1/12 Procedimiento Nº: A/00123/2015 RESOLUCIÓN: R/01720/2015 En el procedimiento A/00123/2015, instruido por la Agencia Española de Protección de Datos a la entidad B.B.B., vista la denuncia presentada por C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27 de marzo de 2014 tiene entrada en esta Agencia un escrito de C.C.C., en adelante el denunciante, en el que manifiesta lo siguiente: 1. El blog accesible en la URL http://............., ofrece datos sobre diferentes personas entre las que se encuentra y que deben de tener la consideración de datos de carácter personal. 2. A pesar de que el blog no identifica, tal y como dispone el artículo 10 de la LSSICE, a su titular todo indica que el responsable del blog en cuestión es B.B.B., en adelante el editor. 3. El editor ha publicado sin su consentimiento y sin que exista relación contractual que pueda ampararlo, sus datos de carácter personal, entre otros: Su nombre, apellidos y empresa en la que trabaja. Información sobre reuniones a las que ha asistido y las personas que también han participado. Documentos privados en los que consta su firma manuscrita. Para acreditar dichas manifestaciones, el denunciante aporta impresión de páginas del blog y de los documentos publicados a través de éste donde constan sus datos. 4. Ha consultado el Registro General de Protección de Datos y ha observado que no consta ningún fichero en el que el editor conste como responsable. Para acreditar dichas manifestaciones, el denunciante aporta impresión de la consulta realizada a la versión web del Registro General de Protección de Datos. 5. Durante la navegación por el citado blog se han descargado dispositivos de almacenamientos y recuperación de datos, en adelante DARD, sin que se le hubiera informado y sin que lo hubiese consentido. El denunciante no aporta ninguna evidencia en relación con los DARD. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 1. El blog accesible en la URL http://............. contiene una narración de la relación empresarial establecida entre el editor y algunas de las empresas del grupo al que pertenece el denunciante. En el centro del conflicto se encuentra la cuestión de la titularidad de un software que ambas partes reclaman como propio y las acciones legales llevadas a cabo por las partes para demostrar su versión de los hechos. 2. Si bien el sitio web carece de una identificación clara sobre la entidad titular del mismo, lo cierto es que los enlaces al perfil de Facebook del editor, la narración de los hechos en primera persona y los documentos aportados son claros indicios de que el editor es el titular del mismo. El 5 de agosto de 2014, el editor confirma a través de correo electrónico que es efectivamente el responsable del blog. 3. En el conjunto de las publicaciones realizadas en el blog o bitácora, el nombre del denunciante aparece en 134 ocasiones, el nombre y primer apellido en 80, mientras que el nombre junto con los dos apellidos aparece 15 veces. La información asociada a esos datos en las publicaciones se limita a: El cargo de Director General que parece ocupar el denunciante en el grupo empresarial GUPOST ("GUPOST forma parte de este grupo, […] y es dirigido por C.C.C. como Director General." Datos relativos a las reuniones y conversaciones mantenidas por el denunciado tanto con el denunciante como con otros empleados del grupo GUPOST. En estos casos se citan los nombres, apellidos y cargos de las personas relacionadas con los hechos descritos (p.e. asistentes a reuniones, destinatarios de correos, etc…). En cuanto a la firma que aparece en el documento que consta en la publicación de fecha 15 de diciembre de 2011, dicha firma aparece como parte de un documento cuya imagen tiene un tamaño de 200x283 pixeles, cuya calidad es muy baja (la imagen ocupa 44,82 KB) y 4. En la publicación accesible en la URL http://............. el editor informa sobre la interposición de una reclamación ante el defensor del pueblo en la que incluye un conjunto de 15 documentos que referencia y hace accesible en su versión electrónica. Los documentos publicados, tal y como los describe el propio editor, son éstos:
- a)
- b)
- c)
- d)
- e)
- f)
- g)
- h)
- i)
- j)C/ Jorge Juan, 6 28001 – Madrid Denuncia de GUPOST. Mi primera declaración. Primer auto de sobreseimiento. Recurso del fiscal al primer sobreseimiento. Auto de reapertura. Declaración de C.C.C.. Declaración de E.E.E.. Declaración de los empleados de S21SEC. Informe técnico de los empleados de S21SEC. Declaraciones de los informáticos de GUPOST. www.agpd.es sedeagpd.gob.es 3/12
- k)Providencia donde nos deniegan todas las pruebas.
- l)Primer recurso de mí abogada a la providencia.
- m)Escrito solicitando la abstención del fiscal.
- n)Auto de la audiencia que ordena el sobreseimiento de la denuncia de GUPOST contra mí.
