← España

PS-00006-2018

1/14 Procedimiento Nº PS/00006/2018 RESOLUCIÓN: R/00704/2018 En el procedimiento sancionador PS/00006/2018, instruido por la Agencia Española de Protección de Datos a la entidad OPERA SERVICOM, S.L., vista la denuncia presentada por CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de mayo de 2017 tiene entrada en esta Agencia una denuncia presentada por CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L., (en lo sucesivo, la entidad denunciante), en la que manifiesta lo siguiente: La entidad denunciante suscribió un contrato de prestación de servicios de “verificación, mantenimiento y asistencia para su sistema informático” con la entidad OPERA SERVICOM, S.L., no siendo ésta autorizada para acceder a documentos de la empresa, discos duros, almacenamiento con información ni correos electrónicos. No obstante, tras la rescisión del citado contrato por parte de la entidad denunciante, se le requiere la devolución de dominios de internet propiedad de la misma, entre otros. Así mismo, revisaron documentos y comunicaciones habidas durante el mantenimiento de las cuentas de correo, observando que, durante un problema ocurrido, el denunciando entró en las cuentas de correo de su empresa, sin autorización alguna. Además, ha utilizado cuentas de correo y dominios de su propiedad para enviar desde las mismas documentos y e-mails a terceras empresas que nada tienen que ver con la entidad denunciante. Por otra parte, han encontrado documentación de terceros (clientes del denunciado), con los códigos de acceso y cuentas de correo que deberían estar custodiadas por el denunciado. Así mismo, manifiestan que dicha entidad subcontrató servicios a terceros (Don D.D.D., Don A.A.A. y Don B.B.B.), sin comunicarlo a la entidad denunciante. Entre otra, anexa la siguiente documentación:  Copia de denuncia presentada ante la Dirección General de la Policía con fecha 27 de enero de 2017, por estos mismos hechos.  Copia de correos electrónicos remitidos por Don C.C.C. (administrador de la entidad denunciada) desde una cuenta de correo propiedad de los denunciantes a terceras personas, con posterioridad a la rescisión del contrato.  Copia del correo electrónico enviado por Don D.D.D. a Don C.C.C. con nombres de usuario y contraseñas de correos electrónicos de clientes de la entidad denunciada. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/03015/2017), teniendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 conocimiento de los siguientes extremos: Con fecha 11 de septiembre de 2017, se recibe en esta Agencia escrito de la entidad OPERA SERVICOM, S.L., en el que pone de manifiesto que: 1 OPERA SERVICOM, S.L., desde el 24 de febrero de 2014 hasta el 1 de octubre de 2016, ha prestado a la entidad denunciante sus servicios como proveedor de servicios de internet, consistentes en actuar como administrador de los dominios, así como la gestión de los buzones de correos asociados al dominio encomendado y, en su caso, de sus webs, tal y como se puede comprobar en el documento que adjunta. 2 En el citado documento, fechado el 24 de febrero de 2014, figura una petición de VIDOCQ Investigaciones, S.L., donde se le encarga la gestión de diferentes dominios, todos ellos correspondientes a “Vidocqinvestigaciones”. 3 Aunque ni la denominación de la empresa ni el CIF coincide con el de la entidad denunciada, del estudio del resto de la documentación que se adjunta se deduce que el representante de VIDOCQ Investigaciones, S.L., es Don H.H.H., el cual suscribió el contrato entre OPERA SERVICOM, S.L. y CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L. 4 Con relación al acceso a las cuentas de correo, el cliente (denunciante), solicitó al administrador de su cuenta de correo (OPERA SERVICOM, S.L.), el código de acceso, ya que afirmaba que no podía acceder a ellas. Para acreditar este término adjunta conversaciones de Whatsapp con Don H.H.H., titular de la cuenta mcmutual.madrid@corporacionibericadetectives.com, de fecha 7 de agosto de 2016, donde éste le solicitaba el código de acceso a dicha cuenta, remitiéndole Don C.C.C. la contraseña de acceso a la cuenta. 5 La solicitud decía exactamente: a. Don H.H.H.: mándame el listado de los correos con las contraseñas, Puedes esta tarde?. b. Don C.C.C.: estoy en (...), en cuanto pueda te lo envío. c. Don H.H.H.: Gracias. 6 Don C.C.C., a las 20:42 del día 7 de agosto de 2016, le envió el referido listado con las cuatro cuentas de Vidocq, y las 18 cuentas de CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L. Tras lo anterior, Don H.H.H. volvió a comunicarse con Don C.C.C. para indicarle que una de las contraseñas no funcionaba. 7 Con fecha 16 de octubre de 2016, Don C.C.C. remite un correo al denunciante, comunicándole que no puede acceder a las cuentas para realizar el cambio de datos que le había pedido, y el denunciante le remite la nueva contraseña. 8 Con relación al intercambio de e-mails a clientes de OPERA SERVICOM, S.L., desde la cuenta renewdomain@gmail.com, indica que todos los dominios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 propiedad del denunciante, cuando se dan de alta, solicitan un e-mail de contacto; OPERA SERVICOM, S.L., al serle encargada la administración de todos los dominios (y sus cuentas) de la entidad denunciante, inscribió como email de contacto de los registros el suyo profesional y otros del dominio “opera”, con el fin de poder hacer su labor de gestión. 9 Pasado un tiempo, la entidad denunciante remitió un correo a OPERA SERVICOM, S.L, en el que le indicaba que hiciera un cambio de nombre del Propietario por “INTERDEMARKS y como registrante: INTERDEMARKS, OPERA o lo que creas conveniente. El de RENEWDOMAIN lo eliminamos”. 10 Con esta nueva orden, OPERA SERVICOM, S.L, -por “imperativo legal”- no podía gestionar lo que el cliente pedía por cuanto es obligatorio que los datos que se facilitan al registro sean veraces, aportando CIF. Ese mismo día se comunicó este hecho a la entidad denunciante, mediante email que se acompaña. 11 Los e-mails aportados por la entidad denunciante, enviados a terceras personas, son pruebas de funcionamiento del correo electrónico sin intercambio de información alguna, tal y como se aprecia en el contenido de los mismos. Esta prueba de comunicación se realiza usando una cuenta de e-mail externa al servidor de OPERA SERVICOM, S.L., para así verificar con rotundidad el intercambio o transito correcto de los correos. 12 Ningún dato de la entidad denunciante se ha facilitado a terceros y, tras la prueba, esos correos de prueba fueron eliminados de las cuentas de los clientes de OPERA SERVICOM, S.L que habían intervenido, ya que eran igualmente gestionados y administrados por OPERA SERVICOM, S.L. 13 La transferencia o devolución de dominios, se realiza por parte del nuevo administrador designado por la entidad denunciante, de forma que ese nuevo administrador usando las claves facilitadas por OPERA SERVICOM, S.L., las pudiese llevar a cabo. 14 Al objeto de acreditar que OPERA SERVICOM, S.L., ha facilitado a su cliente (la entidad denunciante) los “authocode” para realizar las transferencias a favor del nuevo administrador, presenta copia de emails relativos a las conversaciones mantenidas en este sentido, de fecha 2 de diciembre de 2016. 15 No obstante, OPERA SERVICOM, S.L., con fecha de enero de 2017, remitió un correo a la entidad denunciante avisándole de la caducidad de los dominios. 16 No obra en poder de OPERA SERVICOM, S.L., ningún material o información de la entidad denunciante. En lo que atañe a las webs, los accesos para su recuperación ya fueron proporcionados a la parte denunciante, y fueron eliminados los buzones de correo de los servidores de OPERA SERVICOM, S.L., al nuevo administrador. 17 La relación existente entre Don D.D.D. y OPERA SERVICOM, S.L., se traduce en que aquél era trabajador de la empresa LAPSUM, S.C.A., empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 subcontratada por OPERA SERVICOM, S.L para prestar servicios de plataforma digital a través de la cual OPERA SERVICOM, S.L., hacia su labor de administrador de sistemas online (“nube”). Se adjunta contrato con dicha entidad de fecha 15 de octubre de 2012. 18 Así mismo, se adjunta un documento de compra de activos, por parte de OPERA SERVICOM, S.L., a la citada entidad, donde intervienen todas las personas que componen el órgano de administración de LAPSUM, S.C.A. En este documento figuran todas las personas de dicha empresa, con las que se relaciona OPERA SERVICOM, S.L., en todos estos años: Don B.B.B., Don A.A.A. y Don D.D.D. (firmantes). TERCERO: Con fecha 30 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OPERA SERVICOM, S.L., por presunta infracción de los artículos 11.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), infracciones tipificadas como graves en el artículo 44.3 letras

