1/11 Procedimiento Nº: A/00143/2013 RESOLUCIÓN: R/02199/2013 En el procedimiento A/00143/2013, instruido por la Agencia Española de Protección de Datos a la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril), vista la denuncia presentada por Dª. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de marzo de 2013 tiene entrada en esta Agencia un escrito de Dª. A.A.A. (en lo sucesivo la denunciante) en el que denuncia que la entidad ALCER CORUÑA (Asociación para a Loita Contra as Enfermidades de Ril) continúa enviándole correspondencia y propaganda a pesar de haber solicitado correctamente la cancelación de sus datos y haber recibido la confirmación de la baja de los mismos, con el agravante de que le envían correos electrónicos en los que su dirección de correo queda a la vista del resto de los destinatarios al no usar la entidad la opción de “copia oculta”. La denunciante adjunta a su escrito la carta de Alcer Coruña en la que le confirman la cancelación de sus datos de fecha 23 de mayo de 2012 y los últimos e-mail recibidos, de fechas 12 y 27 de febrero de 2013 que se envían en abierto, con el nombre, apellidos y correo electrónico de cada uno de los destinatarios accesibles a todos ellos. TERCERO: Con fecha 26 de julio de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00143/2013. Dicho acuerdo fue notificado a la denunciante y al denunciado. CUARTO: Con fecha 26 de agosto de 2013 se recibe en esta Agencia escrito del denunciado en el que comunica: Que la denunciante fue trabajadora y asociada de esa entidad, ejercitó su derecho de cancelación y se procedió a ello comunicándoselo por carta. Que la cuenta de correo objeto de la presente denuncia, aparecía en las listas de correo pero no estaba en la base de datos que se genera con la suscripción de la ficha de asociación. Que esa dirección no la identifica por lo que no la asociaron con la denunciante. Que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 incorporación de esa dirección a sus listas de correo se produjo por la propia denunciante que era la encargada de gestionar las listas de direcciones y bases de datos que contenían el correo electrónico cuya falta de supresión se denuncia. Que esta denuncia constituye un abuso de derecho por parte de la denunciante. Que tras la comunicación de la denuncia se ha podido identificar la dirección de correo con la denunciante y proceder a su borrado de la lista de correo y a recordar al personal de ALCER el correcto protocolo para el tratamiento de los datos. Concluyen las alegaciones solicitando que se acuerde el archivo del expediente por inexistencia de responsabilidad en los hechos denunciados y subsidiariamente se proceda de conformidad con el artículo 45.6 de la LOPD. HECHOS PROBADOS PRIMERO: Con fecha 23 de mayo de 2012 la entidad ALCER CORUÑA (Asociación para a Loita Contra as Enfermidades de Ril) envió a la denunciante en este procedimiento una carta confirmando la cancelación de sus datos personales según su solicitud de 14 de mayo de 2012. Con fecha 12 de febrero de 2013 consta enviado un correo electrónico por Alcer Coruña <..............@gmail.com> a un gran número de destinatarios identificados con su nombre y apellidos y su correo electrónico entre quienes se encuentra la denunciante con el siguiente formato: “ A.A.A. < B.B.B.>”, todos ellos en abierto sin ocultar sus identidades. En el correo se informa de la plataforma en la que participan, la Federación Nacional ALCER. Con fecha 27 de febrero de 2013 consta enviado un correo electrónico por el mismo remitente de la misma manera, envío en abierto y entre quienes se encuentra la misma cuenta de correo de la denunciante, en el que se comunica una oferta para los asociados. SEGUNDO: El representante de la entidad ALCER CORUÑA (Asociación para a Loita Contra as Enfermidades de Ril) ha manifestado en respuesta al acuerdo de trámite de audiencia del presente procedimiento de apercibimiento que la dirección de correo electrónico en cuestión no identifica a la denunciante por lo que no pudieron asociarla con ella, que la incorporación de esa dirección a sus listas de correo se produjo por la propia denunciante que era la encargada de gestionar las listas de direcciones y bases de datos que contenían el correo electrónico cuya falta de supresión se denuncia. Manifiesta también que han procedido al borrado de dicha dirección de correo en el momento en que se les comunicó la denuncia y han recordado al personal el correcto protocolo para el tratamiento de datos. TERCERO: La entidad ALCER CORUÑA (Asociación para a Loita Contra as Enfermidades de Ril) no ha aportado a esta Agencia Española de Protección de Datos acreditación del consentimiento de Dª. A.A.A. para el tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 efectuado, en concreto, el envío de dos correos electrónicos tras una cancelación de sus datos, con información relativa a la asociación denunciada y enviados con las direcciones de los destinatarios en abierto sin utilizar el sistema de copia oculta. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos, responsable del fichero o tratamiento y consentimiento que se acuñan en los apartados a), b), c),
- d)y
- h)del artículo 3 de la LOPD. De este modo, tenemos que: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
- h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” En el presente caso, al tratarse de una dirección de correo electrónico procede analizar si se trata de un dato de carácter personal del denunciante. En relación con dicho asunto es criterio reiterado de esta Agencia, sostenido en numerosos informes, de fechas 11 de noviembre de 1999, 15 de noviembre de 2005 y 23 de junio de 2006, entre otros, del Servicio de Abogacía del Estado de la misma, que la dirección de correo electrónico de una persona puede ser, en su caso, considerada dato personal. A este respecto, de acuerdo con dichos informes: “..., debe indicarse que la dirección de correo electrónico se forma por un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo, incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. Por ello, podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo:
- a)El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no éstos en la denominación del dominio utilizado). En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato personal. Ejemplos característicos de este supuesto serían aquéllos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndole el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
