1/15 Procedimiento Nº PS/00014/2017 RESOLUCIÓN: R/01711/2017 En el procedimiento sancionador PS/00014/2017, instruido por la Agencia Española de Protección de Datos a D. M.M.M., vista la denuncia presentada por DÑA. L.L.L., y en base a los siguientes, ANTECEDENTES PRIMERO: En relación con D. M.M.M. (en lo sucesivo el denunciado), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento señalado con el número A/00120/2016, que concluyó mediante resolución nº R/00901/2016, de fecha 28/04/2016, en la que se tuvieron por probados los siguientes hechos: <<PRIMERO: En fecha 10 de agosto de 2015 tiene entrada en la Agencia un escrito de doña L.L.L. (en lo sucesivo la denunciante), en el que denuncia al abogado don M.M.M. por difundir a través de internet ( B.B.B.) informaciones relativas a la denuncia que un cliente del abogado planteó contra ella y a la sanción que finalmente le impuso el Colegio Profesional de Psicólogos de XXXX. Según expone, los documentos publicados proyectan una visión incompleta de la resolución. SEGUNDO: Con fecha 31/03/2016 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…En primer lugar tengo que señalar que, como se ha expuesto en el encabezamiento de este escrito, quien suscribe es abogado en ejercicio, especializado en derecho de familia y derecho penal. El sitio web www. B.B.B. fue creado por mí en el año AA, el mismo está formado, entre otras, por una sección de «Noticias» en la que se comentan todo tipo de resoluciones de interés para todas aquellas personas que se puedan ver inmersas en procedimientos de familia o procedimientos penales (…) Así mismo, a pesar de que no se ha efectuado apercibimiento alguno por esta Agencia a quien suscribe para que acredité la adopción de las medidas correctoras pertinentes, con carácter cautelar y a la espera de lo que resuelva la Agencia Española de Protección de Datos, con fecha 10 de marzo de 2016 se retiró del sitio web www. B.B.B. la publicación relativa a la Sra. L.L.L.. A los efectos de acreditar las manifestaciones que anteceden se acompaña como documento número CINCO, pantallazo de Internet en el que se puede comprobar que la publicación ya ha sido retirada…>>. En la mencionada Resolución de 28/04/2016 se declaró que tales hechos (publicación a través de internet de los documentos objeto de la denuncia) son constitutivos de una infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de la misma norma. De conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica, las infracciones pueden ser sancionadas con multa de 40.001 a 300.000 euros. No obstante, en este caso, se tuvo en cuenta que el denunciado no había sido sancionado o apercibido con anterioridad por esta Agencia, por lo que de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó la apertura del citado procedimiento de apercibimiento (A/00120/2016), cuyo objeto es analizar si los hechos son o no constitutivos de infracción y requerir al interesado la adopción de las medidas adecuadas para impedir la comisión en el futuro de infracciones similares. En este caso, según ha quedado expuesto, se consideró consumada la infracción del artículo 6 de la LOPD. Por otra parte, en relación con la adopción de medidas, no se realizó requerimiento alguna de medidas correctoras, considerando que durante la tramitación del expediente se acreditó que el denunciado retiró del sitio web www. B.B.B. la información relativa a la denunciante, a la que se accedía mediante los enlaces reseñados. SEGUNDO: Con fecha 25/09/2016, tuvo entrada en la Agencia un escrito de Dña. L.L.L. (en lo sucesivo la denunciante), en el que denuncia nuevamente a D. M.M.M. (en lo sucesivo el denunciado) por difundir sus datos personales a través de internet, en la misma web www. B.B.B., contenidos en una denuncia presentada ante el Colegio de Psicólogos de XXXX y la resolución dictada por el mismo (los mismos documentos que dieron lugar al procedimiento A/00120/2016 referido en el Antecedente Primero). TERCERO: Con fecha 24/10/2016, por la Subdirección General de Inspección de Datos se realizan dos búsquedas a través del buscador de internet Google, utilizando como criterio