  1. k)y
  2. d)de la citada Ley. CUARTO: Notificado el acuerdo de inicio, OPERA SERVICOM, S.L., mediante escrito de fecha 31 de enero de 2018, formuló alegaciones, en las que manifestaba lo siguiente: 1. Respecto de la infracción del artículo 11.1 de la LOPD, afirma lo siguiente: a. Sí puso en conocimiento de la entidad denunciante la intervención de terceras personas para el tratamiento de la información en el marco de sus servicios prestados. En este sentido, afirma que informó a la denunciante de que la persona de contacto administrativo del dominio “***URL.1” era Don A.A.A., con email “***EMAIL.1”. Aporta correo electrónico enviado a la denunciante con fecha 15 de julio de 2014, en el que constan estos extremos. b. La denunciante le solicitó que diese de alta distintos dominios con el mismo sistema, lo que de facto supone aceptar que el servidor fuera LAPSUM, S.C.A. Aporta, entre otra documentación, correo electrónico enviado a la denunciante con fecha 24 de diciembre de 2014 en el que se le notifican los códigos de siete cuentas de correo creadas a petición de la denunciante y se le indica que el servidor es “correo.lapsum.com”. c. Así mismo, afirma que con fecha 21 de septiembre de 2014, a petición de Don H.H.H., organiza una reunión en el centro deportivo Vals Sport Teatinos en la que le presenta a Don D.D.D. y a Don B.B.B.. Dicha reunión tenía por objeto el desarrollo de un proyecto de microsites para sus distintos dominios relacionados con el mundo del motor. Aporta certificado del responsable del citado centro deportivo de la celebración de dicha reunión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 2. Respecto de la infracción del artículo 10 de la LOPD, realiza una serie de alegaciones relativas al correo electrónico “renewdomain@gmail.com”, cuenta que no está relacionada con la mencionada infracción que se le imputa. QUINTO: Con fecha 19 de febrero de 2018 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03015/2017, y dándose por reproducidas las alegaciones al acuerdo de inicio presentadas por OPERA SERVICOM, S.L. Así mismo, a la entidad denunciante se le solicita que confirme si había autorizado a la denunciada la subcontratación con terceros (Don D.D.D., Don A.A.A. y Don B.B.B.) de tratamientos de datos de carácter personal y que confirme si tenía conocimiento de que Don A.A.A. era la persona de contacto administrativo del dominio “***URL.1”, tal y como se le informa en el correo electrónico de fecha 15 de julio de 2014 y si se reunió con Don C.C.C., Don B.B.B. y Don D.D.D. en fecha 21 de septiembre de 2014 con objeto de que éstos desarrollaran un proyecto de la denunciante. A la entidad denunciada se le solicita que informe de los motivos por los que la denunciante tenía en su poder el correo electrónico de fecha 19 de junio de 2014 en el que Don D.D.D. le comunica a C.C.C. los nombres de usuario y contraseñas pertenecientes al dominio “ E.E.E.”. SEXTO: Con fecha 7 de marzo de 2018 se recibe escrito de la entidad denunciada, OPERA SERVICOM, S.L., en el que, en síntesis, afirma que la única explicación que encuentra al hecho de que el correo electrónico de fecha 19 de junio de 2014 en el que Don D.D.D. le comunica a C.C.C. los nombres de usuario y contraseñas pertenecientes al dominio “ E.E.E.”, correspondientes a un cliente suyo, estuviera en poder de Don H.H.H., es que éste lo hubiese sustraído del maletín de trabajo del señor C.C.C.. SÉPTIMO: Con fecha 8 de marzo de 2018 se recibe escrito de la entidad denunciante, CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L., en el que, en síntesis, afirma lo siguiente: 1. Respecto al hecho de que Don A.A.A. constara como la persona de contacto administrativo del dominio “***URL.1”, afirma que, ante su desconocimiento en la materia, solicitó información a la entidad denunciada, indicándole que no podrían intervenir terceros con los que no tuvieran acuerdo específico e individualizado. La denunciada le manifestó que LAPSUM, S.C.A., era únicamente la empresa registradora de dominios, por lo que no tendría acceso a los mismos ni a la información de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 2. Respecto a la reunión con Don C.C.C., Don B.B.B. y Don D.D.D. en fecha 21 de septiembre de 2014, afirma que en la misma se habló de dos proyectos, uno relativo a la mercantil