PS-00178-2014

1/12 Procedimiento Nº PS/00178/2014 RESOLUCIÓN: R/01234/2014 En el procedimiento sancionador PS/00178/2014, instruido por la Agencia Española de Protección de Datos a la entidad MPAGOSX, S.L., MPAGOSXSL, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de junio de 2013 tiene entrada en esta Agencia un escrito de doña A.A.A. en el que expone las dificultades halladas para lograr la cancelación de su nombre y apellidos asociados al sitio web www........... Según expone, al buscar su nombre y apellidos en Google obtiene como resultado un enlace a una página de este sitio web, del que nunca ha sido usuaria, con contenido pornográfico, siendo su voluntad que la Agencia interceda para lograr la cancelación de sus datos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MPAGOSX, S.L., teniendo conocimiento de que: 1. Por la Inspección se verificó en fecha 6 de junio de 2013 que al buscar el nombre y apellidos de la denunciante en Google se obtenía una página de resultados en la que los primeros seis resultados tenían como título dicho nombre y la etiqueta “Videos porno gratis en .........”. El resumen (snippet) de cada resultado tenía el siguiente literal: “Se encontraron videos porno para la búsqueda [nombre y apellidos de la denunciante]”, junto al título de varios videos. Se comprobó asimismo que en todos esos casos las páginas web enlazadas eran páginas de resultados del buscador interno del sitio web (con direcciones web del tipo www........../buscador/...) que mostraban, cada una de ellas, 16 videos cuyo título contenía el nombre de pila de la denunciante. Se verificó asimismo que en el sitio web resultaba accesible una función que permitía acceder a las últimas búsquedas realizadas por otros usuarios, a través de direcciones del tipo www........../latest_searches/... 2. Por la Inspección se comprobó en fecha 11 de junio que al realizar búsquedas en Google de distintos nombres de pila o de apellidos comunes, restringiendo los resultados al sitio web www.......... (con el parámetro “site:.........”), se obtenían en la primera página de resultados enlaces a páginas de videos pornográficos del sitio web, junto con resúmenes que, en algunos casos, incluían, junto al nombre o apellido buscado, otros apellidos y nombres que no se habían incluido entre los criterios de búsqueda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 3. En fechas 11 de junio, 18 de julio y 16 de septiembre, por la Inspección se remitieron sendos requerimientos de información al domicilio social de la compañía propietaria, MPAGOSX, S.L., que figuraba en el documento Términos y condiciones, accesible a través del sitio web. Los tres requerimientos fueron devueltos por el servicio de correos, con la anotación “ausente reparto”. 4. En fechas 11 de octubre y 13 de noviembre por la Inspección se practicó un nuevo requerimiento a otro domicilio de la compañía en la localidad de Sant Just Desvern. En respuesta a estos requerimientos, la compañía MPAGOSX, S.L. ha declarado lo siguiente: <<La circunstancia que justifica la conservación y difusión de los términos de búsqueda utilizados por los usuarios mediante direcciones del tipo http://www........../buscador/AAA.html es simple, muy lógica y razonable a nivel comercial: mediante la conservación de los términos de búsqueda de los usuarios mediante URL5 como las antes reseñadas se consigue posicionar la web en los índices de los buscadores mediante los términos más buscados en la web, de modo que los potenciales usuarios del sitio web puedan encontrarlo con facilidad cuando busquen las mismas categorías de contenido que los usuarios anteriores habían buscado. Poniendo un símil, sería equivalente al tendero que, viendo que muchos clientes le preguntan por un vestido concreto, decide colocar dicho vestido en el escaparate a los efectos de conseguir atraer a un mayor público. Es reseñable que el almacenamiento de URLs con dicha estructura se produce con independencia de que la búsqueda produzca o no resultados. El funcionamiento del sistema es similar a Google Suggest de tal modo que si un número suficientemente elevado de personas buscaran unos términos concretos, Google muy probablemente produciría sugerencias mediante dicho sistema en el momento en que un nuevo usuario comenzara a teclear dichos términos concretos, y mostraría los resultados para tal búsqueda con independencia del número de resultados disponibles. Del mismo modo, y suponiendo siempre un número suficientemente elevado de búsquedas colocaría la cadena de texto buscada entre los términos más buscados en su web http://www.google.es......... con independencia del número de resultados producidos. No obstante lo expuesto, el motor de búsqueda de la web y la indexación de los contenidos de búsquedas anteriores, está ideado para facilitar la indexación de las categorías de videos más buscados en la web ......... y en ningún caso para la recogida, el almacenamiento o difusión de datos personales. Por todo lo expuesto, es evidente que la empresa no almacena ningún conjunto estructurado y