el nombre y apellido de la denunciante vinculados a los sitios web B.B.B. y docplayer.es, obteniendo en la página de resultados, en el primer caso, dos enlaces (“http://www. B.B.B.............” y “ A.A.A.”) que conducen a los documentos objeto de la denuncia, en los que consta el nombre y apellidos de la denunciante y su condición de colegiada, además de las circunstancias del caso al que se refieren los mismos; y en el segundo caso, un resultado que da acceso a la denuncia formulada por la misma ante el Colegio de Psicólogos de XXXX. CUARTO: Con fecha 01/02/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en su artículo 44.3.b), pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a la apertura, la sanción podría corresponder por la infracción descrita sería de 1.500 euros, sin perjuicio de lo que resultase de la instrucción. QUINTO: Notificado el acuerdo de inicio, el denunciado presentó escrito de alegaciones en el que solicita el archivo de las actuaciones conforme a las consideraciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 1. Después de señalar que su formación es jurídica y no técnica, manifiesta que la denunciante, con carácter previo a la formulación de la denuncia que dio lugar al procedimiento de apercibimiento, no se dirigió al denunciado para solicitar la retirada de la publicación de la que traía causa la citada denuncia, y que esa retirada se realizó tan pronto le fue notificado dicho procedimiento, en fecha 04/03/016. Por esa razón, consideró resuelto el asunto, pensando que había desaparecido la publicación -lo cual comprobó personalmente y luego la Agencia- y los documentos que en la misma iban incluidos. Añade que la nueva denuncia también se presenta sin haber contactado previamente con el denunciado para la retirada de los documentos, cuya existencia en la red no le era conocida. A raíz de esta segunda denuncia, ha tenido conocimiento de que los dos documentos que se adjuntaban en la publicación ya retirada en su día, habían sido indexados por google y que seguían apareciendo en la red. Tan pronto como recibió la notificación de la AEPD, remitió un correo electrónico a los técnicos encargados del mantenimiento de la web, que informaron sobre los pasos a seguir para retirar dichos documentos de la red, pasos que dada su complejidad técnica no conocía ni conoce, por lo que ha sido dicha empresa quien se ha encargado de retirar definitivamente y para siempre dichos documentos 2. No estamos ante unos documentos que se hayan publicado nuevamente después de que con fecha 29/04/2016 la AEPD acordase el Archivo del procedimiento A/00120/2016, sino ante unos documentos que por razones técnicas ajenas a quien suscribe no fueron eliminados de Internet en su día ya que Google los había indexado, de forma que, aunque se retire la publicación, los archivos indexados siguen en Internet si no se realizan determinadas actuaciones técnicas de las que no tiene conocimiento alguno. No puede hablarse de reiteración, ya que los hechos objeto de sanción no son unos hechos nuevos que se hayan repetido, sino unos hechos que se desconocían, 3. A la vista de lo expuesto, cabe entender que la denunciante ha denunciado dos veces un mismo hecho. 4. Desconocía la existencia de los enlaces referidos en el Antecedente Tercero del acuerdo de apertura, hasta la notificación del mismo, los cuales actualmente no conducen a documento alguno, obteniendo como respuesta “error 404” y “error 522” 5. Invoca el principio nom bis in idem, en virtud del cual nadie puede ser sancionado dos veces por un mismo hecho, no pudiéndose por tanto incoar dos procedimientos por un mismo hecho. En el caso que nos ocupa hay identidad de denunciante y denunciado, siendo en ambas ocasiones objeto de denuncia el mismo hecho, es decir, la publicación efectuada en Internet el día 04/04/2015, la cual constaba de un texto y dos documentos. La publicación -texto y documentos adjuntos- fue eliminada tan pronto como la Agencia notificó el Acuerdo de Audiencia Previa al Apercibimiento de fecha 04/03/2016. Sin embargo, por causas ajenas a esa parte, Google mantuvo ambos documentos en Internet al tenerlos indexados. Por esta razón, entiende que se está denunciando dos veces el mismo hecho, ya que después de que con fecha 29/04/2016 se agencia acordase el archivo del procedimiento A/00120/2016, no ha hecho nada nuevo que pueda ser objeto de sanción, ni puede apreciarse reiteración pues no tenía ni tan siquiera conocimiento de que dichos documentos pudieran ser visualizados en Internet. