← España

A-00283-2016

1/9 Procedimiento Nº: A/00283/2016 RESOLUCIÓN: R/00370/2017 En el procedimiento A/00283/2016, instruido por la Agencia Española de Protección de Datos a D. F.F.F., vista la denuncia presentada por DÑA. E.E.E. y D. I.I.I., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/10/2015, tuvo entrada en esta Agencia un escrito de D. E.E.E. y D. I.I.I. (en lo sucesivo los denunciantes) en el que denuncian a D. F.F.F. (en lo sucesivo el denunciado), profesional de la abogacía del que fueron clientes, por divulgar a través de internet la sentencia correspondiente al proceso en el que fueron representados por el mismo. A dicha Sentencia se accedía mediante un enlace insertado en un artículo publicado por el denunciado en la web legaltoday.com, en el que se incluyen algunos aspectos del caso concreto. Según manifiestan los denunciantes, en el documento insertado los datos personales aparecen enmascarados, pero mediante un sencillo procedimiento se tiene acceso a la información: seleccionando la zona tachada en negro y presionando el botón derecho del ratón los datos dejan de estar ocultos, o bien mediante el procedimiento de “corta y pega”. Además, añaden los denunciantes que también puede accederse a dicha sentencia mediante una búsqueda en Google con los criterios “ I.I.I.” Bankia (en el primer resultado aparece un enlace al mencionado fichero en formato, en el que constan los datos de los denunciantes); y que el denunciado, con fecha 12/06/2015, incluyó un enlace a la misma en su perfil de Twitter. Aportan los denunciantes impresión de pantalla correspondiente al artículo reseñado. Al final de dicho artículo se incluye un enlace “ G.G.G.” que permite acceder a la sentencia objeto de la denuncia, así como de las búsquedas realizadas mediante el buscador Google. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. Con fecha 16/02/2016, por los Servicios de Inspección se accede a Internet comprobándose lo siguiente: a. En la web www.legaltoday.com figura un artículo titulado “ C.C.C.”, publicado con fecha 11/06/2015. Según la web, el autor del artículo es el denunciado. El artículo presenta un enlace a la sentencia base del mismo. b. Descargado el fichero de dicha sentencia, se comprueba que se trata de un fichero en formato PDF en el que figuran enmascarados los datos personales de los demandantes si bien, mediante la técnica de copia y pega, se puede extraer el contenido completo del artículo, mostrándose todos los datos personales enmascarados. c. Se comprueba igualmente que el artículo ha sido indexado por el buscador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Google, y que en la caché de dicho buscador aparecen los datos sin enmascarar, fruto de que las máscaras son transparentes para Google. d. Examinados los metadatos del fichero PDF descargado, en las propiedades de seguridad del documento, se comprueba que se permite la copia del contenido. 2. De la información y documentación aportada por Editorial Aranzadi, S.A. (en lo sucesivo ARANZADI), titular de la web legaltoday.com, se desprende: a. Mediante correo electrónico de fecha 10/06/2015, el denunciado remitió a ARANZADI el artículo objeto de la denuncia y la sentencia mencionada en el mismo formato y estado descrito en el Antecedente Primero, para que ambos fuesen publicados en la web legaltoday.com. Dicho correo incluye la indicación siguiente: <<Les envío la sentencia y la nota de prensa junto con una foto mía por si les interesa publicarla (eliminan datos personales de los clientes porque no desean aparecer en ninguna publicación)>> b. Aporta ARANZADI copia del artículo, así como impresión en papel de la sentencia y soporte digital de la misma, en la que se muestran enmascarados los datos personales. 3. De la información y documentación aportada por el denunciado se desprende: a. Aporta copia de la sentencia en formato digital, en la que se muestran enmascarados los datos personales de los denunciantes. b. Manifiesta que: <<Como pueden ustedes observar, no he comunicado ni cedido a un tercero dato personal ninguno de las personas denunciantes y por tanto no hay que pedir consentimiento de los afectados al no haberse hecho tratamiento de sus datos personales>>. 4. Comparadas las huellas digitales de los ficheros PDF aportados por ARANZADI y por el denunciado con los descargados de la web www.legaltoday.com se encuentra que son idénticos. 