AAPP-00042-2014

1/8 Procedimiento Nº AP/00042/2014 RESOLUCIÓN: R/02715/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00042/2014, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE JARANDILLA DE LA VERA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 26 de septiembre de 2013 se recibe en la Agencia Española de Protección de Datos escrito de denuncia de D. A.A.A. (en lo sucesivo el denunciante) comunicando que desde la dirección B.B.B., dirección de correo electrónico de un agente de desarrollo local del Ayuntamiento de Jarandilla de la Vera (en lo sucesivo el denunciado), se están remitiendo correos electrónicos a las personas interesadas en cursos de idiomas donde figuran las direcciones de correo de todos ellos, entre ellas la dirección del denunciante ( D.D.D.). El denunciante, al recibir un correo de fecha 20 de mayo de 2013 desde la citada dirección en el que figuran unas 150 direcciones de correo, remite un correo electrónico al Ayuntamiento a la dirección C.C.C. informando de este hecho y solicitando la utilización de la opción “Copia Oculta”, no obstante, han seguido remitiendo correos sin ocultar las direcciones. Adjunto a la denuncia se ha aportado copia de los correos mencionados y copia de dos correos de fechas 17 de septiembre y 22 de septiembre de 2013 donde consta aproximadamente 300 direcciones de correo remitidos desde la dirección C.C.C.. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al Ayuntamiento denunciado. Tal y como consta en la documentación de contestación, remitida por el denunciado con fecha de registro de entrada a esta Agencia el 21 de febrero de 2014: 1. El citado Ayuntamiento manifiesta que las direcciones B.B.B. y C.C.C. son usados por un empleado contratado por el Ayuntamiento en el ejercicio de sus funciones. 2. Que en los correos remitidos se enviaba información relativa a la implantación de un aula adscrita de la Escuela Oficial de Idiomas de la Consejería de Educación y del Ayuntamiento de Jarandilla de la Vera. 3. El origen del dato de la dirección de correo D.D.D. ha sido proporcionada por el denunciante como dirección de contacto en relación con la Escuela Oficial de Idiomas. A este respecto, el citado Ayuntamiento ha aportado el formulario “Solicitud de interés en participar en los primeros cursos de idiomas de escuelas oficiales de idiomas de Extremadura” cumplimentado y firmado a nombre del denunciante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 donde figuran sus datos de nombre y apellidos, DNI, teléfono de contacto y dirección postal, así como la dirección de correo. 4. Manifiesta que se realizó una campaña para el estudio de la demanda de los ciudadanos del citado Ayuntamiento en relación con los idiomas y para ello se cumplimentaron voluntariamente los formularios, comprometiéndose a informar del proceso y si finalmente se concede la Escuela de Idiomas sean los primeros en poder acceder a este servicio público de formación en inglés. Por este motivo se enviaron varios emails todos relacionados con la Escuela:  Con fecha 20 de Mayo de 2013, información sobre la Escuela Oficial de idiomas que se va a implantar.  17 y 22 de Septiembre de 2013 ambos en relación a los plazos de matriculación. Y se envía a todos los destinatarios porque se consideró que era interesante esta información para todos. No obstante se comete el error de copiar y pegar las direcciones en el sitio equivocado. 5. En cuanto a las medidas que se han tomado al respecto, el citado Ayuntamiento manifiesta que:  Se ha pedido disculpas al titular del email y aportan email enviado, de fecha 10 de febrero de 2014.  Se ha eliminado la dirección D.D.D. ya que el fin para el que esta persona proporcionó su email ha finalizado.  Se han hecho gestiones para cumplir las obligaciones que impone la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos: información a los trabajadores, y se ha contactado con un empresa de protección de datos. 6. No se ha obtenido constancia de que la dirección D.D.D. se encuentre publicada en Internet. TERCERO: Con fecha 29/07/2014 la Subdirección General del Registro General de Protección de Datos de esta Agencia ha requerido al citado Ayuntamiento para que proceda a notificar al RGPD aquellos ficheros de los que es responsable. CUARTO: Con fecha 8 de septiembre de 2014 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al citado Ayuntamiento por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. Dicho acuerdo le fue notificado al citado Ayuntamiento el 17/09/2014. Mediante escrito recibido el 1/10/2014 el denunciante se persona en el procedimiento. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 resolución, por lo que se procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS PRIMERO: Con fecha 26 de septiembre de 2013 se recibe en la Agencia Española de Protección de Datos escrito del denunciante comunicando que desde la dirección B.B.B., dirección de correo electrónico de un agente de desarrollo local del denunciado, se están remitiendo correos electrónicos a las personas interesadas en cursos de idiomas donde figuran las direcciones de correo de todos ellos, entre ellas la dirección del denunciante ( D.D.D.). El denunciante, al recibir un correo de fecha 20 de mayo de 2013 desde la citada dirección en el que figuran unas 150 direcciones de correo, remite un correo electrónico al Ayuntamiento a la dirección C.C.C. informando de este hecho y solicitando la utilización de la opción “Copia Oculta”, no obstante, han seguido remitiendo correos sin ocultar las direcciones. Adjunto a la denuncia se ha aportado copia de los correos mencionados y copia de dos correos de fechas 17 de septiembre y 22 de septiembre de 2013 donde consta aproximadamente 300 direcciones de correo remitidos desde la dirección C.C.C. (folios 1 a 12). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
3. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
4. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la dirección de correo electrónico ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. IV El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido correos electrónicos desde una dirección de correo, remitido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 denunciado, donde se visualizaban direcciones de correos electrónico de terceras personas, entre los que estaba incluido el suyo propio, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. V Hay que añadir, respecto al error cometido, que debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de culpa se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el artículo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el artículo 44.3.
5. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.
6. d)de la Ley Orgánica 15/1999- requiere la existencia de culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN