← España

A-00209-2013

1/12 Procedimiento Nº: A/00209/2013 RESOLUCIÓN: R/02839/2013 En el procedimiento de apercibimiento A/00209/2013, instruido por la Agencia Española de Protección de Datos a la entidad LYONESS SPAIN S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3/12/2012, tiene entrada en esta Agencia un escrito de D. A.A.A., en el que denuncia que la empresa LYONESS SPAIN, S.L., ha remitido un correo electrónico “sobre su persona y su familia a otras personas que no conoce, sin su consentimiento ni comunicación previa.” Se adjunta copia del correo electrónico remitido el 31/10/2012, desde lyoness.es, donde constan 7 direcciones de correo electrónico además de la del denunciante ....@hotmail.com. En el contenido figura la respuesta a una consulta del denunciante de la misma fecha con el encabezamiento “Estimado A.A.A.” referente a recuperar su anticipo, sin más información de datos personales ni familiares. También aporta el correo en el que el denunciante preguntaba la cuestión de recuperar su anticipo de 31/10/

  1. Consta “Sigo a la espera de que me den una solución, mi upline dice que no puede hacer nada al respecto, y su patrocinador tampoco me responde” (el subrayado es de la Agencia.). Se desconoce el medio de contacto utilizado por el denunciante en relación a esta no contestación de su upline y su patrocinador. SEGUNDO: Con fecha 26/02/2012, se recibe en esta Agencia respuesta a la petición de información del Servicio de Inspección, en el que la entidad LYONESS SPAIN, S.L. pone de manifiesto: 1.
  2. La relación contractual existente entre el denunciante y la entidad, es un sistema de afiliación para beneficiarse de reembolsos por compras realizadas en diferentes establecimientos comerciales, que permite el reembolso de dinero por cada compra en los establecimientos adheridos: los afiliados ganan dinero y los establecimientos ganan clientes Asimismo si el afiliado consigue que otro afiliado se de de alta, también se le reembolsará a aquel un porcentaje del consumo que este y posteriores afiliados realicen en los establecimientos adheridos, y el nuevo afiliado de patrocinado: Los patrocinadores pueden ser directos (en caso de que A afilie a B) o indirectos (si B ha afiliado a C, A será patrocinador indirecto de C). De este modo un afiliado recibirá reembolso por las compras realizadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 por su patrocinado, y por los patrocinados de este y así sucesivamente. El fichero en el que se guardan estos datos es el de AFILIADOS, inscrito en la Agencia. 1.
  3. El afiliado cumplimenta un formulario, aceptando la política de privacidad, condición indispensable para concluir el cuestionario. En dicha política de privacidad, según copia que aporta, consta que se consiente expresamente que “se comuniquen los datos relativos al volumen de sus compras a sus patrocinadores directos e indirectos a fin de que se liquiden las ventajas de fidelización Lyoness.”.(Se deriva de ello que se permite comunicar volumen de compras no datos personales que no se precisan para ello). 1.
  4. Manifiesta LYONESS que en el caso del denunciante, el único dato que figuraba era la dirección de correo electrónico. Dicho correo “fue enviado por error” a sus patrocinadores directos e indirectos, en total únicamente a siete correos electrónicos que se corresponden con los de sus patrocinadores. Aporta las fichas del denunciante que contienen además de sus datos, los del patrocinador directo, ficha que también se acompaña y que a su vez contiene los datos de su patrocinador directo, y se aporta la ficha de este, siendo ya un patrocinador indirecto del denunciante. Se aportan además 5 fichas de patrocinadores indirectos. Las direcciones de correo electrónico a las que se envió la respuesta de la denunciada en el correo de 31/10/2012 contiene 7 direcciones de correos electrónicos de estos patrocinadores indirectos y del patrocinador directo. 1.