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Añade en su escrito de alegaciones que acompaña la “conversación” mantenida mediante correo electrónico con los técnicos (entidad “emedia”) desde el día 06/02/2017, a las 11:53 horas, en que comunicó la existencia de los dos enlaces/documentos, hasta el día 10/02/2017, a las 14:35 horas, en que le comunicaron que dichos documentos habían sido retirados. De lo manifestado en dichos correos, se destacar el contenido que consta reseñado en el Hecho Probado Quinto. SÉXTO: Con fecha 10/04/2017, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, así como los documentos obtenidos por la Subdirección General de Inspección de Datos; y por presentadas las alegaciones al acuerdo de inicio formuladas por el denunciado y la documentación que a ellas acompaña. Por otra parte, por el instructor del procedimiento se incorpora a las actuaciones la documentación siguiente: . Del procedimiento señalado con el número A/00120/2016, se incorpora al presente procedimiento copia de la Diligencia de fecha 11/08/2015 y documentación adjunta, así como copia del escrito de alegaciones presentado por el denunciado, de 31/03/2016. Dicha Diligencia incorpora el resultado de una búsqueda realizada mediante el buscador de internet Google, de fecha 11/08/2015, con el nombre y dos apellidos de la denunciante como criterio, que ofrece como primer resultado un enlace a la web B.B.B., a la URL www. B.B.B./............1, que conduce a la noticia publicada el 06/04/2015 y a los dos documentos en formato pdf que acompañaba, a los que se refería la denuncia presentada en esta Agencia. En el citado escrito de alegaciones, el denunciado manifestó que obtuvo el consentimiento de la persona perjudicada por la mala praxis de la denunciante para publicar la resolución del Colegio Profesional de Psicólogos de XXXX. A dicho escrito acompañó copia del intento de acceso realizado en fecha 31/03/2016 a la URL “http://www. B.B.B............2pdf”, la cual no se encontraba disponible. . Se incorpora el resultado de las búsquedas realizadas en internet mediante el buscador Google con los siguientes criterios: . “ L.L.L.”: la primera página de resultados no ofrece ningún enlace a la web “ B.B.B.”. . “..........: B.B.B.”: no se obtiene ningún resultado. . “http://www. B.B.B./............5”: no se obtiene ningún resultado. . Se incorpora el resultado del acceso realizado a las URLs siguientes: . “http://www. B.B.B./............3”. . “ C.C.C.”. . “http://www. B.B.B./............1”. En los tres casos se obtiene la respuesta “Error 404 no encontrado”. SEPTIMO: Con fecha 19/05/2017, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione al denunciado con multa de 1.500 euros (mil quinientos euros), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. Notificada la citada propuesta al denunciado, se recibe escrito de alegaciones en el que reproduce las manifestaciones contenidas en su escrito de alegaciones a la apertura y su solicitud de archivo de las actuaciones. Así, alega nuevamente que, en el presente caso, no puede hablarse de reiteración en la conducta, ya que los hechos objeto de sanción no son unos hechos nuevos que se hayan repetido, sino unos hechos que se desconocían, ya que los documentos en cuestión no fueron eliminados de Internet por razones técnicas, al haber sido indexados por Google. HECHOS PROBADOS 1. El denunciado es titular del sitio web www. B.B.B.. 2. De conformidad con lo establecido en el artículo 45.6 de la LOPD, mediante Resolución de fecha 28/04/2016, dictada en el procedimiento número A/00120/2016, se acordó apercibir al denunciado por una infracción de lo establecido en el artículo 6 de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.
