PS-00152-2014

1/13 Procedimiento NºPS/00152/2014 RESOLUCIÓN: R/01850/2014 En el procedimiento sancionador PS/00152/2014, instruido por la Agencia Española de Protección de Datos a la entidad HORTALEZA FITNESS, S.L., en virtud de los siguientes, ANTECEDENTES PRIMERO: En la resolución de fecha 19 de abril de 2013, relativa al procedimiento de Apercibimiento de referencia A/00021/2013, el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a la entidad HORTALEZA FITNESS, S.L.con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.

1. b)de la citada Ley Orgánica. En el mismo acuerdo el Director resolvió REQUERIRa la entidad HORTALEZA FITNESS, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acredite en el plazo de un mes el cumplimiento de lo establecido en la normativa sobre protección de datos en materia de información previa al consentimiento para el tratamiento de datos personales, en relación con la cláusula informativa que se incluye en el contrato que deben firmar los clientes de la entidad HortalezaFitness, S.L. En concreto se insta al denunciado en dicho procedimiento de apercibimiento, al cumplimiento de lo establecido en el artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre (LOPD), y para ello se le requiere que presente una copia del contrato en el que se pueda observar que ha procedido a cambiar la cláusula de protección de datos, y en la que se permita a los clientes marcar la negativa a que sus datos sean cedidos a terceros. La manera en la que se puede efectuar dicha posibilidad consiste en la existencia de una casilla que ofrezca a los clientes la posibilidad de marcar que no desean recibir publicidad. Asimismo, debe informar los sectores de actividad de las empresas a las que se van a ceder los datos. Se requiere también que se informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando copia del contrato en el que se compruebe que consta la cláusula que permita a los clientes mostrar su negativa a la cesión de sus datos, y que muestre a los clientes los sectores de actividad de las empresas a las que se van a ceder dichos datos, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. En dicha resolución de apercibimiento se le advierte de que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 investigación E/02468/2013, podría incurrir en una infracción del artículo 37.1.
2. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
3. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
4. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación. Con fecha 22 de mayo de 2013 tiene entrada en esta Agencia un escrito del representante de la entidad HORTALEZA FITNESS, S.L. en el que manifiesta: “Que, dentro del plazo legalmente concedido, esta parte viene a aportar copia del contrato, como DOCUMENTO NUMERO 3, en el que se comprueba consta la cláusula que permite a los clientes mostrar su negativa a la cesión de sus datos, con la correspondiente casilla para marcar en tal caso. III.- Asimismo, señalar que los sectores de actividad de las empresas a las que se cederían en todo caso los datos, ya están reflejados, lógicamente son aquellos directamente relacionados con la actividad de la empresa contratante, tal y como se deja expresado en la cláusula 6, refiriéndose exclusivamente a las empresas del grupo Polideportivos &Fitness, S.L., no obstante, si la Agencia considera que esto no queda lo suficientemente claro de la redacción dada al contrato, HortalezaFitness, S.L., no tiene inconveniente alguno el incluir una nueva redacción si así la Agencia lo considerase.” Con fecha 21 de junio de 2013 el Subdirector General de la Inspección de Datos de esta Agencia de Protección de Datos envió un escrito reiterando el requerimiento con el siguiente contenido: “En el marco de las actuaciones practicadas de oficio por la Subdirección General de Inspección de Datos con objeto de aclarar los términos del cumplimiento de lo requerido en resolución de fecha 19 de abril de 2013 relativa al apercibimiento de referencia A/00021/2013 por la existencia de una cláusula de protección de datos que infringía lo dispuesto en el art. 5 de la LOPD, les solicito nuevamente que en el plazo de diez días hábiles nos hagan llegar: - Una cláusula de protección de datos en la que se especifiquen los sectores de actividad a los que se van a destinar los datos personales que se recaben, no bastando la remisión genérica que recogen en la cláusula que han presentado en fecha 22 de mayo de 2013, en la que se recoge “..y promocionar otros productos o servicios propios o de terceros que pudieran ser de su interés, en especial los ofrecidos por el resto de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 empresas del grupo…” así como la cláusula final recogida en OTROS en la que se recoge “…el socio autoriza la utilización y tratamiento informático de sus datos personales para la gestión del centro y el envío de información comercial de su interés.” Con esta cláusula se prevé la posibilidad de que los datos sean tratados para fines muy genéricos e indeterminados en la medida en que no recoge las previsiones del art. 45.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, cuando establece en el apartado
5. b)“hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” Por esta Agencia Española de Protección de Datos no se tiene constancia de que se haya atendido, por la entidad HORTALEZA FITNESS, S.L., a lo requerido, de manera que de la información contenida en estas actuaciones de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 19 de abril de 2013, por el Director de la Agencia de Protección de Datos. TERCERO: Con fecha 8 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad HORTALEZA FITNESS, S.L., por presunta infracción del artículo 37.1.
