← España

PS-00210-2014

1/8 Procedimiento Nº PS/00210/2014 RESOLUCIÓN: R/01631/2014 En el procedimiento sancionador PS/00210/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por la DIRECCION GENERAL DE LA GUARDIA CIVIL- GRUPO DE DELITOS TELEMATICOS y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 18 de marzo de 2014 tiene entrada en la Agencia una denuncia en la que el Grupo de Delitos Telemáticos de la Guardia Civil (GDT) pone de manifiesto que a través de su sitio web www.gdt.guardiacivil.es viene recibiendo, desde finales del mes de febrero, diversas comunicaciones de usuarios, con textos similares a este: “Queremos denunciar que hay una página en Facebook que se dedica a estafar pide 25 € para hacer trabajos desde casa, la gente desesperada por encontrar algún trabajo cae en el engaño, la página de facebook es:https://www.facebook...................”. El GDT expone que ha podido verificar que en dicha ubicación existe un perfil que recibe el nombre de “Curros desde casa”, el cual ha sido ampliamente difundido por la red, y cuyos usuarios han remitido las conversaciones mantenidas, una de las cuales se adjunta impresa junto a la denuncia, en forma de anexo. El GDT ha verificado que dicho perfil ofrece empleos desde el domicilio de los interesados, bien en la creación de manualidades para decoración, o para elaboración de zapatos de vestir; todo ello, supuestamente respaldado por una empresa de nombre “Euroking”. Según se expone en el escrito, los interesados deben transferir a D. A.A.A. 25 euros, en concepto de señal, a una cuenta bancaria de Caja Castilla La Mancha, junto con sus datos personales: nombre completo, dirección exacta, teléfono de contacto y DNI. El GDT ha aportado a la Agencia los datos identificativos del titular de la cuenta bancaria D. A.A.A. (en lo sucesivo el denunciado), estimando que este no ofrece información o garantía alguna sobre el tratamiento que van a recibir los datos recabados. El GDT indica que desconoce la finalidad perseguida con su obtención. SEGUNDO: Con fecha 11/04/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al denunciado con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), por presunta infracción del artículo 6.1 de la LOPD, infracción tipificada como grave en el artículo 44.3.b), pudiendo ser sancionada con multa de 40.000,01€ a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley. TERCERO: La notificación del citado acuerdo de inicio se remitió al denunciante. Igualmente la notificación de dicho acuerdo de inicio fue remitida al denunciado, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 fecha 14/04/2014 a (C/..............1) (Guadalajara), siendo devueltas por el Servicio de Correos por desconocido. Por tal motivo, el acuerdo de inicio fue remitido al Ayuntamiento de Sigüenza al objeto de que se procediera a su publicación en el tablón de edictos de ese Ayuntamiento, de acuerdo con el artículo 59.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Igualmente se remitió para su publicación en el Boletín Oficial del Estado, lo que se produjo el 10/05/2014. CUARTO: Con fecha 25/04/2014 se remite escrito al denunciante, comunicando que: “…Por la presente se comunica que la notificación del Acuerdo de Inicio del presente procedimiento se está notificando al denunciado D. A.A.A. mediante publicación en el BOE y en el tablón de edictos del Ayuntamiento de Sigüenza, al haber sido devuelto el escrito de notificación (dirigido a la (C/..............1)) por el Servicio de Correos con la anotación de desconocido. Con fecha de hoy el citado Ayuntamiento nos comunica telefónicamente, que no les consta la baja del empadronamiento de D. A.A.A. del citado domicilio. […] Por la presente se ruega, nos informen de otro posible domicilio del denunciado, a través de la entidad financiera Caja Castilla La Mancha o a través de cualquier otro medio. Así como la posibilidad de dar de baja el citado anuncio…” Hasta la fecha no se ha recibido en esta Agencia contestación alguna a este escrito. QUINTO: En fechas 10, 17 y 18 de julio de 2014 se accede a través de la red social Facebook al perfil denunciado, “Curros desde casa”, verificándose que sigue activo en la actualidad y que en el mismo siguen publicándose anuncios de empleo