← España

PS-00257-2016

1/5 824-150719 Procedimiento Nº PS/00257/2016 RESOLUCIÓN: R/00536/2019 En el procedimiento sancionador PS/00257/2016, instruido por la Agencia Española de Protección de Datos a Dña. A.A.A., vista la denuncia presentada por LEAST COST ROUTING TELECOM, S.L., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 5 de junio de 2015 tiene entrada en la Agencia un escrito del operador de telecomunicaciones LST COST ROUTING TELECOM, S.L. por el que se notifica a la Agencia una quiebra de seguridad, de conformidad con lo previsto en el apartado 3 del artículo 41 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, y en el Reglamento (UE) nº 611/2013 de la Comisión, de 24 de junio de 2013. Según se desprende de la documentación aportada por el operador, este detectó que, en fecha 21 de mayo de 2015, una empleada, Dña. A.A.A., en adelante la reclamada), desde su dirección de correo corporativo, había remitido injustificadamente, a una dirección del dominio fnac.es, un mensaje electrónico que contenía como anexo un fichero en formato de hoja de cálculo con datos de carácter personal relativos a 2.086 nuevos clientes, lo que motivó su despido cinco días después. El operador ha aportado copia de la querella presentada contra la exempleada ante los Juzgados de Instrucción de Pozuelo de Alarcón en fecha 27 de mayo de 2015. LST COST ROUTING TELECOM, S.L. ha aportado asimismo a la Agencia una copia del escrito que el 9 de junio le remitió GRANDES ALMACENES FNAC ESPAÑA, S.A., en respuesta al correo certificado en el que el operador solicitaba explicaciones. En el escrito se confirma la recepción del mensaje electrónico por parte de un familiar de la exempleada, así como su eliminación posterior. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/4212/2015 que se transcribe: “ACTUACIONES PREVIAS 1. Por la Inspección se solicitó información al Juzgado de Instrucción nº 1 de Pozuelo de Alarcón a los efectos de determinar la concurrencia de una infracción administrativa por parte de la exempleada. En fecha 28 de julio de 2015 el Juzgado informó a la Agencia de que se había acordado la citación como imputada de la exempleada y de que se habían practicado diligencias para la identificación del destinatario del correo electrónico dando resultado positivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 2. En fecha 22 de febrero de 2016 se solicita nueva información al Juzgado sobre el estado de las actuaciones judiciales, recibiéndose contestación en fecha 14 de marzo, en la que se indica que las actuaciones se han remitido al Juzgado de lo Penal Decano de Madrid para el enjuiciamiento de la causa. 3. En fecha 17 de marzo se solicita información al Juzgado de lo Penal Decano de Madrid, recibiéndose contestación en la que se informa de que las diligencias previas practicadas por el Juzgado de Instrucción nº 1 de Pozuelo de Alarcón se han turnado para enjuiciamiento al Juzgado de lo Penal nº 15 de Madrid (P.A. XX/XX). 4. En fecha 13 de abril se solicita información al Juzgado de lo Penal nº 15 de Madrid sobre el estado del procedimiento abreviado XX/XX, no habiéndose recibido contestación hasta la fecha.” TERCERO: En fecha 30 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 6.1 y 10 de la entonces vigente Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como graves en el artículo 44.3.