6. f)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
7. i)de dicha norma, pudiendo ser sancionado con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, HORTALEZA FITNESS, S.L. formuló alegaciones, significando, que: “… el Sr. Subinspector General de inspección de datos de la AEPD, que no el Sr. Director, mediante sucinta comunicación de fecha 20 de junio de 2013 que, a juicio de esta parte carece de la debida solemnidad formal y material, lo que origina indefectiblemente su absoluta ineficacia, solicita (que no apercibe, ni requiere, pues únicamente puede reiterar su requerimiento la persona legalmente facultada para ello que lo emitió en un principio, y no persona distinta) una documentación adicional a la ya aportada, al considerar ésta insuficiente por una serie de razones de carácter subjetivo, las cuales no son compartidas por mi administrada. Dicha solicitud, y no el requerimiento formal de fecha 19 de abril de 2013, aun cuando su fuerza vinculante y eficacia es más que discutible, no fue atendida por mi representada por causas absolutamente ajenas a su voluntad, ya que la comunicación del Sr. Subinspector General de inspección de datos fue puesta a disposición de un profesional que, con evidente falta de diligencia y contraviniendo las instrucciones de mi administrada, dejó transcurrir el plazo indicado en la misma sin formular la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 correspondiente respuesta, lo que motivará la correspondiente queja al Colegio profesional correspondiente y, en su caso, el ejercicio de las acciones legales que al derecho de mi representada convengan. Sin perjuicio de lo anterior, no concurre en el presente caso la presunta infracción normativa indicada en el acuerdo frente al cual se formulan las presentes alegaciones. Se pretende imputar a mi representada una infracción del artículo 37.1.
8. f)de la LOPD en relación con el artículo 44.3.
9. i)de dicho texto normativo, al considerar que no atendió a los requerimientos o apercibimientos de la AEPD. Sin embargo, no puede compartirse tal tesis, ya que mi representada sí atendió el único apercibimiento y requerimiento que le fue dictado y trasladado por la AEPD en legal forma, emitido por la única persona que ostenta poder de representación suficiente para tal fin de conformidad con lo indicado en el artículo 36 de la LOPD en relación con el artículo 37 de dicho texto normativo, esto es, su Director, y todo ello mediante escrito de fecha 21 de mayo de 2013, presentado incluso antes del vencimiento del plazo consignado en dicho requerimiento, lo que denota su innegable voluntad de colaboración y buena fe…” Concluyen las alegaciones solicitando que se acuerde el archivo de las presentes actuaciones. QUINTO: Con fecha 12 de mayo de 2014 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad HORTALEZA FITNESS, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02468/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00152/2014 presentadas por la entidad HORTALEZA FITNESS, S.L., y la documentación que a ellas acompaña. SEXTO: Con fecha 4 de agosto de 2014 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.500 € a la entidad HORTALEZA FITNESS, S.L., por la comisión de una infracción del artículo 37.1.
10. f)de la LOPD, tipificada como grave en el artículo 44.3.
