AAPP-00005-2015

1/15 Procedimiento Nº AP/00005/2015 RESOLUCIÓN: R/00520/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00005/2015, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE LAS PALMAS DE GRAN CANARIA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: En fecha 4 de septiembre de 2014 tiene entrada en la Agencia una denuncia de don A.A.A., en la que expone: <<…El Ayto. de Las Palmas de Gran Canaria ofrece a través de la aplicación "LPA Avisa" la posibilidad, tras darse de alta en dicho servicio, de formular quejas sobre el estado o funcionamiento de las infraestructuras o servicios municipales. Al darse de alta en dicho servicio no se ofrece información alguna sobre el tratamiento que van a recibir los datos introducidos en la solicitud de alta o si los mismos van a incorporarse a algún tipo de fichero, como tampoco se ofrecen datos sobre cómo acceder, modificar o cancelar tales datos. En el Correo nº4 adjunto se detalla toda la información que se recibe al darse de alta en el servicio. Asimismo, el pasado día 29 de agosto de 2014, desde el Equipo de LPA Avisa se envía un mensaje de correo electrónico (correo nº2 adjunto) en el que se muestran las direcciones de correo electrónico de más de 200 personas, tal y como se reconoció posteriormente por parte del remitente (correo nº3 adjunto)…>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se obtiene diversa información, teniendo conocimiento de que:

1. a)El Ayuntamiento de Las Palmas de Gran Canaria (en lo sucesivo el denunciado), es responsable de un fichero denominado “Servicios interactivos”, inscrito en el Registro General de Protección de Datos, cuya finalidad y usos previstos se describe así: “prestación de servicios electrónicos interactivos al ciudadano de información y respuesta a consultas”.
2. b)Se ha verificado que en el documento de Privacidad, accesible a través del sitio web del Ayuntamiento, se hace referencia a “Los datos de carácter personal que se facilitan mediante los formularios disponibles en los diferentes buzones y en la aplicación de Servicio de Información de SMS”, que son registrados en el citado fichero. No se hace mención alguna a la aplicación “LPA Avisa”, si bien en el sitio web figura una nota de prensa fechada el 15 de enero de 2013, en la que se presenta “LPA Avisa” como un nuevo aplicativo para móviles que permite informar de incidencias y averías en la ciudad.
3. c)Por la Inspección se ha verificado que, antes de aceptar la descarga de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 citada aplicación en un terminal Android desde la tienda Google Play, se informa al usuario de que la aplicación necesita acceder a los siguientes recursos/datos del terminal: identidad, ubicación, fotos/archivos multimedia/archivos, cámara/micrófono. Asimismo se informa de lo siguiente: “Los destinatarios de esta APP serán todas aquellas personas, residentes o no en Las Palmas de Gran Canaria, con alto grado de responsabilidad y ciudadanía, que se preocupa por su entorno, y que, disponiendo de un Smartphone sea capaz de informar de situaciones que se producen en los espacios públicos de la ciudad y que necesitan ser gestionados por el Ayuntamiento. Los ciudadanos podrán reportar incidencias que se hayan producido en calles, vías, espacios verdes, mobiliario y equipamientos urbanos sin necesidad ni de describir dónde se hizo la foto ya que la ubicación se obtiene por georreferenciación del propio móvil. Eso sí, habrá que describir brevemente cuál es el objeto de la denuncia para aclarar lo que se vea en la fotografía”.
4. d)Se ha verificado también que, una vez instalada la aplicación, al ser abierta se muestra al usuario un formulario en el que solicitan los siguientes datos: dirección de correo electrónico, nombre y apellidos, teléfono, sin que se haya obtenido constancia de que en este proceso el usuario sea informado de cada uno de los extremos previstos en el artículo 5 de la LOPD, en particular del ejercicio de los derechos ARCO.
