← España

A-00341-2014

1/10 Procedimiento Nº: A/00341/2014 RESOLUCIÓN: R/00617/2015 En el procedimiento A/00341/2014, instruido por la Agencia Española de Protección de Datos a DÑA. B.B.B., vista la denuncia presentada por TODOA RESORT, S.L., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27/12/2013, tuvo entrada en esta Agencia escrito de la entidad TODOA RESORT, S.L. (en lo sucesivo TODOA RESORT), en el que expone lo siguiente: Con fecha 14/07/2009, el Centro contrató laboralmente como terapeuta a Dña. B.B.B. (en lo sucesivo la denunciada), que suscribió un acuerdo de confidencialidad y secreto sobre los datos personales de los pacientes del mismo. Con fecha 17/10/2013, la denunciada solicitó la baja voluntaria como trabajadora de la empresa, comenzando a prestar servicios en esas fechas en un centro con el mismo objeto social, ubicado en la localidad de Argentona (Barcelona), denominado A2 ADICCIONES CENTRO TERAPEUTICO, S.L. (en lo sucesivo A2 ADICCIONES). Antes de su marcha, con fecha 15/10/2013, la denunciada extrajo de los ordenadores de TODOA RESORT información y datos personales de los pacientes de dicho Centro contenidos en seis archivos, así como fechas de ingreso, alta, recaída, tratamientos, terapias, actividades y situación actual de cada uno de ellos, incluida información relativa a pacientes que ya no están en el Centro, con detalle de dónde se encuentran y quién los trata. Se adjunta certificado emitido por la Sociedad Gestinet Internet Informática, S.L., proveedor de servicios informáticos del Centro y Acta notarial de fecha 12/11/2013, en los que se indica que existió una descarga de archivos originales propiedad de TODOA RESORT, y que fueron remitidos a la dirección de correo electrónico A.A.A., no siendo este ningún correo corporativo. Con la denuncia, se aportó un USB con el contenido de los ficheros extraídos. Una vez visionado el pen-drive, se comprueba que únicamente existe información personal en los denominados “Listado de pacientes” y “Hojas películas 2013”. En el certificado emitido por la entidad Gestinet Internet Informática, S.L. se indica lo siguiente: “Que nuestra empresa es actualmente y desde el marzo del 2012 el proveedor de servicios informáticos de la empresa Todoa Resorts, S.L. y por este motivo ponemos en manifiesto lo siguiente: Que el pasado día 15 de octubre de 2013, se realiza desde terminal operativo propiedad de CCADICCIONES (Todoa Resorts, S.L.) una descarga de archivos originales de la empresa cuya denominación es la siguiente; “cuestionan cineforum 2013”, “formulario permisos fin de semana bis”, “hojas películas 2013”, “listado pacientes”, “listado películas y documentales” y “tesina provisional”, con datos de gran importancia, relevancia y sensibilidad a nivel LOPD que son remitidos a la siguiente dirección de correo particular; A.A.A., no perteneciendo ésta a ningún correo corporativo. Podemos verificar en la misma resolución que, dicha descarga al e-mail reseñado contiene seis C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 archivos con datos y listados confidenciales de pacientes, además de plantillas y cuestionarios pertenecientes al “know-how” de la empresa”. El Acta Notarial de Manifestaciones hace referencia a los mismos ficheros y a su envío a la dirección de correo reseñada anteriormente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes comprobaciones: 1. Con fecha 23/07/2014, se realizó inspección en los locales de la entidad A2 ADICCIONES, encontrándose presente la denunciada, que realizó las siguientes declaraciones: 1.1. Desde el año 2009 hasta octubre de 2013 fue trabajadora del Centro Todoa Resort, S.L., donde desarrollaba funciones de terapeuta. 1.2. En el momento de dejar el Centro, decidió llevarse todas sus herramientas de trabajo, que se corresponden con los ficheros que figuran en la denuncia, incluido el fichero Excel de pacientes en el que había trabajado formulando resultados relativos al cálculo de días de ingreso, o tratamiento ambulatorio, dato fundamental para el tratamiento de un paciente, y que en el desarrollo de su profesión serviría como herramienta para la confección de un nuevo fichero, en su caso. El nombre y apellido de los pacientes no eran datos útiles para ella, ya que las personas que eran sus pacientes les informó de su marcha de dicho Centro de forma verbal, manifestando algunos de ellos su deseo de continuar con ella. 1.3. Por los motivos expuestos, confeccionó un correo electrónico, adjuntando los citados archivos y se lo remitió a su dirección de correo electrónico: A.A.A.. 1.4. No obstante, cuando comenzó a trabajar en el Centro en el que se realiza la presente inspección, intentó utilizar el fichero Excel, con el fin de utilizar la misma fórmula y al realizar la búsqueda del citado correo electrónico comprobó que no lo tenía, por lo que hubo que volver a realizar la fórmula del cálculo de días. De todas formas, dicho fichero no cuenta con direcciones ni teléfonos, por lo que, en su caso, nunca podría haberlo utilizado para contactar con los pacientes. 1.5. Tras solicitar autorización a la denunciada para visualizar su correo electrónico en la dirección C.C.C. y el acceso a dicha dirección por la misma, se realiza una búsqueda de correos recibidos en fecha 15/10/2013, comprobándose que no existen correos electrónicos relacionados con los hechos denunciados ni en fechas anteriores ni posteriores. Asimismo, se realizan búsquedas de dicho correo en las carpetas de “Elementos enviados”, “Papelera” y “Borradores”, comprobándose que en ninguna de dichas carpetas existe el citado correo electrónico. 1.6. Tras solicitar autorización al Director del Centro para acceder desde su ordenador al Pen-Drive adjunto a la denuncia, que contiene los archivos mencionados, se comprueba que existe un Listado de Pacientes, que contiene 172 registros con los siguientes Literales: “Nombre y primer apellido”, “Ingreso” “días” “meses” “días”. Asimismo se comprueba que existen algunos pacientes con una muesca a la derecha, donde figura anotaciones correspondientes a salidas del Centro, Vacaciones, etc. A la vista de dicha información, la denunciada ratifica que efectivamente corresponde al Listado de pacientes, del Centro TODOA RESORT. 1.7. Tras solicitar autorización al Director del Centro para acceder al sistema informático, éste manifiesta que dicho sistema está compuesto por seis ordenadores conectados en Red, con diferentes perfiles de acceso según las funciones desarrolladas por cada trabajador. Se accede, mediante el usuario y contraseña del Director, al fichero de Pacientes, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 comprobándose que cuenta con 34 pacientes, realizando impresión del mismo con el fin de realizar comprobaciones con el contenido en el Pen-Drive y posterior destrucción en una máquina destructora de papel existente en el Centro. Se comprueba con el contenido del Pendrive, verificando que los dos archivos tienen la misma estructura y solo coinciden ocho pacientes, que según manifiesta la denunciada, eran pacientes atendidos por la misma en TODOA RESORT que solicitaron continuar tratamiento con ella. 1.8 Tras solicitar autorización a la denunciada para acceder a su ordenador, se comprueba que, realizadas búsquedas por primer apellido de 10 personas del Listado contenido en el Pen-Drive, se visualiza el mensaje” “NINGUN ELEMENTO COINCIDE CON EL CRITERIO DE BUSQUEDA”. Se realizan consultas mediante los nombres de otros ficheros contenidos en el Pen Drive: “Tesina Provisional”, “Formulario Permisos Fin de semana” y “Cuestionario Cineforum 2013”, y se obtiene el mensaje: NINGUN ELEMENTO COINCIDE CON EL CRITERIO DE BÚSQUEDA”. TERCERO: Con fecha 07/11/2014, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a la denunciada a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 6 de dicha norma, tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica CUARTO: Con tal motivo, se concedió a la denunciada plazo para formular alegaciones, recibiéndose escrito en el que solicita el archivo del procedimiento y, subsidiariamente, que se acuerde el apercibimiento que se indica en el acuerdo de apertura, conforme a las siguientes consideraciones: 1. Por los mismos hechos se sigue ante el Juzgado Mercantil n° Ocho de Barcelona un procedimiento por competencia desleal y nulidad de marca nacional en virtud de demanda presentada por TODOA RESORT, que se aporta en la parte que afecta a la denunciada. 