organizado de datos de carácter personal sino un mero conjunto de términos de búsqueda por lo que no puede entenderse en ningún caso que el conjunto de dichos términos constituyan un fichero de datos de carácter personal según la definición obrante en el artículo 3 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter personal. Dicho esto, si tales términos de búsqueda contienen eventual e incidentalmente algún dato personal, dicho dato no confiere en modo alguno el carácter de “organizado” al fichero en su conjunto y, en todo caso, son aportados por los usuarios de la web en cuanto realizan búsquedas sin intervención de MPAGOSX, y que MPAGOSX no dispone ni puede disponer de ningún medio que le permita restringir efectivamente las búsquedas que puedan realizarse de modo que el buscador interno del sitio web no procese ninguna búsqueda cuando en el campo de texto del buscador aparezca cualquier dato que pueda considerarse potencialmente personal. Exigir lo contrario nos llevaría a la conclusión ilógica y desproporcionada de que no pueden existir los motores de búsqueda en internet porque alguien puede introducir un dato personal. […] A mayor abundamiento, se expone que, por razones técnicas y de automatización de procesos, APIs, etc., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 todos los buscadores existentes en el mercado disponen de un método de búsqueda que permite ejecutar las búsquedas pasando las términos de búsqueda mediante las propias direcciones URL de un modo esencialmente análogo al utilizado por MPAGOSX en su sitio web www...........>> 5. MPAGOSX, S.L. ha informado a la Agencia de las iniciativas llevadas a cabo para minimizar los efectos colaterales del funcionamiento de su sitio web. En particular, la modificación de los términos y condiciones contractuales del sitio web, la revisión de los datos de anteriores búsquedas ya almacenados a los efectos de eliminar cualquier dato que potencialmente pueda referirse a personas físicas identificadas o identificables y la implementación de un procedimiento sencillo mediante el cual, ante cualquier eventualidad de almacenamiento incidental de datos personales, a causa de la vulneración por cualquier usuario de dichos términos y condiciones, el afectado pueda ponerlo en conocimiento de la compañía (mediante un buzón electrónico) a los efectos de proceder a su inmediata eliminación. 6. No se ha detallado, sin embargo, la implantación, por la compañía responsable, de ningún procedimiento preventivo que, considerando la especial sensibilidad de los contenidos que ofrece el sitio web www.........., evite la indexación, por los motores de búsqueda, de esos contenidos asociados a los datos de carácter personal que eventualmente pudieran incluir los usuarios en las búsquedas que realizan a través del buscador interno del sitio web. 7. La denunciante ha aportado a la Agencia la solicitud de cancelación que remitió por correo certificado al único domicilio de MPAGOSX, S.L. indicado en el sitio web, la cual le fue devuelta por el servicio de correos al no lograrse su notificación. La solicitud fue remitida el 7 de mayo de 2013, cinco meses antes de que el requerimiento de la Inspección pudiera ser notificado, el 17 de octubre, a la compañía propietaria del sitio web, a un domicilio que no constaba publicado en el sitio web www........... A este respecto se ha verificado que en la actualidad en el sitio web http://www........../terminos-y-condiciones.html, para ejercitar los derechos ARCO, sí se designa una dirección electrónica de contacto: .....@gmail.com y el mismo domicilio donde finalmente logró notificarse el requerimiento de la Inspección: (C/............1). 8. Por la Inspección se ha verificado, en fecha 10 de enero de 2014, que al buscar el nombre y apellidos de la denunciante en Google ya no se obtenían resultados vinculados con el sitio web www........... TERCERO: Con fecha 25 de marzo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MPAGOSX, S.L con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RDLOPD en adelante), por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

1. b)de la citada Ley Orgánica. CUARTO: En fecha 08/04/2014 se intentó a través de la Sociedad Estatal de Correos y Telégrafos, la notificación del citado Acuerdo de Iniciación, en el último domicilio conocido de MPAGOSX, S.L. , que recogió la última notificación practicada por esta Agencia en fecha de 20/11/2013 sito en la (C/............1)- Barcelona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12  En fecha de 10/05/2014 la notificación el Acuerdo de Inicio se publicó en el B.O.E núm. 114; Sec. V-B Pág. 21921.  En fecha 22/05/2014 tuvo entrada en esta Agencia una diligencia del Ayuntamiento de Barcelona en el que se hace constar que el citado Acuerdo de Inicio estuvo expuesto en el tablón de anuncios desde el día 30/04/2014 al 20/05/2014. QUINTO: Con fecha de 22/05/2014 el Instructor del procedimiento incorporó como prueba documental la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MPAGOSX, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03458/2013. SEXTO: En fecha de 02/06/2014 el Instructor del procedimiento practico diligencias consistentes en: 1. Búsqueda en Google con los términos A.A.A.. 2. Búsqueda en Google en el dominio de ......... 3. Búsqueda en el buscador alojado en www.......... con los términos A.A.A. se adjunta impresión de pantalla de los resultados. SEPTIMO: En fecha de 24/06/2014 el Instructor del procedimiento emitió Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a MPAGOSX, S.L. con multa de 6.000 € (seis mil euros) por la infracción de los artículos 6 de la LOPD, tipificada como grave en el artículo 44.3