11. i)de dicha Ley. De acuerdo con lo establecido en el artículo 19.1 del Real Decreto 1398/1993 de 4 de agosto, Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en dicha propuesta de resolución se concedió un plazo de QUINCE DÍAS hábiles para que las partes interesadas en el procedimiento pudieran alegar cuanto considerasen para su defensa y presentasen los documentos e informaciones que estimasen pertinentes, así como se detallaba, en un anexo adjunto a esa propuesta de resolución, la relación de documentos obrantes en el procedimiento, a fin de que las partes interesadas en el procedimiento pudieran obtener copia de los que estimasen convenientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 HECHOS PROBADOS PRIMERO: El Director de la Agencia Española de Protección de Datos resolvió APERCIBIR, el 19 de abril de 2013, a la entidad HORTALEZA FITNESS, S.L.con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
12. b)de la citada Ley Orgánica. (folios 1 a 4) SEGUNDO: En el mismo acuerdo el Director resolvió REQUERIRa la entidad HORTALEZA FITNESS, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acredite en el plazo de un mes el cumplimiento de lo establecido en la normativa sobre protección de datos en materia de información previa al consentimiento para el tratamiento de datos personales, en relación con la cláusula informativa que se incluye en el contrato que deben firmar los clientes. En concreto se insta al denunciado en dicho procedimiento de apercibimiento, el cumplimiento de lo establecido en el artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre (LOPD), y para ello se le requiere que presente una copia del contrato en el que se pueda observar que ha procedido a cambiar la cláusula de protección de datos, y en la que se permita a los clientes marcar la negativa a que sus datos sean cedidos a terceros. Asimismo, debe informar de los sectores de actividad de las empresas a las que se van a ceder los datos. Se requiere también que se informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando copia del contrato en el que se compruebe que consta la cláusula que permita a los clientes mostrar su negativa a la cesión de sus datos, y que muestre a los clientes los sectores de actividad de las empresas a las que se van a ceder dichos datos, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. En caso de no atender este requerimiento, se le advirtió que se procedería a acordar la apertura de un procedimiento sancionador.(folios 1 a 4) TERCERO: Con fecha 22 de mayo de 2013 tiene entrada en esta Agencia un escrito del representante de la entidad HORTALEZA FITNESS, S.L. en el que manifiesta que aporta copia del contrato, en el que consta la cláusula que permite a los clientes mostrar su negativa a la cesión de sus datos, con la correspondiente casilla para marcar en tal caso. Además señala que los sectores de actividad de las empresas a las que se cederían en todo caso los datos, ya están reflejados, no obstante, si la Agencia considera que esto no queda lo suficientemente claro de la redacción dada al contrato, HortalezaFitness, S.L., no tiene inconveniente alguno el incluir una nueva redacción si así la Agencia lo considerase. (folios 5 a 14) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 CUARTO: Con fecha 21 de junio de 2013 se reiteró el requerimiento para aclarar los términos del cumplimiento de lo requerido en la resolución de 19 de abril de 2013 relativa al apercibimiento de referencia A/00021/2013 por la existencia de una cláusula de protección de datos que infringía lo dispuesto en el art. 5 de la LOPD, en el que se les solicitó que aportasen una cláusula de protección de datos en la que se especifiquen los sectores de actividad a los que se van a destinar los datos personales que se recaben, no bastando la remisión genérica que recogen en la cláusula que han presentado en fecha 22 de mayo de 2013. (folios 15 a 17) QUINTO: Por esta Agencia Española de Protección de Datos no se tiene constancia de que se haya atendido, por la entidad HORTALEZA FITNESS, S.L., a lo requerido, de manera que de la información contenida en estas actuaciones de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 19 de abril de 2013, por el Director de la Agencia de Protección de Datos. (folio 18) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
13. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
14. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos: f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento sancionador ha quedado acreditado que el denunciado fue apercibido según la posibilidad que ofrece el artículo 45.6 de la LOPD que permite excepcionalmente al órgano sancionador, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 5 del mismo artículo, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes. En dicha resolución se apercibió a la entidad denunciada por la infracción del artículo 5.1 de la LOPD, tipificada como leve C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 en el artículo 44.2.
15. c)de la citada ley orgánica. En el mismo acuerdo de apercibimiento el Director resolvió REQUERIRal denunciado, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 5.1 de la LOPD para lo que se le requiere que modifique la cláusula de protección de datos de manera que se permita a los clientes marcar la negativa a que sus datos sean cedidos a terceros. También debe informar de los sectores de actividad de las empresas a las que se van a ceder los datos. Se requiere también que informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando copia del contrato en la que se compruebe que consta la cláusula que permita a los clientes mostrar su negativa a la cesión de sus datos, y que muestre a los clientes los sectores de actividad de las empresas a las que se van a ceder dichos datos, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. En caso de no atender este requerimiento, se le advirtió que se procedería a acordar la apertura de un procedimiento sancionador. Con fecha 22 de mayo de 2013 tiene entrada en esta Agencia un escrito del representante de la entidad HORTALEZA FITNESS, S.L. en el que manifiesta que aporta copia del contrato, en el que consta la cláusula que permite a los clientes mostrar su negativa a la cesión de sus datos, con la correspondiente casilla para marcar en tal caso. Señala en el escrito que los sectores de actividad de las empresas a las que se cederían en todo caso los datos, ya están reflejados, no obstante, si la Agencia considera que esto no queda lo suficientemente claro de la redacción dada al contrato, HortalezaFitness, S.L., no tiene inconveniente alguno el incluir una nueva redacción si así la Agencia lo considerase. Con fecha 21 de junio de 2013 se reiteró el requerimiento con objeto de aclarar los términos del cumplimiento de lo requerido en la resolución de 19 de abril de 2013 relativa al apercibimiento de referencia A/00021/2013 por la existencia de una cláusula de protección de datos que infringía lo dispuesto en el art. 5 de la LOPD, en el que se les solicitó que aportasen una cláusula de protección de datos en la que se especifiquen los sectores de actividad a los que se van a destinar los datos personales que se recaben, y se les informa de que no basta la remisión genérica que recogen en la cláusula que han presentado en fecha 22 de mayo de 2013. Por esta Agencia Española de Protección de Datos no se tiene constancia de que se haya atendido, por la entidad HORTALEZA FITNESS, S.L., a lo requerido, de manera que de la información contenida en estas actuaciones de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 19 de abril de 2013, por el Director de la Agencia de Protección de Datos. Se alega al acuerdo de inicio del presente procedimiento sancionador que se “atendió el único apercibimiento y requerimiento que le fue dictado y trasladado por la AEPD en legal forma, emitido por la única persona que ostenta poder de representación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 suficiente para tal fin de conformidad con lo indicado en el artículo 36 de la LOPD en relación con el artículo 37 de dicho texto normativo, esto es, su Director”. En relación con lo alegado cabe recordar que el artículo 40 de la LOPD respecto de la “potestad de inspección” establece lo siguiente: “1. Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente Ley, recabando cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal efecto, podrán solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accediendo a los locales donde se hallen instalados. 2. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos. Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas.” A su vez el artículo 122.1 del Reglamento de la LOPD expone sobre la “Iniciación”: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.” Y el artículo 123.1 del Reglamento de la LOPD expone sobre el “Personal competente para la realización de las actuaciones previas”. “1. Las actuaciones previas serán llevadas a cabo por el personal del área de la Inspección de Datos habilitado para el ejercicio de funciones inspectoras.” El artículo 124 del Reglamento expresa:“Obtención de información”. “Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados.” No cabe duda, en definitiva, de la facultad de la Inspección de Datos de esta Agencia Española de Protección de Datos para la realización de las actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen la iniciación de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 procedimiento sancionador: determinar los hechos, identificar al responsable y fijar las circunstancias relevantes. Eso es lo que se llevó a cabo para comprobar el cumplimiento de lo requerido en el apercibimiento. En primer lugar se comprobó lo aportado en el escrito de 22 de mayo de 2013 y después se requirió que, tal y como ya se había solicitado en el apercibimiento, se informase en la cláusula de protección de datos sobre los sectores de actividad sobre los que se podrá recibir información o publicidad. Se adjunta a las alegaciones un nuevo modelo de contrato con una cláusula decimocuarta donde, según sus palabras, “se recogen todas y cada una de las prescripciones legales que son de aplicación en materia de protección de datos“. Visto el contenido de la nueva cláusula se observa que en ella no se informa a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrán recibir información o publicidad. A modo de ejemplo, el servicio jurídico de esta Agencia ha dado el visto bueno a la siguiente cláusula informativa: “Los datos personales que usted nos facilita serán incluidos en el fichero automatizado de -----------------,S.A., para gestionar la relación comercial con usted. Usted podrá ejercer los derechos de acceso, cancelación, rectificación y oposición, que podrá ejercitar mediante carta dirigida a esta compañía, calle, -----------. Del mismo modo, Ud. consiente a que en un futuro –incluso finalizada nuestra relación comercial-, ------------------- S.A. utilice sus datos personales para informarle sobre sus productos y/o servicios y a que comunique tales datos a otras empresas del Grupo Planeta cuyas actividades se relacionen con los sectores editorial, de formación, de cultura y de ocio, con el fin de que se le informe sobre los productos o servicios que comercialicen. Si no desea ser informado de nuestros productos o servicios o de los de otras empresas del Grupo Planeta, indíquenoslo por escrito en la dirección arriba citada. Señalando claramente su nombre, apellidos y dirección o hágalo constar en este cupón, marcando la siguiente casilla (Ley Orgánica 15/1999 de 13 de diciembre).” En esta cláusula se informa de los sectores de actividad –editorial, de formación, de cultura y de ocio- sobre los que podrán recibir publicidad los interesados. En la cláusula de Hortaleza Fitness SL se informa a los interesados de que el fichero al que se incorporarán sus datos personales tiene por objeto, además del cumplimiento de la relación contractual, la realización de encuestas destinadas a mejorar la calidad de los servicios, al desarrollo y realización de acciones comerciales y/o publicitarias de carácter general o particular. También se informa de que, con las mismas finalidades, sus datos personales podrán ser cedidos a sociedades colaboradoras de Hortaleza Fitness SL. Los interesados consienten así al tratamiento de sus datos personales, tanto por la entidad contratante como por sociedades colaboradoras, con fines de publicidad sin que se les informe de los sectores concretos y específicos de actividad de los que podrán recibir dicha publicidad tanto por parte de la entidad contratante como por las sociedades colaboradoras a las que se podrán ceder sus datos. Todo ello según lo previsto en el artículo 45.1.