- b)de la misma norma, como consecuencia de la divulgación a través de la web www. B.B.B., en la sección noticias, de una denuncia formulada contra la denunciante por un tercero ante el Colegio Profesional de Psicólogos de XXXX y la resolución dictada al respecto por esta entidad, en las que consta el nombre y apellidos de la denunciante y su condición de colegiada, además de las circunstancias del caso al que se refieren tales documentos. Estos documentos se encontraban accesibles en las URLs http://www. B.B.B./............1 y http://linkis...........B.B.B./............4.html. 3. Con fecha 25/09/2016, tuvo entrada en la Agencia una nueva denuncia contra el denunciado por difundir los mismos documentos reseñados en el Hecho Probado Segundo a través de la misma web citada, accesibles en las URLs “ A.A.A.” y “http://www. B.B.B.............”. 4. Con fecha 24/10/2016, por la Subdirección General de Inspección de Datos se realiza una búsqueda a través del buscador de internet Google, utilizando como criterio el nombre y apellido de la denunciante vinculados a los sitios web B.B.B., obteniendo en la página de resultados dos enlaces a las URLs reseñadas en el Hecho Probado Tercero que conducen a los documentos objeto de la denuncia. 5. Conocida la apertura del presente procedimiento sancionador, el denunciado contactó con los técnicos encargados del mantenimiento de la web www. B.B.B., remitiendo y recibiendo diversos correos electrónicos desde el día 06/02/2017, a las 11:53 horas, en que comunicó la existencia de los dos enlaces/documentos, hasta el día 10/02/2017, a las 14:35 horas, en que le comunicaron que dichos documentos habían sido retirados. De lo manifestado en dichos correos, cabe destacar lo siguiente: . Correo electrónico remitido por el denunciado a “emedia” (.....@emedia.
- es)en fecha 06/02/2017: “Acabo de llamar para haceros una consulta… El caso es el siguiente: hace tiempo publiqué una noticia en mi web que llevaba dos documentos, después retiré la noticia pero los documentos siguen saliendo en internet, los enlaces son los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 siguientes… ¿Qué puedo hacer para retirar esos enlaces y que esos documentos desaparezcan de la red?”. . Correo electrónico remitido por “emedia” al denunciado en fecha 06/02/2017: “Hemos revisado lo que nos comentas y primero hay que dar de baja los enlaces desde Webmastertools. Posteriormente desde la galería de archivos borrar los dos pdf. De esta manera quedarán desactivados los enlaces. No sé si con esta información es suficiente. Si no lo es necesitaríamos las datos actuales de tu webmastertools para desactivarlos”. . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “… no tengo ni idea de lo que es Webmastertools. Ya me dirás lo que es eso y qué tengo que hacer. En cuanto a la galería de imágenes lo buscaré y lo borraré”. . Correo electrónico remitido por “emedia” al denunciado en fecha 06/02/2017: “Ok lo quitamos nosotros desde ftp (es otra opción). Lo que si necesitamos por favor es que me confirmes desde qué zona de la web exactamente se accede a estos pdfs”. . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “En primer lugar muchas gracias por hacerlo vosotros porque yo no tengo ni idea… Si entras en la página a través de word press verás que en el apartado “todas las entradas” aparece una pestaña que es “Pnedientes” en la que aparecen dos publicaciones que no están publicadas, una se titula “Dª L.L.L., .......... sancionada por ..........”, pues es la noticia donde están los documentos a eliminar”. . Correo electrónico remitido por “emedia” al denunciado en fecha 07/02/2017: “Hemos eliminado los enlaces, pero al clikear sobre ellos aparece “error 404”. Esto es temporal ya que deben borrarse del caché desde webmastertools. No es algo automático sino que se va “refrescando” progresivamente”. . Correo electrónico remitido por “emedia” al denunciado en fecha 10/02/2017: “He revisado los enlaces y sigue saliendo error 404. Tendremos que seguir esperando a que Google de nuevo cachee la web y vea que ya hemos quitado esos enlaces para que deje de indexarlos…”. 6. Con fecha 10/04/2017, por el instructor, mediante el buscador de Internet Google, se realizan las búsquedas siguientes: . “ L.L.L.”: la primera página de resultados no ofrece ningún enlace a la web “ B.B.B.”. . “..........: B.B.B.”: no se obtiene ningún resultado. . “http://www. B.B.B./............5”: no se obtiene ningún resultado. 7. Con fecha 10/04/2017, por el instructor se intenta acceder a las URLs siguientes, obteniendo en los tres casos la respuesta “Error 404 no encontrado”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 .“ A.A.A.”. . “http://www. B.B.B.............”. . “http://www. B.B.B./............1”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
- a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