5. e)El denunciante ha aportado una copia del mensaje de bienvenida que recibió tras darse de alta en el servicio, en el que se le informa de lo siguiente: “Muchas gracias por darse de alta en el sistema de avisos de ciudadanos del Ayuntamiento de Las Palmas de Gran Canaria. Desde éste podrá avisar a nuestros gestores sobre cualquier anomalía que detecte en cualquier área en las que somos competentes. En breve recibirá un correo de activación de su cuenta en el que tendrá que seguir un enlace […]”
6. f)El denunciante ha aportado una copia impresa del mensaje electrónico denunciado, remitido desde .....@laspalmas........., fechado el 29 de agosto de 2014, con el asunto “RE: [LPA Avisa] Aviso de inactividad” y remitido a múltiples destinatarios, cuyas direcciones se muestran. En el mensaje se piden disculpas por el envío de un mensaje el día anterior. El denunciante también ha aportado copia de otro mensaje posterior recibido en su buzón electrónico, fechado casi una hora después, en el que se piden disculpas por “enviar un aviso masivo mostrando las direcciones de varios destinatarios”. TERCERO: Con fecha 27 de enero de 2015 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al denunciado, con arreglo a lo dispuesto en el artículo 46 de Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) por la presunta infracción de los artículos 10 y 5 de dicha norma, tipificadas como grave y leve en el artículo 44.3.
7. d)y 44.2.
8. c)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 25 de febrero de 2015 se recibió en esta Agencia escrito de alegaciones del denunciado manifestando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 <<…el Ayuntamiento de Las Palmas de Gran Canaria, es propietario de la aplicación informática para dispositivos móviles “LPA Avisa’’, aplicación informática que permite a los ciudadanos y personas disponer de un sistema de comunicación y quejas sobre el estado o funcionamiento de las infraestructuras o servicios municipales. Al descargarse dicha aplicación desde (…) y ser instalada por el usuario en su dispositivo móvil, se requiere al mismo el registro, solicitándole una serie de datos de carácter personal, tales como nombre, dirección de correo electrónico y contraseña. Una vez producido el alta del usuario como usuario registrado, el aplicativo envía un correo electrónico desde la dirección (…) a la dirección facilitada por el usuario, con la finalidad de verificar que dicha dirección de correo electrónico facilitada existe y está bajo su control. Realizada esta verificación se procede a la activación de la cuenta de usuario. Dado que en la información datos solicitados tanto en el momento de registro como en la activación de la cuenta de usuario se muestra el dato del Ayuntamiento de las Palmas de Gran Canaria, no se ha considerado necesario realizar ninguna otra advertencia a los usuarios puesto que entendemos que en el formulario queda claro su objetivo y qué campos son obligatorios y cuales opcionales para el usuario; en los correos electrónicos de bienvenida y activación figuran informaciones de las que se puede deducir alguno de los apartados del artículo 5.1, resultando un incumplimiento parcial y no total, dado que de acuerdo al apartado 3 del citado artículo puede no ser necesario informar a los interesados sobre el contenido de los apartados b),
9. c)y
10. d)del ya mencionado artículo 5.1. No obstante, y a la vista de estos hechos, este sistema cuenta en la nueva versión con un aviso que clarifica a los usuarios el objetivo y uso de los datos que se recogen. Segunda.- El Ayuntamiento de las Palmas de Gran Canaria, ha procedido a incorporar a dicha aplicación LPA Avisa, en su nueva versión, las medidas correctivas necesarias para el cumplimiento de las obligaciones derivadas del deber de información fijado en el artículo 5, facilitando al usuario información sobre la finalidad del tratamiento de los datos de carácter personal, el acceso a determinadas aplicaciones y/o contenidos del dispositivo del usuario, así como los términos y condiciones de licencia de la aplicación. En este sentido se ha añadido a los avisos la siguiente cláusula de información: “En cumplimiento de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y la Ley 34/2002, de Servicios de la Sociedad de la información y el Comercio Electrónico, le informamos que sus datos han sido incorporados a ficheros del Ayuntamiento de Las Palmas de Gran Canaria, con la finalidad de gestión de avisos sobre el estado o funcionamiento de las infraestructuras o servicios municipales y atención ciudadana. Podrá ejercitar, de manera totalmente gratuita, sus derechos de acceso, rectificación, cancelación y oposición al tratamiento, así como revocar su consentimiento, a través de solicitud por escrito, adjuntando fotocopia de su documentación de identidad, en la siguiente dirección (C/.............1) Las Palmas de Gran Canaria, España” En segundo lugar, se adjunta la pantalla que aparece tras la validación de usuario ya activo en LPA Avisa, en la cual, este debe pulsar “Acepto Términos” para poder seguir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 