A-00215-2015

1/9 Procedimiento Nº: A/00215/2015 RESOLUCIÓN: R/02503/2015 En el procedimiento A/00215/2015, instruido por la Agencia Española de Protección de Datos a Don E.E.E., vista la denuncia presentada por Doña I.I.I., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 12 de agosto de 2014 tiene entrada en esta Agencia un escrito remitido por Doña. I.I.I., en adelante la denunciante, manifestando que la Asociación de Vecinos en Oropesa del Mar denominada “El Macutazo”, a la que no ha facilitado sus datos, continúa enviándole correos electrónicos, a pesar de que les ha solicitado información relativa al origen de sus datos personales y a la autorización con la que cuentan para efectuar dichos envíos. La denunciante aporta copia de tres correos electrónicos, sin sus respectivas cabeceras de Internet, de fechas 3, 6 y 28 de julio de 2014, que manifiesta haber recibido en su dirección de correo electrónico. La denunciante señala que únicamente ha facilitado sus datos a la Asociación “Les Amplaries”, de la que supuestamente proceden los datos utilizados, ya que los miembros de dicha Asociación están recibiendo correos no consentidos procedentes de “El Macutazo”. Con fecha 14 de enero de 2015 tiene entrada un nuevo escrito de la denunciante, en respuesta al requerimiento de la Inspección de datos de esta Agencia, en el que aporta copia de las cabeceras de internet de un correo electrónico recibido el día 6 de diciembre de 2014 en su cuenta de correo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos: 1. Con fecha 12 de agosto de 2014 la denunciante aporta copia de 3 correos electrónicos, de fechas 4/7/2014, 6/7/2014 y 28/7/2014, enviados, según figura en sus encabezamientos, a su cuenta de correo electrónico, procedentes de H.H.H., G.G.G. y F.F.F., respectivamente. La denunciante no aporta las cabeceras de Internet de los mismos. De su contenido se desprende que dichos envíos se remiten desde la Asociación Vecinal “El Macutazo”, convocándose en el último una asamblea vecinal en la urbanización Marina Dor de Oropesa del Mar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 El único dato de contacto que consta en los correos anteriores, además de la dirección de correo remitente, es un enlace a la página web www. B.B.B. que aparece en el envío de fecha 28/07/2014. 2. Con fecha 14 de enero de 2015, la denunciante únicamente aporta copia de las cabeceras de internet del correo electrónico no comercial que recibió en su cuenta de correo electrónico D.D.D., el día 06/12/2014, remitido desde la dirección de correo F.F.F.. De las cabeceras de Internet se desprende que el servidor desde el que se ha remitido el mensaje tiene por nombre “ E.E.E.” y la IP de conexión a internet es J.J.J.. 3. El correo electrónico, de fecha 06/12/2014, tiene como asunto “Acude a tu compromiso”. En el cuerpo del mensaje se invita a acudir a un acto vecinal a celebrar el día 6 y se facilita la dirección del sitio web www. C.C.C. No ha sido posible el acceso a la página web www. B.B.B. por encontrarse inoperativa. 4. El dominio wordpress.com está registrado a nombre de la empresa MARKMONITOR INC ubicada en California (USA). 5. Con fecha 20 de marzo de 2015 se remitió un correo electrónico a la dirección de correo F.F.F. solicitando a su titular que contactase con la Agencia Española de Protección de Datos con el fin de aclarar los términos de una denuncia, sin que se haya recibido respuesta al mismo. 6. La dirección IP J.J.J., según consta en los registros públicos de asignaciones de direcciones IP, está asignada al operador TELEFONICA DE ESPAÑA, SAU. 7. Según informa TELEFÓNICA DE ESPAÑA, SAU, la dirección IP J.J.J. estaba asignada, el día 6 de diciembre de 2014 entre las 8 y las 10 horas, a la línea telefónica K.K.K., titularidad de Don E.E.E., con domicilio en la calle A.A.A.. 8. En respuesta al requerimiento de la inspección de datos de fecha 8 de abril de 2015, Don E.E.E. manifiesta lo siguiente: a. No dispone de dato alguno referente a la titular del correo electrónico D.D.D.. b. Nunca ha tenido fichero con datos referentes al titular de la referida cuenta de correo electrónico ni ficheros con datos de carácter personal de ninguna otra persona. c. No tiene relación alguna con la asociación de vecinos “El Macutazo”, como tampoco existe relación con la página web B.B.B.. 9. Con fecha 26 de mayo de 2015 se contacta telefónicamente con el Registro de Asociaciones de la Consejería de Gobernación y Justicia de la Generalitat Valenciana al objeto de solicitar las direcciones postales de las asociaciones de vecinos “El Macutazo” y “Vecinos Marinador”, manifestado el funcionario que no consta en dicho registro ninguna de dichas asociaciones. TERCERO: Con fecha 24 de julio