AAPP-00025-2014

1/10 Procedimiento Nº AP/00025/2014 RESOLUCIÓN: R/01444/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00025/2014, instruido por la Agencia Española de Protección de Datos a la AUTORIDAD PORTUARIA DE GIJON, vista la denuncia presentada por D. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de agosto de 2013 tiene entrada en esta Agencia un escrito de D. B.B.B. (en lo sucesivo el denunciante), manifestando que presta servicios en la Autoridad Portuaria de Gijón (en lo sucesivo el denunciado), y que está suscrito al plan de comunicación interna de la empresa, para lo cual facilitó su dirección de correo electrónico A.A.A.. Así mismo comunica que el 26 de junio de 2013, a las 15:41 horas recibió un correo electrónico remitido desde la dirección .............@puertogijon.es perteneciente al plan de comunicación citada. En dicho correo aparecen en el campo de destinatarios sin copia oculta las direcciones de terceras personas junto con la suya propia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al denunciado, teniendo conocimiento de que:

1. a)El correo denunciado remitido el 26 de junio de 2013 desde la dirección .............@puertogijon.es tiene en su campo de destinatarios no ocultos un total de 27 direcciones de correo entre las que se encuentra la del denunciante. Todas las direcciones excepto la primera que parece ser una lista de distribución vienen acompañadas con el nombre y apellido o apellidos de su titular.
2. b)Consultado el buscador Google el 7 de octubre de 2013 utilizando como criterio de búsqueda la dirección de correo del denunciante se constata que no se localiza ninguna página indexada que lo contenga.
3. c)El denunciado tiene inscrito en esta Agencia un fichero denominado trabajadores, con código de inscripción ***COD.1.
4. d)El denunciado ha comunicado que el denunciante estuvo vinculado al mismo en virtud de un contrato de relevo. En noviembre de 2010 se solicitó a los trabajadores de la citada entidad el consentimiento para poder utilizar su teléfono particular o correo electrónico privado para comunicaciones corporativas. El denunciante prestó su consentimiento y para probarlo aportan copia del documento recibido con los datos del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Estiman que entre noviembre de 2010 y diciembre de 2013 se remitieron dentro del plan de comunicación interno unos 450-500 correos y si bien no en todos ellos se incluía la lista de distribución “Policía Portuaria” en la que obraba la dirección de correo particular del denunciante, sí que es extensa la relación de ellos en los que sí se incluían. Así mismo comunican que “La difusión del correo personal de D. B.B.B. en el correo electrónico de fecha 26 de junio de 2013 de manera visible para el resto de destinatarios fue debido a un error humano puntual…” TERCERO: Con fecha 23 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al denunciado por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
5. d)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fechas 23 de mayo y 20 de junio de 2014 se recibieron en esta Agencia escritos de alegaciones del denunciado en los que manifestaba: <<…En noviembre de 2010, fruto de una revisión del Plan de Comunicación Interna de la APG, se detecta la necesidad de utilizar nuevos canales de comunicación con el colectivo de trabajadores que conforman la Policía Portuaria, dado que al no disponer de un ordenador personal con una cuenta de correo electrónico corporativo no son receptores de muchas de las comunicaciones realizadas por la Autoridad Portuaria de Gijón. Dichas comunicaciones presentan como únicos destinatarios a los trabajadores de la APG, exclusivamente para el envío de información corporativa y en el marco de la relación laboral. Ninguna persona ajena a la APG puede recibir estos correos. La APG entendía que carecer de una dirección corporativa no debía de ser la razón para quedar fuera del circuito de información establecido. A tal efecto, se solicitó a los trabajadores, interesados en recibir dichas comunicaciones y que no contaban con dichas direcciones corporativas, que facilitasen los datos de contacto pertinentes (dirección de correo electrónico y teléfono) como paso previo a su envío. Por ello, la APG decidió incluirlos dentro del conjunto de destinatarios, previa comunicación de las condiciones del tratamiento de sus datos y de la preceptiva obtención de su consentimiento (…) En el periodo comprendido entre noviembre de 2010, momento en que D. B.B.B. da su consentimiento para el envío de correos electrónicos del Plan de Comunicación Interna a su correo personal y diciembre de 2013, momento en el que finaliza su relación contractual con esta Autoridad Portuaria de Gijón, se estima en unos 450-500 correos electrónicos los remitidos por esta vía (Plan de Comunicación Interna), sin que haya constancia de que se haya producido en otra ocasión la situación que provoca la denuncia por parte de D. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 De cara al envío de dichas comunicaciones se extraían de la lista de distribución denominada “Policía Portuaria”, las direcciones particulares de este colectivo que comprende un total de 27 registros (…) El 26 de junio de 2013, a las 15:41 horas, se remite a través de un correo del Plan de Comunicación Interna a toda la plantilla de la Autoridad Portuaria de Gijón lo tratado en una reunión celebrada entre la Presidencia y la Dirección General de la Autoridad Portuaria y el Comité de Empresa. Ese correo se envía, además de a todas las direcciones de correo electrónico corporativas, a las direcciones particulares de los policías portuarios que se adhirieron a la iniciativa a la que hemos hecho referencia en la alegación segunda de este escrito. Fruto de un error, las direcciones de correo electrónico no se pusieron en el campo CCO, como era habitual, sino en el campo CC, resultando visibles para todos los destinarios del correo. Ello fue debido a un error, ya que habitualmente se utiliza el campo CCO. No obstante, es preciso señalar que el envío se circunscribió única y exclusivamente al ámbito laboral, es decir solo fue recibido por personal de la Autoridad Portuaria (…) Sin perjuicio de que por parte de esta Autoridad Portuaria se reconozca la infracción del art. 10 LOPD, es preciso señalar que concurren una serie de circunstancias que atienden a la reducción del grado de calificación. El ART. 45.4 de la LOPD establece diversos factores a los que hay que atender a la hora de graduar las sanciones. Así entre otros señala los siguientes…>> (el subrayado es de la AEPD). QUINTO: Al haber reconocido el denunciado los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: Con fecha de 5 de agosto de 2013 tiene entrada en esta Agencia un escrito del denunciante, manifestando que presta servicios para el denunciado, y que está suscrito al plan de comunicación interna de la empresa, para lo cual facilitó su dirección de correo electrónico A.A.A.. Así mismo comunica que el 26 de junio de 2013, a las 15:41 horas recibió un correo electrónico remitido desde la dirección .............@puertogijon.es perteneciente al plan de comunicación citada. En dicho correo aparecen en el campo de destinatarios sin copia oculta las direcciones de terceras personas junto con la suya propia (folios 1 a 6). SEGUNDO: El correo denunciado remitido el 26 de junio de 2013 desde la dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 .............@puertogijon.es tiene en su campo de destinatarios no ocultos un total de 27 direcciones de correo entre las que se encuentra la del denunciante. Todas las direcciones excepto la primera que parece ser una lista de distribución vienen acompañadas con el nombre y apellido o apellidos de su titular (folios 3 y 4). TERCERO: Consultado el buscador Google el 7 de octubre de 2013 utilizando como criterio de búsqueda la dirección de correo del denunciante se constata que no se localiza ninguna página indexada que lo contenga (folios 23 a 25). CUARTO: El denunciado ha comunicado que el denunciante estuvo vinculado al mismo, en virtud de un contrato de relevo. En noviembre de 2010 se solicitó a los trabajadores de la citada entidad el consentimiento para poder utilizar su teléfono particular o correo electrónico privado para comunicaciones corporativas. El denunciante prestó su consentimiento y para probarlo aportan copia del documento recibido con los datos del denunciante. Estiman que entre noviembre de 2010 y diciembre de 2013 se remitieron dentro del plan de comunicación interno unos 450-500 correos y si bien no en todos ellos se incluía la lista de distribución “Policía Portuaria” en la que obraba la dirección de correo particular del denunciante, sí que es extensa la relación de ellos en los que sí se incluían. Así mismo comunican que “La difusión del correo personal de D. B.B.B. en el correo electrónico de fecha 26 de junio de 2013 de manera visible para el resto de destinatarios fue debido a un error humano puntual…”(folios 13 a 22). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 III La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” IV La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
7. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
8. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la dirección de correo electrónico ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. V El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido un correo electrónico desde una dirección de correo, remitido por el denunciado, donde se visualizaban direcciones de correos electrónico de terceras personas, entre los que estaba incluido el suyo propio, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. VI Hay que añadir, respecto al error cometido, que debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de culpa se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el artículo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el artículo 44.3.
9. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.
10. d)de la Ley Orgánica 15/1999- requiere la existencia de culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN