← España

A-00338-2014

1/15 Procedimiento Nº: A/00338/2014 RESOLUCIÓN: R/00197/2015 En el procedimiento A/00338/2014, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/09/2013, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia al titular del vehículo con matrícula C.C.C., D. B.B.B. (en lo sucesivo el denunciado), con el que no mantiene relación alguna, por haber facilitado sus datos al Centro de Tratamiento de Denuncias Automatizadas señalándolo como conductor del vehículo citado en el momento en que se cometió una infracción de tráfico en fecha 18/07/2013. Añade que el titular de dicho vehículo pudo haber obtenido sus datos de su propia esposa, excompañera de trabajo, que tenía acceso a la gestión de nóminas de la empresa en la que trabajó el denunciante. Con la denuncia aporta una “Petición de datos al titular para identificación del conductor”, emitida en relación con la infracción reseñada anteriormente en fecha 26/07/2013 por el Centro de Tratamiento de Denuncias Automatizadas, dirigida al denunciado, en la que los apartados habilitados para la identificación del conductor constan cumplimentados con los datos del denunciante relativos a nombre, apellidos, DNI y domicilio. Dicho documento contiene la referencia de su envío mediante fax a la “DGT” en fecha 31/07/2013. Asimismo, aporta copia de la “Notificación de iniciación de expediente”, de fecha 07/08/2013, por la infracción de tráfico cometida con el vehículo C.C.C. en fecha 18/07/2013, emitida por el Centro de Tratamiento de Denuncias Automatizadas a nombre del denunciante y dirigida al domicilio de éste, que coincide con el que consta en la denuncia formulada ante la AEPD. Por otra parte, aporta copia de la denuncia formulada ante la Comisaría de Policía del Distrito de Puente de Vallecas por los mismos hechos reseñados. SEGUNDO: Con fecha 05/03/2014, se dictó resolución acordando no iniciar actuaciones inspectoras ni procedimiento sancionador, habiendo estimado que, de las pruebas aportadas por el denunciante, no se pudo determinar, con la certeza que exige el procedimiento sancionador, que el denunciado o su esposa hubiesen accedido a ningún fichero de datos. TERCERO: Con fecha 14/04/2014, D. A.A.A. presentó recurso de reposición en el que reitera sus manifestaciones anteriores y añade que el denunciado, D. B.B.B., ha reconocido su culpabilidad por los hechos denunciado según las manifestaciones efectuadas por el mismo en las diligencias previas del procedimiento abreviado seguido ante el Juzgado de Instrucción nº 20 de Madrid, adjuntando copia de la declaración en la que admite haber firmado el “boletín”, que lo “rellenaron mal” y que acepta su culpa. En esta declaración, de fecha 03/12/2013, el denunciado manifiesta que el vehículo con el que se cometió la infracción de tráfico en fecha 18/07/2013 es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 utilizado en el desarrollo de su actividad empresarial. A la vista del contenido del recurso, mediante resolución de fecha 06/10/2014 se acordó estimarlo, así como la realización de las actuaciones pertinentes en relación con los hechos denunciados. CUARTO: Con fecha 18/11/2014, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter al denunciado a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

  1. c)de la misma norma. QUINTO: Con tal motivo, se concedió al denunciado plazo para formular alegaciones, recibiéndose escrito de fecha 10/12/2014, en el que solicita el archivo del procedimiento de acuerdo con las consideraciones siguientes: . No se entiende cómo se subsumen los hechos en la infracción que se imputa. Para poner al día los datos de carácter personal, y que estos respondan con veracidad a la situación actual del afectado, es necesario, o bien ser el responsable del fichero, o bien, el encargado del tratamiento del mismo. Ninguna de dichas cualidades convergen en el denunciado respecto a los datos del denunciante que, por error, facilitó al Centro de Denuncias Automatizadas de Trafico, pues dichos datos los tenía en virtud de la relación personal con el denunciante que el mismo reconoce ante la Dirección General de Tráfico (escrito que adjunta como doc. 1) y ante el propio órgano jurisdiccional (declaración que adjunta como doc. 2). Los hechos, que en este caso consistieron en hacer constar los datos de otro conductor en el boletín de denuncia por una sanción de tráfico, han de incardinarse en el tipo infractor de forma clara o inequívoca, ya que está prohibida una interpretación extensiva o analógica. En consecuencia, la conducta denunciada no está debidamente tipificada, además de no ser punible. Por otra parte, según el artículo 2.2.
