A-00128-2013

1/9 Procedimiento Nº: A/00128/2013 RESOLUCIÓN: R/02272/2013 En el procedimiento A/00128/2013, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por Dña. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: En fecha 2 de octubre de 2012, tuvo entrada en esta Agencia escrito de doña A.A.A. (en lo sucesivo, la denunciante), en el que denunciaba a un abogado y administrador de fincas, por enviarle un mensaje electrónico dirigido a más de 40 destinatarios sin ocultar sus direcciones electrónicas, figurando entre ellas 2 direcciones de la denunciante. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. La denunciante ha aportado copia del mensaje referido, fechado el 6 de febrero de 2012 con el asunto “Cambio cuenta email”. 2. En respuesta al requerimiento de la Inspección, don B.B.B. (en lo sucesivo, el denunciado) ha declarado ser el Secretario-Administrador de la comunidad de propietarios “ C.C.C.” desde el año 2009 y ha aportado copia de un Acta de Junta General Extraordinaria, donde se refleja que la denunciante es la representante legal de la propietaria de una vivienda en esa comunidad. 3. El denunciado ha manifestado que las circulares informativas como la contenida en los mensajes denunciados se realizan a través de un programa de gestión de Administración de Fincas, GESFINCAS, en el cual, antes de proceder al envío masivo, aparece una alerta indicando que irá con copia oculta. Asimismo manifiesta que “en este caso, el envío de dichos correos se produjo como consecuencia de la instalación de un virus informático, spam o troyano en uno de los equipos con el que trabajamos en el despacho, a ‘pesar de ser clientes de panda antivirus 2010, y tenerlo instalado en los dos equipos del despacho, a excepción del firewall, ya que con él activado es imposible la comunicación entre el servidor y el puesto, y por tanto se hace imposible trabajar en ambos equipos”. 4. Según ha declarado el denunciado, la denunciante no ha ejercitado derecho de oposición alguno. 5. Por la Inspección de Datos se ha verificado que, al menos una de las direcciones de correo de la denunciante, figura públicamente accesible en internet en un portal de anuncios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 TERCERO: Con fecha 19 de abril de 2013, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/06893/2012, procediéndose al archivo de actuaciones. La resolución le fue notificada a la denunciante en fecha 3 de mayo de 2013, según acreditación del servicio de Correos. CUARTO: En fecha 10 de junio de 2013 ha tenido entrada en la Agencia el escrito registrado el 30 de mayo en la Subdelegación del Gobierno de Alicante, por el que la denunciante presenta recurso de reposición a la citada resolución, declarando que las direcciones de los otros 42 destinatarios del mensaje corresponden en realidad a personas o entidades ajenas a la comunidad de propietarios. QUINTO: Con fecha 24/06/2013 se dicta resolución del citado recurso RR/463/2013 por el que se acuerda “ESTIMAR el recurso de reposición interpuesto por doña A.A.A. contra la resolución de esta Agencia dictada con fecha 19 de abril de 2013, en el expediente de actuaciones previas de inspección E/06893/2012, y determinar las posibles responsabilidades en que ha incurrido el denunciado a través del correspondiente procedimiento administrativo, A/00128/2013.” Todo ello en base al fundamento II, en el que se recoge: <<…En la resolución recurrida se transcribía el contenido del artículo 10 de la LOPD: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Se exponía en la resolución que esta Agencia mantiene el criterio de que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (copia oculta), en lugar del habitual CC. Por otra parte, se exponía el criterio mantenido por la Audiencia Nacional en Sentencia de 14 de abril de 2008, por la que resolvió el recurso 379/2006 planteado contra una resolución de esta Agencia. En su Fundamento de Derecho Sexto la Sentencia recoge lo siguiente: <Precisamente el artículo 11.2.

1. c)de la LOPD establece entre sus excepciones a la necesidad del consentimiento para poder facilitar datos a un tercero “que el tratamiento responda a una libre y legítima aceptación de una relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 jurídica cuyo desarrollo cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros”. Ciertamente el denunciante está integrado en la asociación sancionada en cuanto propietario de una parcela sita en la urbanización [...] y en el seno de esa relación asociativa es legítimo facilitar información a los asociados sobre cuestiones de interés común, vinculadas a su actividad [...] Por tanto, la comunicación del nombre y apellidos de quien había presentado la denuncia, que también era asociado, en ámbito limitado de los miembros de la asociación no supone una revelación de secreto que deba ser sancionada al no existir deber de confidencialidad en este caso por estar amparada la comunicación en la relación jurídica asociativa>. Se exponía en la resolución que, en el caso denunciado, los datos identificativos de la denunciante, en particular sus dos direcciones electrónicas, una de las cuales había sido publicada por la propia denunciante como dirección de contacto en internet, habían sido revelados por la administración de fincas a otros propietarios de la comunidad, sin que existiera constancia de que con anterioridad la afectada hubiera mostrado su oposición a que dichos datos fuesen compartidos. Se afirmaba asimismo que no se había hallado constancia de que los datos hubieran sido revelados a terceros ajenos a la comunidad, por lo que, de acuerdo con el criterio de la Audiencia Nacional, se entendía que no se había producido una vulneración del deber de secreto por parte de la administración de fincas. En el recurso planteado la recurrente hace notar que el mensaje fue remitido por el administrador de fincas desde una dirección de correo electrónico que corresponde al dominio del Colegio de Abogados de Alicante y destaca que entre los destinatarios del mensaje figuran direcciones de personas o entidades que no tienen ninguna vinculación con la comunidad de propietarios. Entre esas direcciones figuran las asociadas a “Web PP Madrid”, “TALLERES XXXXXXXXX S.L.”, “SEGUSILMER, S.L.”, “Servicios Avanzados Telemáticos” o “Secretaría del Consejo General”. De ello se desprende que una de las dos direcciones electrónicas afectadas, D.D.D., de cuya publicación previa por la propia recurrente no existe constancia, fue comunicada a personas y entidades sobre las que el remitente del mensaje no ha acreditado ante la Agencia su posible vinculación con la recurrente o con la comunidad de propietarios referida…>> SEXTO: Con fecha 28 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00128/2013, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), con relación a la denuncia por infracción de su artículo 10, tipificada como grave en el artículo 44.3.d). Dicho acuerdo fue notificado a la denunciante y al denunciado. SÉPTIMO: Con fecha 16/09/2013 se recibe en esta Agencia escrito del denunciado, en el que alega que las direcciones atribuidas a la denunciante no identifican a su titular, ni a persona alguna, por lo que no existe vulneración del artículo 10. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 En fecha 6 de febrero de 2012, el denunciado remitió un correo electrónico sin copia oculta, a la denunciante, Dña. A.A.A., a dos direcciones de correo electrónico, entre ellas E.E.E., vinculadas ambas en el mensaje con el pseudónimo que al parecer utiliza en ocasiones la denunciante, F.F.F. (folios 2 y 4). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La LOPD en su art. 1 establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” II Asimismo en su Artículo 3 la LOPD, en “Definiciones”, establece: “A los efectos de la presente Ley Orgánica se entenderá por (…)
3. a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
4. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso (…)
5. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
6. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
7. c)del presente artículo.
8. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
9. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
10. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
11. i)Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
12. j)Fuentes accesibles al público: Aquellos ficheros cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.” IV En relación con la consideración de la dirección de correo electrónico como dato personal, procede tener en consideración la Sentencia de la Audiencia nacional de 15 de enero de 2011, que estima: «...esta Sala ha considerado en las SSAN, Sec. 1a, de 23 de marzo 2006 (Rec. 911/2003) y de 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias...» En la Sentencia de la Audiencia Nacional de 25 de mayo de 2006 se especifica que la dirección de correo electrónico de que es titular una persona física constituye un dato personal, recogiéndose en el fundamento Quinto que: «...La primera cuestión suscitada por el recurrente se refiere a su alegación de que la dirección del correo electrónico del denunciante no constituye un dato de carácter personal en los términos que de la definición de dicho concepto se establece en el artículo 3.
13. a)de la LOPD, por cuanto no existe vinculación personal entre dicha dirección y ese titular. Este Tribunal, a la vista del literal del mencionado precepto legal y del todavía vigente artículo 1.4 del mencionado Real Decreto 1332/1994, considera que la dirección del correo electrónico del que es titular una persona física, como ocurre en el caso de autos y no ha sido negado por la recurrente, constituye un dato personal, porque, con independencia de que la denominación de la dirección corresponda o no con el nombre v apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede, mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección del correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más, esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD. Así en la sentencia de 27 de octubre de 2004 (rec. 1112/2002), se decía: "Para la resolución de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 este caso debemos partir de una primera consideración jurídica elemental: el número del DNI es un dato de carácter personal, y por tanto protegido por la ley. El artículo 3
14. a)LOPD define los datos de carácter personal como "cualquier información concerniente a personas físicas identificadas o identificables. Nada mejor que atender a las circunstancias de este caso para confirmar el encaje del dato controvertido en la definición legal: en el supuesto de autos, el número del DNI erróneamente cedido permitió identificar a la persona de…, después denunciante del hecho ante la Agencia de Protección de Datos"...» (el subrayado es de la AGPD). V El artículo 10 de la LOPD dispone que: "El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo." El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: "El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)". En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: "Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un «instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegitimo del tratamiento mecanizado de datos» (STC 292/2000). Derecho fundamental a la protección de los datos que «persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino» (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, «es decir, el poder de resguardar su vida privada de una publicidad no querida». En el presente caso ha quedado acreditado en el expediente que el denunciado remitió un mensaje a cerca de 40 destinatarios, sin ocultar, en concreto, la dirección D.D.D., que los destinatarios recibieron asociada al pseudónimo F.F.F.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En el presente procedimiento no se imputa la revelación de las direcciones del resto de destinatarios, al no haberse recibido más denuncia que la de la señora A.A.A.. En consecuencia y de acuerdo con el criterio mantenido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 1, Recurso 536/2004, Sentencia de 25/05/2006, cabe entender que, como consecuencia del envío del mensaje que ha motivado el presente procedimiento, se hayan divulgado a terceros datos de carácter personal que puedan ser atribuidos e identifiquen a la denunciante. VI En el Titulo VII de la LOPD, al regular las Infracciones y sanciones, define en el artículo 43.1 como "Responsables 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley..." VII El artículo 44.3.
15. d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, califica como infracción grave: "La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley" Así el denunciado ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando datos personales de la denunciante (su dirección de correo electrónico, E.E.E. vinculado al pseudónimo F.F.F.). Infracción grave que podría ser sancionada con multa de 40.001 a 300.000 euros. VIII La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: "Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. i Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento". En el presente supuesto se cumplen los requisitos recogidos en los apartados
16. a)y
17. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00128/2013) a D. B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
18. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a D. B.B.B.. 3.- NOTIFICAR el presente Acuerdo a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es