1/8 Procedimiento Nº PS/00139/2017 RESOLUCIÓN: R/02436/2017 En el procedimiento sancionador PS/00139/2017, instruido por la Agencia Española de Protección de Datos a la A.A.A., vista la denuncia presentada por Don B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14/12/2016 tuvo entrada un escrito remitido por Don B.B.B., uno de los denunciantes que presentó la denuncia que finalizó en el procedimiento de apercibimiento A/00162/2015 con resolución de 23/12/2015. El denunciante indica que no se ha llevado a efecto el requerimiento efectuado en el apercibimiento mencionado, circunstancia que verificó tras haber recibido el acuerdo de archivo del expediente E/07966/2015, dimanante de la verificación del cumplimiento del apercibimiento. En la resolución del A/00162/2015 se disponía: “1.- APERCIBIR (A/00162/2015) a la entidad A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a la entidad A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6 de la LOPD. En concreto se insta a la denunciada a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a respetar el deber de secreto, y a evitar en el futuro la difusión sin restricciones a través de Internet de documentos en los que se contengan datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 carácter personal. Asimismo, se insta a A.A.A. para que disponga lo necesario para la eliminación de la información y documentos objeto de la denuncia de la memoria caché de Google. INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando escrito en el que se detallen las normas adoptadas, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior y se declare expresamente haber eliminado la documentación objeto de la denuncia. Se advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre expediente de investigación E/07966/2015, podría suponer una infracción del artículo 37.1.
- a)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- a)Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica.” SEGUNDO: Como hechos probados de dicha resolución se indicaban: “1. Con fecha el 14/12/2012, el denunciante 4 interpuso demanda de juicio ordinario por vulneración de derechos fundamentales contra la entidad A.A.A. y otros. 2. La entidad RED UNE, en febrero de 2014, publicó en el blog ***BLOG.1, un artículo que hacía referencia a la demanda reseñada en el Hecho Probado Primero, el cual incorporaba un enlace directo a texto íntegro de dicha demanda, accesible sin restricción alguna a través de la URL ***URL.1 Según consta en acta notarial aportada por el denunciante 4, el artículo mencionado permanecía publicado en fecha 03/07/2014, manteniendo operativo el enlace a la demanda reseñada en formato pdf. 3. La demanda reseñada en el Hecho Probado Primero, publicada por A.A.A. incluye datos personales de los denunciantes 1 a 4 según el detalle siguiente: En relación con los denunciantes 1 y 3, consta el detalle de su nombre y apellidos, su profesión y el colegio profesional al que pertenece. En relación con el denunciante 2, consta el detalle de su nombre, apellidos y profesión. En relación con el denunciante 4, consta su nacionalidad, lugar y fecha de nacimiento, núm. de pasaporte, residencia y NIE. 4. Con fecha 25/11/2015, por la Subdirección General de Inspección de Datos se realizó una búsqueda mediante el buscador de Internet Google, con el criterio http://***BLOG.1, obteniendo como resultado un enlace a dicho blog. Se accedió a los archivos correspondientes a febrero de 2014, entre los que figuraba el artículo reseñado en el Hecho Probado Segundo y operativo el enlace a la demanda mencionada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 mismo.” TERCERO: La resolución del expediente E/07966/2015, de fecha 26/10/2016, archivó las actuaciones al considerar que se había cumplido con el requerimiento efectuado en el procedimiento de apercibimiento. Se observa que tanto en la notificación del acuerdo de audiencia como la resolución del apercibimiento figuraban sendos intentos de entrega a la sede social de la denunciada con la nota, con la nota “ausente”, por lo que se publicaron en el BOE. CUARTO: El denunciante manifiesta en su denuncia de fecha 14/12/2016, que el escrito de demanda judicial sigue figurando en el mismo link que figura en la denuncia: ***URL.1 continúa expuesto en la web. Aporta un CD en el que figuran 12 archivos, de fecha 14/12/2016 de tipo HTLM, JPG y PNG. Una vez abierto contiene: En el archivo, PNG denominado captura pantalla-copia PNG una imagen que es una foto de la página de A.A.A. , se visiona en la URL: ***BLOG.1en la que a 1/12/2016 consta el pdf con el contenido de escrito de demanda en pdf. En otro archivo PNG denominado captura se ve de la página A.A.A. .noticias aparece el titular “Demandan a A.A.A. y a su Presidente D.D.D. por defender el derecho de las ONG a la difusión de información y prevenir el abuso de debilidad. La noticia comenta la demanda contra la entidad y consta al final un link en pdf titulado “escrito de demanda” obteniendo la copia de la misma con los datos de, entre otros el denunciante. QUINTO: En el seno de las actuaciones abiertas con motivo de la denuncia de 14/12/2016, con fechas 4, 12 y 24 de abril de 2017 se obtuvo la impresión de la página web ***BLOG.1 donde aparece el titular: “Demandan a A.A.A. y a su Presidente D.D.D. …” antes citado. La noticia comenta la demanda contra la entidad y consta al final un link en pdf titulado “escrito de demanda” de 133 páginas, obteniendo impresión parcial de la misma con los datos de, entre otros el denunciante, destacando que la demanda se fechaba a 10/12/2012 y que sobre la misma recayó sentencia en 2015. SEXTO: Con fecha 4/05/2017 se dicta por la Directora de la AEPD acuerdo de inicio de procedimiento sancionador A.A.A. por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. El acuerdo de inicio consideró de aplicación el artículo 45.5.
- a)al concurrir las circunstancias señaladas en el artículo 45.4 b),
- c)y d). Ajustando la sanción al intervalo de las multas que tienen establecidas las sanciones leves en el artículo 45.5.1) de la LOPD, se consideró que era de aplicación el artículo 45.4.