  2. a)LOPD, están excluidos de la misma los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales (como la agenda, por ejemplo). . Por estos mismos hechos y en base al mismo fundamento, la utilización indebida de sus datos personales, el denunciante inició un procedimiento penal por tres delitos: usurpación de estado civil, falsificación en documento privado y estafa. Pues bien, el Juzgado de Instrucción n° 20 de Madrid, mediante Auto de 27/06/2014, tras el pronunciamiento del Fiscal que solicitó el sobreseimiento, acordó el sobreseimiento libre parcial por los delitos de usurpación y falsedad en documento privado y, continúo el procedimiento, como Juicio de Faltas, al revestir los hechos objeto del proceso caracteres de falta de estafa (adjunta Auto como doc. 3). Una vez celebrada la vista, el mismo Juzgado dictó Sentencia por la falta de estafa (adjunta Sentencia como doc. 4), quedando absuelto libremente de los hechos objeto de dicho procedimiento. . Invoca la presunción de inocencia y añade que no ha quedado acreditado el acceso a bases de datos protegidas por la LOPD, no siendo suficientes moros indicios o especulaciones sin base probatoria alguna. Tan solo que se cometió un error en la identificación de la persona que conducía mi vehículo, disponiendo yo de dichos datos. . Según el artículo 31.1.
  3. c)Ley 30/1992, no existe en este caso interés legítimo del denunciante que puede resultar afectado por la resolución, en el caso del apercibimiento que no sea la satisfacción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 personal o de la empresa para la cual trabaja que está detrás de todo este escarnio, pero dicha motivación no es digna de protección. . Ha abonado las sanciones de tráfico causa de la controversia y pagado con creces el error, por el desgasto moral que implica un proceso penal, y ha tenido que asumir unos elevados costes de abogado y procurador. SEXTO: Por su parte, el denunciante presentó escrito de personación en el procedimiento, en el que solicita que se anule, revoque y deje sin efecto el acuerdo de audiencia previo al apercibimiento y se acuerde la apertura del procedimiento sancionador por los motivos que se exponen seguidamente: . El Afectado es titular de un interés legítimo, personal y directo que puede resultar afectado por la Resolución que recaiga en este procedimiento. . Los hechos origen de este expediente son los que resultan acreditado con la documental aportada con la denuncia y añade que recibió, en fecha 12/11/2013 otra notificación del Centro de Tratamiento de Denuncias Automatizadas (León) del Ministerio del interior, de una nueva denuncia de fecha de 06/08/2013, que le sanciona como supuesto infractor al haber sido identificado otra vez por el titular del vehículo, el denunciado, como conductor del mismo vehículo en el momento de la infracción (acompaña copia la notificación de iniciación de procedimiento). . Los ilícitos denunciados por el Afectado no pueden reconducirse a la infracción del principio de calidad (art. 4.1 LOPD), consistente en que los datos del Afectado facilitados por el Denunciado a la DGT no fueran exactos o puestos al día, sino que vulneran los art. 4.7, 6.1 y 11.1 de la LOPD, en relación con los artículos 10 y 11 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada Ley Orgánica. El Denunciado ha obtenido de forma fraudulenta los datos del Afectado y ha realizado una doble cesión ilegal de los dichos datos (identificativos y de domicilio), no consentida ni conocida por el Afectado, hasta en dos ocasiones, en ambas buscando un beneficio propio y con fines ilegítimos más que evidentes: su uso fraudulento para inculparle como supuesto autor de hechos constitutivos de infracción que les son totalmente ajenos, lo que a juicio del que suscribe constituye una infracción de los arts. 4.7, 6.1 y 11.1 LOPD. La recogida de forma fraudulenta de los datos del Afectado está tipificada como infracción muy grave en el artículo 44.4
  4. a)de la LOPD, y su posterior tratamiento y cesión a terceros hasta en dos ocasiones, en ambas para fines ilegítimos y fraudulentos del cedente y sin el previo consentimiento del interesado, está tipificado como infracción grave en el artículo 44.3
  5. b)y