- o)Apertura de oficio de la denuncia que interpongo contra GUPOST y otros. Los documentos son relativos a una demanda interpuesta el 30 de noviembre de 2009 por el denunciante en representación de GUPOST PUBLICIDAD DIRECTA SA contra el editor. En los documentos constan el nombre y los apellidos del denunciante y los otros intervinientes en los distintos actos judiciales (letrados, fiscal, magistrados, etc…). El denunciante aparece en diversas ocasiones bien como representante de la entidad denunciante, bien como imputado. En todos los casos los domicilios y los números de identificación fiscales de las personas han sido borrados en los documentos. 5. El blog, publicado a través de la servicio de bitácoras del sitio web www.wordpress.com, tiene las funcionalidades que determina la infraestructura proporcionada por Automattic, responsable de www.wordpress.com. Un blog o bitácora está diseñado y tiene como objeto publicar información (noticias fotos, etc…) de manera regular, no como un almacén de datos que facilite su búsqueda ordenación y tratamiento. Por ese motivo el ordenamiento y agrupación de las publicaciones de un blog sigue un criterio temporal (se pueden buscar las entradas más recientes o las de un determinado mes y año). A la hora de realizar una búsqueda en relación con los datos de una persona, la única posibilidad de que dispone el blog denunciado es utilizar la herramienta de búsqueda estándar proporcionada por la infraestructura (la que todos los blogs de Wordpress tienen), que permite la búsqueda dentro del propio blog utilizando como criterio una cadena de texto. Así, si se establece como criterio “ C.C.C.” el buscador devolverá las publicaciones en las que dicho texto se halla incluido. 6. En el Registro General de Protección de Datos no consta, a 4 de agosto de 2014, ningún fichero registrado a nombre del editor. TERCERO: Con fecha 12/05/2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00123/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 17/06/2015 se recibe en esta Agencia escrito del denunciado en el que manifiesta, tras cuestionar la competencia de la AEPD para analizar la adecuación a la normativa de protección de datos en un espacio de internet como es un blog, por otro lado define el blog como obra literaria autobiográfica y por tanto es su libertad de expresión la que estaría siendo conculcada, que actualmente el blog esta desconectado y que tras la recopilación oportuna volverá a realizar una publicación de sus vivencias en formato libro. QUINTO: En fecha de 30/06/2015 se diligencio el resultado de la búsqueda en Google C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 utilizando los términos “C.C.C.” y se verifico que el acceso al blog ............. requiere autenticación para su acceso, estando vetado dicho acceso a cualquier usuario de la red internet y por tanto los datos personales objeto de tratamiento no son accesibles. SEXTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En el blog de internet alojado en http://............. creado por el denunciado consta un conjunto de publicaciones donde el nombre del denunciante aparece en 134 ocasiones, el nombre y primer apellido en 80, mientras que el nombre junto con los dos apellidos aparece 15 veces. DOS.- En el enlace arriba citado el denunciado informa sobre la interposición de una reclamación ante el defensor del pueblo en la que incluye un conjunto de 15 documentos que referencia y hace accesible en su versión electrónica. TRES.-En los documentos accesibles en el blog, constan el nombre y los apellidos del denunciante y los otros intervinientes en los distintos actos judiciales (letrados, fiscal, magistrados, etc…). El denunciante aparece en diversas ocasiones bien como representante de la entidad denunciante, bien como imputado. En todos los casos los domicilios y los números de identificación fiscales de las personas han sido borrados en los documentos. CUATRO.-En fecha de 30/06/2015 se realiza una búsqueda en Google con los datos del denunciante encontrándose el blog antes citado en el quinto resultado de la búsqueda. No obstante se verifica que no es posible el acceso a http://............. ni como usuario registrado de los servicios de wordpress ni como usuario convencional no registrado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter previo al análisis del fondo del asunto, conviene valorar las excepciones que plantea el denunciado respecto de la competencia de esta Agencia española de Protección de Datos en la medida de que sostiene aquel que no hay fichero ni tratamiento de datos en internet, y de otro lado que su libertad de expresión no puede verse censurada por la actuación de este organismo. El análisis del tratamiento de datos en internet ha sido abordado por esta Agencia en multitud de ocasiones, con el aval de la jurisprudencia nacional y europea (Sentencia TJUE Lindquist asunto C-101/01 y Sentencia TJUE de Google- Asunto CC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 131/12, por citar algunas), para concluir que es de aplicación la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, y por tanto de acuerdo con la LOPD, esta Agencia ostenta la competencia para sancionar los incumplimientos de la citada norma cuando se produzcan en el entorno de la red internet. Es conveniente traer a colación un extracto de la Sentencia TJUE Lindquist asunto C-101/01 Sobre la naturaleza de los datos tratados: (…)24. El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. 25. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. 26. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. 