ESTRATEGIAS DEL MOTOR, S.L., y otro a la entidad CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L. Afirma que la presencia de Don B.B.B. y de Don D.D.D. parecía deberse exclusivamente al primero de estos proyectos. En lo relativo a la entidad CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L., Don C.C.C. eludió muchos puntos, no quiso tratar determinados temas y finalizó la reunión aludiendo a que “ya lo hablarían”, entendiéndose que sin la presencia de Don B.B.B. y de Don D.D.D.. OCTAVO: Con fecha 19 de marzo de 2018 se formula propuesta de resolución, proponiendo la imposición a OPERA SERVICOM, S.L., de una sanción de 5.000€ (cinco mil euros) por la infracción del artículo 11.1 de la LOPD, en relación con el artículo 21.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
  3. k)de la LOPD, y de 4.000€ (cuatro mil euros) por la infracción del artículo 10 de la LOPD, tipificada como grave en su artículo 44.3.d). En dicha propuesta, que se notifica con fecha 19 de marzo de 2018, se indica a la entidad denunciada que podría llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma, equivalente en este caso a 1.800 euros, por lo que la sanción quedaría establecida en 7.200 euros. Se recuerda que la efectividad de la reducción señalada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. NOVENO: Con fecha de entrada en esta Agencia 2 de abril de 2018, OPERA SERVICOM, S.L., realiza alegaciones frente a la citada propuesta de resolución, en las que, en síntesis, comunica lo siguiente: 1. Respecto de la infracción del artículo 10 de la LOPD, nuevamente realiza una serie de alegaciones relativas al correo electrónico “renewdomain@gmail.com”, cuenta que no está relacionada con la mencionada infracción que se le imputa. Adicionalmente, sostiene que dicha infracción debería ser considerada leve y no grave, en atención al artículo 44.2.
  4. e)de la LOPD. 2. Respecto de la infracción del artículo 11.1 de la LOPD, afirma que en Derecho cabe la posibilidad de que las partes lleguen a un acuerdo de cualquiera de las formas, que, con posterioridad a su celebración, pueda ser acreditado, sosteniendo que Don H.H.H. era pleno conocedor de la actuación de LAPSUM, S.C.A. Así mismo, afirma que la actividad de LAPSUM, S.C.A., se ciñó a actividades de carácter técnico sin haber tenido acceso a datos de carácter personal de quien era el responsable de los ficheros que LAPSUM, S.C.A gestionaba. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 DÉCIMO: Con fecha 17 de abril de 2018, OPERA SERVICOM, S.L. realiza alegaciones complementarias, en las que, en síntesis, comunica lo siguiente: 1. Los datos relativos a dirección postal u electrónica y las claves que se facilitan a la denunciante, y que pueden ser modificadas por ésta, no son de carácter personal sino empresarial, por lo que quedarían fuera del ámbito objetivo de la normativa de protección de datos personales. 2. En la propuesta de resolución se hace referencia a que la denunciada es una PYME. Pero, dentro de la categoría de pequeñas y medianas empresas, se trata de una pequeña empresa, cuyo capital es de 3.000 euros, que no tiene empleados y que se compone únicamente de un autónomo informático (75% de la empresa) y su mujer (25% de la empresa). Aporta copia de la escritura donde consta el reparto de capital de la empresa. 3. En la propuesta de resolución se hace referencia, como factor agravante, a la vinculación de su actividad con la realización de tratamientos de datos de carácter personal, ya que la entidad denunciada realiza para el desarrollo de su actividad un elevado volumen de tratamientos de datos personales. La denunciada niega este aspecto, afirmando que no está acostumbrada a tratar con grandes volúmenes de datos personales. 4. Así mismo, solicita que se tenga en cuenta, como factor atenuante, el hecho de haber contratado, pese a sus escasos recursos económicos, a una empresa especialista en el sector para la adecuación de su actividad a la normativa de protección de datos, habiendo redactado un nuevo contrato modelo de prestación de servicios en el que se recogen todas las subcontrataciones que se puedan llevar a cabo. Aporta copia del contrato con la citada empresa. HECHOS PROBADOS PRIMERO: La entidad denunciante, CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L., suscribió un contrato de prestación de servicios de “verificación, mantenimiento y asistencia para su sistema informático” con la entidad denunciada, OPERA SERVICOM, S.L. Dicha relación contractual se prolongó desde el 24 de febrero de 2014 hasta el 1 de octubre de 2016. En el desenvolvimiento de la misma, la entidad denunciada tuvo acceso a datos de carácter personal en poder de la entidad denunciante. En concreto, se ha acreditado el acceso por parte de la denunciada a las cuentas de correo electrónico de la denunciante. Entre ellas, mcmutual.madrid@corporacionibericadetectives.com, que contiene datos de carácter personal de los clientes de la denunciante y de terceros. Por el contrario, la cuenta renewdomain@gmail.com, desde la que la denunciada envió e-mails de prueba a terceros, no contiene información con datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 SEGUNDO: En la prestación de los mencionados servicios, se produjo la intervención de terceras personas, Don D.D.D., Don A.A.A. y Don B.B.B., quienes componen el órgano de administración de LAPSUM, S.C.A, empresa subcontratada por OPERA SERVICOM, S.L., para prestar servicios de plataforma digital a través de la cual hacía su labor de administrador de sistemas online (“nube”). Esta subcontratación no fue comunicada a la entidad denunciante ni se contó con el consentimiento de la misma para llevarla a cabo. Como resultado de la misma, los citados terceros tuvieron acceso a los datos de carácter personal en poder de la denunciante, afirmando la denunciada que el tratamiento de datos por parte de Don D.D.D. “era prácticamente diario” y fiscalizado por LAPSUM, S.C.A. TERCERO: OPERA SERVICOM, S.L., adquirió los activos de LAPSUM, S.C.A., con fecha 9 de diciembre de 2016. CUARTO: La entidad denunciante tiene en su poder un correo electrónico de fecha 19 de junio de 2014 en el que Don D.D.D. le comunica a C.C.C. los nombres de usuario y contraseñas pertenecientes al dominio “ E.E.E.”, correspondientes a un cliente de la entidad denunciada. QUINTO: La empresa denunciada ha suscrito un contrato para la adecuación de su actividad a la normativa de protección de datos con una empresa especialista en el sector, habiendo redactado un nuevo contrato modelo de prestación de servicios en el que se recogen todas las subcontrataciones que se puedan llevar a cabo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa en este caso a OPERA SERVICOM, S.L., la comisión de una infracción del artículo 11.1 de la LOPD, que indica: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. Dicho precepto ha de ponerse en relación con el artículo 21.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que señala: “El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento”. En el presente caso, ha quedado acreditado que OPERA SERVICOM, S.L., tenía acceso a los datos de carácter personal tratados por la entidad denunciante, como demuestra el hecho de que accediera a sus cuentas de correo electrónico. Dichas cuentas, y en concreto mcmutual.madrid@corporacionibericadetectives.com, contenían información personal de sus clientes y de terceros, en el marco de la actividad profesional que lleva a cabo la denunciante como agencia de detectives privados, por lo que se trata de información muy reservada y sensible. Así mismo, ha quedado acreditado que OPERA SERVICOM, S.L., para la prestación de sus servicios de “verificación, mantenimiento y asistencia para su sistema informático” a la entidad denunciante, subcontrató los servicios de terceros. En concreto, de Don D.D.D., Don A.A.A. y Don B.B.B., quienes componían el órgano de administración de LAPSUM, S.C.A. La entidad denunciada, en relación con la intervención de Don D.D.D., ha señalado que el tratamiento de datos por su parte “era prácticamente diario” y fiscalizado por LAPSUM, S.C.A. A pesar de las alegaciones de la denunciada, relativas al conocimiento y aquiescencia por parte de la denunciante con respecto a la intervención de los mencionados terceros, no ha podido demostrar que existiera autorización de ésta. La entidad denunciada alega que, en Derecho, los acuerdos pueden adoptarse en cualquier forma que permita acreditar su celebración. Precisamente, en este caso, no ha podido acreditar que existiera dicho acuerdo. Al contrario, la denunciante ha afirmado haber indicado expresamente a la denunciada que no podrían intervenir terceros con los que no tuvieran acuerdo específico e individualizado. III El artículo 44.3.