- a)y 45.4.
- j)de la LOPD. En el acuerdo de inicio, a los efectos de los artículos 85.1 y 85.2 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se estableció una sanción para la denunciada de 10.000 euros por la infracción del artículo 6.1 de la LOPD, tipificada como grave de conformidad con los artículos 45.5.1), 2), 4) y 5) de la LOPD. SÉPTIMO: El acuerdo se notificó a dos posibles direcciones resultando en una de ellas entregado aviso el 10 y 11/05/2017 con resultado de “ausente”, dejándose aviso en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 buzón para su recogida en la Oficina de Correos, siendo devuelto a origen por sobrante el 19/05/2017. Se remitió aviso de anuncio de notificación al BOE donde figura publicado en el de 5/06/2017. No se han recibido alegaciones al acuerdo de inicio. HECHOS PROBADOS 1) El ahora denunciante aparece como DENUNCIANTE 3 en el procedimiento de apercibimiento A/00162/2015 y pone de manifiesto en nueva denuncia de 14/12/2016 que la demanda judicial interpuesta por denunciante 4 (en el citado Apercibimiento, D. E.E.E.) continúa expuesta en la web de la entidad A.A.A.
(161). En dicha demanda se contienen sus datos de carácter personal 2) El denunciante aportó un CD que contiene archivos que refieren que a 1/12/2016 en la página URL: ***BLOG.1 consta el pdf con el contenido de escrito de demanda en pdf. El servicio de Inspección accedió a la web de RED UNE, y se imprimió el 4, 18 y 2/04/2017 la noticia “Demandan a A.A.A. y a su Presidente… por defender el derecho de las ONGs a la difusión de información y prevenir el abuso de debilidad” al final figura un archivo adjunto en pdf en el que si se pincha se puede visualizar la demanda. (166 a 168), accediendo a los datos que en ella se contenían del denunciante (166 a 172, 175 a 177, 182 a 187). La dirección en la que se accede es ***URL.1 en la que se visiona el archivo adjunto que es la demanda judicial 3) En la demanda se indica el nombre y apellidos del denunciante su profesión, y que es Colegiado en las Islas Baleares, osteópata y entrenador personal. Se le cita en la demanda en relación a que con motivo de unos reportajes emitidos por ***CANAL.1, figuran en el procedimiento “declaraciones juradas y firmadas por clientes y médicos que mandaba clientes al Sr. E.E.E.”
(172). Además, se contiene la demanda integra que detalla hechos y explicaciones por la persona que la interpuso denunciante 4 en el apercibimiento, Sr. E.E.E.. 4) El apercibimiento que por el mismo asunto se inició a la misma denunciada declaró la comisión de una infracción del artículo 6.1 de la LOPD (1 a 15). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Los hechos expuestos consistentes en disponer en la propia web de datos del denunciante al reproducir la totalidad del escrito de demanda judicial en el que se contenían sus datos, de modo que terceros puedan acceder a su contenido sin limitación alguna, supone la comisión de una infracción del artículo 6 de la LOPD que indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, El artículo 3.c de la LOPD indica: “Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La demanda judicial es un documento dirigido al Juzgado, al que el denunciado, en ejercicio de su derecho de defensa tiene acceso para ejercitar sus derechos. Dicha demanda no tiene ni carácter público ni sus datos son fuente de acceso público. El hecho de posibilitar la subida de toda la demanda a un servidor de la página web para que cualquiera que acceda a la misma pueda verla, constituye un tratamiento automatizado de datos, como ha sido determinado desde hace tiempo por la Jurisprudencia, como ejemplo, la Sentencia del Tribunal de Justicia de las Comunidades Europeas de 6/11/2003 (Bodil Lindqvist), en un supuesto en el que se ofrecía información en una página web sobre diversas personas, y señalaba en los considerandos 24 a 27: “En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46. “ Se acredita que la denunciada subió copia de la demanda a su web conteniéndose datos del denunciante que no consta diera el consentimiento para dicha exposición con acceso generalizado por cualquier persona. III La infracción del artículo 6.1 de la LOPD figura tipificada como grave en el artículo 44.3.
- b)de la LOPD que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” IV El artículo 45.1), 2), 4) y 5) de la LOPD, señalan: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.” “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 La denunciada es una Asociación, en su Estatuto, que figura en noticia obtenida de la web de la citada entidad ***URL.2, en la que una sentencia señala como sus fines “La investigación y estudio de las principales directrices de organizaciones de carácter sectario y de movimientos destructivos de la personalidad”, así como “Proteger a las personas contra toda forma deshumanizante de manipulación mental y de condicionamiento psíquico intelectual, que, bajo cualquier máscara filosófica, religiosa o comercial, puedan disimular sus prácticas”. Inicialmente ejerce su libertad de expresión, y no es un operador comercial en el tratamiento de datos, sin que se pueda tener en cuenta el volumen de negocio. Concurren así los artículos 45.4.b),
- c)y
- d)que reducen parcialmente la culpabilidad a efectos de la aplicación del artículo 45.5.
- a)de la LOPD. Para graduar la sanción a imponer de acuerdo con los criterios que establece el art. 45.4 de la LOPD, se consideran en el presente caso: - La persistencia de la infracción (45.4.
- a)de la LOPD. - La circunstancia de que la copia íntegra de la presentación de la demanda todavía aparece expuesta, y es excesiva para informar sobre la cuestión (45.4 j), imponiéndose una sanción de 10.000 euros Por la Directora de la Agencia Española de Protección de Datos, Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la A.A.A., por una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la LOPD, una multa de 10.000 €, de conformidad con lo establecido en el artículo 45.1), 2), 4 y 5) de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es