  1. b)y
  2. d)respectivamente de la citada norma. CUARTO: En fecha 02/06/2016 la Directora de la Agencia Española de Protección de Datos acordó suspender el presente procedimiento sancionador de acuerdo con lo establecido en el artículo 7 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora aprobado por Real Decreto 1398/1993, de 4 de agosto, al apreciarse indicios de que pudiera existir identidad entre los hechos constitutivos de presuntas infracciones administrativas y aquellos objeto del Procedimiento Abreviado XX/XX seguido en el Juzgado de lo Penal nº 15 de Madrid. QUINTO: En fecha 27/07/2016 LST COST ROUTING TELECOM, S.L. solicitó su personación en el procedimiento como parte interesada. SEXTO: En fecha 31/05/2019 tuvo entrada en esta Agencia oficio del Juzgado de lo Penal nº 15 de Madrid por el cual se comunica la sentencia dictada en fecha 03/11/2017 en la cual se absuelve a la reclamada del presunto delito de descubrimiento de secretos al haber renunciado LST COST ROUTING TELECOM, S.L. a cuantas acciones civiles y penales pudieran corresponderle y no sostener por tanto acusación alguna frente a la misma. Dicha sentencia adquirió firmeza en fecha 06/11/2017. SEPTIMO: En fecha 13/06/2019 la Directora de la Agencia Española de Protección de Datos acordó levantar la suspensión del procedimiento sancionador incoado a la reclamante. OCTAVO: Con fecha 10/10/2019 se formuló propuesta de resolución, proponiendo apercibir a la reclamada por la infracción de los artículos 6.1 y 10 de la LOPD, tipificadas ambas como graves en el artículo 44.3.
  3. b)y
  4. d)respectivamente de la citada norma, propuesta que fue notificada sin que se efectuaran alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 HECHOS PROBADOS PRIMERO: En fecha 21/05/2015 (11:37 horas), la reclamada remitió desde su dirección de correo corporativo (***EMAIL.1) a una dirección del dominio fnac.es, titularidad de GRANDES ALMACENES FNAC ESPAÑA, S,A,U, un correo electrónico que contenía como archivo adjunto un fichero en formato Excel denominado “Altas nuevas_2015.xlsx” con un tamaño de 212 KB que contenía las altas nuevas de clientes producidas hasta el mes de marzo de 2015 y los datos personales (nombre y apellido, DNI, localidad, municipio, provincia y código postal) de 2.086 clientes. SEGUNDO: En fecha 27/05/2015 LST COST ROUTING TELECOM, S.L. presento en el Decanato de los Juzgados de Pozuelo de Alarcón (Madrid), querella criminal contra la reclamada por la presunta comisión de un delito de revelación de secretos. TERCERO: En fecha 06/11/2017 adquirió firmeza la sentencia dictada en fecha 03/11/2017 por el Juzgado de lo Penal nº 15 de Madrid en la cual se absuelve a la reclamada del presunto delito de descubrimiento de secretos al haber renunciado LST COST ROUTING TELECOM, S.L. a cuantas acciones civiles y penales pudieran corresponderle y no sostener por tanto acusación alguna frente a la misma. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 58.2.
  5. b)del Reglamento 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. II El artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Por su parte el artículo 10 de la referida LOPD dispone que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En el presente caso ha quedado acreditado que en fecha 21/05/2015 (11:37 horas), la reclamada remitió desde su dirección de correo corporativo (***EMAIL.1”) a una dirección del dominio fnac.es, titularidad de GRANDES ALMACENES FNAC ESPAÑA, S,A,U, un correo electrónico que contenía como archivo adjunto un fichero en formato Excel denominado “Altas nuevas_2015.xlsx” con un tamaño de 212 KB que contenía las altas nuevas de clientes producidas hasta el mes de marzo de 2015 y los datos personales (nombre y apellido, DNI, localidad, municipio, provincia y código C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 postal) de 2.086 clientes. Este tratamiento de datos no constaba con el consentimiento de sus titulares y supuso una vulneración del deber de secreto y guarda de los mismos al ser puestos en conocimiento de un tercero. Por tanto, cabe concluir que la reclamada es responsable de la comisión de una infracción del artículo 6.1 y otra del artículo 10 de la LOPD (vigente en el momento de producirse los hechos), tipificadas ambas como graves en el artículo 44.3.
  6. b)y
  7. d)respectivamente de la citada LOPD. III Ambas infracciones podrían ser sancionadas con multa de entre 40.001 € a 300.000 €, conforme a lo dispuesto en el artículo 45.4 de la citada LOPD. No obstante, desde el 25 de mayo de 2018 es plenamente vigente el Reglamento 2016/679, del Parlamento Europeo y el Consejo de la Unión Europea, de protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) La Constitución Española, en su artículo 9.3, garantiza el principio de irretroactividad de las disposiciones sancionadoras no favorables, principio recogido asimismo en la Ley 40/2015, de 1 de octubre de Régimen Jurídico del Sector Público: “Artículo 26 1. Serán de aplicación las disposiciones sancionadoras vigentes en el momento de producirse los hechos que constituyan infracción administrativa. 2. Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones pendientes de cumplimiento al entrar en vigor la nueva disposición.” En este sentido cabe destacar lo establecido por el RGPD, que en su artículo 58.2
  8. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso se estima procede sancionar con apercibimiento habida cuenta la inexistencia de anteriores infracciones cometidas por la reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: APERCIBIR a Dña. A.A.A. por la infracción de los artículos 6.1 y 10 de la LOPD, tipificadas ambas como graves en el artículo 44.3.
  9. b)y
  10. d)respectivamente de la citada norma. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  11. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.