← España

PS-00237-2013

1/8 Procedimiento Nº PS/00237/2013 RESOLUCIÓN: R/02026/2013 En el procedimiento sancionador PS/00237/2013, instruido por la Agencia Española de Protección de Datos a la entidad TARRAUTO MOTOR, S.L.U.. , vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 15 de junio de 2012, escrito presentado por D. C.C.C. (en adelante denunciante), en el que manifiesta que la compañía Tarrauto Motor, S.L.U. le ha remitido publicidad postal sin su consentimiento y sin que conste en la misma el origen de los datos ni los derechos que le asisten. Se adjunta con el escrito de denuncia tarjeta postal dirigida al denunciante, en la que consta su nombre, apellidos y domicilio postal, cuyo remitente es la compañía Tarrauto Les Gavarres y en la que le ofertan servicios del taller mecánico y venta de vehículos y le regalan dos entradas para el cine. En la tarjeta postal figura el sello del Servicio de Correos y Telégrafos y fecha 09.05.12. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad TARRAUTO MOTOR, S.L.U.. , teniendo conocimiento de que: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “GENERAL DE ADMINISTRACION”, con el código ***COD.1, siendo responsable la compañía Tarrauto Motor, S.A.U. Dichas circunstancias constan en la Diligencia de fecha 4 de febrero de 2013. 2. Se ha verificado por parte de la Inspección de Datos que realizando una consulta en internet, por medio del buscador google, por el criterio “ C.C.C.” se visualiza una lista de sitios web donde constan sus datos personales, entre los que se encuentra, <www.guiafono.com> con la siguiente información: c/ B.B.B... Según se detalla en la Diligencia de fecha 28 de febrero de 2013. 3. La sociedad Tarrauto Motor ha informado a la Inspección de Datos, con fecha de 26 de febrero de 2013, en relación con la publicidad remitida al denunciante lo siguiente:  La campaña publicitaria fue realizada de forma aleatoria a personas cuyo domicilio se encontraba situado en la zona de Tarragona. Los datos personales del denunciante fueron extraídos de una fuente de acceso público, en concreto, de una guía telefónica electrónica denominada “Guiafono” que puede consultar cualquier persona, en el ámbito del artículo 3.

