E-01879-2016

1/6 Expediente Nº: E/01879/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INSER HOTEL S.L. (HOTEL BOTÁNICO), en virtud de denuncia presentada por Don A.A.A. y Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de marzo de 2016, tuvo entrada en esta Agencia escrito remitido por Don A.A.A. y Doña B.B.B., en el que denuncia a INSER HOTEL S.L., (en adelante HOTEL BOTANICO) por haber remitido a un tercero, por correo electrónico, información sobre una factura por un servicio de SPA realizado en el hotel sin consentimiento del denunciante. Dicho correo ha sido publicado en la página de Facebook del receptor. En el correo consta el importe de un servicio de SPA, de fecha 1 de diciembre de

1. Y, entre otra, anexa la siguiente documentación:  Copia del correo electrónico remitido desde Recepción Spa Hotel Botánico para D.D.D. en el que figura el apellido del denunciante junto con el importe por el servicio de SPA.  Impresión del perfil de Facebook de C.C.C. donde consta una copia del correo mencionado.  Factura emitida al denunciante Don noviembre de
2. A.A.A. por el hotel, de fecha 22 de  Correos electrónicos intercambiados entre el denunciante y su abogado con HOTEL BOTANICO respecto de estos hechos en el mes de diciembre de
3. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 25 de abril y 13 de julio de 2016 se ha solicitado información a HOTEL BOTANICO, recibiéndose respuesta en fecha 22 de julio de 2016 y con fecha 29 de septiembre de 2016, el denunciante aporta el Acta de Inspección realizada por la Consejería de Turismo del Gobierno de Canarias; de todo ello se desprende:
4. Don A.A.A. realizó una reserva para hospedarse en el HOTEL BOTANICO, con entrada el 21 de noviembre y salida el 22 de noviembre de
5. En la ficha de alojamiento elaborada al efecto consta como dirección de correo electrónico .......@hotmail.co.uk (La entidad ha aportado copia de la mencionada reserva y de la ficha de alojamiento donde constan los datos del denunciante en dichas fechas en los documentos 1 y 2 del escrito de contestación). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6
6. Con fecha 30 de noviembre de 2015, se recibe en el HOTEL BOTANICO en la dirección ...reservas@hotel......., un correo electrónico remitido desde la dirección noreply@....., en el cual figura como remitente el apellido del denunciante y solicita el duplicado de una factura que ha traspapelado indicando la fecha de la factura y el importe, solicitando también un duplicado de la factura por el servicio ORIENTAL SPA por importe de 55 € y consta como dirección de correo electrónico asociado al denunciante ........1@hotmail.com. HOTEL BOTANICO manifiesta que al recibir el correo consideró que el remitente era el cliente solicitando un duplicado de su factura ya que proporcionaba los datos precisos de su estancia y su importe, por lo cual se atendió a la solicitud remitiendo correo electrónico con la factura de la estancia en el hotel, indicándole además que remitirán su solicitud al Departamento de SPA para que procedan a su contestación. (La entidad ha aportado copia de los correos mencionados en los en los documentos 3 y 4 del escrito de contestación).
7. Con fechas 22 de diciembre de 2015 y 26 de enero de 2016, en el Departamento Jurídico del HOTEL BOTANICO se recibe un correo suscrito por el abogado del denunciante y remitido desde la dirección ........2@gmail.com en los que se solicita una indemnización económica por la remisión de las facturas a un tercero, indicando que el mismo ha resultado ser la esposa del denunciante, informando, asimismo, de una posible reclamación ante la Agencia de Protección de Datos. HOTEL BOTANICO no compartía los argumentos del denunciante por lo que instó al mismo para que interpusieran una reclamación oficial ante la Consejería de Turismo del Gobierno de Canarias. (La entidad ha aportado copia de los correos mencionados en los en los documentos 5 y 6 y copia de la hoja de reclamación ante el Gobierno de Canarias en los documentos 7 y 8).
8. Con motivo de la reclamación presentada ante el Gobierno de Canarias, con fecha 10 de marzo de 2016, se realiza una inspección por la Consejería de Turismo en la que se constatan los mismos hechos descritos, aportándose asimismo los documentos referenciados. HOTEL BOTANICO manifiesta que por parte de la Inspección de Turismo no se ha iniciado ningún procedimiento sancionador. (La entidad ha aportado copia del Acta de Inspección mencionada en el documento 9). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Datos de carácter personal establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. III Un supuesto similar al denunciado, fue revisado por la Audiencia Nacional que estimó el Recurso interpuesto, en Sentencia de fecha 23 de diciembre de 2013 (Recurso C-A 341/2012), indicando lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones particulares, a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional.(…) Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” El Hotel Botánico actúo con diligencia y no vulneró el deber de secreto, ya que los datos que constaban en la factura que había facilitado eran conocidos por la receptora de dicha factura. En todo caso, pudo cometerse un error no sancionable al enviar la información a un correo electrónico diferente al que fue usado para hacer la reserva. Así las cosas, no se aprecia, en este caso, incumplimiento del deber de secreto. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a INSER HOTEL S.L. (HOTEL BOTÁNICO), y a Don A.A.A. y Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es