  5. Asimismo, el denunciante aceptó en su afiliación que su “UPLINE” (patrocinador, patrocinador de su patrocinador y más arriba) pudiera conocer sus datos personales. En los sistemas de la denunciada, figura y se aporta, la copia de una ficha con los datos del denunciante y de su patrocinador, que es una persona que según su ficha personal es la patrocinadora directa del denunciante. Aparece una casilla que indica “Mi UPLINE puede ver mis datos personales (nombre, apellido)” y la casilla no aparece marcada. CUARTO: Con fecha 29/10/2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00209/2013, por presunta infracción de LYONESS SPAIN SL del artículo 10 de la LOPD tipificada como grave en el 44.3.d de la misma norma. QUINTO: Con fecha 13/11/2013, se registra de entrada el correo electrónico del denunciante del 12/11, en el que manifiesta: -Desea ejercitar su derecho de actuar en el sentido de “reclamar una sanción contra la empresa denunciada por difundir una información de carácter particular sin mi consentimiento”. Además, “deseo ser indemnizado con lo que legalmente esté baremado, en orden a la gravedad de los hechos que se determine”. “En cualquier caso, deseo llegar a un acuerdo con LYONESS SPAIN para recuperar la inversión no realizada”. “Con ello, me daría por satisfecho y retiraría la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 denuncia presentada, eximiéndole de responsabilidad.” QUINTO: Con fecha de entrada 26/11/2013 la denunciada alega: Se trata de un puntual error en el envío de un correo. Se ha revisado la forma de enviar correos, advirtiendo al personal que vigilen cuidadosamente los envíos para que no se reitere esta circunstancia. Acompaña en tal sentido copias de documentos recibidos por sus empleados el 1/04/2013 sobre la necesidad de extremar las precauciones para evitar errores en los destinatarios de los correos o a personas que no corresponde. HECHOS PROBADOS 1) El denunciante denuncia a la entidad LYONESS SPAIN porque el 31/10/2012, en un correo electrónico en el que le respondía a su petición de información, dio a conocer su dirección de correo electrónico al resto de destinatarios, siete en total, conociendo asimismo el, las direcciones de correo de esos destinatarios. El mensaje aparece remitido desde ......@lyoness.es

(3)y la denunciada no niega haberlo efectuado (17, 55) declarando que fue un error por su parte. El mensaje se envía CC (con copia a todos esos destinatarios). 2) LYONESS manifiesta que dispone de los datos del denunciante en el fichero inscrito en esta Agencia denominado AFILIADOS, por mantener una relación con dicha entidad (16, 20 a 23, 32). Resumidamente, la relación consiste en que el denunciante desembolsa una cantidad de dinero para entrar en un sistema de afiliación, beneficiándose de reembolsos en dinero por compras realizadas en los establecimientos adheridos al sistema, gestionado por LYONESS. También, si el afiliado consigue que otra persona se de de alta, se le reembolsa en dinero un porcentaje del consumo que este y posteriores afiliados realicen en los citados establecimientos, siendo el primero de ellos el denominado patrocinador, y el nuevo afiliado el patrocinado. Un afiliado recibirá reembolso por las compras realizadas por su patrocinado y por los patrocinados de este y así sucesivamente. El afiliado, y en este caso el denunciante acepta las condiciones generales y la política de privacidad que se hallan en la página de lyoness.net (16 a 18, 32). Entre otros datos la denunciada posee la dirección de correo electrónico del denunciante ....@hotmail.com, así como la del resto de destinatarios (23 a 30). En las condiciones generales, no consta que se habilite la comunicación a los patrocinadores o a los patrocinadores indirectos de los datos de correos electrónicos de las personas afiliadas sino entre otros, los datos relativos al volumen de compras
(32). En la ficha del denunciante existe el apartado “Mi upline puede ver mis datos personales (nombre y apellidos)” sin que por tanto se trate de la dirección de correo electrónico, y además dicha opción figura sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 marcar en el espacio al efecto.
