A-00250-2013

1/7 Procedimiento Nº: A/00250/2013 RESOLUCIÓN: R/00809/2014 En el procedimiento A/00250/2013, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO DE DERECHO DE AUTOR, vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO.- En fechas de 2 y 3 de julio de 2013, respectivamente, tienen entrada en esta Agencia sendos escritos de don A.A.A. que, habiendo sido condenado por el Juzgado de lo Penal nº 3 de Valencia, como titular de distintos sitios web que alojaban enlaces a contenidos audiovisuales legalmente protegidos, denuncia la difusión pública de la sentencia condenatoria de forma no disociada. El escrito se dirige contra dos socias del bufete Suárez de la Dehesa que, según se desprende de la documentación aportada, representó a la acusación particular en el juicio. Junto a la denuncia, se aporta copia impresa de una noticia publicada el 27 de junio de 2013 en el diario EL MUNDO, que incluye declaraciones de una de las abogadas y referencias a las iniciales del condenado (http://www.elmundo.es.........1). Se aporta asimismo copia impresa de un mensaje, remitido el día anterior por la otra abogada a la lista de correo ...@..., incluyendo un documento anexo, denominado Sentencia.pdf, con el texto íntegro de la notificación practicada vía LexNET por la procuradora, en fecha 25 de junio de 2013. Este mismo documento, donde se incluye el nombre y apellidos de la primera abogada, en calidad de representante legal, fue publicado en el sitio web del INSTITUTO DE DERECHO DE AUTOR, asociación sociocultural que se hizo eco de la condena a través del apartado de noticias de su sitio web (http://www.instituto......................), al que se refiere la segunda de las denuncias. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican Diligencias teniendo conocimiento de los siguientes extremos: En fechas 17 de julio y 9 de diciembre de 2013, por la Inspección de Datos se ha comprobado que el texto íntegro de la sentencia, con el nombre y apellidos del denunciante figuraba publicado, sin restricciones de acceso, en la dirección web http://www.instituto......................1. La primera página de este documento contiene la cabecera de notificación del servicio LexNET, con el nombre completo de la primera abogada, en calidad de letrada. TERCERO: Con fecha 21/02/2014, el Director de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00250/2013. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Con fecha 19/03/2014 se recibe en esta Agencia escrito del denunciado en el que comunica: Que el enlace “http://www.instituto......................1, no es ni ha sido nunca un enlace que estuviese activo o accesible desde ninguna sección de la página web www.instituto........ Dicho enlace consiste en una URL que se genera a través del gestor de contenidos de www.instituto....... de forma automática cuando se “carga” un documento pdf dentro del texto de la noticia de una de las secciones de la web del lA. Al desactivar el enlace a la sentencia en la noticia titulada “Un Juzgado Penal condena a un administrador de páginas web por enlazar”, sin embargo, la URL en formato pdf creada de forma automática a través del gestor de contenidos de la web, no se eliminó totalmente de Internet, ya que el enlace había sido indexado por Google, permitiendo la búsqueda y el acceso única y exclusivamente para aquellas personas que tecleasen exactamente la dirección www.instituto......................1directamente en la barra de navegación del buscador. Por consiguiente, sólo una persona experta en el funcionamiento de Internet y que tuviese un particular interés por localizar esta dirección web, como es el denunciante, podría localizarla ya que, como indicamos, la misma no resulta accesible de ningún modo desde la web del lA (www.instituto.......). Es cierto por lo tanto que la dirección http://www.instituto......................1, ha permanecido activa hasta la fecha de recepción por el lA del escrito de apercibimiento de la AEPD, pero ello se ha debido -única y exclusivamente- al desconocimiento técnico de Internet por parte del personal del Instituto de Derecho de Autor - y en concreto, de tal situación - por entender que, una vez desactivado el enlace a la referida sentencia desde la noticia principal, desaparecía todo acceso posible a ella desde la web www.instituto....... Ha sido precisamente por el escrito de apercibimiento al que se contesta con las presentes alegaciones, cuando el Instituto de Derecho de Autor ha tomado consciencia de la existencia de tal URL y del hecho de que, desde ella, se podía seguir accediendo a la referida sentencia. Nada más tomar conocimiento de tales hechos, el personal responsable del Instituto de Derecho de Autor encomendó a un experto informático la desactivación y eliminación definitiva del acceso de la referida página web desde cualquier navegador de Internet, lo cual se llevó a cabo en cuestión de horas. A día de hoy, el texto íntegro de la sentencia en la que figuraban los datos personales del denunciante no resulta accesible, ni desde la dirección: http://www.instituto......................2 ni desde la dirección http://www.instituto......................1 ni desde ninguna otra dirección accesible, por vía directa o indirecta, voluntaria o involuntaria, desde la web www.instituto........ De ello da fe la Certificación Notarial que se adjunta. QUINTO: De las actuaciones practicadas han quedado acreditados los siguientes HECHOS PROBADOS Uno.- Resulta acreditado que en fecha de 25/06/2013 y 09/12/2013 consta accesible a través de internet una sentencia con datos personales del denunciante en la dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 web http://www.instituto......................1 relativa a una condena penal a un administrador de páginas web por violar las normas de propiedad intelectual. Dos.-El dominio www.instituto....... pertenece a la asociación socio-cultural “Instituto de derecho de autor”, encontrándose entre los fines de la asociación (…) la promoción y difusión del estudio de la Propiedad Intelectual. Tres.- Mediante escrito de 17/03/2014 la representación de Instituto de Derecho de Autor manifestó la url donde se encontraba accesible la sentencia (…)que se genera a través del gestor de contenidos de www.instituto....... de forma automática cuando se “carga” un documento pdf dentro del texto de la noticia de una de las secciones de la web del lA (…) y que (…)Al desactivar el enlace a la sentencia en la noticia titulada “Un Juzgado Penal condena a un administrador de páginas web por enlazar”, sin embargo, la URL en formato pdf creada de forma automática a través del gestor de contenidos de la web, no se eliminó totalmente de Internet, ya que el enlace había sido indexado por Google, permitiendo la búsqueda y el acceso única y exclusivamente para aquellas personas que tecleasen exactamente la dirección www.instituto......................1directamente en la barra de navegación del buscador.(…) Cuatro.- Resulta acreditado que ya no es accesible la sentencia a través de los enlaces http://www.instituto......................1 y que a través del enlace http://www.instituto...................... se accede a un resumen de la sentencia, sin contener datos de carácter personal. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 6.1 de la LOPD: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por lo tanto, se exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, INSTITUTO DERECHOS DE AUTOR, como titular del dominio institutoautor.org ha de considerarse responsable del fichero y del tratamiento, y por tanto ostenta una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. III Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. En el presente caso, ha resultado probado que INSTITUTO DE DERECHOS DE AUTOR ha tratado datos del denunciante sin su consentimiento. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Así las cosas el titular de los datos observa cómo éstos son tratados para fines al margen de su voluntad y para una finalidad al margen del proceso judicial del que trae causa la sentencia, lo que escapa del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 De conformidad con la definición de tratamiento de datos personales, se ha acreditado el tratamiento por parte de INSTITUTO DE DERECHOS DE AUTOR de los datos del denunciante, sin que haya presentado ninguna prueba que acredite que contaba con su consentimiento , así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. IV Dispone el artículo 44.3.
2. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
3. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
5. a)y
6. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción y que tras recibir el Acuerdo de Audiencia Previa, ha suprimido el enlace donde se indexaba la sentencia y en el resumen de la misma ha anonimizado los datos personales del denunciante en el sitio web. Por tanto, cabe entender que finalmente cumplió con los preceptos inicialmente vulnerados y en consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento a INSTITUTO DE DERECHO DE AUTOR con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
7. b)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a A.A.A.. INSTITUTO DE DERECHO DE AUTOR y a D. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es