5. Con fecha 05/07/2016 se comprobó que el fichero origen de la denuncia continúa indexado por Google. TERCERO: Con fecha 20/09/2016, la Directora de la Agencia Española de Protección de Datos acordó someter al denunciado a trámite de audiencia previa, en relación con la denuncia por infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. d)de la citada Ley Orgánica. CUARTO: Con fecha 15/09/2016, el denunciado presentó escrito de alegaciones en el que solicita que la no apertura de procedimiento sancionador de conformidad con las consideraciones siguientes: . En todo momento su intención ha sido ocultar los datos personales de los denunciante, como lo prueba el contenido del correo remitido a ARANZADI solicitando la publicación del artículo y la Sentencia, en el que se indicaba “Les envío la sentencia y la nota de prensa junto con una foto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 mía por si les interesa publicarla (eliminan datos personales de los clientes porque no desean aparecer en ninguna publicación)”, y el proceso aplicado a la misma enmascarando los datos susceptibles de identificación. . Conoce la incidencia hasta con la notificación efectuada por la AEPD y, en ese momento, mediante burofax de 28/10/2016 que aporta, solicita a ARANZADI la eliminación de la Sentencia de la página web www.legaltoday.com y que se dirijan a Google España para que dicho archivo sea desindexado de los resultados del buscador. . Procede de forma diligente a tomar las medidas correctoras oportunas, es la primera infracción en la que está involucrado, el volumen de datos es ínfimo, su actividad es ajena al tratamiento de datos, su volumen de negocio no se ha visto beneficiado con la publicación de la noticia y no se ha ocasionado perjuicios a los interesados o terceros. QUINTO: Con fechas 09 y 14/02/2017, por la Subdirección General de Inspección de Datos se realiza una búsqueda a través del buscador de Internet Google, con el criterio “ E.E.E.”, obteniendo en el primer resultado una enlace con el texto siguiente: “ D.D.D. B.B.B.”. Dicho enlace contiene, a su vez, otro enlace en caché que permite el acceso a la Sentencia objeto de la denuncia, en formato pdf y en el mismo estado en que fue remitido a ARANZADI por el denunciado. HECHOS PROBADOS 1. Los denunciantes fueron clientes del denunciado, que les asistió como profesional de la abogacía en un procedimiento judicial promovido por aquellos, resuelto mediante Sentencia de DD/MM/AA. 2. Mediante correo electrónico de fecha 10/06/2015, el denunciado remitió a la entidad ARANZADI copia de la Sentencia reseñada en el Hecho Probado Primero y un artículo elaborado por el mismo al respecto, para que fueran publicados en la web www.legaltoday.com. Dicho correo incluye la indicación siguiente: “Les envío la sentencia y la nota de prensa junto con una foto mía por si les interesa publicarla (eliminan datos personales de los clientes porque no desean aparecer en ninguna publicación)”. La sentencia se remite en formato pdf. Los datos personales y los identificativos del proceso aparecen enmascarados. 3. Con fecha 11/06/2015 se publicó en la web www.legaltoday.com el artículo remitido a ARANZADI por el denunciado, bajo el título “ C.C.C.”. Según la web, el autor del artículo es el denunciado. El artículo presenta un enlace a la sentencia reseñada en el Hecho Probado Primero, accesible a terceros sin restricción. 4. Con fecha 12/06/2015, el denunciado incluyó en su perfil de Twitter un enlace al artículo publicado en la web www.legaltoday.com y a la Sentencia a la que se refiere el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 5. Con fecha 16/02/2016, por los Servicios de Inspección de la AEPD se accede a la web www.legaltoday.com comprobando que figura publicado el artículo reseñado en el Hecho Probado Tercero y que incorpora un enlace a la sentencia a la que se refiere el artículo en formato pdf. Se constata que en dicha sentencia figuran enmascarados los datos personales de los demandantes si bien, mediante la técnica de copia y pega, o presionando el botón derecho del ratón, se puede extraer el contenido completo del artículo, mostrándose todos los datos personales enmascarados. 6. Con fecha 16/02/2016, por los Servicios de Inspección de la AEPD se comprueba que el artículo reseñado en el Hecho Probado Tercero ha sido indexado por el buscador Google, y que en la caché de dicho buscador aparecen los datos sin enmascarar, fruto de que las máscaras son transparentes para Google. Examinados los metadatos del fichero PDF descargado, en las propiedades de seguridad del documento, se comprueba que se permite la copia del contenido. 7. Comparadas por los Servicios de Inspección de la AEPD las huellas digitales de los ficheros pdf aportados por ARANZADI y por el denunciado con los descargados de la web www.legaltoday.com se encuentra que son idénticos. 8. Con fechas 09 y 14/02/2017, por la Subdirección General de Inspección de Datos se realiza una búsqueda a través del buscador de Internet Google, con el criterio “ E.E.E.”, obteniendo en el primer resultado un enlace con el texto siguiente: “ A.A.A.”. Dicho enlace contiene, a su vez, otro enlace en caché que permite el acceso a la Sentencia objeto de la denuncia en el mismo formato y estado en que fue remitido a ARANZADI por el denunciado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por el denunciado, relativos a clientes del mismo. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que los datos no puedan revelarse ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