como el publicado el 15 de julio, en el que se invita a remitir datos personales al buzón de correo asociado al perfil, con el siguiente texto: “SI NECESITAS DINERO Y NO TIENES TRABAJO ENVIANOS TU CURRICULUM VITAE CON TODOS TUS DATOS!!! TE OFRECEMOS EL EMPLEO PERFECTO PARA TI!!! MAS INFORMACION POR INBOX...” SEXTO: El denunciado no ha remitido escrito de alegación alguno frente al citado acuerdo de inicio que, en su punto 3, establece literalmente lo siguiente: “...De no efectuar alegaciones sobre el contenido de la iniciación de este procedimiento, la iniciación podrá ser considerada propuesta de resolución, de acuerdo con lo dispuesto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto.” HECHOS PROBADOS PRIMERO: En fecha 18 de marzo de 2014 tiene entrada en la Agencia una denuncia en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 la que el Grupo de Delitos Telemáticos de la Guardia Civil (GDT) pone de manifiesto que a través de su sitio web www.gdt.guardiacivil.es viene recibiendo, desde finales del mes de febrero, diversas comunicaciones de usuarios, con textos similares a este: “Queremos denunciar que hay una página en Facebook que se dedica a estafar pide 25 € para hacer trabajos desde casa, la gente desesperada por encontrar algún trabajo cae en el engaño, la página de facebook es:https://www.facebook...................”. El GDT expone que ha podido verificar que en dicha ubicación existe un perfil que recibe el nombre de “Curros desde casa”, el cual ha sido ampliamente difundido por la red, y cuyos usuarios han remitido las conversaciones mantenidas, una de las cuales se adjunta impresa junto a la denuncia, en forma de anexo. El GDT ha verificado que dicho perfil ofrece empleos desde el domicilio de los interesados, bien en la creación de manualidades para decoración, o para elaboración de zapatos de vestir; todo ello, supuestamente respaldado por una empresa de nombre “Euroking”. Según se expone en el escrito, los interesados deben transferir a D. A.A.A. 25 euros, en concepto de señal, a una cuenta bancaria de Caja Castilla La Mancha, junto con sus datos personales: nombre completo, dirección exacta, teléfono de contacto y DNI. El GDT ha aportado a la Agencia los datos identificativos del titular de la cuenta bancaria D. A.A.A. (en lo sucesivo el denunciado), estimando que este no ofrece información o garantía alguna sobre el tratamiento que van a recibir los datos recabados. El GDT indica que desconoce la finalidad perseguida con su obtención (folios 1 a 8). SEGUNDO: En fechas 10, 17 y 18 de julio de 2014 se accede a través de la red social Facebook al perfil denunciado, “Curros desde casa”, verificándose que sigue activo en la actualidad y que en el mismo siguen publicándose anuncios de empleo como el publicado el 15 de julio, en el que se invita a remitir datos personales al buzón de correo asociado al perfil, con el siguiente texto: “SI NECESITAS DINERO Y NO TIENES TRABAJO ENVIANOS TU CURRICULUM VITAE CON TODOS TUS DATOS!!! TE OFRECEMOS EL EMPLEO PERFECTO PARA TI!!! MAS INFORMACION POR INBOX...” (folios 41 a 48). En fecha 17 de septiembre se accedió nuevamente al citado perfil, verificándose que en fecha 9 de septiembre se había publicado el siguiente mensaje: “Cansada (

  1. o)de no encontrar empleo esta es tu oportunidad contratación inmediata envianos tú curriculum vitae cón todos tus datos tenenos la oferta de empleo perfecta para ti NO ESPERES MAS!!!” (folios 49 a 51). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario, en primer lugar, exponer el concepto de “tratamiento de datos” de acuerdo con la definición del apartado
  3. c)del artículo 3 de la Ley Orgánica 15/1999: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Los apartados 1, 2 y 3 del artículo 5 de la LOPD, sobre el derecho de información en la recogida de datos, establece: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  9. c)y
