 de la LOPD, el denunciado ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. III Se imputa en el presente procedimiento al denunciado una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado, como ocurre en el caso enjuiciado, en el que se han incoado indebidamente al denunciante hasta siete procedimientos sancionadores por infracciones de tráfico por parte del Ayuntamiento de Madrid… … el hecho imputado consiste en asociar un nombre y apellidos con un vehículo determinado, con el que se habían cometido determinadas infracciones de tráfico, y tal asociación de datos de carácter personal era claramente inexacta como el propio recurrente reconoce, ya que la persona a la que corresponden el nombre y apellidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 facilitados al Ayuntamiento no era conductora de tal vehículo…>>. En este caso, ha quedado acreditado que Proyectos Inmobiliarios DEAPI, envió a un cliente un contrato para que ingresara el dinero del arrendamiento en la cuenta del denunciante, como así hizo; recibiendo el Sr. A.A.A. un recibo con los datos de una arrendadora. Asimismo, consta que con este motivo, el denunciado se dirigió a DEAPI, que le explicaron que habían cogido un modelo de contrato en el que constaba su cuenta corriente y no la habían modificado. Es decir, asociaron su número de cuenta corriente a la del arrendador de la vivienda (que no era
10. el)comunicándole los datos del nombre y apellidos de la ordenante de la transferencia y el nombre y banco del arrendador y del beneficiario del arrendamiento. El denunciado conoció que se había facilitado el número de su cuenta corriente de forma errónea al recibir una transferencia de 1.100 euros, desconociendo quien era el remitente. DEAPI ha reconocido el error que se produjo de forma fortuita al usar un modelo anterior y no quitar todos los datos existentes. El denunciado es responsable de que los datos personales del denunciante se asociaran a dicho contrato de arrendamiento. En consecuencia, los datos personales del denunciante fueron indebidamente asociados a un contrato, señalándolo como beneficiario de un arrendamiento. Esto constituye una vulneración del principio de calidad de datos plenamente imputable al denunciado, que conocía el destino de esa información, así como las consecuencias que se derivarían de su conducta. El denunciado actuó con total falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Por tanto, el denunciado incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD, y es responsable de que se comunicaran datos inexactos del mismo al arrendatario. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder el denunciado conforme a las circunstancias expresadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 IV La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
11. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
12. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
13. c)de la LOPD por parte del denunciado, que trató datos inexactos del denunciante, al comunicar tales datos a la arrendataria, señalando su número de cuenta corriente como si fuese el arrendador y beneficiario del arrendamiento, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. El principio de calidad de los datos se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. Concretamente, por lo que ahora interesa, el artículo 4.3 de la LOPD recoge el citado principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. Por tanto, la conducta del denunciado vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.
14. c)de la LOPD. V El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, DEAPI tiene los datos del denunciante, de la nueva arrendadora y del beneficiario del arrendamiento, y como tal tiene deber de secreto en relación con los datos personales que trata. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
15. d)de la LOPD. En este precepto se establece lo siguiente: “
16. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, consta acreditado que DEAPI utilizó, erróneamente, el número de cuenta del denunciante para un contrato de arrendamiento entre dos personas con las que no tenía nada que ver, dando lugar a que conociera el nombre de la arrendataria y su DNI. Por tanto, se concluye que la conducta imputada podría ajustarse a la tipificación prevista en el 44.3.
17. d)de la LOPD. VI Los hechos constatados, consistentes en tratar los datos del denunciante erróneamente y facilitarle datos personales de terceros, constituye una base fáctica para fundamentar la imputación a DEAPI de las infracciones de los artículos 4.3 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del tratamiento de datos erróneos incorporados en un contrato, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 imponer únicamente declarar la infracción del artículo 4.3 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. De acuerdo con lo expuesto, se iniciaron actuaciones contra la denunciada por la presunta vulneración del principio de calidad de datos y del deber de secreto recogido en los artículos señalados. Por otra parte, se tuvo en cuenta que DEAPI no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 4.3 y 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
18. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
19. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
20. a)y
21. b)del citado artículo 45.6 de la LOPD. VII La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo como se deduce del citado fundamento de derecho SEXTO: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad…, aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
22. c)de la misma Ley.” En el presente caso, ha quedado acreditado que DEAPI cometió un error puntual al incluir el número de cuenta corriente en un contrato de arrendamiento que contenía los datos de la arrendadora. En consecuencia, al tratarse de un error puntual no cabe hacer requerimiento de tomar medidas diferentes a las que tiene la empresa, que tiene incorporadas las medidas de seguridad adecuadas al tipo de datos que trata, habiendo puesto en marcha controles para que no vuelva a producirse el error imputado, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento (A/00041/2015) seguido contra PROYECTOS INMOBILIARIOS DEAPI, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 4.3 de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a PROYECTOS INMOBILIARIOS DEAPI, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 3.- NOTIFICAR el presente Acuerdo a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es