- b)Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de correo a una denominación abstracta o una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacer concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras a asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la “privacidad”, consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico, en las circunstancias expuestas, se encuentre amparada por el régimen establecido en la LOPD”. Por lo tanto, las direcciones de correo electrónico son datos personales de los interesados. III De este modo, el artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. IV La Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, indica: “Los Estados miembros reconocerán al interesado el derecho a:
- a)oponerse, al menos en los casos contemplados en las letras
- e)y
- f)del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 el responsable no podrá referirse ya a esos datos;
- b)oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento destinado a la prospección; o ser informado antes de que los datos se comuniquen por primera vez a terceros o se usen en nombre de éstos a efectos de prospección, y a que se le ofrezca expresamente, el derecho de oponerse, sin gastos, a dicha comunicación o utilización. Los Estados miembros adoptarán todas las medidas necesarias para garantizar que los interesados conozcan la existencia del derecho a que se refiere el párrafo primero de la letra b).” La vigente LOPD incorpora el derecho de oposición, trasponiendo la mencionada Directiva 95/46/CE. Por una parte, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” Por otra parte, el artículo 16.1 de la LOPD establece que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación . 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. En consecuencia, la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) no ha aportado a esta Agencia Española de Protección de Datos documentación que acredite el consentimiento de Dª. A.A.A. para el tratamiento de datos personales efectuado, al enviar correos a su dirección de correo electrónico sin su consentimiento y con las direcciones de los destinatarios visibles por todos ellos, difundiendo así los datos incluidos en esos correos: nombre y apellidos y las direcciones de correo electrónico. El tratamiento de datos que, como ya vimos, define el artículo 3
- c)de la LOPD como: “Operaciones y procedimientos técnicos de carácter automatizado o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La entidad denunciada ha manifestado, en el trámite de audiencia previa, que la conducta de la afectada ha podido inducir a la comisión de la infracción por lo que entienden que no concurre infracción y que la dirección de correo no identifica a la afectada. Procede resaltar que de acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de “responsables de los ficheros” debe integrarse con la definición que de los mismos recoge el artículo 3.
- d)de la LOPD. Este último precepto innovando respecto de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de los datos de carácter personal, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así conforme al citado artículo 3.
- d)el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
- q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas la entidad ALCER CORUÑA es responsable del tratamiento de los datos personales incluidos en sus ficheros, toda vez que ha decido sobre la finalidad, contenido y uso del citado tratamiento de datos. En consecuencia, la entidad ALCER CORUÑA está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. La responsabilidad corresponde por tanto al responsable del fichero sin que la mera manifestación de que la afectada haya podido inducir a la comisión de la infracción, exima de esa responsabilidad. Por otra parte la dirección de correo de la afectada estaba identificada en los correos enviados con su nombre completo frente a lo alegado de que no la identificaba y por eso no pudieron reconocerla como suya para proceder a su cancelación. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) ha tratado los datos personales de la denunciante sin su consentimiento inequívoco y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
- b)de dicha norma. VI El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) envió correos electrónicos a la denunciante. Estos correos se enviaron a una pluralidad de destinatarios con sus direcciones electrónicas y nombre y apellidos sin ocultar, en abierto, sin utilizar la herramienta de copia oculta, divulgando así esos datos personales entre todos ellos. En el acuerdo de audiencia previa la entidad denunciada ha manifestado que ha procedido a recordar a su personal el correcto protocolo para el tratamiento de los datos por tanto, cabe entender que con ello impedirá que se produzca una nueva infracción como la declarada. Se considera por tanto que ha quedado constatado que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. VII La LOPD califica la vulneración del deber de secreto como infracción grave. El artículo 44.3.
- d)de dicha Ley califica como grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley” En el presente caso, la difusión de los datos personales contenidos en los correos electrónicos incluidos en la presente denuncia enviados por la entidad imputada, es subsumible en el tipo de infracción calificada como grave. Por ello, se considera que la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) ha incurrido en la infracción grave tipificada en el artículo 44.3.
- d)de la LOPD. VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00143/2013) a la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción de los artículos 6.1 y 10 de la LOPD, tipificadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 como graves en los artículos 44.3.
- b)y 44.3.
- d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NO REQUERIR a la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) la adopción de medidas correctoras, toda vez que ha quedado constatado que ya se han adoptado las medidas que impidan que en el futuro pueda producirse una nueva infracción como la declarada, en cumplimiento de lo previsto en los artículos 6.1 y 10 de la LOPD: 3.- NOTIFICAR el presente Acuerdo a la entidad ALCER CORUÑA (Asociacion para a Loita Contra as Enfermidades de Ril) 4.- NOTIFICAR el presente Acuerdo a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es