PS-00159-2014

1/12 Procedimiento Nº PS/00159/2014 RESOLUCIÓN: R/01596/2014 En el procedimiento sancionador PS/00159/2014, instruido por la Agencia Española de Protección de Datos a la entidad XESTIÓN DO SOLO DE GALICIAXESTUR, S.A. (antes XESTUR PONTEVEDRA S.A.), vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de abril 2013, tuvo entrada en esta Agencia escrito de Don C.C.C. (en lo sucesivo el denunciante) en el que se ponen de manifiesto los siguientes hechos: En agosto de 2007, el denunciante suscribió un contrato de arrendamiento con la entidad XESTUR PONTEVEDRA SA, empresa pública dependiente de la Consejería de Vivienda e Solo de La Xunta de Galicia, según mandato representativo de la titular de la misma, contrato que fue resuelto el 31 de julio de 2012. El denunciante ha comprobado que realizando una búsqueda en Internet de sus datos de nombre y apellidos aparece la dirección B.B.B. donde se encuentra publicado información relacionada con el contrato suscrito con XESTUR PONTEVEDRA SA en el que figuran los datos personales del denunciante, así como el de otros particulares. Además en la información publicada se realizan comentarios relacionados con los contratos. Adjunto a la denuncia se ha aportado impresión de pantalla de la consulta realizada a la dirección A.A.A.. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de lo siguiente: 1. Con fecha 27 de mayo y 12 de noviembre de 2013, desde la Inspección de Datos se ha verificado que desde la dirección A.A.A. se accede a una publicación donde constan datos personales, entre ellos los datos del denunciante. Esta publicación coincide con la aportada por el denunciante. 2. Con fecha 3 de marzo de 2014, desde la Inspección de Datos se ha realizado el acceso a la dirección A.A.A. sin obtener constancia de la existencia de la publicación denunciada. Asimismo, realizando una búsqueda en Google del nombre y apellidos del denunciante no se ha obtenido constancia de una referencia a la web B.B.B.. 3. La Consejería de Vivienda y Suelo –Secretaria General – Xunta de Galicia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 consta en el Registro General de Protección de Datos como responsable del fichero denominado ARRENDATARIOS con código de inscripción ***COD.1 y con la finalidad de “Tramitar las solicitudes de incorporación al programa de alquiler y, en su caso, las solicitudes de subvención al arrendamiento establecidas en este y presentadas conforme a los establecido en su normativa con la finalidad de ayudar a las familias y unidades de convivencia con dificultades de acceso a viviendas”. 4. El dominio B.B.B. ha sido registrado por la empresa Do Daddy Operating Company, LLC. Tal y como consta en la documentación remitida por la DIRECCION XERAL DO INSTITUTO GALEGO DA VIVIENDA E SOLO - CONSEJERIA DE MEDIO AMBIENTE, TERRITORIO E INFRAESTRUCTURA – XUNTA DE GALICIA (en adelante IGVS) de fecha de registro de entrada a esta Agencia 17/01/2014: 5. IGVS manifiesta que, la extinta Consellería de Vivenda e Solo de la Xunta de Galicia puso en marcha un programa de fomento del alquiler de viviendas denominado Programa de Vivienda en Alquiler (en adelante, PVA), regulado por el Decreto 48/2006, de 23 de febrero, y por sus normas de desarrollo, en particular, por la orden de 22 de junio de 2006, modificada por la orden de 24 de abril de 2008, por la que se regula la gestión de las viviendas, el procedimiento de adjudicación y la concesión de subvenciones en el Programa de vivienda en alquiler (PVA). Este programa ha sido derogado por el Decreto 84/2010, de 27 de mayo. Actualmente las competencias y funciones en materia de vivienda corresponden a la Consellería de Medio Ambiente, Territorio e Infraestruturas. En dicho programa, propietarios privados cedían sus viviendas para su posterior arrendamiento. Las viviendas se adjudicaban a través de un procedimiento de selección reglado, entre las personas o unidades familiares previamente incorporadas al programa. La incorporación de las viviendas, tras la oportuna tramitación, se realizaba a través de la formalización de un contrato de mandato especial y representativo, con el objeto de que la entidad gestora pudiese tramitar la adjudicación de la vivienda, firmar y gestionar el contrato de arrendamiento, en nombre y representación del propietario. La gestión del PVA, como establecía su normativa reguladora, estaba encomendada a las sociedades públicas de gestión urbanística de las cuatro provincias gallegas, entre ellas, XESTUR PONTEVEDRA, SA. 6. Respecto de la publicación en el portal B.B.B. aportado por el denunciante, IGVS manifiesta que los datos se corresponden con la tipología de los códigos de expedientes del derogado PVA y por las anotaciones y las fechas que figuran no cabe duda que responden a un documento de trabajo de seguimiento de la situación y pasos dados