A-00205-2013

1/8 Procedimiento Nº: A/00205/2013 RESOLUCIÓN: R/00268/2014 En el procedimiento A/00205/2013, instruido por la Agencia Española de Protección de Datos frente a D. A.A.A., vista la denuncia presentada por Dª B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21 de marzo de 2013, ha tenido entrada en esta Agencia, escrito presentado por Dª B.B.B. (en lo sucesivo la denunciante), en el que denuncia a D. A.A.A. (en adelante el denunciado), señalando que el 14 de febrero de 2013 ha sido publicado en el tablón de anuncios del CLUB DEPORTIVO XXXXX, una carta con los datos personales de la denunciada (nombre y apellidos, dirección y correo electrónico). Esta carta es la contestación a una reclamación realizada por la denunciante ante la Fundación Deportiva Municipal de Valencia. SEGUNDO: Esta denuncia dio origen al expediente nº: E/02853/2013 que finalizó por resolución de 18 de junio de 2013 por la que se acuerda no incoar actuaciones inspectoras y no iniciar procedimiento sancionador o de infracción de las Administraciones Públicas. Dicha resolución se fundamenta en la imposibilidad de identificar al presunto responsable de la conducta infractora, en la medida en la que la exposición denunciada se realizó en un tablón de anuncios abierto. TERCERO: Frente a la resolución citada en el hecho anterior, la denunciante interpuso el 19 de julio de 2013, recurso de reposición que fue estimado mediante resolución de 6 de agosto de 2013 y notificado a la denunciante el 14 de agosto de 2013. Junto con el recurso la denunciante aportó copia de la sentencia dictada el 27 de junio de 2013 en el juicio de faltas nº: ******/2013 por el Juzgado de Instrucción nº 7 de Valencia, en la que como hecho probado se declara en relación con la publicación en el tablón de anuncios del Club Deportivo XXXXX: “…reconociendo el presidente de la asociación A.A.A. que lo había fijado él mismo…”. CUARTO: Con fecha 14 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a D. A.A.A., por presunta infracción del artículo artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.

1. d)de dicha norma legal. QUINTO: En fecha 20 de noviembre de 2013, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento al denunciado, tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 audiencia previa al apercibimiento, el 4 de diciembre de 2013, se ha recibido en esta Agencia, escrito de alegaciones del denunciado, en el que pone de manifiesto lo siguiente: - En primer lugar, alega indefensión porque no se ha acompañado el acuerdo de trámite de audiencia con copia de la denuncia que ha dado lugar a este procedimiento. - A pesar de esa omisión esta parte tiene conocimiento de los hechos que motivan la misma, dada la existencia de un procedimiento penal sobre los mismos hechos que han dado lugar al juicio de faltas nº ******/2013 que finalizó con sentencia absolutoria de 27 de junio de 2013 dictada por el Juzgado de Instrucción nº 7 de Valencia, que devino firme al no ser recurrida por la otra parte. La sentencia se motiva en que los hechos enjuiciados no eran merecedores de reproche penal alguno. Acompaña copia de la citada sentencia y solicitud de testimonio de las actuaciones judiciales con copia de la grabación de la vista, que se ha denegado por el Juzgado mediante providencia de 29 de noviembre de 2013 sin perjuicio de que puedan ser requeridos por la Agencia Española de Protección de Datos. - Los hechos objeto de análisis ocurren en su condición de Presidente del Club Deportivo El XXXXX dependiente de la Fundación Deportiva Municipal del Ayuntamiento de Valencia. El escrito publicado en el tablón de anuncios del Club Deportivo El XXXXX es una contestación de la Fundación Deportiva Municipal de Valencia a una reclamación efectuada por la denunciante en relación a unos recibos que fue desestimada. La Fundación notificó su resolución a ambas partes, a la denunciante y al denunciado. Este último se personó en la sede de la Fundación donde le entregaron copia de la resolución (aunque por error le entregaron la que iba dirigida a la denunciante encabezada con sus datos de contacto). El denunciado no ha tenido nunca acceso a los datos personales de la denunciante porque esta no es socia ni miembro de la entidad que preside. - El denunciado no dio importancia a este hecho y publicó la resolución en el tablón de anuncios de su club para conocimiento de todos los socios, ya que la reclamación estaba referida a la gestión económica de la junta directiva del club. La rápida intervención de una socia (Dª C.C.C. que testificó en el juicio de faltas en este sentido) que se percató que en el escrito aparecían los datos de la denunciante propició que el denunciado procediera a tachar del documento dichos datos. - Entre la publicación del escrito y el tachado de los datos de la denunciante del mismo no transcurrieron más de 15 minutos. En este