PS-00153-2015

1/11 Procedimiento Nº PS/00153/2015 RESOLUCIÓN: R/02432/2015 En el procedimiento sancionador PS/00153/2015, instruido por la Agencia Española de Protección de Datos a la entidad COMMCENTER SA, vista la denuncia presentada por D. B.B.B., y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha 1/4/14 tiene entrada en esta Agencia denuncia presentada por D. B.B.B., en la que pone de manifiesto que han adquirido dos móviles, suministrados por la entidad denunciada, uno de los cuales almacenaba contactos y mensajes de otro usuario: SEGUNDO: Con fecha 30/3/15, por el Director de la Agencia, se acordó la apertura del presente procedimiento sancionador a COMMCENTER SA, por la presunta infracción del art. 10 de la LOPD. TERCERO: El Acuerdo de inicio de notificó al denunciante con fecha 6/4/15. Solicitándose por la entidad denunciada la aportación de la prueba documental dado que en ningún momento pudieron tener acceso a los terminales. CUARTO: Con fecha 18/6/15 se remitió a COMMCENTER SA copia de los documentos que forman parte del expediente PS/153/15. QUINTO: Por COMMCENTER SA se remitió, con fecha 14/7/15 las siguientes alegaciones: “Que acepta cambios y devoluciones en el plazo de 14 días naturales desde la fecha de venta y para ello cuenta con un protocolo de recogida de terminales, que contempla cuestiones necesarias tales como el perfecto estado físico del producto devuelto y la no existencia de información de ningún tipo en el software de los teléfonos. Además, y en todos los casos, se procede a la posterior revisión del terminal recogido y a su reseteo antes de poder ponerlo a disposición de un nuevo cliente” SEXTO: Mediante diligencia del instructor del procedimiento se ha dado por reproducidos a efectos probatorios la denuncia interpuesta por D. B.B.B. y su documentación, y las alegaciones al acuerdo de inicio PS/00153/2015 presentadas por COMMCENTER SA, y la documentación que a ellas acompaña. SEXTO: Con fecha 31/8/15 se dictó la siguiente Propuesta de Resolución: <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a COMMCENTER SA, con multa de 6.000 € (seis mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma. >>>>> HECHOS PROBADOS 1º Consta denuncia presentada por D. B.B.B. en el que manifiesta lo siguiente: <<<<< * Que el día 20 de febrero de 2014 hicimos un traslado de nuestras líneas móviles que teníamos con Orange a Movistar. Para así tener centralizadas en una sola C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 compañía todas nuestras líneas móviles, fijas y ADSL. * Que dicha operación la hicimos con un centro Movistar llamado “Comm Center”, centro n2 200 y cuyos contratos adjunto. * En esta operación, se nos había ofrecido la entrega de dos terminales, a coste cero, y que en el momento de la firma nos entregan. Hasta aquí todo correcto. El problema empieza al empezar a usar nuestros móviles “nuevos” y darnos cuenta que no eran nuevos porque en su interior se almacenaban contactos y mensajes de otro usuario con fechas de octubre del año 2013. Esto no nos lo esperábamos y al comunicárselo al nuestro distribuidor este reacciona diciendo que eso no es posible pero que nos cambiará los terminales. Pasan los días y nadie nos dice nada, a pesar de que llamamos para ver que pasaba. * Entretanto también llamamos al 900****** exponiendo lo que pasaba y aunque nos decían siempre que eso era muy grave y que el distribuidor nos lo tenía que arreglar...nadie hizo nada. * También pusimos una reclamación por internet al Servicio de Defensa del cliente el día 4 de Marzo. Con el nª de código de reclamación: ***NÚMERO.1 pero hasta la fecha no hemos recibido ninguna contestación. (adjunto documento) * Pasados más de quince días el distribuidor nos llama para sustituirnos los terminales, pero como sus formas no son las adecuadas le digo que tiene que traerme una carta firmada disculpándose por escrito de lo que ha pasado. Viene a vernos pero dice que de darnos unas disculpas por escrito ni hablar ya que esto es una cosa que puede pasar y que no tiene por qué disculparse. Ante esto decidimos no coger los terminales y decirle que se fuera. Y esta es la situación a día de hoy, hemos vuelto a llamar al 900****** y a pesar de que TODAS las personas que nos atienden dicen que esto es una cosa que no puede suceder y que hablarán de nuevo con el distribuidor nadie soluciona nada. * También hay otro hecho que no sé cómo calificarlo, lo dejo a su criterio: Según nuestro contrato, nos adjudican dos terminales, cada uno en su caja con su g de IMEI, pues bien, nos encontramos que uno de ellos, tiene un lMEl distinto al que viene en la caja. La situación pues es la siguiente Los terminales que en contrato tienen dos IMEI A.A.A. * Esto es lo que figura en el contrato y en las cajas, pero los terminales tienen los siguientes IMEI A.A.A., éste está bien aunque contiene datos de otro cliente C.C.C. éste también tiene datos, pero además no coincide con la caja ni con el contrato. * Dado que, el terminal con nº de IMEI A.A.A. contiene datos de otro cliente anterior, ( mensajes, toda la agenda de contactos etc), decidimos poner estos hechos en conocimiento de la Agencia de Protección de Datos por si estos hechos pueden vulnerar la Ley de Protección de Datos 2º Constan las siguientes alegaciones realizadas por COMMCENTER SA en relación a los hechos denunciados “Que acepta cambios y devoluciones en el plazo de 14 días naturales desde la fecha de venta y para ello cuenta con un protocolo de recogida de terminales, que contempla cuestiones necesarias tales como el perfecto estado físico del producto devuelto y la no existencia de información de ningún tipo en el software de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 los teléfonos. Además, y en todos los casos, se procede a la posterior revisión del terminal recogido y a su reseteo antes de poder ponerlo a disposición de un nuevo cliente.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Se inició el presente procedimiento sancionador, de acuerdo a lo dispuesto en el art. 126 del RLOPD, al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, dichos indicios derivan de la entrega al denunciante de dos terminales móviles que contienen mensajes, agenda de contactos, de otro usuario, lo que podría suponer, salvo prueba en contrario, una vulneración del deber de guardar secreto de quienes tratan datos personales. Dicho deber de secreto pretende que los datos personales no puedan conocerse por terceros salvo en los supuestos contemplados en la ley. Se comunicaba así mismo que dichos hechos podrían suponer una vulneración del artículo 10 de la LOPD, cuya infracción está tipificada como grave en el artículo 44.3.d de la citada Ley Orgánica. III Debe tenerse en cuenta que al ser en la propuesta de resolución, en base a lo establecido en el art. 18 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora (RD 1398/93), donde se determinan la posible calificación de los hechos, es necesario analizar si se ha producido, así mismo, una vulneración del art. 9 de la LOPD por parte de la entidad denunciada. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
2. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
3. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
4. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
6. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
7. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
8. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
9. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
10. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. IV Partiendo de tales premisas, procede analizar a continuación las previsiones contenidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, para garantizar la seguridad de los datos personales y, en concreto, que no se produzcan accesos no autorizados. De acuerdo con lo establecido en dicho Reglamento, las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 92 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con acceso a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. Y el citado artículo 92 del Reglamento establece: Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. En definitiva, se deduce que COMMCENTER SA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado en el procedimiento, que la entidad denunciada incumplió estas obligaciones, en lo relativo a la supresión de datos personales de una persona identificable en una teléfóno móvil vendido al denunciante que pudo así tener acceso a los mismos. En consecuencia, en este caso, resulta que COMMCENTER SA no había garantizado la seguridad de los datos personales contenidos en el Smartphone garantizando, en concreto, el borrado de los mismo antes de ser adquirido por otra persona lo que supone la comisión de una infracción del artículo 9.1 de la LOPD, En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 mismas se cumplan y se ejecuten con rigor”. V En segundo lugar, los hechos denunciados podrían suponer una vulneración del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que COMMCENTER SA vulneró este deber de confidencialidad en relación con los datos personales contenidos en el software de Smartphone puesto a la venta, información que no puede ser facilitada a terceros, salvo consentimiento de los afectados. Por tanto, queda acreditado que por parte de dicha entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los afectados. VI Los hechos constatados, constituyen una base fáctica para fundamentar la imputación a COMMCENTER SA las infracciones de los artículos 9 y 10 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción prevista para la infracción más grave. En este caso las dos infracciones se tipifican como graves, por lo que corresponde considerar únicamente la infracción del artículo 9 de la LOPD. VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Las alegaciones realizadas, y en especial que el adquiriente de un Smartphone dispone de 14 días naturales desde la fecha de venta para la devolución del terminal, contando con un protocolo que se aplica a cuestiones tales como al estado físico del producto devuelto y la no existencia de información de ningún tipo en el software de los teléfonos, no acreditan que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. En relación a los hechos acreditados y su valoración jurídica, debe tenerse en cuanta, en primer lugar, lo establecido en el art. 45.5, que trata de hacer efectivo hasta sus últimas consecuencias el principio de proporcionalidad, mediante la aplicación de la sanción correspondiente relativa a la escala inferior y ello cuando se aprecie disminución de la culpabilidad del imputado o de la antijuricidad del hecho. Estos dos criterios no son sino criterios jurídicos indeterminados que deben concretarse en cada supuesto en el que se pretenda su aplicación. Debe tenerse en cuenta la interpretación establecida la Audiencia Nacional, en sus Sentencias, entre otras, de 24/05/2002 y 16/02/2005, “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos.” Valorando la aplicación de dichas circunstancias al presente caso, que puede apreciarse una cualificada disminución de la culpabilidad del imputado como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 5, por lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 que debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad; aplicadas ya por esta Agencia, en otros procedimientos relativos a incumplimiento de las medidas de seguridad. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre). Pues bien la secuencia de hechos expuesta en esta resolución, deben aplicarse los siguientes criterios para fijar la sanción:
26. a)El carácter continuado de la infracción. (En este caso se trata de un hecho puntual)
27. d)El volumen de negocio o actividad del infractor.
28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. f)El grado de intencionalidad.
30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, Teniendo en cuenta los hechos probados a lo largo de este procedimiento, las alegaciones presentadas por el denunciado y los criterios definidos por la legislación con objeto de adecuar la sanción, entre los que se debe valorar el volumen de negocio de COMMCENTER SA, en base al principio de proporcionalidad, se considera procedente, en este caso, imponer una sanción en 6.000 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad COMMCENTER SA, por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de la LOPD, una multa 6.000 de conformidad con lo establecido en el artículo 45.5 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a COMMCENTER SA, y a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es