2. b)de dicha norma. OCTAVO: la Propuesta de Resolución fue enviada a notificar al último domicilio conocido de MPAGOSX, S.L., sito en la (C/............1)- Barcelona con resultado “desconocido” y al domicilio social de la entidad que consta en el Registro Mercantil Central, en (C/............2)- Barcelona, con resultado “ausente en reparto”. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Resulta acreditado que en fecha de 30/05/2013 al introducir en el buscador Google como termino de búsqueda los datos personales de la denunciante, se mostraba como resultado unos enlaces bajo el dominio www.......... donde constaban su nombre y apellidos. DOS.- Por la Inspección se verificó en fecha 6/06/2013 que al buscar el nombre y apellidos de la denunciante en Google se obtenía una página de resultados en la que los primeros seis resultados tenían como título dicho nombre y la etiqueta “Videos porno gratis en .........”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 TRES.- Las páginas web enlazadas eran páginas de resultados del buscador interno del sitio web (con direcciones web del tipo www........../buscador/...) que mostraban, cada una de ellas, 16 videos cuyo título contenía el nombre de pila de la denunciante. CUATRO.- En el sitio web resultaba accesible una función que permitía acceder a las últimas búsquedas realizadas por otros usuarios, a través de direcciones del tipo www........../latest_searches/... CINCO.- En fecha de 11/06/2013 al realizar búsquedas en Google de distintos nombres de pila o de apellidos comunes, restringiendo los resultados al sitio web www.......... (con el parámetro “site:.........”), se obtenían en la primera página de resultados enlaces a páginas de videos pornográficos del sitio web, junto con resúmenes que, en algunos casos, incluían, junto al nombre o apellido buscado, otros apellidos y nombres que no se habían incluido entre los criterios de búsqueda. SEIS.- En fecha de 02/06/2014 se realizó una búsqueda en google con los términos coincidentes con los datos personales de al denunciante, teniendo como resultado enlaces que ya no correspondían al dominio www........... Asimismo se realizo una búsqueda restringida al dominio ......... con los datos personales de la denunciante y se obtuvo un resultado al que no era posible acceder al haber configurado un archivo robot.txt. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 59.5 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones: “ Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien, intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de anuncios en el tablón de edictos del Ayuntamiento en su último domicilio, en el Boletín Oficial del Estado, de la Comunidad Autónoma o de la Provincia, según cual sea la Administración de la que se proceda el acto a notificar, y el ámbito territorial del órgano que lo dictó.” En el presente caso, se han observado las prescripciones legales citada ut supra, tal como se ha señalado en el Antecedente Cuarto y Octavo de la presente Resolución. III En el artículo 3 de la LOPD se establecen las definiciones de elementos a analizar en el caso planteado. En cuanto al concepto de dato personal, el apartado
4. a)establece que se consideran datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables. En el presente caso, estamos el tratamiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 nombre y apellidos de la denunciante, por lo que se ha de considerar dato personal. En cuanto al concepto de tratamiento, el apartado
5. c)considera como tal “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Asimismo en cuanto al concepto de tratamiento de datos personales que se realiza a través de buscadores en internet hay que acudir a la reciente Sentencia de 13/05/2014 del Tribunal de Justicia de la Unión Europea en el Asunto C-131/12 ( en adelante la STJUE), donde señala que: (…)Por consiguiente, debe declararse que, al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de «tratamiento» en el sentido de dicha disposición (…) En cuanto al responsable del fichero o tratamiento, el apartado
