AAPP-00007-2014

1/9 Procedimiento Nº AP/00007/2014 RESOLUCIÓN: R/01164/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00007/2014, instruido por la Agencia Española de Protección de Datos a la DIPUTACIÓN PROVINCIAL DE PONTEVEDRA (MUSEO PROVINCIAL), vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: En escrito de fecha de entrada de 23 de septiembre de 2013 don A.A.A. (en lo sucesivo el denunciante) denuncia la recepción de un mensaje electrónico del Museo Provincial de Pontevedra, dirigido a casi 400 destinatarios, en el que no se ocultaban sus direcciones electrónicas. Mediante escrito de fecha de entrada de 18 de octubre, el denunciante da contestación a la solicitud de subsanación remitida por la Inspección de Datos, especificando la dirección electrónica en la que recibió el citado mensaje, B.B.B. Según expone, su relación con el remitente se debe únicamente a su inscripción voluntaria en el servicio de difusión del denunciado. El Museo Provincial de Pontevedra fue organismo autónomo creado por la Diputación Provincial de Pontevedra el 28/09/2005, como entidad de derecho público, gozando de personalidad jurídica propia e independiente, plena capacidad jurídica y autonomía económica y administrativa, según sus estatutos publicados en el Boletín Oficial de Pontevedra de 4/10/2005. SEGUNDO: Con fecha 24 de enero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al citado Museo por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 27/02/2014 la Diputación Provincial de Pontevedra presentó escrito de alegaciones en el que manifestaba: <<…Desde el Museo de Pontevedra, en concreto desde el departamento de Difusión y Publicaciones, se envían habitualmente correos electrónicos para la difusión de sus actividades: presentación de exposiciones, conferencias, conciertos, actividades didácticas, etc. todas ellas de carácter gratuito. Desde este departamento, los envíos de información siempre se realizan con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 ocultación de los destinatarios y obedecen a la inscripción voluntaria de los destinatarios. Los destinatarios son principalmente entidades culturales y asociaciones de diversos tipos (de amas de casa, juveniles, etc.) a los que previamente se les consultó de forma expresa si querían recibir la información. Asimismo, también se envía a particulares que lo solicitaron previamente a los que también se les consultó expresamente, como el caso que nos ocupa. La visibilidad de los correos electrónicos en el envío, hecho que provocó la denuncia, se debe a la inclusión de los mismos en el apartado “para:” en vez de en el apartado “CCO:” debido a un error cometido al pegar el listado de direcciones electrónicas. Los envíos se realizan de forma frecuente, uno por semana, o incluso con una mayor frecuencia en el caso de la coincidencia de varias actividades del museo en las mismas fechas. Por esta razón, el caso que nos ocupa supone un hecho aislado y excepcional a la hora de realizar el envío. Advertido el error, se enviaron inmediatamente dos correos electrónicos: uno al propio interesado y otro a todos los destinatarios explicando lo sucedido, pidiendo disculpas por el error cometido y por las molestias que se pudieran ocasionar…>> CUARTO: Con fecha 3/03/2014, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación E/05613/2013, así como la documental aportada. QUINTO: Con fecha 9/04/2014, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el Museo Provincial de Pontevedra ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma. SEXTO: Con fecha 13/05/2014 tiene entrada en esta Agencia escrito de alegaciones frente a la citada propuesta de resolución en el que comunica: <<…SEGUNDA.- El capítulo III del Código Civil, referido a la eficacia general de las normas jurídicas, establece en su artículo 6, apartado 1°, párrafo segundo, “...que el error producirá únicamente aquellos efectos que las leyes determinen”. En esta línea argumental la doctrina y la jurisprudencia consideran, de modo unánime, que los principios informadores del Derecho Penal (potestad punitiva y enjuiciamiento criminal) son aplicables al derecho administrativo sancionador. Así lo ha dejado dicho de manera paradigmática la Sentencia 212/90 del T.C., y en consecuencia, parece pertinente invocar el artículo 14.1 del Código Penal que dice “el error invencible sobre un hecho constitutivo de la infracción (...) excluye la responsabilidad (...) si el error, atendidas las circunstancias del hecho y las personales del autor, fuera vencible, la infracción será castigada, en su caso, como imprudente”. En el ámbito del error, pues, fue en el que, evidentemente, se produjo de modo involuntario el hecho cuya sanción se pretende, por lo que cabe excluir cualquier tipo de intencionalidad en el quebrantamiento de la norma (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Pondremos un ejemplo, en términos de respetuosa y estricta alegación: en la propuesta de resolución sancionadora se califica al Museo Provincial de Pontevedra como un organismo autónomo, quiere decirse un sujeto con plena personalidad jurídica y autonomía financiera diferente a la propia Diputación Provincial de Pontevedra y que actuaría al amparo de la LOFAGE. Eso se dice literalmente. Y eso, en sí mismo considerado, constituye un error, puesto que el Museo Provincial dejó de ser organismo autónomo el 31 de diciembre de 2.012. Sin embargo, esta Diputación considera ese error absolutamente disculpable, y en la hipótesis de trabajo de que existiese una norma sancionadora previa que tipificase ese comportamiento en modo alguno se le ocurriría hacerlo objeto de sanción, mucho menos solicitar exigencia de responsabilidad disciplinaria a quien lo hubiese sufrido, máxime cuando se trata de un funcionario incardinado en una administración pública de la que, volvemos a reiterar, se presume la buena fe y la legalidad de sus actos. Cabe recordar que es el propio ordenamiento jurídico el que prevé en su artículo 105 apartado 2 la corrección de los errores materiales que es lo que en concreto y aplicado al supuesto de autos ha sucedido. Predicar -o presuponer- la perfección absoluta en cualquier ámbito de la actividad burocrática, informática o administrativa supone un grado de rigurosidad extremo e incumplible, que ni siquiera sectores del ordenamiento jurídico como el penal formulan en tan alto grado (…) Tenga por presentadas las alegaciones formuladas y en su virtud se acuerde el sobreseimiento del procedimiento incoado, con archivo de las actuaciones y sin imposición de sanción a esta Institución o, en su defecto, hacer remisión de la sanción dejándola en suspenso…>> Con fecha 26/05/2013 la Diputación Provincial de Pontevedra remite correo electrónico trasladando copia del Anuncio publicado en el BOP de 6 de julio de 2012, relativo al acuerdo plenario de 29 de junio de 2012 sobre disolución y derogación de Estatutos de diversos Organismos Autónomos Locales, entre los que se encuentra el Museo Provincial con efectos de 31 de diciembre. HECHOS PROBADOS PRIMERO: En escrito de fecha de entrada de 23 de septiembre de 2013 el denunciante, denuncia la recepción de un mensaje electrónico del Museo Provincial de Pontevedra en su dirección de correo electrónico B.B.B., dirigido a casi 400 destinatarios, en el que no se ocultaban sus direcciones electrónicas. Según expone, su relación con el remitente se debe únicamente a su inscripción voluntaria en el servicio de difusión del denunciado (folios 1 a 2 y 6 a 13). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
4. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
5. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la dirección de correo electrónico ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. IV El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido un correo electrónico desde una dirección de correo, remitido por el denunciado, donde se visualizaban direcciones de correos electrónico de terceras personas, entre los que estaba incluido el suyo propio, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. V Hay que añadir, respecto al error cometido, que debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de culpa se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el artículo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el artículo 44.3.
6. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.
7. d)de la Ley Orgánica 15/1999- requiere la existencia de culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN