1/9 Procedimiento Nº: A/00200/2016 RESOLUCIÓN: R/02466/2016 En el procedimiento A/00200/2016, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por Dª. D.D.D. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de junio de 2015, tuvo entrada en esta Agencia escrito de Doña D.D.D. (en lo sucesivo la denunciante) en el que declara que habiendo sido Don A.A.A. (en lo sucesivo el denunciado) administrador de su comunidad de propietarios, utilizó sin su consentimiento, sus datos personales para enviarle por correo electrónico información relativa al partido político Agrupación Independiente de Pedrezuela. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, con fecha 29 de julio de 2015, se solicitó información al denunciado que no respondió al citado requerimiento, a pesar de que fue entregado a su destinatario, según consta en el Acuse emitido por el Servicio de Correos. Con fecha 5 de mayo de 2016, se giró visita de Inspección en el establecimiento A.A.A. Asesores. 1.- Durante la visita de Inspección, Don A.A.A. realizó las siguientes manifestaciones ante las preguntas de los inspectores: - En el año 1973 se creó la Cooperativa Corepo que inició la construcción de viviendas en terrenos que no estaban legalizados. En el año 1984 D. A.A.A., abogado y administrador de la Cooperativa, inició la legalización de los terrenos. En el año 1989/1990, una vez legalizados los terrenos, se disolvió la Cooperativa, y en cumplimiento de lo exigido en el plan parcial de ordenación urbana, se creó la Entidad Urbanística Colaboradora de Conservación Residencial XXXX. En la actualidad esta Entidad se encuentra en liquidación, estando activa sólo para atender determinadas reclamaciones judiciales que tiene encomendadas a D. A.A.A.. - En el año 2003/2004 se produjo la recepción definitiva por parte del Ayuntamiento y se exigió la constitución de la Comunidad de Propietarios Residencial XXXX con NIF H******. - D. A.A.A., ha sido administrador desde 1984 de la Cooperativa, de la Entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Urbanística y de la Comunidad de Propietarios hasta el 3 de marzo de 2013, manteniendo la representación legal como abogado. - Por otro lado, aproximadamente en el año 1995 se creó la Agrupación Independiente de Pedrezuela, a partir de la Urbanización XXXX, debiendo constar en un acta esta decisión de los vecinos. La finalidad con la que se crea la Agrupación, es defender los derechos de la Urbanización ante el Ayuntamiento, presentándose desde entonces a las elecciones municipales, donde obtenían uno o dos concejales. En las elecciones municipales del año 2015 no consiguieron ningún concejal y cesó su actividad. - D. A.A.A., además de administrador de la Entidad Urbanística y de la Comunidad de Propietarios, ha sido representante legal de la Agrupación. - Con ocasión de la campaña electoral para las elecciones municipales del año 2015, D. B.B.B., antiguo presidente de la Entidad Urbanística y de la Comunidad de Propietarios, así como cabeza de lista de la Agrupación Independiente de Pedrezuela decidió enviar un correo electrónico informando de su candidatura, para lo cual se desplazó al despacho de la entidad A.A.A. Asesores y utilizando el ordenador personal de D. A.A.A., envió un correo electrónico a una serie de vecinos de la Comunidad de Propietarios. - D. A.A.A. manifiesta que ya no tiene datos de los vecinos de la Comunidad de Propietarios Residencial XXXX, conservando tan solo documentación necesaria para los pleitos en que representa a la urbanización. 2.- Sobre el sistema de información de A.A.A. se han realizado las siguientes comprobaciones: - Se accede a la Carpeta de Elementos Enviados, y se realiza una consulta por tturon, localizando un correo de fecha 15 de mayo de 2015 en el cual, entre los remitentes con copia oculta se encuentra D.D.D.. El cuerpo del mensaje contiene información relativa a la candidatura de la Agrupación Independiente de Pedrezuela. - A la vista de este correo, el representante legal de la Agrupación manifiesta que desconoce el motivo por el que B.B.B. envió este correo electrónico a D.D.D., ya que no es vecina de la Urbanización Residencial XXXX, sino de la Urbanización ***URBANIZACIÓN.1. D. A.A.A. en calidad de abogado de ***URBANIZACIÓN.1, ha presentado un pleito contra D.D.D. relativo a una deuda con su comunidad. TERCERO: Con fecha 23 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 procedimiento de apercibimiento A/00200/2016. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Notificado el trámite de audiencia previa al apercibimiento, la denunciante presentó escrito en el que, en síntesis, expone: “… no procede aplicar la sanción excepcional del apartado 6) deI artículo 45 LOPD, sino la ordinaria del apartado 2). No se cumplen los criterios excepcionales del citado precepto y la resolución adolece de falta de motivación extraordinaria, a los efectos de justificar la sanción extraordinaria, dejando tal aplicación como algo subjetivo, impedido por el artículo 106 CE donde la Administración tiene la obligación de servir con objetividad los intereses generales. Por todo reiteramos procede la imposición del régimen sancionador general u ordinario proponiendo esta parte se sancione con una multa de 40.001€, sanción mínima en su grado mínimo para los supuestos de comisión de una infracción grave.” HECHOS PROBADOS PRIMERO: Consta acreditado en el presente procedimiento que la denunciante recibió un correo electrónico con información relativa al partido político Agrupación Independiente de Pedrezuela desde la dirección de correo electrónico a A.A.A.