16. b)del Reglamento de la LOPD. Por otra parte, también el artículo 11.3 de la LOPD establece que: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar”. Para ceder los datos personales es preciso informar de la actividad de la entidad a la que se van a comunicar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 En el presente expediente sancionador se imputa la falta de respuesta a un requerimiento realizado por el Director de esta Agencia, cuestión esta que no se acredita en las alegaciones presentadas. Se manifiesta, en las alegaciones al acuerdo de iniciación, que la comunicación del “Sr. Subinspector General de inspección de datos” fue puesta a disposición de un profesional que dejó transcurrir el plazo sin formular la correspondiente respuesta. De lo presentado ahora se desprende que no se cumple con lo requerido en el apercibimiento respecto del cumplimiento del deber de información para el tratamiento de los datos personales de los interesados porque no se informa de los sectores de actividad de los que podrán recibir información y publicidad, lo que evidencia la falta de respuesta en plazo al requerimiento efectuado, que es la razón del presente expediente sancionador. En la Sentencia de la Audiencia Nacional de 12 de junio de 2013, en un caso similar al aquí cuestionado por la falta de atención a lo requerido en un procedimiento de apercibimiento, se expone: “Sentado lo anterior y analizados los hechos objeto del expediente sancionador que nos ocupa concluye esta sala que resulta acreditada la concurrencia de culpabilidad respecto de la comisión por el demandante de la infracción administrativa por cuya autoría ha sido sancionado. Debe concluirse que no obró con la diligencia que le resultaba exigible en el cumplimiento del requerimiento de que fue objeto, cuyos términos no dejaban lugar a dudas acerca de su objeto y el plazo concedido para su cumplimiento. La atribución por el demandante a la empresa encargada del mantenimiento del sistema de videovigilancia de la responsabilidad, ante la ausencia de comunicación a la AEPD de la actividad desarrollada por esta para dar cumplimiento a tal requerimiento, no exime a aquel de la suya, como destinatario del citado requerimiento y obligado a su cumplimiento. Lo cierto es que, al margen de que, tal y como se indica en el certificado de 16 de junio de 2006, aportado por el demandante, la empresa referida procediera a reorientar la posición de las cámaras instaladas en el inmueble, de forma que no captaran imágenes fuera de la vivienda, y lo hiciera a instancias del sancionado, la realización de tales trabajos no fue comunicada a la AEPD en el plazo establecido para dar cumplimiento al requerimiento realizado. (…) Por todo ello, procede rechazar este motivo de impugnación del acto administrativo recurrido y, con ello, desestimar la pretensión principal del demandante.” En esta ocasión es evidente la existencia de una falta de diligencia plenamente atribuible al imputado por la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos. III El artículo 44.3.
17. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 misma.” En el presente caso ha quedado acreditado que no se atendió el requerimiento efectuado en la resolución de apercibimiento notificada al imputado en el plazo concedido al efecto. El hecho constatado de la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos al imputado en este procedimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 37.1.f). IV Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Respecto de la aplicación del artículo 45.5 considerando la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, en especial no puede obviarse que la conducta infractora se realizó por una persona jurídica no habituada al tratamiento de datos personales lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sancióncorrespondiente a una infracción leve. Por otro lado respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
18. a)la existencia de intencionalidad o reiteración,
19. b)la naturaleza de los perjuicios causados,
20. c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta que no se han adoptado las medidas correctoras requeridas, permiten que en este caso se considere procedente proponer la imposición de una sanción en la cuantía de 6.500 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HORTALEZA FITNESS, S.L., por una infracción del artículo 37.1.
21. f)de la LOPD, tipificada como grave en el artículo 44.3.
22. i)de dicha norma, una multa de 5.000 € (cinco mil euros) de conformidad con lo establecido en el artículo 45 .1.2.4 y .5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad HORTALEZA FITNESS, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es