intervalo de tiempo el escrito fue visto por el marido de la denunciante que llamó a la Policía Nacional que cuando llegó se encontró con el escrito ya modificado (tachados los datos de la denunciante), llevándoselo para posteriormente aportarlo a los autos del juicio de faltas citado. Hasta la llegada de la policía, el marido de la denunciante estuvo haciendo fotos, en las que se aprecia que el denunciado está retirando del tablón el escrito para tachar los datos de la denunciante en presencia de una socia. Estas fotos forman C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 parte también de los autos del juicio de faltas, se aportan dos de ellas a este expediente. - En el juicio de faltas, el denunciado manifestó que todo se había debido a un error y que no estaba en su ánimo perjudicar a la denunciante, ante quien se disculpó, asimismo hizo ver que el error se subsanó de inmediato y solo dos socios pudieron ver el escrito con los datos de la denunciante (su esposo y la socia que avisó al denunciado). El propio esposo de la denunciante declaró en el juicio que el motivo de la publicación del escrito no era vejar a su esposa sino poner en conocimiento de todos los socios, el resultado de la resolución. - Todo lo anterior está acreditado en la propia sentencia absolutoria con que finalizó el juicio de faltas nº ******/2013, el 27 de junio, en su fundamento jurídico segundo literalmente señala: “…que cuando se dio cuenta por indicación de una socia, transcurridos unos 10 o 15 minutos, los tachó, que cuando los tachó, estando junto a dicha socia, acudió el marido de la denunciante que hizo fotografías, reconociendo las aportadas a los autos, …la versión del denunciado es corroborada por la testigo C.C.C., socia del club….” - El denunciado entiende que los hechos nos son constitutivos de ninguna infracción ya que se debieron a un error que fue inmediatamente subsanado y por eso carece de sentido adoptar ninguna medida correctora porque la corrección ya se realizó sobre el propio escrito al tachar los datos personales de la denunciante. Por último, añade que este procedimiento no puede utilizarse por la denunciante como una venganza por hechos derivados del funcionamiento del club deportivo que preside. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 14 de febrero de 2013 ha sido publicado en el tablón de anuncios del CLUB DEPORTIVO EL XXXXX, una carta con los datos personales de la denunciada (nombre y apellidos, dirección y correo electrónico). SEGUNDO: En los hechos probados de la sentencia de 27 de junio de 2013 recaída en el juicio de faltas nº ******/2013 del Juzgado de Instrucción nº 7 de Valencia que enjuiciaba los mismos hechos, el denunciado, D. A.A.A., Presidente del Club Deportivo El XXXXX, reconoce que fue él quien colocó dicha carta en el tablón de anuncios del mencionado club. Así puede comprobarse en la copia de la sentencia que obra en el expediente. TERCERO: El denunciado no contaba con el consentimiento de la denunciante para exponer en un tablón público sus datos de contacto (nombre y apellidos, dirección y correo electrónico) tal y como se desprende del contenido de la denuncia presentada ante esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 CUARTO: La sentencia citada en el hecho segundo fue absolutoria para el denunciado y en su fundamente jurídico segundo, se recoge, que la publicación de la carta con los datos personales de la denunciante fue subsanada en 10 o 15 minutos, en cuanto al Presidente del club le avisaron de que la carta contenía datos personales de la denunciante. El denunciando tachó estos datos del escrito. Esta circunstancia ha quedado plasmada en esta sentencia y se deriva igualmente del testimonio de una testigo, socia del club y de las fotografías aportadas a los autos judiciales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37g) en relación con el artículo 36 de la LOPD. II Antes de entrar en el examen de la cuestión aquí planteada, conviene realizar una aclaración en relación con la alegación de indefensión del denunciado. Afirma que dicha indefensión se produce porque no se acompaña una copia de la denuncia con el acuerdo de audiencia previa al apercibimiento. Sin embargo, hay que indicar que esta es una práctica judicial, en sede administrativa, los hechos denunciados o que han dado lugar a la instrucción del procedimiento se recogen en el acuerdo de inicio de procedimiento sancionador o en este caso, en el acuerdo de audiencia previa al apercibimiento, quedando siempre a salvo la posibilidad de que los interesados soliciten al órgano instructor una copia del expediente administrativo. Además en este caso en concreto, la denuncia dio lugar a un inadmisión a trámite y por tanto no se puso en conocimiento del denunciado porque no dio origen a ningún procedimiento, con posterioridad la denunciante recurrió esta inadmisión y su recurso de reposición fue estimado dando lugar a su vez, al procedimiento de apercibimiento que nos ocupa, aunque estas circunstancias son conocidas por el denunciado puesto que se recogieron en los hechos del acuerdo de audiencia previa. III Se imputa a D. A.A.A., la comisión de una infracción del artículo 10 de la LOPD, que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El artículo 3