trabajando con dicha Aplicación LPA Avisa: (…) Se anexa al presente escrito el nuevo modelo de términos y condiciones establecido dentro de la aplicación (…) Asimismo, se han implementado en los correos electrónicos de bienvenida y activación de usuario las leyendas y cláusulas informativas en cumplimiento del deber de información fijado por el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Procedemos a incorporar al presente escrito de Alegaciones, como documentos adjuntos núm. 2 y núm. 3 los modelos de correos electrónicos que serán remitidos a los usuarios registrados como Mensaje de Bienvenida y Activación. (…) Soluciones implementadas: Todos los envíos de correos masivos programados desde el aplicativo LPA Avisa, son realizados de modo único y personal por cada registro de la base de datos. Este proceso lo realiza el sistema de modo desatendido. Por estos motivos, no es posible la visualización de ninguna cuenta de correo salvo la del propio destinatario…>> Según informa el Ayuntamiento, en el referido documento de términos y condiciones legales de la aplicación se incluye un apartado 6 (Política de privacidad), en el que se reproduce la citada cláusula informativa. Asimismo, se informa de lo siguiente: <<Para saber más sobre la información que almacenamos sobre ti, ejercitar tus derechos de acceso, rectificación, cancelación y oposición, puedes ponerte en contacto con nosotros a través de la dirección de correo electrónico (…) o bien enviarnos una solicitud escrita a: AYUNTAMIENTO DE LAS PALMAS DE GRAN CANARIA Servicio de Tecnologías de la Información y Telecomunicaciones (C/.............1) Las Palmas de Gran Canaria. Cuando uses el servicio utilizaremos y recopilaremos automáticamente información: - - Servicios utilizados de la Aplicación. Datos de las preguntas y servicios con los que interactúes con nosotros. Datos de imágenes y geolocalización. Datos de contenidos de usuario que publiques, cargues y/o aportes al servicio. Datos técnicos, que podrán incluir tu dirección IP, la identificación única de tu dispositivo, la información operacional que posibilita la interactuación con los servicios de la Aplicación, tu sistema operativo y la versión de nuestra aplicación que utilizas. Datos de información de localización. Esta información y datos, incluida tu información personal, la utilizamos para: • Gestionar el alta en el área de registro de usuario y tu acceso a la Aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 • Gestionar las consultas que nos envíes a través de los medios de contacto puestos a tu disposición. • Proporcionar, personalizar y mejorar tu experiencia con la Aplicación y con el servicio puesto a tu disposición a través de la misma. • Garantizar el funcionamiento técnico de la Aplicación, desarrollar nuevos servicios y analizar el uso de la misma, incluida tu interacción con aplicaciones y servicios puestos a tu disposición. • Realizar análisis estadísticos de uso de la Aplicación. • Aplicar esta política de privacidad, los términos y condiciones de uso…>> QUINTO: Al haber reconocido el denunciado los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: En fecha 4 de septiembre de 2014 tiene entrada en esta Agencia escrito del denunciante en el que expone: <<…El Ayto. de Las Palmas de Gran Canaria ofrece a través de la aplicación "LPA Avisa" la posibilidad, tras darse de alta en dicho servicio, de formular quejas sobre el estado o funcionamiento de las infraestructuras o servicios municipales. Al darse de alta en dicho servicio no se ofrece información alguna sobre el tratamiento que van a recibir los datos introducidos en la solicitud de alta o si los mismos van a incorporarse a algún tipo de fichero, como tampoco se ofrecen datos sobre cómo acceder, modificar o cancelar tales datos. En el Correo nº4 adjunto se detalla toda la información que se recibe al darse de alta en el servicio. Asimismo, el pasado día 29 de agosto de 2014, desde el Equipo de LPA Avisa se envía un mensaje de correo electrónico (correo nº2 adjunto) en el que se muestran las direcciones de correo electrónico de más de 200 personas, tal y como se reconoció posteriormente por parte del remitente (correo nº3 adjunto)…>> (folios 1 a 10). SEGUNDO: El denunciado es responsable de un fichero denominado “Servicios interactivos”, inscrito en el Registro General de Protección de Datos, cuya finalidad y usos previstos se describe así: “prestación de servicios electrónicos interactivos al ciudadano de información y respuesta a consultas” (folio 12). TERCERO: Se ha verificado que en el documento de Privacidad, accesible a través del sitio web del Ayuntamiento, se hace referencia a “Los datos de carácter personal que se facilitan mediante los formularios disponibles en los diferentes buzones y en la aplicación de Servicio de Información de SMS”, que son registrados en el citado fichero. No se hace mención alguna a la aplicación “LPA Avisa”, si bien en el sitio web figura una nota de prensa fechada el 15 de enero de 2013, en la que se presenta “LPA Avisa” como un nuevo aplicativo para móviles que permite informar de incidencias y averías en la ciudad (folios 13 a 19). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 CUARTO: Por la Inspección se ha verificado que, antes de aceptar la descarga de la citada aplicación en un terminal Android desde la tienda Google Play, se informa al usuario de que la aplicación necesita acceder a los siguientes recursos/datos del terminal: identidad, ubicación, fotos/archivos multimedia/archivos, cámara/micrófono. Asimismo se informa de lo siguiente: “Los destinatarios de esta APP serán todas aquellas personas, residentes o no en Las Palmas de Gran Canaria, con alto grado de responsabilidad y ciudadanía, que se preocupa por su entorno, y que, disponiendo de un Smartphone sea capaz de informar de situaciones que se producen en los espacios públicos de la ciudad y que necesitan ser gestionados por el Ayuntamiento. Los ciudadanos podrán reportar incidencias que se hayan producido en calles, vías, espacios verdes, mobiliario y equipamientos urbanos sin necesidad ni de describir dónde se hizo la foto ya que la ubicación se obtiene por georreferenciación del propio móvil. Eso sí, habrá que describir brevemente cuál es el objeto de la denuncia para aclarar lo que se vea en la fotografía” (folio 23). QUINTO: Se ha verificado también que, una vez instalada la aplicación, al ser abierta se muestra al usuario un formulario en el que solicitan los siguientes datos: dirección de correo electrónico, nombre y apellidos, teléfono, sin que se haya obtenido constancia de que en este proceso el usuario sea informado de cada uno de los extremos previstos en el artículo 5 de la LOPD, en particular del ejercicio de los derechos ARCO (folios 24 a 26). SEXTO: El denunciante ha aportado una copia del mensaje de bienvenida que recibió tras darse de alta en el servicio, en el que se le informa de lo siguiente: “Muchas gracias por darse de alta en el sistema de avisos de ciudadanos del Ayuntamiento de Las Palmas de Gran Canaria. Desde éste podrá avisar a nuestros gestores sobre cualquier anomalía que detecte en cualquier área en las que somos competentes. En breve recibirá un correo de activación de su cuenta en el que tendrá que seguir un enlace […]” (folio 4). SÉPTIMO: El denunciante ha aportado una copia impresa del mensaje electrónico denunciado, remitido desde .....@laspalmas........., fechado el 29 de agosto de 2014, con el asunto “RE: [LPA Avisa] Aviso de inactividad” y remitido a múltiples destinatarios, cuyas direcciones se muestran. En el mensaje se piden disculpas por el envío de un mensaje el día anterior. El denunciante también ha aportado copia de otro mensaje posterior recibido en su buzón electrónico, fechado casi una hora después, en el que se piden disculpas por “enviar un aviso masivo mostrando las direcciones de varios destinatarios” (folios 6 a 8). OCTAVO: Durante la tramitación del procedimiento, el denunciado ha comunicado: “…El Ayuntamiento de las Palmas de Gran Canaria, ha procedido a incorporar a dicha aplicación LPA Avisa, en su nueva versión, las medidas correctivas necesarias para el cumplimiento de las obligaciones derivadas del deber de información fijado en el artículo 5, facilitando al usuario información sobre la finalidad del tratamiento de los datos de carácter personal, el acceso a determinadas aplicaciones y/o contenidos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 dispositivo del usuario, así como los términos y condiciones de licencia de la aplicación…” (folio 49). “…Todos los envíos de correos masivos programados desde el aplicativo LPA Avisa, son realizados de modo único y personal por cada registro de la base de datos, Este proceso lo realiza el sistema de modo desatendido. Por estos motivos, no es posible la visualización de ninguna cuenta de correo salvo la del propio destinatario (…)” (folio 51). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III La LOPD en su art. 1 establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” En el apartado 1 del artículo 2 prevé: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” En el artículo 3.
12. a)define el concepto de dato de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
13. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 A la vista de lo anterior, se deduce que la dirección de correo electrónico ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. IV El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido un correo electrónico dirigido por el denunciado a múltiples destinatarios, sin ocultar sus respectivas direcciones electrónicas, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. En este tipo de envíos ha de tenerse en consideración que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. V Hay que añadir, respecto al error cometido, que debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de culpa se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el artículo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el artículo 44.3.
14. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.
15. d)de la Ley Orgánica 15/1999- requiere la existencia de culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN