PS-00111-2013

1/12 Procedimiento Nº PS/00111/2013 RESOLUCIÓN: R/02424/2013 En el procedimiento sancionador PS/00111/2013, instruido por la Agencia Española de Protección de Datos a la entidad PARTIDO POPULAR, vista la denuncia presentada por D. A.A.A., y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 8 de junio de 2012 tuvo entrada en esta Agencia un escrito presentado por D. A.A.A. (en adelante el denunciante) en el que denunciaba la recepción en su dirección de correo electrónico B.B.B. un mail cuyo remitente era C.C.C., a pesar de haber solicitado la cancelación de sus datos personales y haber sido llevada a cabo por el PARTIDO POPULAR, según le indicaron en su carta de fecha 12 de enero de 2010. Junto con su escrito de denuncia aportaba copia de la siguiente documentación: - DNI y - correo electrónico recibido con fecha 4 de junio de 2012. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades más abajo reseñadas. De este modo, en el informe de actuaciones previas de investigación E/04635/2012 se detalla lo siguiente: 1. <<Se verifica que con fecha 5 de abril de 2011, inspectores de la Agencia realizaron una visita de inspección en los locales del Partido Popular por estos mismos hechos, en el marco de las Actuaciones de referencia E/ 00163/2011. 2. Con fecha 17 y 25 de enero de 2013, se realiza inspección en los locales del Partido Popular, realizando las siguientes verificaciones: 2.1. Mediante acceso al Sistema Informático, utilizando un usuario ADMINISTRADOR, se accede al fichero de usuarios de la pagina web: “populares.es” realizándose una búsqueda mediante la dirección de correo electrónico B.B.B., comprobándose que: 2.1.1.Existe un registro asociado a dicha dirección de correo electrónico, donde constan los siguientes datos: Nombre y primer apellido ( A.A.A.), código postal, dirección de correo electrónico, número de teléfono móvil, fecha de nacimiento y fotografía. 2.1.2.En el estado del mismo figura “BLOQUEADO” constando que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 último acceso fue hace tres años y siete meses. No obstante, se observa que en el apartado LIST, se encuentra activa la opción “Standard List”. 2.2. Mediante el acceso a la información que consta en la base de datos, utilizando un usuario ADMINISTRADOR de una persona perteneciente a la empresa ATOS SPAIN, S.A., la cual realiza el tratamiento de la misma, en base a un contrato de prestación de servicios suscritos entre el Partido Popular y dicha empresa. Se realiza una búsqueda mediante la dirección B.B.B., comprobándose: 2.2.1.Que además de los datos citados en el apartado anterior, consta que la newsletters, se encuentra activada desde el 06/05/2012. 3. Ante las comprobaciones realizadas, las inspectoras de la Agencia solicitan información al representante del Partido Popular con relación al hecho de que el denunciante haya podido recibir el boletín de fecha 4 de junio de 2012, constando bloqueado en sus sistemas, ante lo que manifiesta que: 3.1. Desconocen el motivo por el que se ha podido producir dicho envío, ya que si el usuario se encuentra bloqueado, en teoría, no debería haberse producido este hecho. Se han realizado diferentes búsquedas hacia atrás para ver si podían encontrar una explicación a lo sucedido, pero no se ha encontrado ninguna causa que los justifique. 3.2. El representante del Partido Popular manifiesta que van a proceder al borrado físico de toda la información asociada a la dirección de correo electrónico B.B.B., excepto la propia dirección a efectos de que no pueda solicitar ningún tipo de registro ni solicitud de newsletters. Con relación al hecho de que en la inspección realizada con fecha 5 de abril de 2011 no aparecieran datos del denunciante en el fichero de usuarios de la página web y en la actualidad consten todos los datos en situación de “BLOQUEADO”, manifiesta que desconocen los motivos>>. TERCERO: En fecha 14 de mayo de 2013 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PARTIDO POPULAR por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, este último artículo según redacción dada por la Ley 2/2011. CUARTO: En fecha 7 de junio de 2013 tuvo entrada en esta Agencia un escrito de la representación de PARTIDO POPULAR, por el que se solicitaba el archivo de las actuaciones por ausencia de infracción alguna y en el que se formularon, en síntesis, las siguientes alegaciones al Acuerdo de inicio: 1º.- PARTIDO POPULAR desconocía que los datos del denunciante obrasen en el sistema utilizado a tal fin cuando se produjeron los hechos. 2º.- Que, finalmente y de manera subsidiaria, en el caso hipotético de desestimación de lo alegado con anterioridad, se aplique en la graduación de la sanción a imponer el artículo 45.5 de la LOPD, pues conocida la incidencia se procedió al borrado físico de la información en cuestión tal como se acredita con la certificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 aportada. QUINTO: En fecha 11 de junio de 2013 se inició un período de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993 de 4 de agosto, notificándose a las partes interesadas, practicándose las siguientes: Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección (E/04635/2012), consistente en el escrito de denuncia e informe de la Inspección de Datos de esta Agencia de fecha 11 de febrero de 2013, con el Acta de Inspección E/4635/2012-I/1 de fechas 17 y 25 de enero de 2013; así como las alegaciones de PARTIDO POPULAR de fecha 6 de junio de 2013 al Acuerdo de inicio citado más arriba. Todo ello con su correspondiente documentación adjunta. SEXTO: Con fecha 15 de julio de 2013 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a PARTIDO POPULAR con multa de 40.001 € (cuarenta mil un euros) por la infracción del artículo 6.1 de la LOPD, en relación con el 16.3 de esa misma norma; tipificada como grave en el artículo 44.3.
2. b)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica, estos dos últimos artículos según redacción dada por la Ley 2/2011. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. SÉPTIMO: Dicha propuesta fue notificada a PARTIDO POPULAR en fecha 18 de julio de 2013, concediéndose el citado plazo para formular alegaciones, las cuales fueron presentadas en fecha 2 de agosto de 2013. Se reiteraban los argumentos ya expuestos en anteriores alegaciones y, en especial, se solicitaba la aplicación del artículo 45.5 de la LOPD. Se insistía en que dicha entidad no disponía de datos del denunciante en su fichero de afiliados ni en el de usuarios de páginas web, extremo verificado en la inspección llevada a cabo; desconociendo “el motivo por el cual los datos del denunciante se encontraban disponibles” en dicho fichero, por lo que se hicieron averiguaciones internas al respecto para determinar lo expuesto, sin llegar “a un resultado satisfactorio”. HECHOS PROBADOS PRIMERO: Que con fecha 8 de junio de 2012 D. A.A.A. manifestó a esta Agencia que había recibido en su dirección de correo electrónico B.B.B. un mail cuyo remitente era C.C.C., a pesar de haber solicitado la cancelación de sus datos personales y haber sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 llevada a cabo por el PARTIDO POPULAR, según le indicaron en su carta de fecha 12 de enero de 2010 (folio 1). SEGUNDO: Que el denunciante recibió una carta remitida por el Jefe del Departamento de Ficheros del PARTIDO POPULAR de fecha 12 de enero de 2010 en el que se le comunicó que, de acuerdo con lo establecido en el artículo 16 de la LOPD, su solicitud de cancelación “fue oportunamente atendida, en la forma y plazos legalmente previstos, quedando cancelados sus datos de carácter personal en el Fichero del soy responsable” (folio 3). TERCERO: Que con fecha 4 de junio de 2012 D. A.A.A. recibió en su dirección de correo electrónico B.B.B. un correo electrónico cuyo remitente era C.C.C., en el que, con el asunto “Medidas para estabilizar la economía”, se le remitía información sobre dicho asunto en relación con el PARTIDO POPULAR (folios 4 y 5). CUARTO: Que la Inspección de Datos de esta Agencia llevó a cabo la inspección E/4635/2012-I/-1 en fechas 17 y 25 de enero de 2013 en la sede de PARTIDO POPULAR, realizándose una búsqueda mediante la dirección B.B.B., comprobándose que constaba que la newsletters, se encontraba activada desde el 6 de mayo de 2012 y, ante las comprobaciones realizadas, las inspectoras de la Agencia solicitaron información al representante del PARTIDO POPULAR con relación al hecho denunciado detallado en el punto 3º anterior, constando bloqueado en sus sistemas, manifestando su representante que se desconocía el motivo por el que se había podido producir dicho envío, ya que si el usuario se encuentra bloqueado, en teoría, no debería haberse producido este hecho. Se realizaron diferentes búsquedas hacia atrás para ver si podían encontrar una explicación a lo sucedido, pero no se pudo encontrar ninguna causa que los justificase (folios 8 a 10). QUINTO: Que PARTIDO POPULAR por otra parte no ha aportado a esta Agencia documentación que acredite que contara con el consentimiento de D. A.A.A. para el tratamiento de sus datos de carácter personal detallado, en los puntos 1º y 3º anteriores. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Antes de analizar el fondo de la cuestión, conviene recordar que el artículo 3.
4. a)de la LOPD define los datos de carácter personal como: ”Cualquier información concerniente a personas físicas identificadas o identificables”. Añade el artículo 5.1.
5. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a personas físicas identificadas o identificables.” Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, al tratarse de una dirección de correo electrónico que ha sido utilizada por la entidad imputada procede analizar si se trata de un dato de carácter personal del denunciante. En relación con dicho asunto es criterio reiterado de esta Agencia, sostenido en numerosos informes (así, entre otros, los de fechas 11 de noviembre de 1999, 15 de noviembre de 2005 y 23 de junio de 2006 o el que cita la entidad imputada en sus alegaciones), el Servicio de Abogacía del Estado de la misma, que la dirección de correo electrónico de una persona puede ser, en su caso, considerada dato personal. A este respecto, de acuerdo con dichos informes: “..., debe indicarse que la dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo, incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. Por ello, podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo:
8. a)El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no éstos en la denominación del dominio utilizado). En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato personal. Ejemplos característicos de este supuesto serían aquéllos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndole el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
9. b)Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de correo a una denominación abstracta o una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacer concluir que no nos encontramos ante un dato de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras a asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la “privacidad”, consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico, en las circunstancias expuestas, se encuentre amparada por el régimen establecido en la LOPD”. Profundizando más en este asunto, la sentencia de la Audiencia Nacional de fecha 15 de enero de 2011 (R. 297/2010) dice que: “Siguiendo el orden expuesto en la demanda se va a analizar la primera cuestión referente a si la dirección de correo electrónico (…) registrada en los ficheros de la entidad y a la que se remitió el video en cuestión, constituye o no un dato de carácter personal. (…) En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 (Rec. 911/2003) y de 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque “con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002). Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD”. Por lo tanto, la dirección de correo electrónico del denunciante es un dato de carácter personal. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 El artículo 6.1 de la LOPD, por consiguiente, dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” De igual modo, indicar que el artículo 16.3 de la LOPD dispone que: “La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. PARTIDO POPULAR en este caso no ha aportado prueba documental suficiente que acredite que contara con el consentimiento inequívoco del denunciante para poder llevar a cabo el tratamiento de datos personales realizado (utilización de su dirección de correo electrónico pese a haber procedido de manera teórica a la cancelación solicitada, con un bloqueo no efectivo), antes bien, los documentos que obran en el procedimiento evidencian que no contaba con dicho consentimiento, sino todo lo contrario. Recordemos que en el presente caso D. A.A.A. manifestó a esta Agencia que había recibido en su dirección de correo electrónico B.B.B. un mail cuyo remitente era C.C.C., a pesar de haber solicitado la cancelación de sus datos personales y haber sido llevada a cabo por el PARTIDO POPULAR, según le indicaron en su carta de fecha 12 de enero de 2010 (folio 1); una carta remitida por el Jefe del Departamento de Ficheros del PARTIDO POPULAR en el que se le comunica que, de acuerdo con lo establecido en el artículo 16 de la LOPD, su solicitud de cancelación “fue oportunamente atendida, en la forma y plazos legalmente previstos, quedando cancelados sus datos de carácter personal en el Fichero del soy responsable” (folio 3). Pese a ello, con fecha 4 de junio de 2012 D. A.A.A. recibió en su dirección de correo electrónico B.B.B. un mail cuyo remitente era C.C.C., en el que, con el asunto “Medidas para estabilizar la economía”, se le remitía información sobre dicho asunto en relación con el PARTIDO POPULAR (folios 4 y 5). Ante la denuncia de estos hechos, la Inspección de Datos de esta Agencia llevó a cabo la inspección E/4635/2012-I/-1 en fechas 17 y 25 de enero de 2013 en la sede de PARTIDO POPULAR, realizándose una búsqueda mediante la dirección B.B.B., comprobándose que constaba que la newsletters, se encontraba activada desde el 6 de mayo de 2012 y, ante las comprobaciones realizadas, las inspectoras de la Agencia solicitaron información al representante del PARTIDO POPULAR con relación al hecho denunciado detallado en el punto 3º anterior, constando bloqueado en sus sistemas, manifestando su representante que se desconocía el motivo por el que se había podido producir dicho envío, ya que si el usuario se encuentra bloqueado, en teoría, no debería haberse producido este hecho. Se realizaron diferentes búsquedas hacia atrás para ver si podían encontrar una explicación a lo sucedido, pero no se pudo encontrar ninguna causa que los justificase (folios 8 a 10). PARTIDO POPULAR por otra parte no ha aportado a esta Agencia documentación que acredite que contara con el consentimiento de D. A.A.A. para el tratamiento de sus datos de carácter personal detallado, limitándose a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 manifestaciones mencionadas sobre el desconocimiento del motivo por el que se había producido el envío en cuestión. Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento de la persona denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. Abundando en este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD, en relación con el 16.3 de la misma norma, por parte del PARTIDO POPULAR y que es responsable de dicha infracción al artículo citado, por lo que se desestiman sus alegaciones al respecto. IV El artículo 44.3.
10. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, PARTIDO POPULAR ha tratado los datos personales del denunciante sin su consentimiento inequívoco y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
11. b)de dicha norma. V El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
12. a)El carácter continuado de la infracción.
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias sí se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5 de la LOPD, así como varios elementos que permiten aplicar los criterios de modulación previstos en el apartado 4 del citado artículo. Se trata de un solo envío electrónico, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 puntual y concreto (con el asunto “Medidas para estabilizar la economía”, remitiéndose información sobre dicho tema). Esto es, deben ponderarse el volumen de los tratamientos efectuados (apartado 4.b de dicho artículo 45 de la LOPD), la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción (apartado
27. e)y la naturaleza de los perjuicios causados a las personas interesadas o a terceras personas (apartado h). En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45 de la LOPD, y en particular, lo visto en su apartado 5.
28. a)y los ya citados del apartado 4, procede imponer una sanción de una cuantía de 1.500 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PARTIDO POPULAR multa de 1.500 € (mil quinientos euros) por la infracción del artículo 6.1 de la LOPD; tipificada como grave en el artículo 44.3.
29. b)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica, estos últimos de acuerdo con la redacción dada por la Ley 2/2011. SEGUNDO: NOTIFICAR la presente Resolución a PARTIDO POPULAR y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en el artículo 116 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es