PS-00145-2013

1/7 Procedimiento Nº PS/00145/2013 RESOLUCIÓN: R/02109/2013 En el procedimiento sancionador PS/00145/2013, instruido por la Agencia Española de Protección de Datos a la entidad UNION DE CREDITOS INMOBILIARIOS, S.A.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 3/08/2012 tuvo entrada en la Agencia Española de Protección de Datos (AEPD), una denuncia presentado por Dª B.B.B. (en lo sucesivo denunciante) en el que denuncia a la compañía UNIÓN DE CRÉDITOS INMOBILIARIOS, S.A. ENTIDAD FINANCIERA DE CRÉDITO (en adelante U.C.I.). Indica que tras solicitar su información tributaria a dicha empresa recibe una carta, por correo electrónico, en el que le comunican datos de terceras personas sobre un préstamo. Se adjunta con el escrito de denuncia impresión de un correo electrónico, remitido desde la dirección < D.D.D.@uci.com>, el día 24/04/2012, a la dirección < C.C.C.@HOTMAIL.COM>, en el Asunto consta “INFORMACIÓN RELATIVA A SU PRESTAMO EXPEDIENTE: E.E.E.2 (RECOBRO)”. En el cuerpo del mensaje consistente en una carta de dos hojas, que contiene un contrato, figuran los destinatarios, los nombres y apellidos de un hombre y una mujer, su domicilio y dirección, mas abajo sus DNIs consta la referencia a un préstamo, conteniendo una propuesta que modificaría las condiciones del préstamo. En el pie del correo figura que “el mensaje y los ficheros adjuntos son confidenciales y van dirigidos exclusivamente al destinatario señalado en el mismo. En caso de que ud. no sea el destinatario de la información, rogamos borre su contenido de inmediato y proceda a comunicárnoslo de inmediato a la dirección de correo electrónico” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad UNION DE CREDITOS INMOBILIARIOS, S.A.., teniendo conocimiento de que: 1. La compañía U.C.I. ha comunicado a la Inspección de Datos, con fecha de 5/02/2013, en relación con la documentación enviada a la denunciante de terceras personas lo siguiente: -Que la remisión a la denunciante por correo electrónico de un documento en el que constan datos personales de terceros fue un error. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 -Que en el momento que tuvieron conocimiento de los hechos enviaron a todos los colaboradores del área en cuestión una nota interna en la que se les insiste en la importancia de ser rigurosos en la gestión de los datos personales y se establecen las directrices fijadas por la compañía para prevenir futuros errores. -En la citada nota interna tema protección de datos, de fecha 8/05/2012, se informa entre otros de los siguientes aspectos: En el transcurso de nuestro trabajo diario tenemos acceso a multitud de datos de nuestros clientes, datos que tienen la consideración de datos personales y cuyo tratamiento se de encuentra regulado por la Ley de Protección de Datos (…) Por medio de esta nota, queremos hacer hincapié en la importancia de no difundir ni comunicar por ningún medio datos personales de nuestros clientes a terceras personas no autorizadas expresamente por el cliente (…) Para evitar los posibles errores humanos, es necesario verificar los datos del cliente conjuntamente con él en la conversación telefónica, asegurándonos de haber introducido los datos de forma correcta en la aplicación (…). 2. En el Registro General de Protección de Datos consta inscrito el fichero denominado “CLIENTES”, con el código ***COD.1, cuyo responsable es la entidad U.C.I. y siendo la finalidad, entre otras, “prestación de servicios de solvencia patrimonial y crédito, gestión de clientes”. TERCERO: Con fecha 3/04/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ESPAÑA, S.A. por una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 4/06/2012 la denunciada reitera lo alegado y el reconocimiento de los hechos, que a la denunciante no se le ha causado daño pues no eran sus datos. Señala que a pesar de la advertencia contenida en el mensaje, la denunciante lo conservó para formular la denuncia ante la Agencia. Solicita la aplicación del artículo 45.5 de la LOPD, por ausencia de culpabilidad y las circunstancias concurrentes en el hecho denunciado, la denunciada no sufrió perjuicio QUINTO: Con fecha 23/08/2013, se emitió la siguiente propuesta:”Que por el Director de la Agencia Española de Protección de Datos se sancione a UNION DE CREDITOS INMOBILIARIOS, S.A.., con multa de 6.000 €, por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha Ley Orgánica.” SEXTO: Frente a la propuesta no se recibieron alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 HECHOS PROBADOS 1) La denunciante solicitó su información tributaria a UNION DE CREDITOS INMOBILIARIOS, S.A.. Como respuesta, el 24/04/2012 recibe por correo electrónico una carta en la que le comunican datos de terceras personas sobre un préstamo. El correo electrónico aparece remitido el día 24/04/2012, desde la dirección < D.D.D.@uci.com>, a C.C.C.