27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46. (…) Sobre las excepciones a la aplicación de la directiva a determinados tratamientos de datos: (…)37. El artículo 3, apartado 2, de la Directiva 95/46 establece dos excepciones a su ámbito de aplicación. 38. La primera excepción se refiere al tratamiento de datos personales efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal. 39. Dado que las actividades de la Sra. Lindqvist controvertidas en el asunto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 principal no tenían un carácter esencialmente económico sino más bien voluntario, así como religioso, es preciso examinar si constituyen un tratamiento de datos personales «efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario» en el sentido del artículo 3, apartado 2, primer guión, de la Directiva 95/46. 40. El Tribunal de Justicia ya ha declarado, en relación con la Directiva 95/46, cuyo fundamento es el artículo 100 A del Tratado, que el recurso a dicha base jurídica no presupone la existencia de un vínculo efectivo con la libre circulación entre Estados miembros en cada una de las situaciones contempladas por el acto que se funda en tal base (véanse la sentencia de 20 de mayo de 2003, Österreichischer Rundfunk y otros, asuntos acumulados C-465/00, C-138/01 y C-139/01, aún no publicada en la Recopilación, apartado 41, y la jurisprudencia citada). 41. Una interpretación contraria podría hacer que los límites del ámbito de aplicación de la referida Directiva se vuelvan particularmente inciertos y aleatorios, lo que sería contrario al objetivo esencial de ésta, que es la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros con el fin de eliminar los obstáculos al funcionamiento del mercado interior derivados precisamente de las disparidades entre las legislaciones nacionales (sentencia Österreichischer Rundfunk y otros, antes citada, apartado 42). 42. En este contexto, no resulta apropiado dar a la expresión «actividades no comprendidas en el ámbito de aplicación del Derecho comunitario» un alcance tal que resulte necesario comprobar caso por caso si la actividad concreta afecta directamente a la libre circulación entre los Estados miembros. 43. Las actividades que en el primer guión del artículo 3, apartado 2, de la Directiva 95/46 se citan como ejemplos (a saber, las actividades previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea, así como los tratamientos de datos que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado y las actividades del Estado en materia penal) son, en todos los casos, actividades propias del Estado o de las autoridades estatales y ajenas a la esfera de actividades de los particulares. 44. Por tanto, procede señalar que las actividades que se citan como ejemplos en el primer guión del artículo 3, apartado 2, de la Directiva 95/46 tienen por objeto delimitar el alcance de la excepción que se establece en dicha disposición, de modo que sólo se aplique a aquellas actividades que se mencionan expresamente o que pueden incluirse en la misma categoría (eiusdem generis). 45. Pues bien, las actividades voluntarias o religiosas como las que realiza la Sra. Lindqvist no pueden equipararse a las actividades citadas en el primer guión del artículo 3, apartado 2, de la Directiva 95/46 y, por tanto, no están comprendidas en dicha excepción. 46. En cuanto a la excepción prevista en el segundo guión del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas la correspondencia y la llevanza de un repertorio de direcciones. 47. En consecuencia, esta excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas. 48. Por tanto, procede responder a la tercera cuestión que un tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 datos personales como el descrito en la respuesta a la primera cuestión no está comprendido en ninguna de las excepciones que figuran en el artículo 3, apartado 2, de la Directiva 95/46.(…) Sobre la colisión del derecho a la protección de datos de la Directiva y la libertad de expresión o a otros derechos y libertades vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del CEDH. (…)86. En este contexto, los derechos fundamentales revisten una importancia especial, tal y como lo demuestra el asunto principal, en el que resulta necesario, en esencia, ponderar, por una parte, la libertad de expresión de la Sra. Lindqvist en el marco de su trabajo como catequista, así como la libertad de ejercer actividades que contribuyen a la vida religiosa y, por otra parte, la tutela de la intimidad de las personas cuyos datos incluyó la Sra. Lindqvist en su sitio Internet. 87. En consecuencia, corresponde a las autoridades y a los órganos jurisdiccionales de los Estados miembros no sólo interpretar su Derecho nacional de conformidad con la Directiva 95/46, sino también procurar que la interpretación de ésta que tomen como base no entre en conflicto con los derechos fundamentales tutelados por el ordenamiento jurídico comunitario o con los otros principios generales del Derecho comunitario como el principio de proporcionalidad.