  6. k)de la LOPD. . El apartado 6 del art. 45 LOPD no resulta de aplicación cuando los hechos fuesen constitutivos de infracción muy grave conforme a lo dispuesto en la LOPD. Además, a la vista de la naturaleza de los hechos ahora analizados y de las circunstancias concurrentes, en este caso no pueden exigirse medidas correctoras, de modo que no tiene sentido el apercibimiento sino la apertura del procedimiento sancionador. . Los hechos constitutivos de las infracciones denunciadas, merecen un especial reproche, por la evidente mala fe que los inspira y el fin ilegítimo perseguido por el denunciado, que no es otro que desviar y hacer recaer sobre el Afectado las eventuales consecuencias sancionadoras derivadas de sendos expedientes sancionadores incoados por infracciones en materia de tráfico, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 y ello a sabiendas de que el Afectado era totalmente ajeno a los hechos constitutivos de dichas infracciones. . Teniendo en cuenta la naturaleza y circunstancias de los hechos denunciados, la concurrencia de tres criterios mencionados en la Resolución de la AEDP, de los reseñados en el artículo 45.4 y 5 de la LOPD, no queda en absoluto acreditada, y mucho menos puede calificarse su concurrencia de “significativa”. El criterio de la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal no resulta de aplicación al supuesto ahora analizado, pues este es un elemento introducido por la Ley 2/2011 que recoge una exigencia de mayor control y capacidad de seguimiento al infractor cuya actividad implica un alto tratamiento de datos de carácter personal, debiendo estas empresas ser especialmente cuidadosas y diligentes al realizar las operaciones con ellos. El criterio del volumen de los tratamientos efectuados tampoco concurre “de forma significativa”, por la propia naturaleza de los actos ilícitos cometidos por el Denunciado, quien, por razones obvias, no puede ceder los datos de varios afectados como presuntos coautores de infracciones en materia de tráfico, pues éstas solo pueden haber sido cometidas por un único sujeto responsable. En su comparecencia ante el Juez de Instrucción, el Denunciado manifiesta ser autónomo y admite “que conoce al denunciante de hace tiempo, que si es quien él cree trabajó para su esposa”. Es evidente que los sujetos responsables de los hechos denunciados no son empresas que manejan muchos datos personales y que tienen por ello mayor probabilidad de vulnerar alguna materia de protección de datos. Tampoco resulta probada la concurrencia significativa del criterio de la no reincidencia. Antes bien, es evidente la reincidencia por comisión de dos infracciones de la misma naturaleza, por cuanto el denunciado ha cedido sus datos de forma ilegítima en dos ocasiones distintas, y ello en un intervalo de apenas tres semanas. No estamos ante la comisión de un hecho puntual debido a circunstancias temporales, sino ante la comisión de una actividad continuada en el tiempo. La comisión repetitiva del hecho enjuiciado en el paso del tiempo tiene un carácter negativo en la graduación de las sanciones, operando por tanto como una circunstancia agravante de la culpabilidad del imputado. No puede tratarse de un hecho aislado ni de un error puntual ni mucho menos puede apreciarse ausencia de intencionalidad del Denunciado. Resulta, pues, acreditado el dolo en la conducta del Denunciado, y que no se trata de un hecho aislado. Es evidente que los tratamientos ilegítimos realizados por el Denunciado han supuesto un perjuicio específico para el Afectado, quien ha tenido que denunciar los hechos a la Policía y al Juzgado de Instrucción y, además, ha tenido que defenderse en dos expedientes sancionadores de la DGT en los injustamente se ha visto envuelto por la actuación del Denunciado. No concurre de forma significativa ninguna de las circunstancias atenuantes de la culpabilidad (o antijuridicidad) de los apartados 5 y 6 del art. 45 LOPD. En relación con el criterio de la letra
  7. f)del apartado 4, artículo 45 LOPD (“Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”) la Audiencia Nacional ha establecido que debe ser apreciado de forma restrictiva, con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto (SAN 2710-2004, EDJ 272346). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 En todo caso, es igual o más significativa la concurrencia de varios criterios agravantes de la culpabilidad y de la antijuridicidad del ilícito, como son los previstos en las letras
  8. f)y h), a los que nos hemos referido en los párrafos precedentes:
  9. f)El grado de intencionalidad.