- f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la incorporación a una página web de un archivo en el que se contienen datos personales puede considerarse un tratamiento incluido en el ámbito de aplicación de la normativa citada. En el presente supuesto, considerando que los documentos incorporados a la web del denunciado contienen datos personales de la denunciante relativos a nombre, apellidos y su condición de colegiada, además de las circunstancias del caso al que se refieren tales documentos, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal. III El tratamiento que realiza el denunciado de los datos personales de la denunciante, incorporando a su web una denuncia formulada contra la misma por un tercero ante el Colegio Profesional de Psicólogos de XXXX y la resolución dictada al respecto por esta entidad, constituye un tratamiento de datos de carácter personal que ha de contar con el consentimiento expreso de la afectada. Por ello, procede analizar el marco normativo aplicable al tratamiento de los datos de carácter personal, considerando la naturaleza de los datos sometidos a tratamiento. En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la LOPD, referido a todo tipo de datos personales, cuyo apartado 1 dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que el denunciado es responsable de la web www. B.B.B. y responsable, asimismo, de haber incorporado a la misma dos archivos con datos personales de la denunciante, según el detalle reseñado en los Hechos Probados, los cuales resultaron accesibles a terceros sin restricción alguna durante todo el tiempo en el que permanecieron en dicha web, en las URLs reseñadas en el Hecho Probado Tercero. En concreto, se trata de una denuncia formulada contra la denunciante por un tercero ante el Colegio Profesional de Psicólogos de XXXX y la resolución dictada al respecto por esta entidad, en las que, según se ha reseñado anteriormente, consta el nombre y apellidos de la misma y su condición de colegiada, además de las circunstancias del caso al que se refieren tales documentos. Además, el denunciado no estableció ningún protocolo que evitara la indexación de dichos documentos por motores de búsqueda en Internet, lo que posibilitó que, utilizando como criterio para esas búsquedas el nombre y apellidos de la denunciante, se obtuvieran enlaces a la web citada y, consecuentemente, a la documentación e información reseñada. En concreto, la Subdirección General de Inspección de Datos, mediante el buscador de Internet Google, se realizó una búsqueda utilizando como criterio el nombre y apellido de la denunciante, vinculadas al sitio web www. B.B.B., obteniendo en la primera página de resultados dos enlaces que conducían a la documentación que ha motivado la denuncia. El denunciado no ha acreditado que la denunciante hubiera consentido con anterioridad la publicación de estos documentos en formato pdf accesible a cualquier tercero no interesado. Por tanto, resulta que el denunciado no disponía del consentimiento de la misma para los tratamientos de datos realizados, resultando, por tanto, evidente la existencia de responsabilidad en los hechos analizados plenamente imputable a aquel, que trató los datos personales de ésta sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 En el presente procedimiento, por tanto, no hay ninguna constancia de consentimiento para el tratamiento de datos personales realizado y, en cambio, si constan acreditados los tratamientos de datos realizados. Por tanto, se concluye que por parte del denunciado se han realizado tratamientos de datos personales que no respetan lo previsto en el artículo 6 de la LOPD, que ha resultado infringido por el mismo. Estas conclusiones coinciden con las expresadas por el Tribunal de Justicia de las Comunidades Europeas en sentencia de 6 de noviembre de 2003, dictada en el asunto C-101/01, Caso Lindqvist, en el que se examina la aplicación de la Directiva 95/46/CE a un tratamiento consistente en publicar datos personales en Internet. Esta Sentencia, en sus apartados 24 y siguientes, señala: “24. El concepto de “datos personales” que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva “toda información sobre una persona física identificada o identificable”. Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. 25. En cuanto al concepto de “tratamiento” de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, “cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales”. Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. 26. Queda por determinar si dicho tratamiento está “parcial o totalmente automatizado”. A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. 27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46”. Y la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004, señala en su Fundamento de Derecho Cuarto lo siguiente: “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, antes reseñada. IV El artículo 44.3.