  3. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso consta que el denunciado remitió a la entidad ARANZADI copia de la sentencia a la que se refiere la denuncia y que, a instancia del propio denunciado, con fecha 11/06/2015 se publicó la misma en la web www.legaltoday.com, accesible a terceros sin restricción, figuran en el archivo remitido a aquella entidad y en el publicado los datos personales de los denunciantes relativos a nombre, apellidos y profesión, así como las circunstancias del proceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En el documento facilitado por el denunciado a los responsables de la web citada figuran enmascarados los datos personales de los denunciantes. Sin embargo, el proceso de anonimización aplicado no resultó efectivo, por cuanto era posible visualizar los datos enmascarados y extraer el contenido completo de la sentencia mediante la técnica de copia y pega o presionando el botón derecho del ratón. Esta divulgación de datos personales vulnera lo dispuesto en el artículo 10 de la LOPD, siendo responsable de ello el denunciado, sobre la que recae el deber de secreto que impone dicho precepto como responsable de la custodia de los datos personales de los denunciantes, que fueron clientes de aquel. El denunciado no ha aportado ninguna razón que justifique la divulgación a terceros de los datos personales de los afectados ni consta que estos la hubiesen consentido. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
  4. d)de la LOPD. En este precepto se establece lo siguiente: “
  5. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los clientes del denunciado fueron divulgados a terceros, no habiéndose acreditado que los afectados hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
  6. d)de la LOPD. IV Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad por esta Agencia, por lo que de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la misma a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  7. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  8. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  24. a)y
  25. b)del citado artículo 45.6 de la LOPD, por cuanto la infracción de la que se responsabiliza al denunciado es una infracción “grave” y el mismo no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, el volumen de datos personales afectados por la incidencia denunciada y el grado de intencionalidad apreciado, considerando que la intención inicial del denunciado fue evitar que los datos personales en cuestión pudieran ser accedidos por terceros, aunque, según ha quedado expuesto, los mecanismos adoptados no impidieron este acceso efectivamente. Todo ello, justifica que la AEPD no haya acordado la apertura de un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Por otra parte, el denunciado ha comunicado a esta Agencia las medidas correctoras adoptadas una vez tuvo conocimiento de la incidencia. En concreto, consta que solicitó a ARANZADI la eliminación de la Sentencia de la página web www.legaltoday.com y que se dirigieran a Google España para que dicho archivo sea desindexado de los resultados del buscador. No obstante, por la Subdirección General de Inspección de Datos se ha comprobado que a través del buscador de Internet Google continúa siendo posible acceder a la Sentencia en cuestión, en el mismo formato y en el mismo estado en que fue remitida a ARANZADI por el denunciado. Por tanto, procede requerir al mismo para que adopte las medidas adecuadas para que dicho archivo sea eliminado de la caché del buscador de internet. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00283/2016) a D. F.F.F. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  26. d)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
  27. f)y
  28. n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos. 2.- REQUERIR a D. F.F.F. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 10 de la LOPD. Se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, comprometiéndose expresamente a respetar el deber de secreto y a evitar en el futuro la comunicación de tales datos personales a terceros no autorizados. Asimismo, se le requiere que adopte las medidas necesarias para que la sentencia que ha motivado las presentes actuaciones sea eliminada de la caché del buscador de internet Google y se eliminen de los resultados de búsqueda los datos identificativos de los denunciantes, dirigiéndose nuevamente a la entidad Editorial Aranzadi, S.A. para que solicite de la entidad responsable del buscador Google la supresión de dicho contenido. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a D. F.F.F., a DÑA. E.E.E. y a D. I.I.I.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.