  10. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. El artículo 6.1 de la LOPD señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2 de la LOPD, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En el presente caso ha quedado acreditado que el denunciado ha cometido una infracción del citado art. 6.1 de la LOPD. A este respecto el GDT declaró: “…está llevando a cabo la recogida de datos personales de forma engañosa y fraudulenta, pues el anunciante especifica claramente en sus respuestas que el interesado debe remitir información personal para poder tener acceso al puesto de trabajo de una empresa contratante que, como se ha podido comprobar, no existe; igualmente, dicha persona no ofrece información o garantía alguna sobre el tratamiento que va a recibir esa información, desconociendo, a fecha de hoy, la finalidad que se pretende de su obtención…” Por otra parte, durante la tramitación del presente procedimiento se ha acreditado que a través del perfil denunciado siguen recabándose datos de carácter personal, sin que se ofrezca una información clara y detallada de la finalidad perseguida, ni de los tratamientos que se aplicarán sobre los datos recabados, ni de la identidad del responsable de dichos tratamientos. Esta obtención de datos personales (direcciones de correo electrónico, otros datos identificativos y curriculares) de personas interesadas en puestos de trabajo aparentemente ficticios constituye un tratamiento de datos personales de acuerdo con el art. 3.
  11. c)de la LOPD, como las “…Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias…” III El artículo 44.3.
  12. b)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV El apartado 1 del artículo 16 de la Ley 34/2002, de 11 julio, de servicios de la sociedad de la información y de comercio electrónico, establece: “Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que:
  13. a)No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
  14. b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
  15. a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse.” En el presente caso, el titular del perfil Facebook denunciado no ha comparecido ante esta Agencia, desconociéndose su domicilio actual a efectos de notificaciones. V Los artículos 45.1, 2, 4 y 5 de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible indican: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Dicho artículo 45.5 de la LOPD, que no es sino la manifestación del llamado principio de proporcionalidad (art. 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común), incluido en el más general de prohibición de exceso reconocido por la Jurisprudencia como Principio General del Derecho (Sentencia del Tribunal Constitucional 62/1982), y es consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico (Art. 1 de la Constitución Española), sin embargo debe aplicarse con exquisita ponderación, y sólo en los casos en los que la culpabilidad resulte sustancialmente atenuada atendidas las circunstancias del caso concreto. En el presente caso, no consta que el denunciado disponga de un consentimiento válido de las personas afectadas, por cuanto estas remiten sus datos sin haber sido convenientemente informadas de los extremos previstos en el artículo 5 de la LOPD. No obstante, debe tenerse en cuenta, a los efectos de la aplicación del artículo 45.5 de la LOPD, que el imputado es una persona física, que por esta Agencia no se ha acreditado el volumen exacto de personas afectadas, ni tampoco la cuantía de los beneficios obtenidos como consecuencia de la comisión de la infracción. Por todo ello, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, procede imponer una sanción de 6.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. A.A.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  31. b)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. SEGUNDO: INSTAR a FACEBOOK SPAIN, S.L. (FACEBOOK IRELAND, LTD) para que, de conformidad con lo previsto en el apartado 1.
  32. b)del artículo 16 de la Ley 34/2002, y habiéndose constatado la falta de adecuación a la normativa de protección de datos de los contenidos asociados al perfil https://www.facebook..................., sean retirados o se imposibilite el acceso a dichos contenidos y a cualesquiera otros, asociados al mismo titular, en los que se promocione la actividad descrita en la presente Resolución. TERCERO: NOTIFICAR la presente resolución a D. A.A.A., a la DIRECCION GENERAL DE LA GUARDIA CIVIL- GRUPO DE DELITOS TELEMATICOS y a FACEBOOK SPAIN, S.L. (FACEBOOK IRELAND, LTD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.