de 2015, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter al denunciado a trámite de audiencia previa al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 apercibimiento, en relación con la denuncia por infracción del artículo 6 de dicha norma, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica Habiendo resultado infructuosos por “Ausente en Reparto” los dos intentos de notificación del citado trámite de audiencia, practicados con fechas 4 y 5 de agosto de 2015 en el domicilio conocido del denunciado, según figura en el aviso de correo incorporado al expediente, se procedió conforme a lo dispuesto en los artículos 59.5, 60.2 y 61 de la Ley 30/1992, de 26 de noviembre , de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común a su notificación a través del BOE del día 21 de agosto de 2015, número 200. No consta que el denunciando haya formulado escrito de alegaciones a dicho trámite en el plazo concedido al efecto en dicho trámite de audiencia. La denunciante presentó con fecha 7 de agosto de 2015 escrito solicitando la personación en el presente procedimiento. HECHOS PROBADOS 1. El día 6 de diciembre de 2014, la denunciante recibió en su cuenta de correo electrónico D.D.D., un envío no comercial remitido desde la dirección de correo F.F.F.. De las cabeceras de Internet del mensaje se desprende que el servidor desde el que se remitió el mensaje tenía por nombre “ E.E.E.” y la IP de conexión a internet era J.J.J.. 2. El citado correo electrónico tenía como asunto “Acude a tu compromiso”. En el cuerpo del mensaje se invita a acudir a un acto vecinal a celebrar el día 6 de diciembre de 2014 y se facilita la dirección del sitio web ¡Error! Referencia de hipervínculo no válida. 3. Se ha verificado que la página web www. B.B.B. no está operativa. 4. TELEFÓNICA DE ESPAÑA, SAU ha informado que la dirección IP J.J.J. estaba asignada, el día 6 de diciembre de 2014, entre las 8 y las 10 horas, a la línea telefónica K.K.K., titularidad de Don E.E.E., con domicilio en la calle A.A.A. 5. Don E.E.E. ha manifestado lo siguiente en relación con el envío objeto de análisis: - No dispone de dato alguno referente a la titular del correo electrónico D.D.D.. - Nunca ha tenido fichero con datos referentes al titular de la citada cuenta de correo electrónico ni ficheros con datos de carácter personal de ninguna otra persona. - No tiene relación alguna con la asociación de vecinos “El Macutazo”, como tampoco existe relación con la página web B.B.B.. 6. El Registro de Asociaciones de la Consejería de Gobernación y Justicia de la Generalitat Valenciana indicó a esta Agencia que las asociaciones de vecinos “El Macutazo” y “Vecinos Marinador” no constan inscritas en dicho registro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD señala que: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
3. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
4. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
5. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” A su vez, en los apartados c), y
6. e)del artículo 3 de la LOPD se definen los siguientes conceptos: “
7. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
8. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
9. c)del presente artículo.” A la vista de las definiciones anteriores, resulta necesario analizar si la dirección de correo electrónico objeto de estudio constituye un dato de carácter personal conforme a lo previsto en la LOPD. En este supuesto, considerando que la dirección de correo electrónico analizada contiene información personal identificativa de su titular, en concreto su nombre y apellidos, que identifica claramente a la denunciante sin realizar esfuerzos desproporcionados para ello, estamos ante un dato de carácter personal cuyo tratamiento está sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización si la denunciante no ha dado su consentimiento inequívoco para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Sobre esta cuestión, conviene traer a colación la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN de 23 de marzo 2006 (Rec. 911/2003), 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen Jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )". Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. “ III Partiendo, pues, de que la utilización del correo electrónico de la denunciante para la remisión de un envío informativo conlleva la realización de un tratamiento de datos de carácter personal hay que dilucidar si la utilización del mismo podría suponer la comisión, por parte de Don E.E.E., desde cuya dirección IP dinámica de conexión a Internet se remitió el envío informativo con fecha 06/12/2014 a la cuenta de correo electrónico de la afectada, de una infracción del artículo 6.1 de la LOPD, precepto que establece lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente supuesto, consta acreditado el tratamiento del dato de carácter personal del correo electrónico de la denunciante en una comunicación que le fue remitida, con fecha 6 de diciembre de 2014, por una asociación vecinal vinculada al complejo marinador. Este hecho constituye un tratamiento de datos de carácter personal que exige disponer del consentimiento inequívoco de la afectada titular de dicho dato para su uso con esa finalidad, correspondiendo al responsable del tratamiento acreditar que estaba habilitado para ello o que concurre alguna de las circunstancias previstas en el artículo 6.2 de la LOPD. Según la denunciante, no ha facilitado a dicha Asociación sus datos ni otorgado el necesario consentimiento previo para el tratamiento de su cuenta de correo electrónico al objeto de remitirle envíos como el denunciado, no constando tampoco la concurrencia de alguno de los supuestos exentos de prestar tal consentimiento, de modo que se considera infringido el citado artículo 6.1 de la LOPD. La vulneración del principio recogido en el artículo 6 de la LOPD está tipificada como infracción grave en el artículo 44.3.
10. b)de esa norma, al considerar como tal : “
11. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” IV En el presente caso, a raíz de las actuaciones practicadas al objeto de averiguar el responsable del tratamiento objeto de estudio, se ha obtenido la identidad del titular de la línea telefónica a la que estaba asociada la dirección IP de conexión a Internet que figura en las cabeceras de Internet del mensaje recibido por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 denunciante en su cuenta de correo electrónico. No obstante lo cual, dicho titular (el denunciado) ha negado haber realizado el tratamiento de la cuenta de correo electrónico de la denunciante que se le imputa, manifestando también que no sólo no disponía de ningún dato referente a la denunciante ni tenía ningún fichero con datos de carácter personal, sino que tampoco mantenía ninguna relación con la Asociación de vecinos “El Macutazo” o con la Asociación de “Vecinos Marinador”. Frente a dichas alegaciones, del resto de actuaciones practicadas no ha podido acreditarse ningún tipo de vinculación entre el denunciado y la dirección del sitio web www. B.B.B. que aparece en el cuerpo del correo al estar la página web inoperativa, al igual que no ha podido establecerse ningún tipo de relación entre el denunciado y el dominio desde el que se remitió la convocatoria al acto vecinal organizado por la Asociación de Vecinos Marinador. De este modo, resulta que el único elemento de juicio que vincula al denunciado con los hechos analizados es la información facilitada por Telefónica de España respecto del titular de la dirección IP de conexión a Internet que figuraba como origen del envío en las cabeceras de Internet aportadas por la denunciante. A la vista de tales resultados, no puede obviarse que al Derecho administrativo sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia e “in dubio pro reo” en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Asimismo, el mismo Tribunal Constitucional, en Sentencia 44/1989, de 20 de febrero, indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya practicado una mínima prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. En aplicación del principio de presunción de inocencia, y teniendo en cuenta que en el presente caso no está acreditada la responsabilidad del denunciado en la comisión de los hechos que le son atribuidos, toda vez que su condición de titular de la línea telefónica a la que estaba asociada la dirección IP de conexión a Internet desde la que partió el envío no acredita, en forma fehaciente, que dicha persona fuera el autor material del correo y, consecuentemente responsable del tratamiento del correo electrónico de la denunciante. Es decir, frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, debe concluirse que el indicio de prueba con el que se cuenta no resulta prueba de cargo concluyente para fijar el elemento subjetivo de culpabilidad del denunciado, por lo que procede acordar el archivo del presente apercibimiento al no acreditarse suficientemente vulneración del artículo 6.1 de la LOPD por parte de mismo. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00215/2015) a Don E.E.E. al no haberse podido acreditar en forma fehaciente su responsabilidad en los hechos denunciados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 2.- NOTIFICAR el presente Acuerdo a Don E.E.E.. 3.- NOTIFICAR el presente Acuerdo a Dña. I.I.I.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es