6. d)considera como tal, persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. Por su parte la STJUE señala respecto de los responsables de los buscadores: (…) 32 En cuanto a si el gestor de un motor de búsqueda debe o no considerarse «responsable del tratamiento» de los datos personales efectuado por dicho motor en el marco de una actividad como la controvertida en el litigio principal, debe recordarse que el artículo 2, letra d), de la Directiva 95/46 define al responsable como «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales». 33 Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa él mismo en el marco de ésta y, por consiguiente, debe considerarse «responsable» de dicho tratamiento en virtud del mencionado artículo 2, letra d). 34 Por otro lado, es necesario declarar que sería contrario, no sólo al claro tenor de esta disposición sino también a su objetivo, consistente en garantizar, mediante una definición amplia del concepto de «responsable», una protección eficaz y completa de los interesados, excluir de esta disposición al gestor de un motor de búsqueda debido a que no ejerce control sobre los datos personales publicados en las páginas web de terceros. 35 Sobre este particular, procede poner de manifiesto que el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página en Internet, y se añade a él. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 36 Además, es pacífico que esta actividad de los motores de búsqueda desempeña un papel decisivo en la difusión global de dichos datos en la medida en que facilita su acceso a todo internauta que lleva a cabo una búsqueda a partir del nombre del interesado, incluidos los internautas que, de no ser así, no habrían encontrado la página web en la que se publican estos mismos datos. 37 Además, la organización y la agregación de la información publicada en Internet efectuada por los motores de búsqueda para facilitar a sus usuarios el acceso a ella puede conducir, cuando la búsqueda de los usuarios se lleva a cabo a partir del nombre de una persona física, a que éstos obtengan mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet que les permita establecer un perfil más o menos detallado del interesado. 38 En consecuencia, en la medida en que la actividad de un motor de búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los derechos fundamentales de respeto de la vida privada y de protección de datos personales, el gestor de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada. (…) (…)41 Del conjunto de las consideraciones precedentes se desprende que procede responder a la segunda cuestión prejudicial, letras
7. a)y b), que el artículo 2, letras
8. b)y d), de la Directiva 95/46 debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).(…) (El subrayado es de la Agencia Española de Protección de Datos) En el presente caso, la elaboración del resultado de búsqueda con los términos introducidos respecto al nombre y apellidos de la denunciante y su constancia en la web de www.......... y el hecho de que utilice un sistema de posicionamiento web que situé los resultados de las búsquedas realizadas en su página web como resultado prioritario en los buscadores generales, en este caso como Google, se considera tratamiento de datos de carácter personal cuya responsabilidad corresponde a MPAGOSX, S.L., como responsable del tratamiento de los datos personales del denunciante. Estas circunstancias sitúan a MPAGOSX S.L., como sujeto susceptible de generar responsabilidad por incumplimiento de la LOPD, de acuerdo con su art. 43. IV En el presente caso se imputa la comisión de la infracción del art. 6 de la LOPD que establece que: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. De la lectura del precepto se deduce claramente que MPAGOSX, S.L. tiene que obtener el consentimiento del denunciante para tratar sus datos personales, o acreditar la concurrencia de algún supuesto que el apartado 2 dispensa de la obtención del consentimiento. En aquellos supuestos en que resulta necesario el consentimiento inequívoco para el tratamiento de los datos personales, pero la prestación de dicho consentimiento se niega por el titular de los datos, se traslada al responsable del fichero/tratamiento, la carga de acreditar que cuenta con el consentimiento del interesado para dicho tratamiento, o que concurren alguno de los supuesto que el apartado 2 del artículo 6 de la LOPD. Así las cosas, el juego de la prueba en materia de consentimiento en el tratamiento de datos, ha sido definido por la jurisprudencia dimanante de la Audiencia Nacional, así en su Sentencia de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. En el mismo sentido el RD 1720/2007, de 19 de abril en su art. 12.2 párrafo final, establece que “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho” Acreditado el tratamiento de datos personales de la denunciante sin su consentimiento MPAGOSX, S.L.., no ha presentado ninguna prueba que pueda evidenciar que contaba con su consentimiento, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Los datos personales del denunciante fueron tratados por MPAGOSX, S.L., sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos, por tanto la actuación de esta entidad no encuentra cobertura en ningún supuesto a la excepción a la prestación del consentimiento que recoge el artículo 6.2 de la LOPD, considerando vulnerado dicho precepto. V Dispone el artículo 44.3.
9. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En este sentido concurren los apartados varios apartados del artículo 45.4 de la LOPD, como el previsto en el apartado
25. b)respecto de la eliminación de los resultados de búsqueda de los datos de la denunciante, así como el apartado
26. a)respecto de la concurrencia de otros criterios enunciados en el apartado 4, tales como a), b),
27. d),
28. e),
29. f)y
30. g), es posible aplicar lo previsto en el art. 45.5 LOPD, es decir, aplicar la escala inferior en gravedad que permite la norma para establecer dentro de ese intervalo la sanción a imponer. En consecuencia procede aplicar la atenuante prevista en el apartado a). Por todo ello, procede imponer, la infracciones cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. VII Ahora bien, para graduar el importe de las sanciones a imponer debe tenerse en cuenta, en especial, de acuerdo con el art. 45.4 LOPD determinados criterios de los señalados: En cuanto al apartado
31. c)y la vinculación de la actividad del infractor, debe tenerse en cuenta que si bien MPAGOSX, S.L., no puede ser responsable de que los usuarios del buscador de su portal web introduzcan términos de búsqueda sean datos de carácter personal, sin embargo sí lo es del sistema de posicionamiento web que utiliza, cuyo resultado es que las búsquedas realizadas en su página web, sean indexadas por los buscadores generales como google y muestren asociados los datos personales de la denunciante con el dominio de www........... Por otra parte debe subrayarse que no ha quedado acreditada la intencionalidad en la conducta (apartado
32. f)MPAGOSX, S.L., no ha acreditado la implantación, de ningún procedimiento preventivo que, considerando la especial sensibilidad de los contenidos que ofrece el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 sitio web www.........., evite la indexación, por los motores de búsqueda, de esos contenidos asociados a los datos de carácter personal que eventualmente pudieran incluir los usuarios en las búsquedas que realizan a través del buscador interno del sitio web. La falta de diligencia y previsión en el sistema de posicionamiento utilizado en su modelo de negocio hace que las consecuencias sean de mayor gravedad, al permitir que los principales proveedores de búsqueda en internet localicen con carácter prioritario el resultado de las búsquedas que se realiza bajo su dominio. Por otra parte, conforme al apartado
33. h)deben considerarse otras circunstancias como la naturaleza del negocio de servicios de internet de contenido para adultos y la vinculación establecida con los datos personales de la denunciante. En cuanto a los apartados a),
34. b)d),
35. e)y
36. g)debe señalarse que concurren tales supuestos y que operan como atenuantes en la graduación de la sanción. En conclusión, atendiendo a los criterios establecidos en el apartado 4 del citado art. 45 LOPD y teniendo en cuenta que concurren dos circunstancias agravantes (apartado
37. c)
38. f)y
39. h)que impiden la imposición en su cuantía mínima, se impone la sanción en la cuantía de 6.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MPAGOSXSL, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
40. b)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a MPAGOSX, S.L., MPAGOSXSL y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es