@HOTMAIL.COM. En el Asunto consta “INFORMACIÓN RELATIVA A SU PRESTAMO EXPEDIENTE: E.E.E.2 (RECOBRO)”. En el cuerpo del mensaje consistente en una carta de dos hojas, se contiene un contrato. Figuran los destinatarios, los nombres y apellidos de un hombre y una mujer, su domicilio y dirección, más abajo sus DNIs en referencia a un préstamo, conteniendo una propuesta que modificaría las condiciones del préstamo anterior. En el pie del correo figura que “el mensaje y los ficheros adjuntos son confidenciales y van dirigidos exclusivamente al destinatario señalado en el mismo. En caso de que ud. no sea el destinatario de la información, rogamos borre su contenido de inmediato y proceda a comunicárnoslo de inmediato a la dirección de correo electrónico”. 2) UNION DE CREDITOS INMOBILIARIOS, S.A.., reconoce el envío denunciado, y que no contiene datos referidos a la denunciante, y señala que la remisión a la denunciante por correo electrónico del documento en el que constan datos personales de terceros fue un error. 3) En el Registro General de Protección de Datos consta inscrito el fichero denominado “CLIENTES”, con el código ***COD.1, cuyo responsable es la entidad U.C.I. y siendo la finalidad, entre otras, “prestación de servicios de solvencia patrimonial y crédito, gestión de clientes”. 4) UNION DE CREDITOS INMOBILIARIOS, S.A.., remitió a personal del área de recobro una nota interna con el tema protección de datos, de fecha 8/05/2012, en la que recuerda la necesidad y precisión en el cumplimiento de la materia no difundiendo datos de terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La infracción denunciada contra U.C.I consiste en la vulneración del artículo 10 de la LOPD, por poderse visualizar e imprimir un documento o carta enviado por correo electrónico de dos hojas que contenía un contrato, con datos de destinatarios de otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 personas El artículo 10 de la LOPD que señala: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Esta infracción aparece tipificada en el artículo 44.3.
4. d)de la LOPD que determina: “Incumplir el deber de secreto establecido en el artículo 10 de esta Ley, salvo que constituya infracción grave.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Sentencia de la Audiencia Nacional, de fecha 14/09/2001, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo, lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El Art. 10 de la LOPD regula de forma concreta el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como el Art. 11 (comunicación de datos) ó 12 (acceso a los datos por cuenta de terceros). El artículo 10, junto con el artículo. 9 LOPD, que regula las medidas de seguridad, contiene una regla que afecta a la confidencialidad como parte de la seguridad, por lo que se refiere especialmente al responsable del fichero y a las personas que hayan participado en el tratamiento. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11-12-89 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". Ahora bien, hay que tener en cuenta que en ocasiones la propia normativa exige la transmisión de la información y no existe un deber de secreto que resulte ilimitado y aplicable en cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 caso. En el presente supuesto, la denunciada no disponía del consentimiento de los destinatarios para remitir sus datos y la información del contrato a la denunciante, infringiéndose el deber de secreto de que los datos de los destinatarios no sean conocidos por terceros. III El artículo 45 de la LOPD, en sus aparatados 1, 2, 4 y 5, establece: «1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
5. a)El carácter continuado de la infracción.
6. b)El volumen de los tratamientos efectuados.
7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
8. d)El volumen de negocio o actividad del infractor.
9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
10. f)El grado de intencionalidad.
11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 La denunciada invoca la aplicación el artículo 45.5 de la LOPD en base a que se produjo un error en el envío, no se ha producido un daño real a la denunciante, y se contenía una cláusula de confidencialidad. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. El sistema utilizado de envíos de información mediante correos electrónicos es muy versátil, si bien debe prestarse atención por la persona que procede a su envío, es el propio remitente sin supervisión el que configure los envíos, y una vez enviado no existe una posible adecuación para su corrección. En el presente supuesto, la denunciada ha reconocido su responsabilidad en los hechos como consecuencia de esa acción humana. En virtud de ello se aplica el artículo 45.5 de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y en concreto que los datos no son de la denunciada y pese a conocerlos esta, no se le ocasionó perjuicio personal, junto a ello, en el mensaje se incluía una cláusula de confidencialidad del mensaje dirigido al destinatario y se advertía del borrado del contenido caso de no ser el mismo., se impone una sanción de 1.500 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad UNION DE CREDITOS INMOBILIARIOS, S.A..,, por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
20. d)de dicha norma, una multa de 1.500 €, de conformidad con lo establecido en el artículo 45.1,2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a INMOBILIARIOS, S.A.., y a B.B.B.. UNION DE CREDITOS TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es