A-00123-2017

1/10 Procedimiento Nº: A/00123/2017 RESOLUCIÓN: R/01486/2017 En el procedimiento A/00123/2017, instruido por la Agencia Española de Protección de Datos a A.A.A., B.B.B., vista la denuncia presentada por C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18/01/2017 tiene entrada un escrito de C.C.C. (en lo sucesivo, el denunciante), en la que manifiesta lo siguiente: Habiendo recibido comunicación comercial con fecha 16.01.2017 desde el despacho "B.B.B. Abogados", despacho del que no he sido cliente sino parte contraria en diversos asuntos y al que no he autorizado a tratar mis datos recabados por alguna comunicación ocasional con el mismo formulo denuncia, asimismo en la mencionada comunicación comercial via e-mail se muestran los e-mails de todos los destinatarios, quedando mis datos expuestos a terceros y viceversa, en lugar de haber puesto todos los destinatarios en copia oculta. Manifiesta que no es ni ha sido cliente de la entidad ni tampoco ha tenido contacto previo alguno. Aporta copia del correo electrónico recibido SEGUNDO: Con fecha de 7/02/2017 por la Subdirección General de Inspección de Datos, se solicita información adicional al denunciante verificándose los siguientes extremos. 1. En fecha de 16/01/2017 se envía un correo electrónico con información comercial remitido desde la cuenta de correo ***EMAIL.1 con destino a varias de cuentas de correo electrónico entre las que se encuentra la del denunciante. 2. En el correo electrónico se muestran los restantes destinatarios de la citada comunicación. 3. En el pie del correo figura B.B.B. ABOGADOS, y la página web. ***WEB.1. 4. En la citada comunicación, se establece un medio de oposición para dejar de recibir correos electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 TERCERO: Con fecha 19 de abril de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00123/2017 con relación a la denuncia por infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI) tipificada como leve en el artículo 38.4

1. d)de dicha norma y por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3
2. d)de la LOPD. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 18/05/2017 se recibe en esta Agencia escrito de los denunciados en el que comunican, en síntesis, lo siguiente: -Respecto de la vulneración del deber de secreto por enviar el correo electrónico sin marcar la opción CCO, es derivado de un error humano, sin intencionalidad. -Respecto de la condición del denunciante de no cliente del despacho de abogados, se pone de manifiesto que fue cliente en un procedimiento de XXX, así consta en el convenio regulador donde consta designado el abogado denunciado. QUINTO: Con fecha de 6/06/2017 por el Instructor del procedimiento se requirió información al denunciante y al denunciado para verificar la existencia de la relación comercial previa. Se solicitó al denunciado: documentación que acredite que el denunciado ha abonado honorarios a su despacho del que se derive una prestación de servicios efectivamente prestada. Se solicitó al denunciante, que manifestara si era o ha sido cliente del denunciado y que si había abonado algún honorario al denunciado en concepto de prestación del servicio. SEXTO: De las actuaciones han resultado acreditados los siguientes HECHOS PROBADOS Uno.- en fecha de 16/01/2017 se recibe en la cuenta de correo del denunciante una comunicación comercial remitida desde ***EMAIL.1 que ofrece información comercial sobre servicios que presta el despacho de abogados B.B.B. ABOGADOS. La página web ***WEB.1/ aloja información corporativa del citado despacho de abogados y consta como titular de la firma a B.B.B.. Dos.- La citada comunicación comercial se envía a diversos destinatarios sin ocultar la dirección de correo de unos respecto de los otros. Asimismo se establece un medio de oposición para dejar de recibir correos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.a),
3. f)y
4. n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales (en lo sucesivo LOPD) , y el artículo 43.1 párrafo segundo de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Con carácter previo al análisis del fondo del asunto, es preciso determinar a quién es atribuible la responsabilidad en la comisión de las infracciones que se imputan. En este sentido la denunciada según afirma “exonera de cualquier tipo de responsabilidad a B.B.B.”. Frente a ello debe señalarse la vigencia del principio de personalidad en la comisión de infracciones, en el sentido de que sólo puede atribuirse el incumplimiento de una obligación legal, precisamente al obligado a dicho cumplimiento y no a cualquier tercero. En el presente caso la comunicación electrónica objeto de análisis se remite desde la cuenta de correo corporativa de A.A.A. – ***EMAIL.1, - y firma como responsable de marketing del despacho de abogados B.B.B. ABOGADOS, y a su vez el propio contenido del mensaje en el que publicita servicios del citado despacho de abogados, y no aquella como particular. A mayor abundamiento en el sitio web ***WEB.1, aparece en la página principal la dirección de correo desde la que se remite la comunicación comercial objeto de valoración en el presente procedimiento. Teniendo en cuenta lo anterior, no hay duda de que el envío de la comunicación comercial es atribuible al despacho de abogados y una vez hecha esta determinación, y dada la ausencia de otra forma jurídica será atribuible a su titular B.B.B., que informa de esta circunstancia en la citada página web donde indica expresamente (…)Actualmente tiene firma propia (B.B.B. Abogados) con despachos en Madrid, Córdoba y Budapest.