  10. h)La naturaleza de los perjuicios causados a las personas interesad as o a terceras personas. Tanto para la AEPD como para la Audiencia Nacional, la reducción de grado o aplicación de la escala inferior prevista en el art. 45.4 LOPD, como la aplicación de la figura del apercibimiento que regula el art. 45.6 LOPD, resulta excepcional y su aplicación es restrictiva e individualizada, en atención a las circunstancias concretas que resulten de cada caso, debiéndose acreditar, siempre, las circunstancias concretas de las que resulte una disminución de la culpabilidad o antijuridicidad. Con su escrito, aporta copia de la “Notificación de iniciación de expediente”, de fecha 04/11/2013, por una infracción de tráfico cometida con el vehículo C.C.C. en fecha 06/08/2013, emitida por el Centro de Tratamiento de Denuncias Automatizadas a nombre del denunciante y dirigida a su domicilio; copia de un certificado de la empresa en la que presta servicios como empleado; y un escrito de ampliación de denuncia dirigido al Juzgado de Instrucción nº 20 de Madrid. HECHOS PROBADOS 1. D. B.B.B. es titular del vehículo con matrícula C.C.C., habiendo manifestado que el mismo es utilizado en el desarrollo de su actividad empresarial. 2. Con el vehículo matrícula C.C.C. se cometió una infracción de tráfico en fecha 18/07/2013, que dio lugar a la comunicación de 26/07/2013 remitida a D. B.B.B. por el Centro de Tratamiento de Denuncias Automatizadas, con el asunto “Petición de Datos al titular para identificación del conductor”. 3. Con fecha 31/07/2013, mediante fax, D. B.B.B. remitió al Centro de Tratamiento de Denuncias Automatizadas el documento “Petición de Datos al titular para identificación del conductor”, en el que los apartados habilitados para la identificación del conductor constan cumplimentados con los datos de D. A.A.A. relativos a nombre, apellidos, DNI y domicilio. 4. En relación con la infracción de tráfico reseñada en el Hecho Probado Segundo, D. A.A.A. recibió en su domicilio una “Notificación de iniciación de expediente”, de fecha 07/08/2013, emitida a su nombre por el Centro de Tratamiento de Denuncias Automatizadas. 5. Con fecha de 16/09/2013, tuvo entrada en esta Agencia un escrito de D. A.A.A., en el que denuncia al titular del vehículo con matrícula C.C.C., D. B.B.B., por haber facilitado sus datos al Centro de Tratamiento de Denuncias Automatizadas señalándolo como conductor del vehículo citado en el momento en que se cometió la infracción de tráfico reseñada en el Hecho Probado Segundo. Añade que no mantiene relación alguna con el mismo. 6. D. B.B.B., ha reconocido su culpabilidad por los hechos denunciados, según las manifestaciones efectuadas por el mismo en las diligencias previas del procedimiento abreviado seguido ante el Juzgado de Instrucción nº 20 de Madrid, en las que admite haber firmado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 “boletín”, que lo “rellenaron mal” y que acepta su culpa. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II El denunciado ha manifestado que no puede imputársele la infracción del artículo 4.3 de la LOPD porque en el mismo no concurren las cualidades de responsable del fichero o encargado del tratamiento, necesarias para estar sometidos al régimen sancionador establecido en dicha norma. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Sin embargo, han de considerarse incluidos los responsables del tratamiento, conforme a las siguientes definiciones. La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
  12. b)y d)). Por el contrario, la vigente LOPD ha modificado el ámbito de aplicación objetivo de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
  13. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
  14. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  15. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 realizase materialmente”. Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas vecesel responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  16. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  17. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  18. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Debe tenerse en cuenta, además, la definición de tratamiento de datos contenida en el artículo 3 de la LOPD: “
  19. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Dentro de la doctrina expuesta, en el presente caso, ha quedado acreditado el tratamiento de los datos del denunciante por el denunciado, que se considera responsable del específico tratamiento de datos personales que conlleva la utilización realizada de los mismos para, finalmente, ser comunicados a la autoridad de tráfico. En el presente caso, el denunciado actúa como responsable del tratamiento, de conformidad con la definición del artículo 3.