- b)de la LOPD considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se imputa al denunciado, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, el denunciado ha incurrido en la infracción descrita ya que ha vulnerado el principio citado, consagrado en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
- b)de la citada Ley Orgánica. V El denunciado fue apercibido mediante Resolución de fecha 28/04/2016, dictada en el procedimiento número A/00120/2016, por una infracción de lo establecido en el artículo 6 de la LOPD por la divulgación de los mismos documentos que ha determinado el presente procedimiento, también a través de la web www. B.B.B., en la sección noticias, los cuales se encontraban accesibles en las URLs http://www. B.B.B./............1 y http://linkis...........B.B.B./............4.html. Considerando esta circunstancia, el denunciado ha invocado el principio nom bis in idem, señalando, tanto en el escrito de alegaciones a la apertura del procedimiento como en el presentado con motivo de la propuesta de resolución elaborada por el instructor, que no se trata de una nueva publicación de aquellos documentos y que éstos seguían apareciendo en la red al haber sido indexados por el buscador de Internet Google. Sin embargo, las evidencias obtenidas no se corresponden con esta justificación. En estas nuevas actuaciones se ha comprobado que los documentos en cuestión no resultaron accesibles a través de Internet únicamente por la indexación llevada a cabo por el citado buscador, sino que los mismos se encontraban nuevamente alojados en la página web www. B.B.B., en una sección o directorio distinto de la misma, según se comprueba comparando las URLs en ambos casos. Al realizar la búsqueda con el nombre y apellido de la denunciante como criterio se obtuvieron enlaces que conducían a dicho sitio web y en las que dieron lugar al procedimiento de apercibimiento no aparecían los enlaces que han servido de base a las presentes actuaciones. El propio denunciante y la entidad que realiza el mantenimiento de la web, en los correos electrónicos que se remitieron en febrero de 2017 al conocer la incidencia, así lo expresan cuando manifiestan que, para corregir la situación, es necesario borrar los dos pdf desde “la galería de archivos”. Interesa detallar nuevamente el contenido de algunos de estos correos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “… En cuanto a la galería de imágenes lo buscaré y lo borraré”. . Correo electrónico remitido por “emedia” al denunciado en fecha 06/02/2017: “Ok lo quitamos nosotros desde ftp (es otra opción). Lo que si necesitamos por favor es que me confirmes desde qué zona de la web exactamente se accede a estos pdfs”. . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “Si entras en la página a través de word press verás que en el apartado “todas las entradas” aparece una pestaña que es “Pendientes” en la que aparecen dos publicaciones que no están publicadas, una se titula “Dª L.L.L., .......... sancionada por ..........”, pues es la noticia donde están los documentos a eliminar”. . Correo electrónico remitido por “emedia” al denunciado en fecha 10/02/2017: “... Tendremos que seguir esperando a que Google de nuevo cachee la web y vea que ya hemos quitado esos enlaces para que deje de indexarlos…”. Debe añadirse, finalmente, que corresponde al responsable de la web establecer las medidas de seguridad que impidan el acceso a la información por parte de terceros no autorizados, y entre ellas debe incluirse el establecimiento de protocoles que eviten la indexación por buscadores de Internet. VI El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. A juicio de esta Agencia, de conformidad con el art. 45.5 LOPD, se estima aplicable la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
- a)del citado artículo, que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
- b)y
- c)del artículo 45.4 de la LOPD: el volumen de los tratamientos no consentidos objeto del procedimiento afecta únicamente a los datos de carácter personal de la denunciante (criterio b); y la escasa vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal (criterio c). Motivos por los cuales cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. En cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta el el volumen de negocio o actividad del infractor (criterio d); y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 ausencia de beneficios obtenidos por la comisión de los hechos (criterio e). Por otra parte, se tienen en cuenta la reiteración en la conducta, que se pone de manifiesto por la existencia de un procedimiento seguido contra el denunciado por hechos similares (criterio j); y el carácter continuado de la infracción (criterio a). Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 1.500 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. M.M.M., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la misma norma, una multa de 1.500 euros (mil quinientos euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a D. M.M.M.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es