2. d)de la LOPD, define como responsable del fichero a la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento", en este caso en concreto el denunciado es el responsable del tratamiento de los datos de la denunciante que conoce por haber recibido como parte un procedimiento, la resolución de Fundación Deportiva Municipal de Valencia. Tal y como reconoce es él quién publica estos datos en un tablón de edictos público sin contar con el consentimiento de la titular de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo persigue evitar que, por parte de quienes están en contacto con datos personales de terceros, se realicen filtraciones de los mismos no consentidas por sus titulares. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber comporta que los datos personales no pueden ser conocidos sin el consentimiento de su titular por ninguna persona o entidad ajena (fuera de las excepciones autorizados por la Ley). De acuerdo con lo expuesto, el responsable del tratamiento de los datos de la denunciante, llevado a cabo con la publicación de los mismos en un tablón de anuncios público, es el denunciado. Circunstancia que él mismo reconoce y que se recoge en los hechos probados de la sentencia de 27 de junio de 2013 del Juzgado de Instrucción nº 7 de Valencia recaída en el juicio de faltas nº ******/2013. IV El artículo 44.3.
3. d)de la LOPD en su redacción actual considera infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente ley”. En resumen, de conformidad con la normativa y argumentos expuestos, la publicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de una carta con los datos personales de la denunciante en un tablón de anuncios público, por parte del denunciado sin tener el consentimiento de la titular, supone una vulneración del deber de secreto al que estaba obligado. No obstante lo anterior, en el caso que nos ocupa se dan una serie de circunstancias que ha puesto de manifiesto el denunciado y que conviene tener en cuenta. La denunciante recurrió la primera inadmisión a trámite con base en la sentencia recaída en el juicio de faltas nº ******/2013 en la que como hecho probado se recogía el reconocimiento del denunciado como autor de la publicación de la carta en el tablón de anuncios. En la sentencia también se contiene que una socia avisó al denunciado de que la carta contenía datos personales de la denunciante, de forma inmediata el denunciado subsanó la irregularidad tachando los datos de la denunciante evitando que pudieran ser tratados por terceros. Así pues, puesto que ya ha tenido lugar la subsanación de la vulneración del deber de secreto, no se requiere al denunciado para que lleve a cabo medidas correctoras. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) (LES), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
5. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Los criterios a los que alude el nuevo artículo 45.6 de la LOPD, vienen recogidos en el apartado 5 de este mismo artículo, que también ha sido modificado por la Disposición Final Quincuagésima Sexta de la LES, quedando redactado del siguiente modo: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
6. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8
7. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
8. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
9. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
10. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente supuesto se cumplen los requisitos recogidos en los apartados
11. a)y
12. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación de su actividad con la realización de tratamientos de datos de carácter personal, ni que existan beneficios obtenidos como consecuencia de la comisión de la infracción. Por último, debe indicarse que ha quedado acreditado que el denunciado llevó a cabo de forma inmediata la subsanación de la irregularidad, tachando de la carta publicada los datos personales de la denunciante. Por esta razón desde esta Agencia no se requiere la adopción de otras medidas correctoras al denunciado. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. APERCIBIR (A/00205/2013) a D. A.A.A. con NIF nº: ***NIF.1, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
13. d)de la citada Ley Orgánica en su redacción actual. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR la presente resolución a D. A.A.A. con NIF nº: ***NIF.1. 3.- NOTIFICAR la presente resolución a Dª B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es