(…) Teniendo en cuenta los preceptos cuya vulneración se imputa, en cuanto a la LOPD de acuerdo con el art. 43 y 10 de la LOPD, permite atribuir la comisión de la infracción del deber de secreto, tanto a personas físicas como a personas jurídicas. Por su parte, la LSSI cita como responsable de las infracciones que recoge, al Prestador de Servicios de la Sociedad de la Información, y también puede atribuirse tal condición, tanto a personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 físicas como a jurídicas, siempre que presente uno de los considerados servicios de la sociedad de la información, entre los que se encuentra el envío de comunicaciones comerciales. En relación con lo anterior, debe indicarse que el principio de personalidad de la sanción ha sido consagrado por el Tribunal Constitucional en la STC 219/1988, como principio de responsabilidad por hechos propios. El respeto al principio de personalidad exige un nexo causal entre el hecho constitutivo de la infracción y el sujeto responsable. La cuestión radica en analizar la especial configuración que el hecho infractor tiene en Derecho Administrativo Sancionador. La tipificación de las infracciones administrativas trata en definitiva, por lo general, de proteger el cumplimiento del Ordenamiento Jurídico, y de sancionar, por tanto, su incumplimiento, a diferencia de lo que ocurre con las infracciones penales, que sancionan la lesión o puesta en peligro de un bien jurídico protegido, sin que haya, por lo general una norma sustantiva subyacente que imponga la obligación que haya sido vulnerada. Si en consecuencia, el hecho infractor consiste en un incumplimiento de la norma (y no es una lesión aun bien jurídico), sólo el titular de tal obligación estará, en principio capacitado para cometer la infracción. La exigencia de responsabilidad a quien no sea titular de la obligación incumplida vulneraría, por tanto, el principio de personalidad, pues no corresponde al no titular cumplir la obligación, ni por ende, se le puede hacer responder de su incumplimiento. Ello explica que, a efectos de determinar la imputación de una infracción a una persona determinada, lo relevante sea la indagación previa de la titularidad de la obligación que subyace al tipo. Y tal como se ha expuesto anteriormente, tanto la LOPD como la LSSI permiten atribuir la comisión de la infracción al despacho de abogados, a través de su titular, B.B.B.. Lo expuesto anteriormente tiene reflejo en la doctrina del Tribunal Supremo, que se ha pronunciado, entre otras, en la sentencia de 3/05/1993 ( RJ 1993, 3698): La aludida doctrina del Tribunal Supremo, en relación con la responsabilidad administrativa de las empresas, ya sean sus titulares personas físicas o jurídicas, por hechos realizados por sus empleados o dependientes en el desempeño de sus funciones o empleos, ha sido radicalmente corregida por el propio Tribunal Supremo a partir de la Sentencia, de fecha 20-5-1992 ( RJ 1992\3655 ), pronunciada en recurso extraordinario de revisión por la Sección Primera de esta Sala Tercera, y seguida por las dictadas por esta misma Sección Sexta con fechas 25 mayo y 21 septiembre 1992 ( RJ 1992\3723 y RJ 1992\6844 ). Conforme a esta última doctrina jurisprudencial, las entidades bancarias y crediticias son responsables administrativamente por la negligencia de sus empleados en el uso de las medidas de seguridad obligatoriamente instaladas en cumplimiento de las disposiciones vigentes, salvo cuando tal proceder no es consecuencia de la desatención sino de circunstancias o situaciones de riesgo personal grave para los propios empleados o terceras personas. Ni el principio de tipicidad de la infracción ni el de personalidad de la sanción se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 vulneran con tal interpretación porque, en el ámbito del Derecho Administrativo sancionador, las personas jurídicas pueden incurrir en responsabilidad por la actuación de sus dependientes, sin que puedan excusarse, como regla, en la conducta observada por éstos. El art. 9 del Real Decreto Ley 3/1979 ( RCL 1979\314 y ApNDL 13318) refiere el incumplimiento de las normas de seguridad a las empresas, es decir, al titular de las mismas, no a sus dependientes o empleados, que caso de no atender las instrucciones impartidas por aquél sobre el cumplimiento de las normas de seguridad podrían incurrir en responsabilidad, pero no frente a la Administración, sino frente a su principal. Las sentencias antes citadas expresan que la doctrina expuesta no supone una preterición de los principios de culpabilidad o de imputabilidad sino su acomodación a la eficacia de la obligación legal de cumplir las medidas de seguridad impuestas a las empresas, deber que arrastra, en caso de incumplimiento, la correspondiente responsabilidad para el titular de las mismas, aunque tenga su origen en la actuación de los empleados a quienes el empresario hubiese encomendado su efectiva puesta en práctica, responsabilidad directa que cobra mayor sentido cuando el titular de la empresa es una persona jurídica, constreñida, por exigencias de su propia naturaleza, a actuar por medio de personas físicas, solución propugnada también por la Sentencia del Tribunal Constitucional 246/1991, de 19 diciembre ( RTC 1991\246 ), cuya doctrina ha sido, en gran medida, determinante del cambio de orientación de la jurisprudencia de este Tribunal Supremo, al romper con la tesis sostenida por la sentencia apelada con fundamento en la jurisprudencia anterior que la misma cita, al igual que hace en su escrito de alegaciones la representación procesal de la entidad bancaria apelada. En el caso que cita la Sentencia, se valora el incumplimiento de las medidas de seguridad a las que están sometidas las entidades bancarias, por parte de un empleado de una entidad, ejemplo adecuadamente traído al caso concreto que consiste en que una empleada no ha observado las normas de deber de secreto que ha de cumplir el despacho de abogados, en el que presta sus servicios y que es el beneficiario de la publicidad remitida por correo electrónico – art. 10 LOPD -. Y tampoco ha verificado que existía una relación comercial previa de servicios similares