  1. j)de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Orgánica 15/1999 y del artículo 7.1b) del Real Decreto 1720/2007.  Tarrauto Motor con la finalidad de dar a conocer la apertura de un nuevo centro, recopiló gratuitamente direcciones de una fuente de acceso público, asegurándose de que en la misma no figuraba la oposición del posible interesado a recibir publicidad y la remitió por correo ordinario. Los datos personales del denunciante no constan en los ficheros de la compañía ni tampoco los de los otros destinatarios de la referida publicidad. TERCERO: Con fecha 29/05/2013 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TARRAUTO MOTOR, S.L.U.. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción de los artículos 5.4 y 6 de la LOPD, tipificadas como grave en los artículos 44.3
  2. f)y 44.3 b), respectivamente, de la citada Ley Orgánica. CUARTO: En fecha 22/06/2013, TARRAUTO MOTOR, S.L.U.. presento escrito de alegaciones en el que reconocía la responsabilidad en la comisión de las infracciones de los arts. 5.4 y 6 de la LOPD, y solicita la aplicación de los criterios de graduación previstos en el art. 45.4 de la LOPD. QUINTO: En fecha de 2/07/2012 se incorporó como prueba documental y se dio por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TARRAUTO MOTOR, S.L.U.. , y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04641/2012 y las alegaciones al acuerdo de inicio PS/00237/2013 presentadas por TARRAUTO MOTOR, S.L.U.. , y la documentación que a ellas acompaña. SEXTO: Al haber reconocido la entidad denunciada los hechos que se le imputan y la responsabilidad que se deriva de los mismos, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. SEPTIMO: De las actuaciones practicadas en este procedimiento, han quedado acreditados los siguiente HECHOS PROBADOS UNO.- En el mes de mayo del año 2012 el denunciante recibió en su domicilio publicidad postal nominativa de TARRAUTO en la que constaban sus datos personales, consistentes en nombre apellidos y domicilio completo. DOS.- En la carta promocional remitida al denunciante, no constaba información relativa al origen de los datos, al responsable del fichero, ni sobre los procedimientos para ejercer los derechos de acceso, rectificación, cancelación y oposición. En la tarjeta postal figura el sello del Servicio de Correos y Telégrafos y fecha 09.05.12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 TRES.- Los datos personales del denunciante se encuentran en el sitio web www.guiafono.com. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III El propio artículo 3 en su apartado
  4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento. Art 43 LOPD, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso estamos ante el tratamiento de datos personales de la denunciante cuyo responsable es TARRAUTO MOTOR, S.L.U. ostentando así una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. IV Dispone el art. 5.4 de la LOPD: 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a, d y e del apartado 1 del presente artículo. En el presente caso, ha resultado probado que los datos personales sometidos a tratamiento no han sido recabados de su titular y que en el envío publicitario que sustenta el tratamiento no consta la información que señala el citado precepto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 V Dispone el artículo 6 de la LOPD: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Dispone el art. 3 j de la LOPD que se consideran Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. ( El subrayado es de la AEPD) En este sentido es preciso señalar que mediante Resolución de 20 de marzo de 2013, de la Comisión del Mercado de las Telecomunicaciones, por la que se publica la Circular 1/2013, se establecieron los procedimientos para que las entidades ostentaran la cualidad de “Entidades con derecho al suministro de los datos de Abonados” de acuerdo con el artículo Cuatro y pudieran elaborar Guías de Abonados, o como señala el art. 3 j LOPD (…)repertorios telefónicos en los términos previsto por su normativa específica (…) y poder ser considerados como fuente accesible al público. El artículo Quinto 2 de la citada Resolución establece que: La Comisión del Mercado de las Telecomunicaciones dictará, previo informe de la Agencia Española de Protección de Datos, resolución sobre la solicitud, otorgando o denegando el suministro de información, de conformidad con lo previsto en la normativa aplicable y en la presente Circular. Pues bien, la entidad responsable de guiafono no tiene tal consideración y en el presente caso, los datos personales del denunciante fueron obtenidos de Guiafono, que aunque ofrezca información sobre números de teléfono no es una Guía o Repertorio de Abonados a Servicios Telefónicos en los términos citados ut supra. Por tanto, al no considerarse así, no puede entenderse como fuente accesible al público, sin que sea de aplicación la dispensa del consentimiento que el apartado 2 del citado artículo 6 señala. VI El tratamiento de datos sin consentimiento constituye un límite al derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, y negado por la interesada, dicho consentimiento inequívoco, corresponde a la parte que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En definitiva, en atención al juego de la prueba en el procedimiento sancionador, es decir, a la parte que acusa o imputa, le compete probar el hecho constitutivo de la infracción, esto es, el tratamiento de datos (que probó la Agencia), y a la parte imputada, el hecho extintivo o impeditivo, esto es, que contaba con el consentimiento o que concurrían alguno de los supuestos del art. 6.2 de la LOPD. VII El art. 44.3
  6. f)de la LOPD considera infracción grave, “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado“ El art. 44.3
  7. c)de la LOPD considera infracción grave, “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del ofrecimiento de información y del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas VIII El artículo 45 de la LOPD, en sus aparatados 1 a 5, establece, según la nueva redacción dada por la Ley 2/2011, que: «1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En el presente caso, la entidad denunciada ha reconocido su responsabilidad, y de acuerdo con los establecido en el art. 45.5 d), junto con otras circunstancias, procede la aplicación del art. 45.5 de la LOPD, e imponer la sanción dentro del intervalo de las calificadas como leve. Teniendo en cuenta los criterios de graduación de las sanciones recogidos en el citado artículo 45.4 LOPD en especial la ausencia de intencionalidad y de reincidencia, de beneficios obtenidos y de perjuicios causados, procede proponer: Por la infracciona del art. 6 de la LOPD una sanción en la cuantía de 1000 €, teniendo en cuenta la aplicación de principios que modulan la culpabilidad en la comisión de infracciones en el ámbito penal, traídas al derecho administrativo sancionador, como es el denominado “error vencible”, es decir, la entidad denunciada actuaba en la creencia de que el origen de los datos del denunciante eran una fuente accesible al público, y sin perjuicio del principio que reza “el desconocimiento de la ley no exime de su cumplimiento”, no parece adecuado exigir un esfuerzo desproporcionado para el conocimiento de una regulación específica (Resolución de 20 de marzo de 2013, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 de la Comisión del Mercado de las Telecomunicaciones, por la que se publica la Circular 1/2013, ) a una entidad cuyo sector propio de actividad es la Automoción. Por la infracción del art. 5.4 de la LOPD, una sanción en la cuantía de 2000 €, habida cuenta de que la literalidad del precepto no ofrece dudas respecto de su mandato y la ausencia de leyenda informativo obedece única y exclusivamente a la falta de diligencia de la entidad denunciada, y a diferencia de lo expuesto anteriormente a la hora de valorar el elemento subjetivo en la comisión de la infracción, el conocimiento de los mandatos de la LOPD por parte de TARRAUTO no ofrece dudas habida cuenta del conocimiento del principio del consentimiento para el tratamiento de datos y sus excepciones. Circunstancia que pone de manifiesto una falta de diligencia en la adecuación de su actuación a la LOPD, al menos de carácter leve. Por lo tanto, de acuerdo con lo señalado, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TARRAUTO MOTOR, S.L.U.. , por una infracción del artículo 5.4 de la LOPD, tipificada como grave en el artículo 44.3
  23. f)de dicha norma, una multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad TARRAUTO MOTOR, S.L.U.. , por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  24. c)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a TARRAUTO MOTOR, S.L.U.. y a C.C.C. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.