  20. d)de la LOPD y 5.1.
  21. q)del RDLOPD, por cuanto ha decidido sobre la “finalidad, contenido y uso del tratamiento”. Por tanto, de acuerdo con el artículo 43 de la LOPD, el denunciado ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. III Se imputa en el presente procedimiento al denunciado una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado, como ocurre en el caso enjuiciado, en el que se han incoado indebidamente al denunciante hasta siete procedimientos sancionadores por infracciones de tráfico por parte del Ayuntamiento de Madrid… … el hecho imputado consiste en asociar un nombre y apellidos con un vehículo determinado, con el que se habían cometido determinadas infracciones de tráfico, y tal asociación de datos de carácter personal era claramente inexacta como el propio recurrente reconoce, ya que la persona a la que corresponden el nombre y apellidos facilitados al Ayuntamiento no era conductora de tal vehículo…>>. En este caso, ha quedado acreditado que el Centro de Tratamiento de Denuncias Automatizadas, con fecha 26/07/2013, emitió una comunicación por una infracción de tráfico cometida con el vehículo matrícula C.C.C. en fecha 18/07/2013, que fue remitida al denunciado, titular del citado vehículo, con el asunto “Petición de Datos al titular para identificación del conductor”. Asimismo, consta que con este motivo, con fecha 31/07/2013, mediante fax, el denunciado facilitó a la autoridad de tráfico la identificación del conductor autor de la infracción reseñada anteriormente, remitiendo al Centro de Tratamiento de Denuncias Automatizadas el documento “Petición de Datos al titular para identificación del conductor”, en el que los apartados habilitados para la identificación del conductor constan cumplimentados con los datos personales del denunciante relativos a nombre, apellidos, DNI y domicilio, señalándolo como conductor de dicho vehículo en el momento en que se cometió la infracción de tráfico señalada. Esta comunicación de datos efectuada por el denunciado dio lugar a que, con fecha 07/08/2013, el Centro de Tratamiento de Denuncias Automatizadas emitiera una notificación de iniciación de expediente a nombre del denunciante y dirigida a su domicilio, correspondiente a la infracción de tráfico cometida en fecha 18/07/2013 con el vehículo con matrícula número C.C.C.. El denunciado conoció que la información se facilitaba a la autoridad de tráfico en cumplimento de la obligación legal de identificar al conductor en una infracción de tráfico, dispuesta en el Real Decreto Legislativo 339/1990, de 20 de marzo, por el que se aprueba el texto articulado de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. Sin embargo, la comunicación de los datos del denunciante se realizó por el denunciado a pesar de que aquél nunca había sido conductor del vehículo citado, según ésta ha reconocido en su escrito de alegaciones a la apertura del presente procedimiento. Por otra parte, el denunciado no ha justificado el origen cierto de los datos personales relativos a nombre, apellidos, DNI y domicilio del denunciante, habiéndose limitado a manifestar que dicho dato procedía de actividades exclusivamente personales. A pesar de ello, el denunciado señaló al denunciante como autor de la infracción de tráfico cometida en fecha 18/07/2013 con el vehículo con matrícula número C.C.C., propiedad de la denunciado en esa fecha. Así, los datos comunicados por el mismo a la autoridad de tráfico no respondían con veracidad y exactitud a la situación del afectado o denunciante en la fecha en que tuvo lugar la infracción de tráfico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 El denunciado es responsable de que los datos personales del denunciante se asociaran a dicha infracción de tráfico y se siguiera contra el mismo el expediente sancionador respectivo, a pesar de que el vehículo en cuestión no fue conducido por el denunciante (con fecha 07/08/2013, el Centro de Tratamiento de Denuncias Automatizadas remitió al domicilio del denunciante y a su nombre una notificación de iniciación de expediente sancionador por la infracción cometida con el vehículo matrícula C.C.C. en fecha 18/07/2013). En consecuencia, los datos personales del denunciante fueron indebidamente asociados al vehículo citado, señalándolo como conductor del mismo y autor de una infracción de tráfico cometida por otra persona. Esto constituye una vulneración del principio de calidad de datos plenamente imputable al denunciado, que conocía el destino de esa información, así como las consecuencias que se derivarían de su conducta y, a pesar de ello, no adoptó ninguna cautela para asegurarse de la exactitud de los datos que facilitaba. El denunciado actuó con total falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Por tanto, el denunciado incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD, y es responsable de que se comunicaran datos inexactos del mismo al Centro de Tratamiento de Denuncias Automatizadas. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder el denunciado conforme a las circunstancias expresadas. Al declarar esta infracción, no se tienen en cuenta los hechos relativos a la infracción cometida con el mismo vehículo en fecha 06/08/2013, puesta de manifiesto por el denunciante en su escrito de alegaciones a la apertura del presente procedimiento, que según indica, también dio lugar a la identificación del denunciante como autor de esta otra infracción, efectuada igualmente por el denunciado. Se trata de nuevos hechos que no motivaron la denuncia de referencia y que, consecuentemente, no fueron investigados ni recogidos en el acuerdo de apertura y sobre los que el denunciado no ha tenido oportunidad de pronunciarse. Es obvio que no pueden añadirse nuevos hechos durante la tramitación del procedimiento. IV La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 artículo 44.3.
  22. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  23. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  24. c)de la LOPD por parte del denunciado, que trató datos inexactos del denunciante, al comunicar tales datos a la autoridad de tráfico, señalándolo como conductor del vehículo con el que se cometió una infracción de tráfico, a pesar de que ha quedado acreditado que el denunciante no era el conductor de dicho vehículo en el momento en que se cometió dicha infracción, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. El principio de calidad de los datos se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. Concretamente, por lo que ahora interesa, el artículo 4.3 de la LOPD recoge el citado principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. Por tanto, la conducta del denunciado vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.
  25. c)de la LOPD. V El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  26. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  27. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  28. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
  29. b)El volumen de los tratamientos efectuados.
  30. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  31. d)El volumen de negocio o actividad del infractor.
  32. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  33. f)El grado de intencionalidad.
  34. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  35. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  36. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  37. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  38. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  39. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  40. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  41. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  42. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  43. a)y
  44. b)del citado artículo 45.6 de la LOPD, considerando que los hechos son constitutivos de infracción grave y que el denunciado no ha sido sancionado o apercibido con anterioridad. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el volumen de tratamientos, que no consta vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal y la ausencia de reincidencia. VI En relación con la infracción declarada, por vulneración de lo dispuesto en el artículo 4.3 de la LOPD, que determina la presente resolución de apercibimiento, el recurrente ha señalado que no se ha tenido en cuenta la gravedad de los hechos al adoptar dicho acuerdo y solicita la apertura de un procedimiento sancionador. A este respecto, conviene delimitar si el denunciante está legitimado, es decir, si existe interés suficiente y legítimo para solicitar que se imponga una sanción. Se tiene en cuenta, al respecto, que la condición de denunciante no otorga por sí la de interesado, y que la LOPD y el Reglamento de desarrollo no se refieren a interesado sino a afectado, señalando que se le comunique la resolución final. Además, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 6/10/2009 determina que “El argumento crucial en esta materia es que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. Aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso-administrativo. Por tanto, el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.). Por otro lado, la sentencia del Tribunal Supremo, Sala de lo Contencioso, sección: 7, nº de Recurso: 234 / 1995, de 12/09/1997 refiere que el concepto de legitimación y su atribución a un sujeto determinado responden a una misma idea en la vía administrativa y en la contenciosoadministrativa: la titularidad por parte del legitimado de un derecho o de un interés legítimo en que prospere su pretensión, como se desprende fundamentalmente del artículo 24.1 de la Constitución y se recoge en el artículo 31 de la LRJPAC. El interés legítimo