2. Las comprobaciones realizadas por la Agencia manifiestan que “no existen correos electrónicos relacionados con los hechos denunciados ni en fechas anteriores y posteriores, lo que cuestiona el hecho denunciado, y sin que se haya demostrado que el transmisor de los datos sea la denunciada. 3. La denunciada reconoció ante los servicios de inspección que en el momento de dejar TODOA RESORT “decidió llevarse todas sus herramientas de trabajo, que se corresponden con los ficheros que figuran en la denuncia, incluido el fichero Excel de pacientes....”, que nunca pudo utilizar por no haber recibido su ordenador el correo remitido desde TODOA RESORT S.L., causa de la denuncia, y en su parte importante por su confidencialidad, el listado de clientes en fichero Excel que detalla nombres pero “no cuenta con direcciones ni teléfonos”, por lo que NUNCA pudo ser indebidamente utilizado y, por tanto, no infringiendo la protección de datos reglamentada en la LOPD. Invoca la Sentencia del Tribunal Supremo del 16/12/2011, que en su Fundamento de Derecho Sexto declara lo siguiente: “..., y es doctrina de esta Sala que pasar a trabajar para una empresa de la competencia, aprovechar la información no confidencial en la actividad negocial, y la captación de la clientela C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 no son “per se” -sin más- conductas desleales… la mera contratación de trabajadores o de personas que realizan funciones técnicas o directivas en una empresa por otra de semejante actividad para desarrollar la misma o similar función, o el abandono por un trabajador o grupo de ellos de una empresa para constituir o integrarse en otra del mismo tráfico económico, no es suficiente para apreciar la existencia del ilícito competencial del art. 50 LCD…”. “Asimismo, la mera captación de la clientela no es suficiente para determinar una aplicación de la cláusula general del art. 5° LCD”. 4. Los hechos ocurridos consisten en una supuesta transmisión de datos, denominados confidenciales por TODOA RESORT, a la dirección de correo particular de A.A.A., que NO son recibidos por ésta y que ésta los considera como “sus herramientas de trabajo. El certificado de Gestinet Internet Informática S.L., en el que describe “una descarga de archivos originales de la empresa” que relaciona, no aporta prueba de todo ello. Lo mismo ocurre con el Acta notarial aportada, que únicamente acredita los hechos que pudo comprobar el Notario, pero en ningún caso su realidad y ni tan siquiera sus actores. Así, los servicios de inspección de la Agencia pudieron comprobar que los archivos enviados desde TODOA RESORT no fueron recibidos en la dirección A.A.A.@ D.D.D. y nada permite asegurar qué persona fue el transmisor de la descarga. En consecuencia entiende que carece de fiabilidad la denuncia presentada, por su falta de prueba indubitable, que queda reafirmada por no haber sido recibido en el correo de destino que continuamente se dice. 5. Supuesta la comisión de alguna infracción ésta correspondería a la prevista en el artículo 44.2.d). Además deberá tenerse en cuenta la graduación prevista en el artículo 45.4.c), d), e), f),
  2. g)y h), sin que la denunciada haya cometido nunca ninguna infracción y nunca haya sido apercibida por incumplimiento de la LOPD. QUINTO: Con fecha 08/01/2015, la entidad TODOA RESORT presenta escrito de personación en el procedimiento señalando que es titular de un interés legítimo individual que puede resultar afectado por la resolución que eventualmente recaiga. HECHOS PROBADOS 1. Con fecha de 27/12/2013, tuvo entrada en esta Agencia escrito de la entidad TODOA RESORT, S.L. en el que denuncia a Dña. B.B.B., que prestó servicios en aquella entidad como empleada, por haber extraído, con fecha 15/10/2013, de los ordenadores de TODOA RESORT información y datos personales de los pacientes del centro contenidos en seis archivos. 