E-06425-2015

1/4 Expediente Nº: E/06425/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. A.A.A. en virtud de denuncia presentada por DÑA. B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: En relación con D. A.A.A. (en lo sucesivo el denunciado), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00120/2015, que concluyó mediante resolución nº R/02595/2015, de fecha 22/10/2015, en la que se tuvieron por probados los siguientes hechos: <<1. El denunciado es titular del blog denominado “ E.E.E.”. Para la gestión de este blog, la empresa prestadora del servicio de hosting facilita al titular del mismo un acceso a través de una herramienta informática (wordpress), que le permite modificar o eliminar los distintos datos que figuran en cada campo de una entrada o de cada comentario. Entre esos campos está la IP de cada comentario”. 2. Con fecha 23/06/2013, desde el ordenador que utiliza en su trabajo, la denunciante insertó un comentario en el blog del denunciado bajo el seudónimo “ H.H.H.”. 3. En relación con el comentario insertado en el blog por la denunciante, un abogado se dirigió al denunciado, mediante correo electrónico, en los siguientes términos: “Estimado […]: Te habrán comentado que estoy preparando una querella criminal por unos comentarios que una persona, bajo el nombre de “ H.H.H.”, ha realizado en tu foro acerca de mi clienta y amiga […] del asunto…. Si eres tan amable, necesitaría saber la IP con la que esta persona ha entrado en el foro, y los datos con los que se ha registrado y dirección de correo electrónico. Un abrazo y gracias por tu colaboración”. 4. En respuesta al correo electrónico reseñado en el Hecho Probado Tercero, con fecha 28/06/2013, el denunciante remitió el siguiente mensaje, también por correo electrónico: “La IP es C.C.C. el email que pone es D.D.D. aunque imagino que es falso. Desde esa misma IP escriben muchos de F.F.F.. No sé si es de G.G.G. o del propio F.F.F.”>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 22/10/2015 se acordó lo siguiente: “1.- APERCIBIR (A/00120/2015) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
2. f)y
3. n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 “2.- REQUERIR a D. A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 10 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, comprometiéndose expresamente a respetar el deber de secreto y a evitar en el futuro la comunicación de tales datos personales a terceros no autorizados. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento”. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/06425/2015. CUARTO: En relación con lo instado en la resolución mencionada, se recibió escrito del denunciado, mediante el que informa lo siguiente: “l.- Que, a los efectos de poder implementar las medidas informáticas adecuadas, se procedió a dar traslado a JOLY DIGITAL, S.L. -sociedad que presta el servicio de hosting del blog CON LA VENIA- de la resolución recaída en el presente procedimiento, solicitándose que fuesen retiradas de las distintas pantallas de la interface la visualización de las direcciones IP de los comentarios. II.- Que conforme a lo anterior, JOLY DIGITAL, S.L. ha modificado la herramienta para la gestión del blog, de forma que ya no aparecen vinculados los comentarios y las direcciones IP desde la que se remitieron. Estas modificaciones han sido finalizadas el día 2 de diciembre de 2015. Se adjunta copia de la pantalla del gestor del blog, tal y corno aparece desde el citado 2 de diciembre de 2015. III.- Que en el caso que resultase necesario conocer esta información por requerimiento judicial o policial, el procedimiento a seguir será realizar solicitud expresa y por escrito a JOLY DIGITAL, S.L., quién deberá lanzar una búsqueda específica sobre la base de datos para conocer la referida IP. IV.- Que JOLY DIGITAL, S.L. y A.A.A. están llevando a cabo la negociación de un nuevo contrato de colaboración, mediante el que los servicios de hosting de blog que presta JOLY DIGITAL, S.L. deberán incluir lo dispuesto en el presente apartado. A la fecha de remisión de este escrito el contrato no ha sido suscrito entre las partes. V.- Que, finalmente, mediante el presente escrito A.A.A. se compromete expresamente en la gestión del blog CON LA VENIA a respetar el deber de secreto y a evitar en el futuro la comunicación de tales datos personales a terceros no autorizados”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 En el procedimiento A/00120/2015 se imputó al denunciado el incumplimiento del deber de secreto regulado en el artículo 10 de la LOPD, que establece lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso, quedó acreditado en el expediente que el denunciado reveló a un tercero los datos personales de la denunciante, en concreto, los relativos a la dirección IP de la misma, su dirección de correo y su centro de trabajo, sin que la afectada hubiese prestado su consentimiento para ello. En consecuencia, se consideró que esa divulgación de datos personales, llevada a cabo mediante el envío el a un tercero de un correo electrónico en el que se indicaban los mismos, vulnera lo dispuesto en el artículo 10 de la LOPD, siendo responsable de ello el denunciado, sobre el que recae el deber de secreto que impone dicho precepto como responsable de la custodia de los datos en cuestión, obtenidos a partir de la participación de la denunciante en un blog de la titularidad exclusiva del denunciado. Por otra parte, en la parte dispositiva de la resolución del procedimiento A/00120/2015, se instó al denunciado “a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, comprometiéndose expresamente a respetar el deber de secreto y a evitar en el futuro la comunicación de tales datos personales a terceros no autorizados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que el denunciado ha atendido el requerimiento efectuado en la citada resolución, de 22/10/2015, habiéndose comprometido “expresamente en la gestión del blog CON LA VENIA a respetar el deber de secreto y a evitar en el futuro la comunicación de tales datos personales a terceros no autorizados”, habiendo modificado, además, la herramienta utilizada para la gestión de dicho blog de forma que no aparezcan los comentarios y direcciones IP desde las que se remitieron. La adopción de estas mejoras conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A. y a DÑA. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es