(34)3) De acuerdo con la denunciada, los correos que aparecen junto al del denunciante son los patrocinados directos e indirectos, siendo pues el denunciante el patrocinado de B.B.B., (16,17, 13,24) y el resto de direcciones de correo son a su vez de patrocinadores de B.B.B. en escala ascendiente (13 a 20). Así, se conviene que al menos B.B.B.conocía al denunciante, pues es la que le patrocina, su upline, y así también se constata del correo del denunciante de 31/10/2012 “Mi upline me dice” y su “patrocinador tampoco me responde ” o de 21/08/2012 (folio5). 4) Se acredita que antes de los hechos denunciados, la denunciada dirigió otros correos electrónicos al denunciante, en los que no aparecen las direcciones de los correos de otros afiliados
(27), como el de 21/08/2012
(5). El mismo contenido del mensaje denunciado, ya se contestó en el mismo sentido al denunciante por la denunciada en ese correo de 21/08/2012 según copias que aporta el denunciante (5 a 7). En este correo se le indicaba “se ponga en contacto con su patrocinador B.B.B.” para que le explique…”y en el correo de 31/10/2012 anterior al denunciado, el denunciante escribió “Mi upline dice que no puede hacer nada al respecto, y su patrocinador tampoco me responde”
(27), si bien se desconoce si el método de contacto con esas dos personas fue el correo electrónico. Con el resto de componentes de las direcciones del correo no consta referencia alguna a contacto previo. 5) Del contenido del correo denunciado se acredita que la denunciada dio a conocer el correo del denunciante ....@hotmail.com, al resto de destinatarios, haciéndolo identificable al menos para su patrocinadora, conociendo así de este modo, esta su dirección de correo electrónico, y el denunciante el suyo, quedando plenamente identificado el denunciante para su patrocinadora y conociendo el denunciante a su vez, el correo de su patrocinadora, Rocio. En las condiciones generales, ni figura dicha habilitación ni se acredita que ambos lo conocieran de antes. Además, por tratarse de un grupo de afiliados al sistema de Lyoness, el denunciante conoce direcciones con nombres y apellidos que permiten identificar a las personas, como mínimo a los titulares de otros dos correos pues se identifican como, ***NOMBRE.1
(3), y .....@ambarconsulting.es sin que la denunciada tenga habilitación para compartir dichos datos. 6) A la Entidad denunciada no le constan sanciones anteriores a este procedimiento
(43). FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 El artículo 10 de la LOPD, establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El deber de secreto, previsto en el artículo 10, comprende <<al responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal>>, a los que obliga <<al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo>>. Tal obligación comporta, en lo que hace al caso, que los datos almacenados contenidos en la información contable de la Asociación no pueden ser revelados ni dados a conocer su contenido teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena a la relación contractual fuera de los casos autorizados por ley, pues en eso consiste precisamente el secreto. Este deber de sigilo, como venimos declarando desde nuestra Sentencia de 14 de septiembre de 2001 (recaída en el recurso nº 196/2000) resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un "instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos" (STC 292/2000). Este derecho fundamental a la protección de los datos "persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino" (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, "es decir, el poder de resguardar su vida privada de una publicidad no querida" (STC de tanta cita). Ahora bien, la doctrina anterior resulta de aplicación, por lo que hace al caso, en el que se impugna una sanción por infracción del artículo 10 de la Ley Orgánica 15/1999, cuando la conducta ha sido observada por el "responsable del fichero" o por los que "intervengan en cualquier fase del tratamiento". A cuyo efecto, debemos tener en cuenta que tal deber se proyecta y concreta en una elemental obligación del responsable del fichero de mantener la confidencialidad sobre los datos tratados, por un lado, y de un deber de implantación de medidas organizativas que impidan que el personal al servicio del responsable del fichero infrinja dicho deber de confidencialidad. Se trata, en suma, de imponer una obligación de sigilo respecto de la información que se obtiene sobre las personas como consecuencia del manejo de los datos. En este sentido sentencias de esta Sala y Sección de 17 de enero de 2002, de 18 de enero de 2002 y 12 de abril de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 2002. No está de más recordar que el "responsable del fichero o tratamiento" es, ex artículo 3.
  1. d)de la LOPD, la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo que decida sobre la finalidad, contenido o uso del tratamiento". En este caso, si bien la acción la efectúa una persona que remite el correo, esta maneja los datos de la denunciada y actúa por su cuenta e interés en el seno de su organización que debe prever normas de uso seguro cuando se traten de datos personales. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  2. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables” El artículo 1.4 del Real Decreto 1332/1994, de 20/06, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, que continuó en vigor hasta la aprobación del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD, considera datos de carácter personal “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable”. Este precepto ha sido sustituido por el artículo 5.
  3. f)del citado Real Decreto 1720/2007:”Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables” En este mismo sentido, se pronuncia el artículo 2.
  4. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos, según el cual se entiende por datos personales “toda información sobre una persona física identificada o identificable (“el interesado”); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Las direcciones de correo electrónico constan de dos partes: la primera es el nombre de un dominio de correo encargada de traducir la información, o bien al anfitrión del receptor o a cualquiera que acepte correo de su parte. La segunda es la identificación exclusiva del usuario que puede ser tanto el nombre que le permite el acceso al sistema, como el nombre del usuario en formato “nombre.apellido”, o un alias que se transmitirá a un usuario o a la lista de usuarios. Esta Agencia, ya en el año 1999 consideraba que “la dirección de correo electrónico se forma por un conjunto de signos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. Por ello podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo:
  5. a)El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no estos en la denominación del dominio utilizado). En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato de carácter personal. Ejemplos característicos de este supuesto serían aquellos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndose el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación). En el presente supuesto la dirección del correo del denunciante es ............es que no se refiere a persona alguna, pero su titular ha podido ver las direcciones de: bayonrocio, ***NOMBRE.1 y .....@ambarconsulting.es, que entran dentro de la categoría de identificadas o fácilmente identificables, sobre las que no se acredita que el denunciante las conociera anteriormente, y desconociendo también si estas personas dejan que su upline pueda o no ver su nombre y apellidos, en todo caso ello no hace referencia a la divulgación del correo electrónico. En el presente supuesto se acredita que el denunciante conoce de nombre a Rocio, de la que además con el envío del correo dispone de su dato de dirección de correo electrónico, así como de otras dos personas que son afiliadas también al colectivo de Lyoness.
  6. b)Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de la cuenta de correo a una denominación abstracta o a una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacer concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras a asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la "privacidad", consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico, en las circunstancias expuestas, se encuentre amparada por el régimen establecido en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 En cuanto a la consideración en este caso de la dirección de correo electrónico del denunciante “............es” como dato de carácter personal, se debe partir del hecho de que el denunciante llega al conocimiento del resto de direcciones de correos de otros miembros del sistema, y se sabe que es A.A.A. al referirse a él en el contenido transmitido. Este conocimiento, no aparece habilitado por la LOPD, ni previsto en las condiciones generales de Lyoness, en las que no se establece que dichas direcciones puedan ser conocidas recíprocamente en todos los casos por sus afiliados, ni siquiera por los patrocinadores-patrocinados, cuanto menos por los componentes de la escala superior de los patrocinadores. En el presente caso del contenido del correo en el que se referían a A.A.A., el denunciante patrocinado por Rocio, dando a conocer la dirección de correo a esta, y de esta a él, es claro que el conocimiento del correo, que no se acredita se conociera hasta ese momento, se refiere a personas que pueden ser identificables e identificadas al menos por Rocio. Al mismo tiempo, el denunciante ha conocido datos del correo de su patrocinadora, la ha podido identificar, pues conocía como se llamaba, no se acredita que conociera la dirección de su correo electrónico, que ahora la conoce, así como la de otras dos personas del colectivo, que quedan identificadas como ***NOMBRE.1 que es parte integrante de su dirección y .....@ambarconsulting.es III La infracción aparece tipificada en el artículo 44.3.
  7. d)que determina: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  10. a)y
  11. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. Finalmente, al hilo de la alegación del denunciante reclamando una sanción contra la empresa denunciada, como respuesta, se debe citar entre otros, el antecedente de la Sentencia de la Audiencia Nacional, sección 1, sala de lo contencioso administrativo, de 11/11/2011, recurso 786/2010, fundamento de derecho segundo: “Respecto de una resolución del Director de la AEPD que acordó el archivo de un procedimiento incoado en virtud de una denuncia formulada por los recurrentes, y que apreció tal falta de legitimación activa, al no justificar dichos actores que ni la apertura del expediente disciplinario ni la sanción de la entidad denunciada pudieran producir un efecto positivo en la esfera jurídica de los mismos, o eliminar una carga o gravamen en esa esfera. Sentencia que, entre otras, contiene las siguientes consideraciones: (...) en relación con la legitimación en materia sancionadora y respecto de los denunciantes, esta Sala viene señalando algunos criterios que conforman doctrina jurisprudencial y que permiten determinar la concurrencia de tal requisito procesal. Así se señala de manera reiterada, que se trata de justificar la existencia de una utilidad, posición de ventaja o beneficio real, o más concretamente, si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen, en esa esfera ( S. 23-5-2003 , 28-11-2003 , 3011-2005 , entre otras). Que por ello el problema de la legitimación tiene un carácter casuístico, lo que no permite una respuesta indiferenciada para todos los casos, siendo preciso examinar en cada uno de ellos el concreto interés legítimo que justifique la legitimación , incumbiendo su alegación y prueba a quien se lo arrogue ( SS. 21-11-2005 , 30-11-2005 ), señalando la sentencia de 3 de noviembre de 2005 que: (...) partiendo de que la respuesta al problema de la legitimación debe ser casuística, de modo que no es aconsejable ni una afirmación ni una negación indiferenciadas para todos los casos, la Sala entiende que la existencia de la legitimación viene ligada a la de un interés legítimo de la parte que se la arroga, siendo la clave para determinar si existe o no ese interés legítimo en el proceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 de impugnación de una resolución (...) el dato de si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen en esa esfera, y será así, en cada caso, y en función de lo pretendido, como pueda darse la contestación adecuada a tal cuestión, no siéndolo que la imposición de la sanción constituye por sí misma la satisfacción de un interés (...) Así, si bien no existe legitimación para pretender en abstracto la imposición de una sanción y, por tanto, para incoar un expediente sancionador, no puede excluirse que en determinados asuntos el solicitante pueda resultar beneficiado en sus derechos o intereses como consecuencia de la apertura de un expediente sancionador (reconocimiento de daños, derecho a indemnizaciones), lo que le otorgaría legitimación para solicitar una determinada actuación inspectora o sancionadora (en este sentido, Sentencia de 14 de diciembre de 2005 -Rec. 101/2004 ). No obstante, la jurisprudencia identifica en tales sentencias el alcance de ese interés legítimo del denunciante, considerando como tal (...) el reconocimiento de daños o derecho a indemnizaciones y entendiendo que no tiene tal consideración la alegación de que "la imposición de la sanción constituye por sí misma la satisfacción de un interés" señalando la sentencia de 26 de noviembre de 2002 que: "el denunciante ni es titular de un derecho subjetivo a obtener una sanción contra los denunciados, ni puede reconocérselo un interés legítimo a que prospere su denuncia, derecho e interés que son los presupuestos que configuran la legitimación , a tenor del artículo 24,1 de la Constitución y artículo 31 de la Ley 30/1992 , sin que valgan como sostenedores de ese interés los argumentos referidos a que se corrijan las irregularidades, o a que en el futuro no se produzcan, o a la satisfacción moral que comportaría la sanción, o la averiguación de los hechos, para el denunciante,..." En el presente supuesto se ha optado por el procedimiento de apercibimiento, no el sancionatorio propiamente dicho. V La conducta que configura el ilícito administrativo aplicado en este caso requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad denunciada para asegurarse de que la respuesta a la información pedida por el denunciante se envía solo a este En este sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, no consta que la actividad de la denunciada sea de constante manejo de datos de carácter personal. En relación a dicho asunto, aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del artículo 130 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), tal y como con criterio general ha venido señalando la Jurisprudencia (Sentencias del Tribunal Supremo de 5/06/1989 y 12/03/1990, entre otras muchas), la expresión simple inobservancia del artículo 130.1 de la LRJPAC permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando para la imposición de la sanción, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 inobservancia del deber de cuidado. Falta de diligencia, que, en el presente supuesto, resulta atribuible a la denunciada, ya que debería haber extremado el cuidado a fin de evitar que se enviara una respuesta al denunciante con copia a otras personas que en principio lo único en común es que son afiliados de Lyoness. Dado el carácter puntual de la infracción derivada de la acción humana consistente en el envío de un solo correo con varias direcciones, que se trata de una infracción no permanente en el tiempo, y teniendo en cuenta las notas que a su personal envió la denunciada, para no reiterar dicha conducta, no se estima conveniente instar de la denunciada medidas correctoras concretas VI En lo que respecta a la petición de la denunciante referida a la indemnización en base del artículo 19 de la LOPD, que señala “1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.” La Sentencia de la Audiencia Nacional sección 1, de 18/05/2001, rec. 856/19999 señaló que estas indemnizaciones no las declara la Agencia, sino que el afectado que sufra la lesión o daño en sus bienes o derechos podrá reclamarla en la vía judicial civil o administrativa, y como indicaba la sentencia del Tribunal Supremo sala 3ª de 28/12/2004, rec. 3020/20011, “la prosperabilidad de dicha indemnización no queda supeditada o condicionada a la imposición de una previa sanción a la denunciada”. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00209/2013) a LYONESS SPAIN S.L. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  12. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a LYONESS SPAIN S.L.. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.