A-00095-2016

1/6 Procedimiento Nº: A/00095/2016 RESOLUCIÓN: R/01410/2016 En el procedimiento A/00095/2016, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por DÑA. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 07/04/2015, tuvo entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a D. B.B.B. (en lo sucesivo el denunciado), por el envío de un correo electrónico de fecha 08/07/2014, remitido desde la dirección D.D.D. a la Administración de Fincas G.G.G., al que acompañaba como fichero adjunto una copia de la Sentencia por falta de daños dictada por el Juzgado de Instrucción número 1 de León en fecha 23/06/2014, referida a un asunto particular ajeno a dicha administración de fincas. Añade que dicha Sentencia fue compartida con el denunciado por D. F.F.F. (hijo del denunciado); y que aquél no pertenece a su comunidad de propietarios. Asimismo, en la misma fecha se recibió otro escrito de la denunciante contra el denunciado, por la exposición de dicha Sentencia en el tablón de anuncios de su comunidad de propietarios (de la denunciante), a pesar de tratarse de un asunto personal sin relación alguna con dicha comunidad de propietarios. Con estas denuncias aportó copia de un correo electrónico de fecha 07/08/2014, remitido por G.G.G. desde la dirección de correo electrónico E.E.E., que reenvía a la dirección C.C.C. otro correo anterior, de fecha 08/07/2014 remitido desde D.D.D. con el texto siguiente: “Hay le envío la sentencia de los amigos y vecinos, espero que esto le sirva de escarmiento y no se vuelva a repetir más”. Dicho correo se remite con seis archivos adjuntos: “img146,1 SENTENCIA CONTRA H.H.H. Y MAS.JPG, IMG147.2 sentencia contra H.H.H. y varios…”. Asimismo, aportó copia de la Sentencia dictada en fecha 23/06/2014 por el Juzgado de Instrucción número 1 de León, en la que constan los datos personales de la denunciante relativos a nombre, apellidos, y domicilio, así como las circunstancias del proceso y la pena impuesta; y diversas fotografías del tablón de anuncios, en las que puede verse el último folio de la sentencia con el detalle completo del fallo contenido en la misma. La exposición de la citada Sentencia en el tablón de la comunidad de propietarios a la que pertenece la denunciante fue igualmente denunciada ante la Guardia Civil. En el expediente respectivo consta una declaración de D. B.B.B., aportada a la AEPD, en la que éste reconoce que “efectivamente… colocó la sentencia en el citada tablón de anuncios”. SEGUNDO: Con fecha 15/03/2016, la Director de la Agencia Española de Protección de Datos acordó someter al denunciado a trámite de audiencia previa, en relación con la denuncia por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica. Con este motivo, el denunciado presentó escrito de alegaciones en el que señala que los mismos hechos fueron juzgados por el Juzgado de Instrucción núm. 1 de León, que dictó sentencia absolutoria, por lo que invoca el principio “non bis in idem”, que impide juzgar o sancionar dos veces un mismo hecho. Aporta copia de una Sentencia dictada por el citado Juzgado en fecha 21/04/2015 en un proceso penal de juicio de faltas, en la que se absuelve en apelación al denunciado de la falta de coacciones por la que se le condenó. En esta Sentencia, no obstante, consta expresamente como hecho probado que la Sentencia que se cita en la denuncia fue expuesta en el Tablón de Anuncios de la Comunidad de Propietarios de la denunciante por el denunciado, que además reconoce estos hechos. HECHOS PROBADOS 1. Con fecha 08/07/2014, D. B.B.B. remitió un correo electrónico desde la dirección D.D.D., dirigido a la Administración de Fincas G.G.G., al que acompañaba como fichero adjunto copia de la Sentencia por falta de daños dictada por el Juzgado de Instrucción número 1 de León en fecha 23/06/2014, referida a un asunto particular ajeno a dicha administración de fincas. Dicho correo contiene como texto “Hay le envío la sentencia de los amigos y vecinos, espero que esto le sirva de escarmiento y no se vuelva a repetir más”, y remite seis archivos adjuntos: “img146,1 SENTENCIA CONTRA H.H.H. Y MAS.JPG, IMG147.2 sentencia contra H.H.H. y varios…”. En la citada Sentencia constan los datos personales de la denunciante, relativos a nombre, apellidos y domicilio, así como las circunstancias del proceso y la pena impuesta. 2. Con fecha 06/08/2014, D. B.B.B. expuso la Sentencia reseñada en el Hecho Probado Primero en el tablón de anuncios de la comunidad de propietarios de la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por el denunciado, que en un correo electrónico de 08/07/2014 facilitó a terceros copia de una sentencia en la que constan datos personales relativos a la denunciante y por la exposición de dicha Sentencia en un lugar accesible al público (tablón de anuncios de la comunidad de propietarios de la denunciante). El artículo 10 de la LOPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que los datos no puedan revelarse ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
3. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, según ha quedado expuesto, consta que el denunciado reveló a terceros los datos personales de la denunciante contenidos en una Sentencia dictada por el Juzgado de Instrucción número 1 de León, de fecha 23/06/2014, en concreto, los relativos a nombre, apellidos y domicilio, así como las circunstancias del proceso y la pena impuesta, sin que la afectada hubiese prestado su consentimiento para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Esta divulgación de datos personales, llevada a cabo mediante el envío a terceros de un correo electrónico que adjuntaba en un archivo copia de la citada Sentencia y por la exposición de dicha Sentencia en el tablón de anuncios de la comunidad de propietarios de la denunciante, accesible al público, vulnera lo dispuesto en el artículo 10 de la LOPD, siendo responsable de ello el denunciado, según el mismo reconoció. El denunciado no ha aportado ninguna razón que justifique la divulgación a terceros de los datos personales de la afectada. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
4. d)de la LOPD. En este precepto se establece lo siguiente: “
5. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de la afectada fueron divulgados a terceros por el denunciado, no habiéndose acreditado que aquélla hubiese prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
6. d)de la LOPD. IV Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad por esta Agencia, por lo que de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 10 de la LOPD. El artículo 45.6 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
7. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
8. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
9. a)y
10. b)del citado artículo 45.6 de la LOPD, por cuanto la infracción de la que se responsabiliza al denunciado es una infracción “grave” y el mismo no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad por la concurrencia de varios criterios de los enunciados en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 45.4 de la LOPD, concretamente, la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal y el volumen de tratamientos afectados por la irregularidad. Todo ello, justifica que la AEPD no haya acordado la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Lo mismo ha de entenderse en aquellos supuestos, como el analizado en las presentes actuaciones, en los que, por la naturaleza de los hechos determinantes de la infracción, no cabe imponer ninguna medida correctora dirigida a impedir que tales hechos se cometan de nuevo en el futuro, más allá de exigir al infractor el cese en la comisión de hechos similares y el compromiso de no reiterar la conducta sancionable. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que no procede la adopción de ninguna medida correctora, de acuerdo con lo señalado se debe acordar al archivo de las actuaciones. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00095/2015 seguido contra D. B.B.B., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 10 de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a D. B.B.B. y a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es