E-06592-2017

1/5 Expediente Nº: E/06592/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ESQUERRA REPUBLICANA DE CATALUNYA en virtud de denuncia presentada por D. B.B.B. y Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/09/2017 tiene entrada en esta Agencia denuncias presentadas por D. B.B.B. y Dña. A.A.A. (en lo sucesivo los denunciantes) en los que manifiestan lo siguiente: El portal web ***WEB.1 de Esquerra Republicana de Catalunya (en lo sucesivo ESQUERRA) recaba datos personales mediante un formulario sin informar de los derechos en materia de protección de datos. Y, entre otra, se anexa la siguiente documentación:  Página de inicio de la web ***WEB.1 y formulario disponible en la misma de fecha de acceso 20 de septiembre de 2017.  Información sobre la titularidad de la web en la que figura ESQUERRA REPUBLICANA DE CATALUÑA. SEGUNDO: A la vista de los hechos denunciados y en fase de actuaciones previas, entre otras actuaciones se solicita información a ESQUERRA, teniendo conocimiento de los siguientes hechos:

1. a)Con fecha 17 de octubre de 2017, desde la Inspección de Datos se accede a la web ***WEB.1 verificando que figura el documento remitido por los denunciantes. En dicha web no hay constancia de información relativa a lo estipulado en la LOPD.
2. b)Con fechas 18 de abril y 9 de mayo 2018, desde la Inspección de Datos, se intenta acceder a la web ***WEB.1 comprobando que dicha web no está operativa.
3. c)Con fecha 3 de enero de 2018 se recibe contestación de ESQUERRA en relación con el requerimiento de información remitido desde la Inspección de Datos con fecha 29 de noviembre de 2017 en el que se pone de manifiesto que: 1 ESQUERRA es titular de la web ***WEB.1, que fue creada el 15 de septiembre de 2017 con la finalidad de publicar un manifiesto de profesionales en el ámbito de la cultura. La web dispone de un formulario y ESQUERRA manifiesta que disponía también de una dirección de correo de contacto (***EMAIL.1) y de un aviso legal pero debido a múltiples ciberataques desde su puesta en funcionamiento hasta el 27 de septiembre de 2017, la web tuvo múltiples incidencias y el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 funcionamiento fue defectuoso y, entre otras incidencias, se inhabilitaron formularios y se insertaron textos e imágenes que no eran de la página por lo que, con fecha 30 de septiembre, se desactivó parcialmente. 2 ESQUERRA manifiesta que en el funcionamiento correcto de la web, al acceder al formulario se mostraba el aviso legal que debía ser validado para continuar con la captura de datos y se desplegaba un formulario de confirmación de envío que ofrecía la posibilidad de editar la respuesta y cancelar la petición de envío, en su caso. Asimismo, se remitía un correo electrónico a la dirección aportada en el formulario con los datos recabados con objeto de comprobar la veracidad de los mismos, y posteriormente, se remitía un nuevo correo solicitando la confirmación de los datos aportados. En relación con estas manifestaciones, ESQUERRA ha aportado:  Aviso legal y política de cookies en la que se informa, entre otros aspectos, de la titularidad del fichero y en la que figura un apartado relativo a protección de datos personales y procedimiento para ejercer los derechos ARCO.  Impresiones de pantalla del funcionamiento de la web donde consta un formulario en el que se recaban los datos de: dirección de correo electrónico, nombre y apellidos, profesión, sector cultural, y autorización a publicar el nombre en la web (SI/NO). Y al final del formulario figura completo el aviso legal/política de cookies junto con una casilla de aceptación. Asimismo figura una información respecto a que se enviará un correo electrónico con una copia de los datos aportados.  Impresión del formulario de confirmación de envío.  Impresión del correo electrónico enviado a las personas interesadas con una copia de los datos introducidos en el formulario de la web. 3 ESQUERRA manifiesta que los datos recabados en el formulario se recogen en el fichero Institucional inscrito en el Registro General de Protección de Datos con el código ***COD.1 en fecha 6 de junio de 2013. TERCERO: Consultada el 10/05/2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado no le constan registros previos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 5 de la LOPD señala que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” III En el presente caso ha quedado acreditado que la web del denunciado tenía formularios de recogida de datos personales pero no informaba del art. 5 de la LOPD), lo que constituye por parte del denunciado una infracción del citado artículo. Infracción tipificada como leve en el artículo 44.2.
10. c)de la citada norma, como: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” IV No obstante, el artículo 45.6 de la LOPD, indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: 1. Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. 2. Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en el citado apartado 6 del artículo 45 de la LOPD. Trasladando las consideraciones precedentes al supuesto que analizamos se observa que la presunta infracción de la LOPD del denunciado, constituiría una infracción “leve”; que el mismo no ha sido sancionado o apercibido por la AEPD en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.4 de la LOPD, teniendo en cuenta que la actividad del denunciado no tiene vinculación con la realización de tratamientos de datos de carácter personal, su volumen de negocio al tratarse de un partido político y la falta de beneficios obtenidos. V Así mismo, debe tenerse en cuenta que el 18 de abril y 9 de mayo 2018 dicha web no está operativa, por lo que no procede instar medida alguna. En atención a las circunstancias del presente procedimiento se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer ya no son procedentes, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el Archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ESQUERRA REPUBLICANA DE CATALUNYA, a D. B.B.B. y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es