A-00058-2018

1/7 Procedimiento Nº: A/00058/2018 RESOLUCIÓN: R/00583/2018 En el procedimiento A/00058/2018, instruido por la Agencia Española de Protección de Datos a la entidad COFRADÍA DE LA SANTA VERA CRUZ, "DISCIPLINA Y PENITENCIA", vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/01/2018 tiene entrada en esta Agencia una denuncia presentada por B.B.B. (en lo sucesivo, la denunciante), en la que manifiesta lo siguiente: Aporta copia de: 1) Copia de hoja recibida por correo electrónico, “Reunión hermanos de paso Virgen Dolorosa” ”***CARGO.1 VERACRUZ ***LOC.1” de DD/MM/AA.1, 16:14 con un archivo adjunto “Cartas hermanos Dolorosa.doc”. En la hoja impresa figura una dirección de correo electrónico que la denunciante manifiesta es la suya, C.C.C.@hotmail.com. En el correo se informa de la convocatoria de una reunión de “hermanos de paso” “que recibirás en tu domicilio por correo ordinario y que se celebra el próximo 13/01 en el salón de actos del Museo de semana Santa. Acompaña copias de cartas contenidas en el archivo “Cartas hermanos Dolorosa.doc”. Se trata de escritos-cartas individualizadas dirigidas por el ***CARGO.1 del Paso de la Virgen de la Dolorosa ( A.A.A. a sus miembros (en total 42), convocándoles a una reunión el DD/MM/AA, 18 h. conteniendo en cada hoja los datos de nombres y apellidos y dirección de cada miembro, figurando también los de la denunciante. La denunciante indica que “Dicha Cofradía no está autorizada a difundir los datos de manera pública y conjunta”. Solicita una indemnización de dicha Cofradía y el inicio de procedimiento sancionador. SEGUNDO: Con fecha 19/02/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00058/2018. TERCERO: Con fecha 14/03/2018 se recibe en esta Agencia escrito de la denunciada en el que manifiesta: -La Cofradía la componen 2860 miembros. Estos se agrupan en una serie de categorías por la forma en que desfilan en la procesión del Jueves Santo, siendo unos “hermanos de fila” y otros “hermanos de paso o cargadores”. Dentro de los “hermanos de paso” se dividen en 11 grupos o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 plantillas de cargadores. En estas plantillas se conocen perfectamente al compartir durante años reuniones y actos programados. Los datos facilitados por error por parte de ***CARGO.1 eran conocidos por los receptores del correo siendo en este caso no más de 40 miembros. El ***CARGO.1 de la Cofradía remitió por correo electrónico con un documento adjunto a los miembros de la plantilla, convocándolos a una reunión. Por error, adjuntó otro documento el cual era el mismo texto pero con lo nombres y direcciones de cada miembro del grupo en el encabezamiento, siendo el archivo preparado para la impresión en papel del mismo correo, para ser enviado por correo ordinario y por consiguiente no volcando los datos fuera del grupo de cargadores de la Virgen Dolorosa en ningún caso a personas ajenas a la Asociación (Cofradía). El correo ese remitió a las 17 h 14 minutos del DD/MM/AA.1. - Siendo avisado el ***CARGO.1 del error cometido, el DD/MM/AA.1 a las 19h y 59 minutos, envió un correo electrónico a las mismas personas advirtiéndoles del error y de no poder usar dichos datos. Sobre el asunto se reflejó en la sesión de la Junta directiva de 8/01/2018 y las medidas adoptadas, anunciándose en la Asamblea General Ordinaria de 5/02/2018. También en la misma reunión que se contenía en el correo, de DD/MM/AA se trató el tema haciéndole saber a la denunciante los trámites realizados. - Adjuntan copia de correo electrónico con Cco (copia oculta, los destinatarios no podrán ver a aquellas personas a las que se les ha enviado la copia oculta) de DD/MM/AA.1 a las 17:14, y a las 19h y 59 minutos, y certificación de las actas de la Junta Directiva y de Asamblea. En el correo de las 17:14 asunto “reunión hermanos de paso Virgen Dolorosa” de ***CARGO.1 Veracruz ***LOC.1 Con copia a varias direcciones de correo electrónico figurando entre ellas la de la denunciante junto a su nombre, y el archivo adjunto “Cartas hermanos Dolorosa.doc”. La carta informa de la convocatoria de una reunión de hermanos de paso que recibirás en tu domicilio por correo ordinario y que se celebrará el 13/01 en el salón de actos del Museo de Semana Santa a las 18 h” De la copia del correo electrónico de DD/MM/AA.1 a 19:59, desde ***CARGO.1 Veracruz ***LOC.1 se remitió un correo con Cco a distintas direcciones entre la que se encuentra la de la denunciante. Señala que en el correo electrónico que te hemos remitido esta tarde con el fin de que recibas la información de la forma más rápida posible, hemos ajuntado por error un fichero Word que contienen una carta con la dirección postal de todos los convocados a esa reunión. Pedimos disculpas por este error…””queda terminantemente prohibido hacer uso del mismo”. Adjuntan copia de certificado del ***CARGO.1 sobre la mención del asunto en la Junta Directiva de 8/01/2018. HECHOS PROBADOS 1) La denunciante denuncia que a través de correo electrónico, el ***CARGO.1 de la Cofradía de la Vera Cruz de ***LOC.1, remitió correos electrónicos para una reunión el DD/MM/AA a los “hermanos de Paso” de la Virgen Dolorosa, enviando a todos un archivo adjunto en Word, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 extensión .doc el DD/MM/AA.1 a las 16:14 (a la denunciada le consta a las 17:14) según copia que aportó. 2) En el correo que convocaba a una reunión se contenía el archivo adjunto (con peso de 185 K) con cartas que se iban a enviar, según la denunciada, por correo ordinario a los miembros del Paso. Cada carta lleva el nombre y apellidos y la dirección y se convoca a la reunión de DD/MM/AA para nombrar al encargado de Paso. Son 42 direcciones de 42 hermanos que la denunciante aporta en su denuncia entre los que figuran los datos de la denunciante. Si bien en los envíos del correo electrónico no se visionan las direcciones de correos electrónicos de los hermanos miembros de la Cofradía, por enviarse en CCo -copia oculta (los destinatarios no pueden ver a aquellas personas ni datos a las que se les ha enviado la copia oculta)- si se podía visionar por cada uno las direcciones de todos al ser común el archivo doc. Enviado. 3) La denunciada en sus alegaciones reconoce el envío del documento a todos para la convocatoria de la reunión vía correo electrónico que anticipaba el envío al correo ordinario del contenido del archivo en Word que se adjuntaba. La denunciada esa misma tarde a las 19:59 remitió a todos un correo informando del citado archivo con los datos de direcciones de todos los convocados, advirtiendo del no uso de los datos conocidos por dicho archivo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II La disposición final quincuagésima sexta de la Ley 2/2011 de 4/03 de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la LOPD en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
2. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
3. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En el presente supuesto se cumplen los requisitos recogidos en los apartados
4. a)y
5. b)del citado apartado 6 del art. 45 LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la denunciada teniendo en cuenta que no consta vinculación relevante de su actividad con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. III El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
6. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. IV El Tribunal Constitucional, en la Sentencia 292/2000, garantiza el poder de control sobre los datos personales del titular de los mismos. En palabras del citado Tribunal “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” La circunstancia de que una Asociación, como la Cofradía, disponga de los datos como dirección, teléfono etc. es adecuado y necesario para la gestión de la misma. El hecho de que sus miembros se conozcan incluso por nombre y apellidos puede suceder, pero no está acreditado y es poco probable que todos conocieran los datos de todas las direcciones de sus miembros, ni tenían motivo para ello. Entre sus relaciones de amistad algunos conocerán el domicilio de alguno/s pero no se facilita el conocimiento exhaustivo de todos a todos los miembros como ha sucedido con el envío del archivo adjunto. La infracción que se imputa a la denunciada es la del artículo 10 de la LOPD que indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En este caso, la denunciada revela algunos datos de sus asociados, nombre y apellidos que ligados a la dirección no tienen por qué ser conocidos por todos ellos. Es eficaz para la gestión de los asuntos como citación y convocatorias a través de correos electrónicos, pero no se justifica la difusión de las direcciones de todos y a todos para el acto de la convocatoria. Se han de extremar las cautelas no solo con los destinatarios y la copia oculta, sino con datos que puedan hacer identificables cuando no sea esa la finalidad, o direcciones, teléfonos móviles etc. que se proporcionan para la gestión. De acuerdo con las manifestaciones efectuadas por el responsable con posterioridad al conocimiento mandó otro correo advirtiendo del error. V La infracción cometida se tipifica en el artículo 44.3.
7. d)como: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” VI La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contenciosoadministrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo, como se deduce del fundamento de derecho SEXTO: “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
8. c)de la misma Ley.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De acuerdo con lo señalado, en el presente supuesto no existe medida concreta a adoptar, una vez producidos los envíos, salvo extremar las cautelas con el uso del correo, añadiéndose que el mismo día la denunciada se dirigió de nuevo a los destinatarios del mensaje. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00058/2018) la infracción imputada del artículo 10 de la LOPD imputada a la COFRADÍA DE LA SANTA VERA CRUZ, "DISCIPLINA Y PENITENCIA" tipificada como grave en el artículo 44.3.
9. d)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo CRUZ,"DISCIPLINA Y PENITENCIA". a la COFRADÍA DE LA SANTA VERA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es