  6. k)de la LOPD califica como infracción grave: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. De acuerdo con lo anteriormente expuesto, OPERA SERVICOM, S.L., ha procedido a comunicar datos de carácter personal sin contar con legitimación para ello, al subcontratar con terceros la realización de tratamientos sin haber previamente obtenido autorización del responsable del tratamiento, en este caso, CORPORACIÓN IBÉRICA DETECTIVES PRIVADOS, S.L., lo que procede calificar como infracción grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 IV Así mismo, se imputa en este caso a OPERA SERVICOM, S.L., la comisión de una infracción del artículo 10 de la LOPD, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el caso que nos ocupa, ha quedado acreditado que la entidad denunciante tuvo acceso a un correo electrónico enviado por Don D.D.D. a Don C.C.C. con diversos nombres de usuario y contraseñas de correos electrónicos correspondientes al dominio “ E.E.E.”, cliente de la entidad denunciada. En este sentido, del transcrito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 artículo 10 de la LOPD se deriva el deber de la entidad denunciada de guardar los datos de carácter personal de sus clientes. Al haber accedido terceros, en este caso, la entidad denunciante, a dichos datos, se acredita la existencia de un incumplimiento del deber de secreto, produciéndose una ausencia de confidencialidad. En cuanto a alegación de la denunciada relativa a que la única explicación que encuentra al hecho es que el señor F.F.F. hubiera extraído dicho documento del maletín de trabajo del señor C.C.C., además de no resultar ésta una circunstancia acreditada, no la exoneraría de su deber de guardar los datos. Por todo ello, se considera que se ha cometido una infracción del transcrito artículo 10 de la LOPD. V El artículo 44.3.
  7. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” Hace referencia la entidad denunciada al artículo 44.2.
  8. e)de la LOPD, que califica como infracción leve el incumplimiento del deber de secreto, salvo que constituya infracción grave. Dicha redacción corresponde al texto original de la LOPD y no al texto en vigor actualmente, desde el 6 de marzo de 2011, en la que no existe dicha letra
  9. e)en el artículo 44.2 de la LOPD. De acuerdo con los fundamentos anteriores, se concluye que por parte de OPERA SERVICOM, S.L., se ha producido una vulneración del deber de secreto que procede calificar como infracción grave. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En relación con la infracción del artículo 11.1 de la LOPD, y de conformidad con el transcrito artículo 45.5, se considera que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra, por la concurrencia del supuesto previsto en el punto
  25. b)del citado artículo: “cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, al haber suscrito un contrato para la adecuación de su actividad a la normativa de protección de datos con una empresa especialista en el sector, habiendo redactado un nuevo contrato modelo de prestación de servicios en el que se recogen todas las subcontrataciones que se puedan llevar a cabo. Así mismo, concurre el supuesto previsto en el punto
  26. a)del citado artículo. A este respecto puede apreciarse la concurrencia de los siguientes criterios del artículo 45.4:
  27. d)El volumen de negocio o actividad del infractor. La entidad investigada es una PYME en su sector de negocio. En concreto, se trata de una microempresa.
  28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En el presente caso no constan beneficios obtenidos.
  29. g)La reincidencia por comisión de infracciones de la misma naturaleza. La entidad denunciada no ha sido objeto de ningún procedimiento por la comisión de infracciones de la misma naturaleza que las que se le imputan en este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14
  30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. En el presente caso, no consta que se hayan producido perjuicios como resultado de la actuación de la entidad denunciada. Teniendo en cuenta la concurrencia de los citados criterios del artículo 45.4 de la LOPD, se considera que procede graduar la sanción a imponer, fijándose una sanción de 2.000 € por la infracción del artículo 11.1 de la LOPD. Por otro lado, en relación con la infracción del artículo 10 de la LOPD, se considera, de conformidad con el transcrito artículo 45.5, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra, por la concurrencia del supuesto previsto en el punto
  31. a)del citado artículo. A este respecto puede apreciarse la concurrencia de los criterios del artículo 45.4 ya mencionados en relación con la infracción del artículo 11.1, así como de los siguientes:
  32. a)El carácter continuado de la infracción. En este caso, la infracción constituyó un hecho puntual.
  33. f)El grado de intencionalidad. En este caso, no hay constancia de que la entidad denunciada pusiera en conocimiento de la entidad denunciante datos de carácter personal de sus clientes de forma intencionada. Teniendo en cuenta la concurrencia de los citados criterios del artículo 45.4 de la LOPD, se considera que procede graduar la sanción a imponer, fijándose una sanción de 2.000 € por la infracción del artículo 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OPERA SERVICOM, S.L., con NIF B93156982, una multa de 2.000€ (dos mil euros) por la infracción del artículo 11.1 de la LOPD, en relación con el artículo 21.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
  34. k)de la LOPD, y una multa de 2.000€ (dos mil euros) por la infracción del artículo 10 de la LOPD, tipificada como grave en su artículo 44.3.d). SEGUNDO: NOTIFICAR la presente resolución a OPERA SERVICOM, S.L. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.