AAPP-00023-2015

1/8 Procedimiento Nº AP/00023/2015 RESOLUCIÓN: R/01277/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00023/2015, instruido por la Agencia Española de Protección de Datos a la DIPUTACION PROVINCIAL DE MÁLAGA, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: En fecha 8 de marzo de 2015 tiene entrada en la Agencia denuncia de don A.A.A. (en lo sucesivo el denunciante) contra la DIPUTACION PROVINCIAL DE MÁLAGA (en lo sucesivo el denunciado) responsable de la edición del Boletín Oficial de la Provincia de Málaga, por el envío de un mensaje electrónico dirigido a siete destinatarios sin ocultar su dirección electrónica personal. Aporta copia impresa del mensaje electrónico remitido desde .....@bopmalaga.es, fechado el 6 de marzo de 2015, con el asunto “Alerta BOPMA del día 6/3/2015”. El texto del mensaje lleva un encabezado dirigido a una señora, identificada por su nombre y apellidos, y la siguiente información: “Los siguientes edictos publicados hoy, día 06/03/2015, han coincidido con uno o varios de sus criterios de búsqueda del servicio de Lista de Correo Personalizada del Boletín Oficial de la Provincia de Málaga (BOPMA)”. SEGUNDO: Con fecha 8 de abril de 2015 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al denunciado por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 8 de mayo de 2015 se recibió en esta Agencia escrito de alegaciones del denunciado manifestando: <<…TERCERO.- A los efectos del Procedimiento incoado venimos a manifestar que, según informe del Analista-Programador del CEDMA, que se aporta como documento n° 1, el día 6 de marzo se constató que en el proceso automático programado de envíos de correos personalizados de AlertaBOP se había producido un error por una modificación en el código del script que gestiona procesos de envíos, modificación realizada el 5 de marzo. Dicho fallo tuvo como consecuencia para algunos de los usuarios de alta en el sistema de alertas, ni siquiera para la totalidad de los mismos, que en el proceso de envío se incluyeran direcciones de correos adicionales en el campo de los destinatarios, e incluso en la remisión de información publicada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 boletín de dicho día 6 de marzo distinta de la marcada como de su interés. CUARTO. - El fallo técnico al que hemos hecho referencia anteriormente fue corregido de forma inmediata el mismo día 6, sin que hasta la fecha se hayan producido nuevos errores, por lo que, ha de ser considerado como puntual. Por otro lado, es preciso resaltar, a los efectos de la instrucción del procedimiento, que el sistema de envío de correos “Alerta BOPMA” no realiza envíos masivos de correos electrónicos, ni con copia oculta, ni mucho menos con copia, puesto que cada mensaje se remite de forma individualizada al destinatario concreto que haya cursado el alta en el sistema de alertas. Los destinatarios se dan de alta, mediante procedimiento Opt-in confirmado desde la propia página web de BOPMA, y asimismo tienen la posibilidad de darse de baja, tanto desde la misma web como desde un enlace insertado en cada mensaje recibido (…) Puesto que el error detectado fue debidamente corregido ese mismo día, habiendo adoptado las medidas necesarias para corregirlo, interesamos se archive el procedimiento incoado…>> CUARTO: Al haber reconocido el denunciado los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: En fecha 8 de marzo de 2015 tiene entrada en la Agencia escrito del denunciante contra el denunciado, responsable de la edición del Boletín Oficial de la Provincia de Málaga, por el envío de un mensaje electrónico dirigido a siete destinatarios sin ocultar su dirección electrónica personal. Aporta copia impresa del mensaje electrónico remitido desde .....@bopmalaga.es, fechado el 6 de marzo de 2015, con el asunto “Alerta BOPMA del día 6/3/2015”. El texto del mensaje lleva un encabezado dirigido a una señora, identificada por su nombre y apellidos, y la siguiente información: “Los siguientes edictos publicados hoy, día 06/03/2015, han coincidido con uno o varios de sus criterios de búsqueda del servicio de Lista de Correo Personalizada del Boletín Oficial de la Provincia de Málaga (BOPMA)” (folios 1 a 3). SEGUNDO: A lo largo del procedimiento, el denunciante ha alegado que: “…El fallo técnico al que hemos hecho referencia anteriormente fue corregido de forma inmediata el mismo día 6, sin que hasta la fecha se hayan producido nuevos errores, por lo que, ha de ser considerado como puntual…”(folios 21 a 29). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” IV La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
3. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
4. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la dirección de correo electrónico ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 el interesado no ha dado su consentimiento para ello. V El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido un correo electrónico desde una dirección de correo, remitido por el denunciado, donde se visualizaban direcciones de correos electrónico de terceras personas, entre los que estaba incluido el suyo propio, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. VI Hay que añadir, respecto al error cometido, que debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de culpa se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el artículo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el artículo 44.3.
5. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.
6. d)de la Ley Orgánica 15/1999- requiere la existencia de culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN