A-00242-2013

1/12 Procedimiento Nº: A/00242/2013 RESOLUCIÓN: R/01072/2014 En el procedimiento A/00242/2013, instruido por la Agencia Española de Protección de Datos a la entidad BETPARTNER MARKETING, S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/03/2013 y 28/06/2013, tuvieron entrada en esta Agencia Española de Protección de Datos un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia los siguientes hechos: Con fecha 08/06/2013 procedió a la devolución de una tablet comprada el día 4 del mismo mes en el establecimiento BETPARTNER MARKETING, S.L. (en lo sucesivo BETPARTNER), por problemas de acceso a la misma. Como ya se habían incorporado datos personales e incluso profesionales, advierte a la persona de la tienda que no ha podido borrar la información personal, que le responde que dicha información será borrada, ya que se devolverá al fabricante y éste procederá al formateo. Con fecha 13/02/2013, responsables de la empresa en la que trabaja le comunicaron que han tenido conocimiento del envío de correos a terceras personas con información de la empresa. Por este motivo, volvió a ponerse en contacto con la tienda, solicitando acreditación del borrado del contenido de su tablet, no habiendo obtenido respuesta en este sentido. Con fecha 21/02/2013, presentó denuncia ante la Dirección General de la Policía por los mismos hechos. Con fecha 25/02/2013, se tomó declaración al encargado de la tienda, que realizó, entre otras, las siguientes:  La tablet fue vendida nuevamente a otro cliente.  No obstante, el día 30/01/2013 fue nuevamente devuelta por el segundo cliente, procediendo desde la tienda a devolverla al fabricante.  No sabe si tras la primera devolución hubiera podido quedar alguna información almacenada en la tablet.  No sabe si la dirección del correo del primer comprador y su contraseña han podido quedar almacenadas en la tablet.  No sabe si se podría recuperar la información almacenada en la tablet hasta el momento de su devolución.  El comprador manifestó que la tablet contenía información personal. Con fecha 26/02/2013, se tomó declaración al compañero del encargado de la tienda, que identifica al segundo comprador, al que también se tomó declaración, manifestando lo siguiente:  efectivamente existía una cuenta de correo electrónico de una persona desconocida, con un archivo EXCEL en su interior.  Que puesto en contacto con un amigo, permitió que éste se reenviase dicho correo electrónico a su cuenta personal. Asimismo, señala los perjuicios que el incidente denunciado ha provocado en su situación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 familiar y laboral, así como en su situación económica y profesional, y solicita la mediación de la Agencia para resolver la situación.. Con su denuncia aporta, entre otros, los siguientes documentos: . Factura de compra del dispositivo indicado, de fecha 04/01/2013, y la de anulación de la venta, que tuvo lugar el día 08/01/2013. En dicha factura constan los datos relativos a la entidad BETPARTNER, su inscripción en el Registro Mercantil y domicilio fiscal. . Presupuesto emitido por de 14/02/2014, por el mismo concepto que la factura correspondiente a la evolución de la tablet, en la que consta la indicación “Esta máquina fue restaurada a sus valores de fabrica el pasado 08/01/13 en el momento de su devolución”. . Declaración prestada por el denunciante ante la Comisaría de Policía de Cartagena, en la que manifiesta que el responsable del establecimiento de BETPARTNER en el que adquirió la tablet le informó, en fecha 14/02/2013, que el dispositivo había sido devuelto al fabricante, pero ha tenido conocimiento de que la misma fue vendida nuevamente a un tercero. . Declaración prestada ante la Comisaría de Policía de Cartagena por el responsable de BETPARTNER, de fecha 25/02/2013, en la que reconoce que “el comprador, aproximadamente una hora después de haber devuelto la tablet, se personó nuevamente en el establecimiento, manifestando que la tablet contenía información personal”. Asimismo, añade que la tablet fue vendida a un segundo comprador y finalmente devuelta al fabricante el día 30/01/2013. Preguntado si pudo quedar almacenada algún tipo de información del primer comprador, su dirección de correo electrónico y contraseña y si era posible recuperar información previamente eliminada, el declarante respondió “que no lo sabe”. . Declaración prestada ante la Comisaría de Policía de Cartagena por el segundo comprador de la tablet, en la que manifiesta que a través de la misma “accedió a la cuenta de correo electrónico de una persona desconocida, habiendo encontrado en ésta un mensaje conteniendo un archivo Excel”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas elaborado: . Con fecha 26/07/2013, se recibió en esta Agencia escrito de la entidad BETPARTNER, en el que pone de manifiesto lo siguiente: 1.1. El denunciante adquiere el 04/01/2013 un tablet, el cual devuelve con fecha 08/01/2013, alegando que no entra en carga. A pesar de que se comprueba que no existe problema, el cliente insiste en devolverla. 1.2. Una vez realizado el abono del producto a petición del cliente, el producto se restaura a los valores de fábrica. En su respuesta, BETPARTNER no especifica explícitamente que la tablet hubiese sido formateada y que hubiese comprobado el borrado de la información existente en la misma. TERCERO: Con fecha 21/01/2014, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la LOPD, acordó someter a BETPARTNER a trámite de audiencia previa al apercibimiento, por la presunta infracción del artículo 9 de la LOPD, en relación con los artículos 82, apartados 2 y 3, 91 y 92.4 del Real Decreto 1720/2007, de 21 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. La notificación del citado acuerdo de trámite de audiencia previa al apercibimiento remitida a la entidad BETPARTNER fue devuelta por el Servicio de Correspondencia con la indicación “Destinatario no acepta”. Posteriormente, se llevó a cabo una nueva notificación mediante edicto, conforme a lo establecido en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, concediéndose a dicha entidad plazo para formular alegaciones, que transcurre sin que en esta Agencia se haya recibido escrito alguno. CUARTO: El denunciante presentó escrito de personación en el procedimiento. Dentro del plazo que le fue concedido, el denunciante presentó escrito de alegaciones en el manifestó lo siguiente: . El denunciado no facilita información clara sobre el responsable del fichero o tratamiento; no consta en el Registro General de Protección de Datos, incumpliendo el artículo 26 de la LOPD; y no incluye en la documentación que facilita a los afectados ningún aviso legal en cumplimiento de lo dispuesto en el artículo 5 de la LOP. . De las pruebas que constan en las actuaciones, queda acreditado que el dispositivo adquirido por el denunciante, posteriormente devuelto a BETPARTNER, fue nuevamente comercializado por esta entidad sin haber procedido previamente a la eliminación de la información que contenía, lo que supone un claro incumplimiento de lo dispuesto en el artículo 9 de la LOPD. . Incumplimiento de los artículos 6 y 11 de la LOPD, relativos al consentimiento para el tratamiento de los datos y a la comunicación de los mismos, que ha podido ser conocidos por terceros, existiendo una clara relación de causalidad entre la actuación por omisión de la tienda y el conocimiento de los datos de mi mandante por terceras personas, las cuales nunca habrían tenido acceso a dichos datos de haberse llevado una correcta actuación y un cumplimiento de las medidas de seguridad prevista en el Reglamento de Protección de Datos. . Considera dolosa la actuación de BETPARTNER, que fue advertida en dos ocasiones por el denunciante sobre la necesidad de proceder al borrador de la información almacenada en el dispositivo, y que llevó a cabo un engaño deliberado al certificar dicho borrado mediante un documento en el que se indica que fueron restaurados los valores de fábrica. Dicha entidad ha restado importancia al cumplimiento de la normativa en protección de datos, obviando por completo las medidas de seguridad que han de aplicar para el tratamiento de los datos de carácter personal contenidos en los dispositivos que manejan, y esto no puede hacerse de otra forma que no sea de forma intencionada. . Pasividad en el actuar de la mercantil además de que la misma pretende evadir cualquier responsabilidad en los hechos denunciados. De acuerdo con lo expuesto, considera que procede sancionar a la mercantil culpable. Dejar el presente procedimiento en un mero apercibimiento, supone una evidente indefensión a quien interesa, como es el caso, la tutela de sus derechos, no solo por el perjuicio ocasionado sino para que actuaciones y hechos como los denunciados no vuelvan a. repetirse, debiendo servir de ejemplo para quienes pretendan no cumplir con lo que la LOPD y su Reglamento de desarrollo, y demás normativa que afecta a la protección de los datos personales y a la intimidad de la persona, evitando así que traten de sustraerse al cumplimiento de las medidas necesarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Finalmente, solicita a la Agencia Española de Protección de Datos que reconozca al afectado el derecho a ser indemnizado por el perjuicio causado, aunque admite conocer que no corresponde a esta Agencia determinar indemnización alguna HECHOS PROBADOS 1. Con fecha 04/01/2013, el denunciante adquirió una tablet en un establecimiento de la entidad BETPARTNER, procediendo a la devolución del citado dispositivo el día 08/01/2013. El día de la devolución, el denunciante advirtió al responsable del establecimiento que la tablet contenía información personal. . El responsable del establecimiento de BETPARTNER en el que el denunciante adquirió la tablet, en declaración prestada ante la Comisaría de Policía de Cartagena de fecha 25/02/2013, manifestó que la tablet fue vendida a un segundo comprador y finalmente devuelta al fabricante el día 30/01/2013. Preguntado si pudo quedar almacenada algún tipo de información del primer comprador, su dirección de correo electrónico y contraseña y si era posible recuperar información previamente eliminada, el declarante respondió “que no lo sabe”. . El segundo comprador de la tablet que había sido devuelta por el denunciante a BETPARTNER declaró ante la Comisaría de Policía de Cartagena que a través de dicho dispositivo “accedió a la cuenta de correo electrónico de una persona desconocida, habiendo encontrado en ésta un mensaje conteniendo un archivo Excel”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El Titulo VII sobre Infracciones y sanciones, el artículo 43 de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” En relación con los encargados del tratamiento, el artículo 82 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece lo siguiente: “2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de seguridad en los términos exigidos por el artículo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento. 3. En todo caso, el acceso a los datos por el encargado del tratamiento estará sometido a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 medidas de seguridad contempladas en este reglamento”. III Se imputa a BETPARTNER el incumplimiento del principio de seguridad de los datos personales. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
3. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
4. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
5. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
6. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
7. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
8. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
9. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
10. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
11. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Partiendo de tales premisas, procede analizar a continuación las previsiones contenidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, para garantizar la seguridad de los datos personales y, en concreto, que no se produzcan accesos no autorizados. De acuerdo con lo establecido en dicho Reglamento, las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 92 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con acceso a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. Y el citado artículo 92 del Reglamento establece: Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. En definitiva, la denunciada está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado en el procedimiento, y así lo ha reconocido la propia imputada BETPARTNER, que incumplió estas obligaciones, en lo relativo a la supresión de los datos personales del denunciante contenidos en una tablet vendida a un tercero por dicha entidad, la cual había sido previamente adquirida y utilizado por aquél. Dicha eliminación hubiese impedido que el tercero que adquirió la tablet devuelta a BETPARTNER por el denunciante accediera a la información personal relativa a éste contenida en la misma. El propio responsable del establecimiento en cuestión reconoció, en declaración prestada ante la Policía, que fue advertido por el denunciante sobre la naturaleza de la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 contenida en la tablet y que devuelta por el mismo y, a pesar de ello dispuso la venta del aparato sin adoptar ninguna medida para impedir que dicha información pudiera ser accedida por un tercero Por otra parte, a la vista de la documentación formalizada por la Comisaría de Policía de Cartagena, consta igualmente acreditado que el tercero adquirente de la tablet devuelta a BETPARTNER por el denunciante pudo acceder a la cuenta de correo electrónico de éste. En consecuencia, en este caso, resulta que BETPARTNER no había garantizado la seguridad de los datos personales del denunciante, lo que supone la comisión de una infracción del artículo 9.1 de la LOPD, En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. IV El artículo 44.3.
12. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que BETPARTNER ha incurrido en la infracción grave descrita. V De acuerdo con lo expuesto, se iniciaron actuaciones contra la entidad BETPARTNER por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
13. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, se tuvo en cuenta que la citada entidad BETPARTNER no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
16. a)El carácter continuado de la infracción.
17. b)El volumen de los tratamientos efectuados.
18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
19. d)El volumen de negocio o actividad del infractor.
20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
21. f)El grado de intencionalidad.
22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
31. a)y
32. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el carácter no continuado e la infracción, el volumen de los tratamientos afectados, el grado de intencionalidad apreciado y que no constan beneficios obtenidos como consecuencia de la comisión de la presunta infracción ni vinculación de la actividad de BETPARTNER con la realización de tratamientos de datos de carácter personal y la ausencia de reincidencia. Por otra parte, procede requerir a la entidad BETPARTNER la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo medidas correctoras adecuadas para impedir el acceso indiscriminado a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, evitando que resulten accesibles por parte de terceros, con el alcance expresado en los Fundamentos de Derecho anteriores. VI El denunciante ha solicitado que el procedimiento se resuelva con la imposición de la oportuna sanción. A este respecto, cabe señalar que el procedimiento sancionador se inicia siempre de oficio y es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura. Del mismo modo, corresponde al órgano sancionador ponderar la aplicación de lo establecido en el apartado 6 del artículo 45 de la LOPD, atendidas las circunstancias concurrentes y los presupuestos contenidos en dicho artículo mencionado. En el presente supuesto se cumplen los requisitos recogidos en los apartados
33. a)y
34. b)del citado apartado 6 y se estimó aplicable la previsión contenida en el mismo. VII Durante la tramitación del expediente, en sus alegaciones a la apertura del trámite de apercibimiento, el denunciante puso de manifiesto que la actuación de BETPARTNER pudiera infringir, además, lo establecido en los artículos 5, 6, 11 y 26 de la LOPD. Sin embargo, ha de señalarse que durante la tramitación del procedimiento no es procedente modificar el planteamiento inicial añadiendo nuevas pretensiones ajenas al objeto propio del procedimiento iniciado en razón a unos hechos concretos y su posible calificación. VIII Con respecto a la reposición de los perjuicios que solicita el denunciante deberá dirigirse a los órganos de la jurisdicción ordinaria, de conformidad con lo dispuesto en el artículo 19 de la LOPD, según el cual: “1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.” De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00242/2013) a la entidad BETPARTNER MARKETING, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
35. h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
36. f)y
37. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a BETPARTNER MARKETING, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados y no a terceros y comprometiéndose expresamente a destruir o borrar cualquier documento o soporte que vaya a desecharse o a comercializarse, evitando el acceso a la información contenida en los mismos o su recuperación posterior. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/03196/2014, podría incurrir en una infracción del artículo 37.1.
38. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
39. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
40. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad BETPARTNER MARKETING, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es