equivale a una titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta. Es decir, la relación entre el sujeto y el objeto de la pretensión, con la que se define la legitimación activa, comporta el que la anulación del acto que se recurre, para imponer una cuantía superior, sea en vía administrativa o jurisdiccional, produzca de modo inmediato un efecto positivo (beneficio) o negativo (perjuicio) actual o futuro para el legitimado, pero cierto. Por decirlo con palabras del Tribunal Constitucional (S.T.C. 143/1987, F.D. 3º) el interés legítimo, al que se refiere el art. 24.1 (en el que debe disolverse el concepto más restrictivo del art. 28.1.a L.J.C.A.), "equivale a titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta" (SS.T.C. 60/1982, 62/1983, 257/1988 y 97/1991, entre otras)". No existiendo en el supuesto examinado la titularidad de un derecho subjetivo, que en ningún caso puede atribuirse al denunciante de una infracción de protección de datos en relación con la sanción de la misma, no se advierte que el éste tenga un interés legítimo en lo que respecta a la medida impuesta, porque la situación jurídica del denunciante no experimenta ventaja alguna por el hecho de que se sancione al denunciado. Por lo tanto, el denunciante no se halla legitimado para solicitar que se sustituya el acuerdo de apercibimiento por la imposición de una sanción. En todo caso, la medida de apercibimiento con requerimiento de adopción de medidas que regularicen las incidencias apreciadas se adopta conforme a los presupuestos establecidos en la normativa vigente. Según se indicó en los fundamentos anteriores, en este caso se cumplen los dos requisitos recogidos en los apartados
  45. a)y
  46. b)del artículo 45.6 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Por otra parte, la aplicación del mencionado precepto, de carácter excepcional, se estima pertinente, asimismo, en consideración al resto de circunstancias concurrentes, cuya ponderación no supone la aplicación errónea de la normativa. Corresponde al órgano sancionador ponderar la aplicación del artículo 45.6 de la LOPD, atendidas las circunstancias concurrentes, ya sean las indicadas en el artículo 45 de dicha norma o cualquier otra que permita valorar la excepcionalidad. Obviamente, se tienen en cuenta, con carácter previo y preceptivo, los presupuestos contenidos en ese precepto. De acuerdo con esos presupuestos, el acuerdo de apercibimiento está previsto legalmente para supuestos en los que se declare infracción grave y referidos a denunciados que no hayan sido sancionados con anterioridad, habiéndose considerado, además, que concurren significativa y claramente las circunstancias reseñadas en el Fundamento anterior, según quedó expuesto. Por otra parte, el recurrente indica en su recurso que los hechos denunciados son constitutivos de infracción por incumplimiento de los artículos 4.7, 6 y 11 de la LOPD. Manifestó el denunciante en su denuncia que el denunciado pudo obtener los datos a través de su esposa, excompañera de trabajo del denunciante, pero no se aportaron pruebas. Sin embargo, no se tiene constancia alguna sobre el origen de los datos utilizados por el denunciante ni se aportaron pruebas al respecto con virtualidad suficiente para que puedan imputarse las infracciones antes señaladas. Por otra parte, cabe precisar que el artículo 11 no exige el consentimiento del afectado para las comunicaciones de datos autorizadas en una ley. En este caso, la cesión de los datos del conductor autor de una infracción de tráfico resulta del cumplimento de la obligación legal dispuesta en el Real Decreto Legislativo 339/1990, de 20 de marzo, por el que se aprueba el texto articulado de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. Por tanto, el hecho que determina la infracción es la comunicación de unos datos inexactos. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00338/2014) a D. B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3.
  47. c)de la misma norma. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a D. B.B.B. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 4.3 de la LOPD. En concreto se insta al denunciado a aportar documentación que acredite que la incidencia objeto de las presentes actuaciones ha sido subsanada ante el Centro de Tratamiento de Denuncias Automatizadas, mediante la comunicación de los datos de la persona que conducía efectivamente el vehículo con matrícula C.C.C. en el momento en que se cometió una infracción de tráfico en fecha 18/07/2013. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/01486/2015, podría incurrir en una infracción del artículo 37.1.
  48. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  49. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  50. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a D. B.B.B.. 4.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.