en la gestión de determinadas incidencias surgidas en el seno de la relación arrendaticia realizadas por personal contratado por XESTUR PONTEVEDRA, SA. para la ejecución de la encomienda de gestión. IGVS ha aportado copia del contrato de arrendamiento suscrito entre el denunciante y XESTUR PONTEVEDRA SA, de fecha agosto de 2007 y copia del recibo emitido al denunciante por el contrato de arrendamiento de fecha agosto de 2007 emitido por Conselleria de Vivienda e Solo – Xunta de Galicia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 7. IGVS manifiesta que desconocen el motivo concreto de porque ha aparecido publicada dicha información en el sitio web B.B.B. y no pueden identificar a la persona que lo realizó, no obstante consideran que tiene que tratarse de una acción particular, que presumiblemente conllevó a un error en el tratamiento y manejo del archivo no a una incidencia de seguridad. 8. IGVS manifiesta que el departamento de Seguridad y Calidad de la Agencia de Modernización e Innovación Tecnológica de Galicia (AMTEGA), responsable en tema de seguridad de la Xunta de Galicia, ha iniciado las acciones correctoras necesarias encaminadas a la eliminación de dicho documento del sitio web. De hecho en el momento de la redacción de este informe, el portal en donde se ha publicado ( B.B.B.) ha confirmado que el documento ya no es accesible, si bien sigue indexado en algunos buscadores como Google. TERCERO: Con fecha 17 de marzo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a XESTIÓN DO SOLO DE GALICIA-XESTUR, S.A. (antes XESTUR PONTEVEDRA S.A.), por presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3.

1. b)y 44.3.
2. d)de dicha norma, pudiendo ser sancionada cada una, con multa de con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: También con fecha 17 de marzo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de infracción de las Administraciones públicas a la Consejería de Medio Ambiente, Territorio e Infraestructura de la Xunta de Galicia (Instituto Galego de Vivenda e Solo) por presunta infracción de los artículos 6.1 y 10 de la LOPD, tipificadas como graves en el artículo 44.3.
3. b)y 44.3.
4. d)de dicha norma QUINTO: Notificado el acuerdo de inicio, XESTIÓN DO SOLO DE GALICIA-XESTUR, S.A. (antes XESTUR PONTEVEDRA S.A.) mediante escrito de fecha 14 de abril de 2014, formuló alegaciones, en las que manifestó, básicamente, lo siguiente: - Que en el año 2006, la extinta Consellería de Vivenda e Solo de la Xunta de Galicia puso en marcha un programa de fomento de alquiler de viviendas denominado “Programa de viviendas en alquiler” (PVA), regulado por el Decreto 48/2006. La gestión del PVA, como establecía la normativa reguladora, estaba encomendada a las sociedades públicas de gestión urbanística de las cuatro provincias gallegas, entre ellas Xestur Pontevedra. Por Decreto 84/2010, de 27 de mayo, dicho programa quedó derogado y a partir de esa fecha la gestión del programa sería asumida por IGVS, dándose por finalizada la encomienda de gestión por parte de las sociedades públicas de gestión urbanística, entre ellas Xestur Pontevedra, el 31 de marzo de 2010. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 En la fecha de la denuncia e incorporación a pruebas, Xestur Pontevedra no realizaba ningún tratamiento de datos de las personas incorporadas a dicho programa, ni conservaba dato alguno sobre las mismas. - Responsabilidad subsidiaria: Subsidiariamente, en caso de no atender las anteriores alegaciones, se considera necesaria la graduación de la sanción en su cuantía mínima o bien la aplicación del apercibimiento como medida no sancionadora por los siguientes hechos: - Respecto a la posible infracción del artículo 10 de la LOPD: En el año 2006, Xestur Pontevedra inscribió en el RGPD de la AEPD el fichero “Programa Alquiler-Xestur Pontevedra”. Para el desarrollo de su gestión, Xestur procedió a la contratación de personal para las oficinas donde se puso en funcionamiento el PVA y entregó a dicho personal las cláusulas de confidencialidad que aparecían anexas a sus contratos laborales, donde se informaba de dicho deber. En las cláusulas se establecía la obligación de guardar el secreto profesional respecto de la información confidencial a que hubiese tenido acceso durante el desempeño de sus funciones. En todo caso, Xestur Pontevedra, como responsable del fichero, no vulneró el deber de secreto, ya que adoptó las medidas técnicas y organizativas necesarias para garantizar la seguridad de sus datos. - Respecto a la posible infracción del artículo 6.1 de la LOPD: Que en el año 2007, Xestur Pontevedra y el denunciante firmaron un contrato de arrendamiento, otorgando el consentimiento expreso a que sus datos puedan ser tratados automáticamente. - Solicita que, como medida sancionadora, se proceda a apercibir a dicha entidad, en lugar