(…) De acuerdo con lo expuesto, son los órganos nacionales los que ponderan e interpretan la relación entre los distintos derechos fundamentales, en concreto el Tribunal Constitucional [STC 23/2010 y 46/2002 ) aborda el análisis de la colisión entre derechos y libertados y su necesario ponderación, y que se proyecta también sobre el derecho a la protección de datos de carácter personal. “Eso no significa que en todos los casos de conflicto haya de predominar sobre los intereses tutelados por otros derechos fundamentales ni supone ignorar que el apartado 4 de ese mismo artículo 20 erige a los demás derechos reconocidos en el Título I de la Constitución y, en particular, a los del artículo 18.1 en límites a las mencionadas libertades. La cuestión estriba en graduar, caso por caso, esa preferencia. No debe pasarse por alto, de otro lado, que el artículo 9 de la Directiva 95/46, de 24 de octubre, del Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos --instrumento que ha servido para establecer un marco compartido al respecto en la Unión Europea-prevé excepciones o restricciones al régimen que establece en relación con "el tratamiento de datos personales con fines periodísticos o de expresión artística o literaria, en particular en el sector audiovisual (...) siempre que resulten necesarias para conciliar los derechos fundamentales de la persona con la libertad de expresión y, en particular, la libertad de recibir o comunicar informaciones (...)" (considerando nº 37)”. Es decir, tanto la libertad de expresión o información, como el derecho a la protección datos personales, forman parte de los derechos fundamentales reconocidos en la Constitución, sin que se establezca entre ellos ninguna jerarquía y el conflicto que pueda existir entre ambos, exige una cuidadosa ponderación de las circunstancias de todo orden del caso concreto, que determinaran la prevalencia de uno u otro derecho. Por lo expuesto, son desestimadas las alegaciones del denunciado, validándose la actuación de la competencia de esta Agencia en el tratamiento de datos personales producido en una página de internet y su ponderación con otros derechos fundamentales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 III Dispone el art. 6.1 de la LOPD: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por lo tanto, se exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, A.A.A. como titular del blog objeto de análisis y como autor de la información en él contenida, ha de considerarse responsable del del tratamiento de los datos del denunciante, y por tanto ostenta una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. IV Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. V El denunciado alega en su descargo que existen multitudes de paginas web donde aparece el denunciante y que en muchas de ellas has sido este quien voluntariamente ha proporcionado sus datos. Pues bien las excepciones a la prestación del consentimiento constan en el apartado 2 del art. 6 de a LOPD, considerándose entre otras las Fuentes accesibles al público, que en reiteradísimas ocasiones se ha manifestado por esta Agencia que éstas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 son únicamente las que constan en el art. 3. J de la LOPD, es decir, son numerus clausus, sin que sea en ningún caso las páginas accesibles de internet. En este sentido el Servicio Jurídico de esta Agencia emitió el Informe 3420/2008, que señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados.(…) Por otro lado, el denunciado alega en su descargo los datos personales objeto de tratamiento han sido en la condición de empresario del denunciante y por tanto excluidos del ámbito de protección de la normativa de protección de datos. A este respecto hay que señalar que en el blog se acredito la existencia de los datos personales del denunciante, si bien derivados de su condición de empresario, no en su aspecto como tal, es decir, se revelan sus datos como imputado en causas judiciales así como su rúbrica y otros aspectos que encuentran cobijo en la LOPD. Cítese a modo de ejemplo que son multitud las resoluciones de esta Agencia que sancionan la publicación de documentos judiciales sin anonimizar, y que con independencia de la causa del pleito que se trate, ya derive de la condición de empresario, de representante de persona jurídica, una cosa es el tratamiento como persona de contacto de la persona jurídica y otra muy distinta es su actuación voluntaria o no en un proceso judicial que con independencia del resultado que se tenga, no puede exponerse sin el consentimiento de su titular. Idénticas consideraciones merecen las otras identidades de personas que aparecen en la multitud de documentos que el denunciado, “ha subido” al citado blog. Por lo que las alegaciones del denunciado han de ser desestimadas. VI En el presente caso, ha resultado probado que el denunciado ha tratado datos del denunciante sin su consentimiento. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Así las cosas el titular de los datos observa cómo éstos son tratados para fines al margen de su cualidad de cliente, lo que escapa del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Dispone el artículo 44.3.
- b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VIII El art. 45.6 de la LOPD establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. Por lo que habiéndose acreditado la comisión de una infracción del art. 6 de la LOPD procederia el apercibimiento del denunciado. IX Por otro lado, debe analizarse en el presente caso la circunstancia de que el apercibimiento que correspondería de acuerdo con los artículos 45.6 de la LOPD y 39 bis 2 LSSI, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto en el hecho probado CUARTO, no es accesible en internet el blog donde constan los datos personales del denunciante, por lo que difícilmente puede exigirse una medida como la anonimización de los mismos o la supresión, que conllevaría el presente apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En este sentido conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR EL PROCEDIMIENTO (A/00123/2015) a D. B.B.B.. SEGUNDO.- NOTIFICAR el presente Acuerdo a D. B.B.B. y a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es