@......asesores.es y firmada por A.A.A., Abogado. SEGUNDO: Con fecha 5 de mayo de 2016 la Inspección de Datos de esta Agencia llevó a cabo una inspección en el establecimiento A.A.A. Asesores, en presencia de Don A.A.A. quien manifestó ser representante legal de una Comunidad de Propietarios del municipio de Pedrezuela de Madrid, además de ser representante legal de la Agrupación Independiente de Pedrezuela. Expone que esta Agrupación se creó para defender los derechos de la Comunidad de Propietarios de la que era representante legal, ante el Ayuntamiento de Pedrezuela. TERCERO: Durante la inspección se accedió a los correos electrónicos de su sistema de información, comprobando que el 15 de mayo de 2015 se envió un correo con información relativa a la candidatura de la Agrupación Independiente de Pedrezuela. En este correo se encuentra la denunciante entre los destinatarios con copia oculta. El representante legal de la Agrupación manifestó que la denunciante no es vecina de la Comunidad de Propietarios que él representa sino que él ha presentado un pleito contra ella por una deuda con su comunidad. CUARTO: Don A.A.A. no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento realizado de los datos personales de la denunciante. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos, responsable del fichero o tratamiento y consentimiento que se acuñan en los apartados a), b), c),
- d)y
- h)del artículo 3 de la LOPD. De este modo, tenemos que: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
- h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” En el presente caso, al tratarse de una dirección de correo electrónico procede analizar si se trata de un dato de carácter personal de la denunciante. En relación con dicho asunto es criterio reiterado de esta Agencia, sostenido en numerosos informes, de fechas 11 de noviembre de 1999, 15 de noviembre de 2005 y 23 de junio de 2006, entre otros, del Servicio de Abogacía del Estado de la misma, que la dirección de correo electrónico de una persona puede ser, en su caso, considerada dato personal. A este respecto, de acuerdo con dichos informes: “..., debe indicarse que la dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo, incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. Por ello, podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
- a)El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no éstos en la denominación del dominio utilizado). En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato personal. Ejemplos característicos de este supuesto serían aquéllos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndole el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
- b)Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de correo a una denominación abstracta o una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacer concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras a asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la “privacidad”, consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico, en las circunstancias expuestas, se encuentre amparada por el régimen establecido en la LOPD”. Profundizando más en este asunto, la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2011 (R. 297/2010) concluye también en el mismo sentido que: “Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD”. Por lo tanto se concluye que la dirección de correo electrónico de la denunciante es un dato de carácter personal. III Se imputa a Don A.A.A. el tratamiento de los datos de la denunciante sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de la denunciante realizado por Don A.A.A. resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que la denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. En el presente caso, ha quedado acreditado que la denunciante recibió un correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 electrónico con información relativa al partido político Agrupación Independiente de Pedrezuela desde la dirección de correo electrónico a A.A.A.@......asesores.es y firmada por A.A.A., Abogado. Durante una visita al establecimiento de A.A.A. Asesores, llevada a cabo por la Inspección de Datos de esta Agencia, se comprobó que el 15 de mayo de 2015, desde el correo electrónico mencionado, se envió un correo con información relativa a la candidatura de la Agrupación Independiente de Pedrezuela. En este correo se encuentra la denunciante entre los destinatarios con copia oculta. El representante legal de la Agrupación manifestó que la denunciante no es vecina de la Comunidad de Propietarios que él representa sino que él ha presentado un pleito contra ella por una deuda con su comunidad. Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales de la denunciante a quien se envió un correo electrónico con información de la candidatura de la Agrupación Independiente de Pedrezuela a las elecciones municipales, sin que se haya acreditado por el denunciado, que contaba con el consentimiento de la denunciante para dicho tratamiento, infringiendo así el artículo 6.1 de la LOPD. IV El artículo 44.3.
- b)de la LOPD, dispone que es infracción grave: “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
- b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales Ordinarios como del Tribunal Constitucional (STC 292/2002). Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona al denunciado vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales de la denunciante, al enviar un correo electrónico sin su consentimiento. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado teniendo en cuenta que no consta vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constando beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00200/2016) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. 2.- REQUERIR a D. A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: CUMPLA lo previsto en el artículo 6.1 de la LOPD. En concreto se insta al denunciado a que adopte las medidas pertinentes para asegurarse de disponer del consentimiento inequívoco de los afectados para el tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 personales. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. 4.- NOTIFICAR el presente Acuerdo a Dª. D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es