del procedimiento sancionador, al no haber sido sancionado ni apercibido con anterioridad. En su defecto, solicita la aplicación del 45.5 por la conducta diligente, dado que la entidad tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal. Por todo ello, solicitó que se proceda al sobreseimiento y archivo del expediente y, subsidiariamente que se proceda a la modulación de la sanción o bien al apercibimiento. SEXTO: Con fecha 21 de abril de 2014, se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante XESTUR PONTEVEDRA S.A. (en la actualidad Xestión do Solo de Galicia-Xestur, S.A.), y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03601/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00159/2014 presentadas por Xestión do Solo de Galicia-Xestur, S.A., y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 3 de julio de 2014, se formuló propuesta de resolución, proponiendo el Archivo del presente procedimiento sancionador. La entidad XESTIÓN DO SOLO DE GALICIA-XESTUR, S.A. (antes XESTUR PONTEVEDRA S.A.) no ha realizado alegaciones frente a la citada propuesta de resolución dentro del plazo establecido. HECHOS PROBADOS PRIMERO: Con fecha 2 de agosto de 2007, el denunciante Don C.C.C. suscribió un contrato de arrendamiento con la entidad XESTUR PONTEVEDRA, S.A. (folios 4-14). El denunciante manifiesta que dicho contrato resuelto por la parte contratante el 31 de julio de 2012 (folio 1) SEGUNDO: XESTUR PONTEVEDRA, S.A., era una empresa pública dependiente de la Consejería de Vivienda e Solo de La Xunta de Galicia. En el año 2006, la extinta Consellería de Vivenda e Solo de la Xunta de Galicia puso en marcha un programa de fomento de alquiler de viviendas denominado “Programa de viviendas en alquiler” (PVA), regulado por el Decreto 48/2006. La gestión del PVA, como establecía la normativa reguladora, estaba encomendada a las sociedades públicas de gestión urbanística de las cuatro provincias gallegas, entre ellas Xestur Pontevedra. Por Decreto 84/2010, de 27 de mayo, dicho programa quedó derogado y a partir de esa fecha la gestión del programa sería asumida por IGVS, dándose por finalizada la encomienda de gestión por parte de las sociedades públicas de gestión urbanística, entre ellas Xestur Pontevedra, el 31 de marzo de 2010. Con fecha 23 de diciembre de 2013, Xestur Pontevedra se disolvió y se fusionó a la nueva entidad XESTIÓN DO SOLO DE GALICIA-XESTUR, S.A. (folios 110-111) TERCERO: XESTUR PONTEVEDRA, S.A., es responsable del fichero “Programa Alquiler-Xestur Pontevedra”, inscrito en el Registro General de Protección de Datos con fecha 12 de enero de 2007 (folio 114) CUARTO: Por su parte, la Consejería de Vivienda y Suelo –Secretaria General – Xunta de Galicia consta en el Registro General de Protección de Datos como responsable del fichero denominado “ARRENDATARIOS” con código de inscripción ***COD.1 y con la finalidad de “Tramitar las solicitudes de incorporación al programa de alquiler y, en su caso, las solicitudes de subvención al arrendamiento establecidas en este y presentadas conforme a los establecido en su normativa con la finalidad de ayudar a las familias y unidades de convivencia con dificultades de acceso a viviendas” (folios 65-69). QUINTO: El denunciante ha denunciado que, realizando una búsqueda en Internet de sus datos de nombre y apellidos, ha comprobado que aparece la dirección B.B.B. donde se encuentra publicada información relacionada con el contrato suscrito con XESTUR PONTEVEDRA SA en la que figuran los datos personales del denunciante, así como los de otros contratos de particulares (folio 1) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 SEXTO: La información publicada parece una tabla Excel con comentarios relativos a asuntos relacionados con la gestión de cada contrato. Dicha información es la siguiente: - Número de contrato y fecha de firma - Nombre y apellidos de los titulares - Información y comentarios relacionados con los recibos (por ejemplo: “mantenimiento de Gas en Fra”) - Seguimiento (por ejemplo: “vino la propietaria por la oficina …como le tiene miedo no quiere tener contacto con él”) - Estado (por ejemplo: “compruebo que la partida que me dice la propietaria es la misma…”) (folios 15-17). SÉPTIMO: Con fechas 27 de mayo y 12 de noviembre de 2013, desde la Inspección de Datos se verificó que desde la dirección A.A.A. se accedía a una publicación donde constan datos personales, entre ellos los datos del denunciante. Esta publicación coincide con la aportada por el denunciante (folios 18-24 y 31-38). Con fecha 3 de marzo de 2014, desde la Inspección de Datos se comprobó que dicha publicación ya no se encontraba activa (folios 70-73). OCTAVO: La Inspección de Datos ha constatado que el dominio B.B.B. ha sido registrado por la empresa Do Daddy Operating Company, LLC. (folios 26-30 y 100). Sin embargo, no ha sido posible determinar el responsable de haber subido dicha información al portal B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
