← España

A-00225-2013

1/8 Procedimiento Nº: A/00225/2013 RESOLUCIÓN: R/00305/2014 En el procedimiento A/00225/2013, instruido por la Agencia Española de Protección de Datos a la entidad AT WORK DISEÑO Y COMUNICACIÓN, S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24 de mayo de 2013 tiene entrada en esta Agencia un escrito de doña A.A.A., en el que denuncia la difusión, a través de la red social Facebook, de los datos de su domicilio y del domicilio de otros participantes en un concurso organizado a través del perfil “sandía fashion” de esa red social. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a AT WORK DISEÑO Y COMUNICACIÓN, S.L., ASOCIACIÓN GRUPO FASHION y a EASYPROMOS teniendo conocimiento de los siguientes extremos: 1. La denunciante ha aportado copia impresa de una página asociada a la dirección web https://...facebook...., donde se publicaban los perfiles de distintos usuarios reclutados, entre ellos la propia denunciante, incluyendo imagen, nombre de perfil y domicilio. Acompaña asimismo copia impresa de los comentarios intercambiados el 20 de mayo con los administradores del perfil, al respecto de la difusión de sus datos. En este documento se incluye una respuesta, a las 8:49, con el siguiente texto: “Hola [nombre de la denunciante], en ningún momento hemos pretendido que los datos personales sean públicos. Ha sido un error en la programación. Creemos que ya está corregido. Te rogamos vuelvas a mirar desde tu perfil para comprobarlo. No obstante, si quieres que eliminemos tu participación en el concurso lo haremos inmediatamente. Pedimos disculpas nuevamente por el error. Un saludo.” Asimismo se aprecia otro comentario, a las 9:11, con este contenido: “Hola [nombre de la denunciante]. Sentimos mucho que finalmente decidas no participar. Insistimos que nuestra intención no ha sido en ningún momento cometer un error tan grave y básico. Te reiteramos nuestras disculpas. Un saludo.” 2. Por la Inspección de Datos se ha verificado que en el perfil “sandía fashion” se publicó un mensaje con el siguiente texto: “Buenos días. Pedimos disculpas por el error cometido en la participación de nuestro concurso. Dicho error ha venido provocado por la programación de la aplicación ya que en ningún momento hemos pretendido que los datos personales sean públicos. Creemos que ya está solucionado pero os agradeceríamos cualquier comentario al respecto que efectivamente nos confirme que dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 error está subsanado. Muchas gracias por vuestros mensajes avisándonos […]”. 3. En contestación al requerimiento de la Inspección, la ASOCIACIÓN GRUPO FASHION ha aclarado a la Agencia que los datos de los participantes en el concurso organizado a través del perfil “sandia fashion” se incorporan al fichero denominado “Clientes y/o proveedores”, inscrito por esa entidad en el Registro General de Protección de Datos. 4. La ASOCIACIÓN GRUPO FASHION ha aportado a la Agencia una copia impresa del formulario que el 27 de junio de 2013 era accesible a través del perfil de Facebook, donde se informaba de que la promoción ya estaba cerrada desde el 2 de junio. En ese formulario se solicitaba el nombre y apellidos, e-mail, teléfono y ciudad del participante, que debía confirmar que había leído y aceptado el documento de bases legales, donde, en particular, se informaba de que la Asociación es la responsable del fichero con los datos de los participantes y de la posibilidad de ejercitar los derechos ARCO. En el formulario se indicaba: “Facebook no patrocina, avala ni administra de modo alguno esta promoción, ni está asociado a ella. Estás proporcionando tu información a sandía fashion y no a Facebook”. En el encabezamiento del formulario se indicaba: “Responde a tres sencillas preguntas acerca de sandía marca fashion y consigue un fantástico regalo: una caja con cuatro exquisitas sandías Fashion® para disfrutar con tus familiares y amigos. Elegiremos los 5 afortunados entre todos los participantes que hayan respondido correctamente a las tres preguntas del formulario y hayan reclutado al menos un amigo para participar en la promoción.” 5. Este formulario difiere del que figura en el documento aportado por la denunciante, fechado el 20 de mayo de 2013, donde aparte de los campos indicados figura uno adicional con la siguiente leyenda: “Rellena con tus datos personales todos los campos del formulario”. 6. La ASOCIACIÓN GRUPO FASHION ha aportado a la Agencia copia del contrato suscrito el 1 de abril de 2011 con AT WORK DISEÑO Y COMUNICACIÓN, S.L., en el que se regulan las condiciones en las que esta compañía actúa en calidad de encargado de tratamiento al respecto de los ficheros de los que es responsable la Asociación, en particular del citado en el apartado anterior. La cláusula undécima de este contrato regula las obligaciones que asume el encargado, según lo dispuesto en el artículo 82 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre. 7. La ASOCIACIÓN GRUPO FASHION ha declarado que designó a la citada compañía para llevar a cabo la creatividad y contratación de recursos promocionales y de publicidad durante el año 2013. En particular, esta compañía ha sido la encargada de contratar, a través de la APP EASYPROMOS, las promociones que gestiona y lanza a través de la página de la Asociación en la red social Facebook. 8. La ASOCIACIÓN GRUPO FASHION ha aportado un informe emitido por AT WORK DISEÑO Y COMUNICACIÓN, S.L., fechado el 20 de junio de 2013, al respecto de la incidencia detectada en el concurso. En el documento aportado la “community manager” transcribe la contestación recibida del departamento de atención al cliente de EASYPROMOS: “El problema ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 venido derivado porque al escribir texto en la casilla ‘comentarios’ se ha activado dicha casilla. La aplicación no permitía participar sin poner texto en dicha casilla lo que hizo pensar a los usuarios que debían escribir sus datos personales. Y efectivamente estos datos personales aparecían como públicos según e-mail de respuesta”. La ASOCIACIÓN GRUPO FASHION concluye en su escrito que la incidencia fue solucionada por AT WORK DISEÑO Y COMUNICACIÓN, S.L. tan sólo 49 minutos después de tente conocimiento de la misma a través de los mensajes recibidos de algunos participantes, entre ellos la denunciante. 9. En respuesta al requerimiento de la Inspección, EASYPROMOS, S.L. ha expuesto los términos de su vinculación con los usuarios de Facebook y con las entidades que, como la ASOCIACIÓN GRUPO FASHION, hacen uso de la aplicación específicamente diseñada para esta red social, para las que actúan en calidad de encargado del tratamiento de los participantes en las promociones organizadas. TERCERO: Con fecha de 14/11/2013 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00225/2013. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: De las Actuaciones Practicadas han resultado acreditados los siguientes hechos: Uno.- En fecha de 20/05/2013, en el perfil de Sandia Fashion (ASOCIACIÓN GRUPO FASHION) en la red social Facebook se puso a disposición de los usuarios la participación en un concurso, para lo cual se tenía que rellenar un formulario con los siguientes campos: Nombre y apellidos, E-mail, Teléfono, Ciudad. Dos.- Tras inscribirse en el concurso, los datos personales de los participantes fueron publicados en una página web relativa al perfil de Sandia Fashion, sin restricción de tal modo que eran accesibles por terceros. Tres.- ASOCIACIÓN GRUPO FASHION y AT WORK DISEÑO Y COMUNICACIÓN, S.L tenían un contrato en virtud del cual ésta actuaba como encargado de tratamiento de aquella para la realización de una campaña publicitaria, en la red social Facebook a través de la empresa EASYPROMOS, S.L. Cuatro.- Tras varias quejas de los afectados formuladas a través de las publicaciones realizadas en dicho perfil de la red social, Sandia Fashion publicó: Buenos días. Pedimos disculpas por el error cometido en la participación de nuestro concurso. Dicho error ha venido provocado por la programación de la aplicación ya que en ningún momento hemos pretendido que los datos personales sean públicos. Creemos que ya está solucionado pero os agradeceríamos cualquier comentario al respecto que efectivamente nos confirme que dicho error está subsanado. Muchas gracias por vuestros mensajes avisándonos […]”. Cinco.- En fecha de 21/05/2013, Sandia Fashion publicó: (…)se ha resuelto completamente el error cometido ayer en la aplicación de nuestro concurso y ya podéis ver solamente a los participantes y sus reclutados sin ningún tipo de información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 adicional (..) Seis.- AT WORK DISEÑO Y COMUNICACIÓN, S.L., emitió un informe de fecha 20/06/ 2013, al respecto de la incidencia detectada en el concurso transcribiendo la contestación recibida del departamento de atención al cliente de EASYPROMOS: “El problema ha venido derivado porque al escribir texto en la casilla ‘comentarios’ se ha activado dicha casilla. La aplicación no permitía participar sin poner texto en dicha casilla lo que hizo pensar a los usuarios que debían escribir sus datos personales. Y efectivamente estos datos personales aparecían como públicos según e-mail de respuesta” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD II El artículo 3 de la LOPD recoge, entre otras, las siguientes definiciones como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, la AOCIACION GRUPO FASHION ha de considerarse responsable del fichero y del tratamiento, y AT WORK DISEÑO Y COMUNICACIÓN, S.L., como encargado del tratamiento, ambos ostentan una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. AT WORK DISEÑO Y COMUNICACIÓN, S.L., de acuerdo con el contrato de 01/04/2011, “se obliga al cumplimiento de las obligaciones derivadas de la normativa de protección de datos y más concretamente, en lo que se refiere a la implantación de las medidas de seguridad que se indican a continuación según lo dispuesto en el RD 1720/07.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 III Dispone el art. 9 de la LOPD, que ” El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” En el presente caso, se ha acreditado que los datos personales de los participantes en la campaña realizada por AT WORK por cuenta de la ASOCIACION GRUPO FASHION, han sido publicados sin restricciones de acceso, en el perfil de la red social Facebook. En concreto, fueron accesibles a cualquier usuario de dicha red social los datos personales consistentes en imagen y nombre del perfil, el domicilio, y en algunos casos el nº de teléfono. IV Dispone el artículo 44.3.
  2. h)de la LOPD que considera con infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. Dispone el art. 91 del RDLOPD: 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. En el presente caso, se cumplen los supuestos de hechos que tipifica el precepto, es decir, resulta acreditado el acceso a datos personales de los participantes en un concurso a través de un perfil de la red social, por parte de cualquier usuario de la misma. V Procede a continuación abordar si la conducta observada por ASOCIACIÓN GRUPO FASHION y AT WORK DISEÑO Y COMUNICACIÓN que se estima vulnera el artículo 9 de la LOPD, es imputable a las citadas entidades. Una vez constatado que se llevó a cabo realizó la acción típica – infracción de la observancia de las medidas de seguridad que posibilitaron el acceso por terceros de datos personales, debemos analizar si concurre en el elemento subjetivo de la culpabilidad respecto de las entidades implicadas. La presencia del elemento subjetivo es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la AEPD) Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
  3. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Por lo que atañe a la diligencia que es exigible en estos casos, la STAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) Por otra parte resulta fundamental recordar que el Tribunal Supremo, Sentencia de 23 de enero de 1998,advierte que “...aunque la culpabilidad de la conducta también puede ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquella forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de ausencia de culpa”.(El subrayado es de la AEPD) El ilícito administrativo acreditado requiere la existencia de culpa como elemento integrante del tipo sancionador. La presencia de este elemento respecto de ASOCIACIÓN GRUPO FASHION ha sido excluida por las circunstancias apuntadas en el contrato y la actuación de EASYPROMO como ejecutor material de la campaña por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 cuenta de AT WORK DISEÑO Y COMUNICACIÓN, S.L que a su vez actuaba como agente de aquella. La falta de instauración de mecanismos que evitaran el ilícito acaecido conlleva per se, la actuación de AT WORK DISEÑO Y COMUNICACIÓN, S.L al margen de las instrucciones establecidas por el responsable de tratamiento, ASOCIACIÓN GRUPO FASHION, esto es, obligaciones y compromisos asumidos en el citado contrato de 01/04/2011. Por tanto respecto de ASOCIACIÓN GRUPO FASHION, concurren circunstancias que de un lado impiden enervar la presunción de inocencia, y de otro, instaurarían un sistema de responsabilidad objetiva, proscrito en los principios que han de regir la potestad sancionadora. Sin embargo, respecto de AT WORK DISEÑO Y COMUNICACIÓN, S.L la culpabilidad ha quedado acreditada en atención a la existencia del incumplimiento de las compromisos asumidos en el citado contrato, en concreto la inobservancia de las medidas de seguridad que le eran propias y el celo y rigor a la hora de verificar el cumplimiento por parte de la entidad que diseña y gestionaba la aplicación que posibilitaba la participación en el citado concurso, esto es, EASYPROMOS, S.L. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  6. a)y
  7. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción y la pronta solución de la incidencia. De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00225/2013) a AT WORK DISEÑO Y COMUNICACIÓN, S.L con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3
  8. h)de la citada Ley Orgánica. 2.- Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar. 3.- NOTIFICAR el presente Acuerdo a D. AT WORK DISEÑO Y COMUNICACIÓN, S.L.. 4.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.