2. Con fecha 28/11/2013, la entidad Gestinet Internet Informática, S.L., proveedor de servicios informáticos de TODOA RESORT, S.L., certificó “Que el pasado día 15 de octubre de 2013, se realiza desde terminal operativo propiedad de CCADICCIONES (Todoa Resorts, S.L.) una descarga de archivos originales de la empresa cuya denominación es la siguiente; “cuestionan cineforum 2013”, “formulario permisos fin de semana bis”, “hojas películas 2013”, “listado pacientes”, “listado películas y documentales” y “tesina provisional”… que son remitidos a la siguiente dirección de correo particular; A.A.A., no perteneciendo ésta a ningún correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 corporativo”. 3. Durante la inspección realizada en fecha 23/07/2014, Dña. B.B.B. declaró a los Servicios de Inspección de la AEPD lo siguiente: . Desde el año 2009 hasta octubre de 2013 fue trabajadora del Centro Todoa Resort, S.L., donde desarrollaba funciones de terapeuta. . En el momento de dejar el Centro, decidió llevarse todas sus herramientas de trabajo, que se corresponden con los ficheros que figuran en la denuncia, incluido el fichero Excel de pacientes en el que había trabajado formulando resultados relativos al cálculo de días de ingreso, o tratamiento ambulatorio, dato fundamental para el tratamiento de un paciente, y que en el desarrollo de su profesión serviría como herramienta para la confección de un nuevo fichero… Por los motivos expuestos, confeccionó un correo electrónico, adjuntando los citados archivos y se lo remitió a su dirección de correo electrónico: A.A.A.. 4. Los Servicios de Inspección de la AEPD comprobaron que el listado de pacientes incorporado por Dña. B.B.B. al correo electrónico remitido a la dirección de correo A.A.A. contiene 172 registros con los siguientes Literales: “Nombre y primer apellido”, “Ingreso” “días” “meses” “días”. Asimismo se comprueba que existen algunos pacientes con una muesca a la derecha, donde figuran anotaciones correspondientes a salidas del Centro, Vacaciones, etc. 5. Los Servicios de Inspección de la AEPD comprobaron que en la cuenta de correo electrónico de la denunciada, A.A.A., no existe ningún correo de 15/10/2013 relacionado con los hechos denunciados, ni tampoco en fechas anteriores o posteriores. Se realizaron búsquedas en las carpetas de “Elementos enviados”, “Papelera” y “Borradores”, comprobándose que en ninguna de ellas existe el correo electrónico objeto de la denuncia. 6. Los Servicios de Inspección de la AEPD accedieron al ordenador de la denunciada comprobando que no contiene ningún elemento que coincida con el listado de clientes de TODOA RESORT, según la búsqueda realizado por el primer apellido de 10 personas incluidas en el mismo. Se realizan consultas mediante los nombres de los otros ficheros insertado en el correo electrónico denunciado (“Tesina Provisional”, “Formulario Permisos Fin de semana” y “Cuestionario Cineforum 2013”), obteniendo el mensaje: “NINGUN ELEMENTO COINCIDE CON EL CRITERIO DE BÚSQUEDA”. 7. Los Servicios de Inspección de la AEPD accedieron al fichero de pacientes de la entidad A2 ADICCIONES, en la que presta servicios la denunciada en el momento de la inspección, comprobando que cuenta con 34 pacientes, de los que sólo ocho coinciden con los que figuraban en el listado de pacientes de TODOA RESORT. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  4. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  5. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  6. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Por otra parte, el artículo 3 de la LOPD define en su letra
  7. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, el acceso por parte de la denunciada al listado de pacientes de TODOA RESORT y la incorporación de dicho listado a un correo electrónico, considerando la información que contiene, constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada. III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que la denunciada es titular de la cuenta de correo electrónico A.A.A.. Asimismo, consta que en fecha 15/10/2013 accedió al sistema informático de TODOA RESORT, entidad en la que prestaba servicios como empleada, obteniendo una copia de distintos archivos, incluido el correspondiente al fichero de clientes, (que contenía 172 registros con los siguientes Literales: “Nombre y primer apellido”, “Ingreso” “días” “meses” “días”, y anotaciones asociadas a algunos de los pacientes sobre salidas del centro, vacaciones y otras), para insertarlos en un correo electrónico que fue remitido por la misma a su dirección de correo particular, A.A.A.. Según ha quedado expuesto, tanto el acceso a los datos personales indicados, como su copia y su incorporación a un correo electrónico remitido a la dirección citada, supone un tratamiento de datos que requiere, para que pueda llevarse a cabo conforme a la normativa expuesta, el consentimiento de los afectados. La denunciante no ha acreditado que los afectados, clientes de TODOA RESORT, hubiesen prestado su consentimiento para dicho tratamiento de datos personales, ni concurre ninguna circunstancia que exima de la obligación de obtenerlo. En consecuencia, se considera infringido el artículo 6.1 de la LOPD por parte de la denunciada, que es responsable de dicha infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 En contra de lo alegado por la denunciante en su escrito de respuesta a la apertura del procedimiento, los hechos valorados para determinar la infracción, constitutivos de un tratamiento de datos para el que la denunciante no disponía del consentimiento de los afectados, han sido reconocidos por la misma en sus declaraciones a los Servicios de Inspección de la Agencia y así constan en acta de inspección suscrito de conformidad. IV El artículo 44.3.
  8. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumple el supuesto de hecho que tipifica este precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de la denunciada y la exigibilidad del consentimiento viene dada en la norma aplicable. Al tratar los datos de los afectados sin su consentimiento, la denunciada ha cometido la infracción tipificada en dicho artículo. La denunciante interviene en los hechos como responsable del tratamiento, realizado a su propia iniciativa, y no como encargado del tratamiento realizado en nombre del responsable del fichero. Por tanto, los hechos constatados no pueden ser constitutivos de la infracción establecida en el artículo 44.2.
  9. d)de la LOPD, que indica la misma en sus alegaciones. V El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  10. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  11. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la denunciada es una infracción “grave”; que la misma no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior. Junto a ello se constata una cualificada disminución de la culpabilidad de la imputada teniendo en cuenta que no consta vinculación de su actividad con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y la ausencia de reincidencia. Asimismo, se tiene en cuenta que no consta acreditado un uso posterior de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 de los clientes de TODOA RESORT. Todo ello, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos, durante la inspección realizada en fecha 23/07/2014, los Servicios de Inspección de la AEPD comprobaron que en la cuenta de correo electrónico de la denunciada no existía ningún correo relacionado con los hechos denunciados; ni su ordenador contenía ningún elemento que coincidiera con el listado de clientes de TODOA RESORT, según la búsqueda realizado por el primer apellido de 10 personas incluidas en el mismo, o por los nombres de los otros ficheros insertados en el correo electrónico denunciado (“Tesina Provisional”, “Formulario Permisos Fin de semana” y “Cuestionario Cineforum 2013”); y que el fichero de pacientes de la entidad A2 ADICCIONES no contenía el listado de clientes de TODOA RESORT, ´salvo ocho de ellos que estaban siendo tratados en aquel centro. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00341/2014 seguido contra DÑA. B.B.B., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 6 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a DÑA. B.B.B., a través de su representante, y a la entidad TODOA RESORT, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.