6. a)que define los datos de carácter personal como: “Cualquier información concerniente a personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
7. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
8. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
9. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” IV Por lo que respecta a las infracciones imputadas a XESTIÓN DO SOLO DE GALICIA-XESTUR (antes Xestur Pontevedra, S.A.), el artículo 6 de la LOPD, recoge: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”; En segundo lugar, el artículo 10 de la LOPD dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. El Tribunal Superior de Justicia de Madrid, en su sentencia de 16 de octubre de 2001, reitera que “el TC en su Sentencia 76/1990, de 26 de abril, nos recuerda que, aún sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho; manifestando la STC 246/1991, de 19 de diciembre, que es inadmisible en el ámbito del derecho administrativo sancionador una responsabilidad sin culpa. La Ley 30/92 ha pretendido regular la cuestión en su artículo 130.1 al consagrar el principio de responsabilidad como uno de los informadores del ejercicio de la potestad sancionadora, estableciendo que “sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia”; el último inciso “aún a título de simple inobservancia” no es muy preciso puesto que pudiera pensarse que consagra una responsabilidad objetiva sin dolo o culpa del sujeto, por lo que deberá interpretarse conforme a la doctrina aludida, así como señala la más reciente jurisprudencia del Tribunal Supremo (SS 16 y 22 de abril de 1991 y 5 de febrero de 1992) uno de los principales componentes de la infracción administrativa es el elemento culpabilista, del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.- Probablemente, el legislador de la Ley 30/92 haya pretendido aludir a que serán sancionables las infracciones meramente formales, aunque no produzcan un resultado dañosos al interés público e, igualmente, que será incriminable la culpa inconsciente o sin representación, atendiendo al aspecto normativo de la culpabilidad según el cual puede reprocharse no haber previsto lo que se podía y debía prever.” Consiguientemente, aún en el supuesto en que se hubiera padecido algún tipo de error, el mismo constituiría una falta de diligencia plenamente imputable a la entidad sancionada, con claro incumplimiento del artículo 10 (...) tipificado correctamente y sancionado como falta grave (...).” En el presente caso, partimos del hecho constatado de que, en la fecha de la denuncia y al menos hasta el 12 de noviembre de 2013, se encontraba publicada en la dirección de Internet D.D.D., información relacionada con el contrato suscrito por el denunciante con Xestur Pontevedra, S.A. en la que figuran sus datos personales así como los de otros particulares. La información publicada parece una tabla Excel con comentarios relativos a asuntos relacionados con la gestión de cada contrato. Dicha información es la siguiente: Número de contrato y fecha de firma; Nombre y apellidos de los titulares; Información y comentarios relacionados con los recibos (por ejemplo: “mantenimiento de Gas en Fra”); Seguimiento (por ejemplo: “vino la propietaria por la oficina …como le tiene miedo no quiere tener contacto con él”)); Estado (por ejemplo: “compruebo que la partida que me dice la propietaria es la misma…”) (Hechos Probados Quinto a Séptimo). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Asimismo, consta acreditado que el dominio B.B.B. ha sido registrado por la empresa Do Daddy Operating Company, LLC. Sin embargo, no ha sido posible determinar el responsable de haber subido dicha información al portal B.B.B.. (Hecho Probado Octavo) Por tanto, no ha quedado acreditada con suficiente certeza la autoría de los hechos, ya que los datos personales del denunciante, entre otros, asociados a información relativa a la gestión de unos contratos de arrendamiento, podrían haber sido subidos al portal de Internet B.B.B., por Xestur Pontevedra, S.A. o por la Consejería de Vivienda y Suelo de la Xunta de Galicia o por cualquier otro trabajador o interviniente – incluidos los propios contratantes- que no hubiera hecho un uso correcto de los datos personales de incluidos en dichos contratos. V En el presente caso, en el que se denuncia el tratamiento de los datos sin consentimiento y la posible vulneración del deber de secreto por parte de Xestur Pontevedra, S.A., por haber facilitado a terceros datos relativos a una contratación por parte del denunciante y otros particulares haciendo mención expresa a los datos personales del denunciante, no consta acreditada la autoría, de modo que no existe prueba suficiente que permita a esta Agencia imputar una posible vulneración del artículo 10 de la LOPD ni al citado contratación por parte Xestur Pontevedra, S.A., ni por la Consejería de Vivienda y Suelo de la Xunta de Galicia ni a ninguna otra persona física o jurídica. No puede obviarse que al Derecho administrativo sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia e “in dubio pro reo” en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Asimismo, el mismo Tribunal Constitucional, en Sentencia 44/1989, de 20/02, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya practicado una mínima prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por otra parte, la Audiencia Nacional ha señalado, en su Sentencia de fecha 25/05/2001, dictada en el recurso contencioso administrativo nº 29/2000, interpuesto contra una resolución de esta Agencia, que “queda probado, y admitido por las partes, que el Banco sancionado emitió un extracto y que el mismo coincide con el presentado por D..., ex esposo de la denunciante y titular de la cuenta, Dña... Ahora bien la resolución no sanciona, ni puede sancionar, al Banco por apreciarse tal coincidencia sino porque ha considerado que aquel extracto fue entregado por personal del Banco a una persona que no era en ese momento titular de la cuenta corriente, vulnerando de este modo su deber de guardar secreto sobre los datos del correspondiente fichero automatizado. En este sentido, es cierto que la lectura de la resolución sancionadora, y de la desestimatoria del recurso de reposición, deja bien a las claras que la administración está sancionando precisamente el hecho de la entrega por parte del Banco al Sr... de un extracto de cuenta corriente de la que es titular su ex esposa, y ningún tipo de indefensión se ha producido cuando vemos la actuación del hoy actor en defensa de sus intereses; mas dando por buena la integración de los hechos probados, la Sala, como pasamos a razonar, de la valoración de la prueba obrante en el expediente administrativo llega a la conclusión que no ha quedado debidamente acreditado este hecho integrador del tipo, es decir no se prueba que el Banco entregara al Sr... el respectivo extracto, suscitándole este hecho concreto serias dudas, frente a la exigible certidumbre”. Y concluye afirmando que “sin negar que pudieron producirse los hechos como indica la denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera entregado al marido por el Banco, sino que aquel lo obtuviera aprovechando alguna visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de pura hipótesis”. En este mismo sentido se pronunció el Tribunal Superior de Justicia de Madrid en sentencia de 21/02/2001, en la que señala que “La única prueba de cargo, de la que la APD infiere la responsabilidad de la recurrente, es el hecho de que fuera el ex marido de Dña... quien suministrara al abogado dicho extracto que fue aportado al incidente de modificación de medidas, debiendo convenirse con la recurrente que la tenencia del extracto, a juicio de esta Sala, es una prueba indiciaria insuficiente para destruir su presunción de inocencia pues, ciertamente, dicho extracto pudo llegar a la posesión de D... por conductos distintos de su entrega directa por parte de la entidad bancaria, por lo que no quedando acreditada ninguna de estas hipótesis, esta duda razonable acerca de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 la forma en la que el ex marido obtuvo el extracto de la cuenta de la denunciante ha de operar siempre en beneficio de la sancionada, procediendo, en consecuencia, estimar su pretensión de anulación de la sanción impuesta por falta de prueba bastante de la participación de la recurrente en la entrega del extracto bancario a persona distinta de la titular de la cuenta”. VI Como conclusión, de las actuaciones realizadas por parte de la Inspección de Datos y del presente procedimiento en relación a los hechos denunciados y, en atención a lo expuesto, no se ha podido acreditar que los datos que dan soporte a la información difundida hayan sido facilitados por persona o personas claramente identificables, frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, debe concluirse que no existe prueba de cargo suficiente, por lo que procede acordar en archivo del presente expediente. No olvidemos que los datos personales del denunciante, entre otros, no sólo obraron en poder de Xestur Pontevedra sino también de otras autoridades administrativas e, incluso, de cualquier otro trabajador o interviniente – incluidos los propios contratantes- que no hubiera hecho un uso correcto de los datos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del presente procedimiento. SEGUNDO: NOTIFICAR la presente resolución a XESTIÓN DO SOLO DE GALICIAXESTUR, S.A. (antes XESTUR PONTEVEDRA S.A.) y a Don C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es