a los ofrecidos, entre el despacho de abogados y el destinatario. – art. 21.1 LSSI-. A sensu contrario, tampoco podría exigírsele al empleado la responsabilidad en la comisión de la infracción, pues tal como se ha expuesto ut supra, vulneraria el principio de personalidad de la sanción consagrado por el Tribunal constitucional en la STC 219/1998, ya que si en consecuencia el hecho infractor consiste en un incumplimiento de la norma, sólo el titular de tal obligación estará, en principio capacitado para cometer la infracción, en este caso la obligación le compete al despacho de abogados y no al empleado, (recuérdese en primer lugar, que no se ha acreditado que haya sido un empleado que haya desobedecido una determinada política de privacidad, y que aun admitiendo tal consideración, éste no puede ser considerado ni responsable del fichero, ni responsable del tratamiento, ni menos aún encargado del tratamiento), sin perjuicio de la responsabilidad ad intra que le exija por incumplimiento de una norma o política de la empresa a la persona que utilizó la cuenta de correo remitente del correo comercial que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 publicitaba los servicios del citado despacho de abogados. III Los hechos expuestos suponen por parte de B.B.B., la comisión de la infracción del artículo 10 de la LOPD que señala que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo, pues desde su cuenta de correo electrónico se remitió una comunicación a diversos destinatarios sin preservar la identidad de éstos, y cuya consecuencia es que cada destinatario conoció la identidad de los restantes, es decir se visualizaban direcciones de correo electrónico de terceros, entre las que estaba incluida la suya propia, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. Cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional – circunstancia no probada respecto de los destinatarios del citado correo electrónico -, se considera preciso el uso a la modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. La conducta descrita se encuentra tipificada como grave en el artículo 44.3
5. d)de dicha norma, que considera como tal La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. En el escrito de alegaciones se aduce la existencia de un fallo humano de carácter involuntario. Sin embargo no puede enervarse el elemento subjetivo en la comisión de la infracción, pues al menos a título de culpa o mera inobservancia pueden cometerse infracciones derivada de la diligencia exigible al presunto infractor. Conviene traer a colación la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
6. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..”. En el mismo sentido, la STAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. IV El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
7. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
8. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
9. a)y
10. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose al denunciado para que incluya adopte las medidas oportunas tendentes a evitar que se vuelva a vulnerar el deber de secreto en relación con los datos personales del denunciante. V Asimismo se imputa a B.B.B., la comisión de la infracción del artículo 21 de la LSSI, que señala bajo la rúbrica “Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes “, lo siguiente: 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. En el caso analizado, no se ha acreditado la existencia de una relación comercial previa de servicios similares entre la remitente y el denunciante, a pesar de haberlo requerido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 expresamente. La circunstancia alegada por la denunciada respecto de que el denunciante fue su cliente derivado de un proceso de XXX, no ha resultado probada, pues una cosa es que se haga mención al abogado denunciado en el convenio regulador y otra muy distinta es tener o haber tenido una relación comercial de servicios similares a los ofrecidos en la comunicación que se envíe, a tal efecto se requirió prueba del pago por parte del denunciante de los servicios que afirma que el denunciado prestó. Por ello no puede entenderse legitimado el envío comercial por medios electrónicos, ni al amparo de una solicitud o autorización previa y expresa, ni al amparo de una relación comercial previa de servicios similares. La conducta descrita se encuentra tipificada como leve en el artículo 38.4.
11. d)de la citada norma, que señala como tal El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. VI El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
12. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
13. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
14. a)y
15. b)del citado apartado 2 del artículo 39 bis, requiriéndose al denunciado para que adopte las medidas oportunas tendentes a evitar que se vuelva a vulnerar la prohibición de envío de comunicaciones comerciales que no hubieran sido expresamente solicitadas o se de algún supuesto que permite el art. 21 de la LSSI. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 En el art. 45.6 de la LOPD y en el art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00123/2017) a B.B.B. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 21 de la citada norma, tipificada como leve en su artículo 38.4. d). SEGUNDO.- APERCIBIR (A/00123/2017) a B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como GRAVE en el artículo 44.3
16. d)de la citada Ley Orgánica. TERCERO.- REQUERIR a B.B.B. de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 21.1 de la LSSI y 10 de la LOPD, para lo que se insta al denunciado a implementar las medidas necesarias, para evitar que vuelvan a producirse las infracciones cometidas. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. CUARTO.- NOTIFICAR el presente Resolución a B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es