← España

PS-00275-2013

1/13 Procedimiento Nº PS/00275/2013 RESOLUCIÓN: R/02783/2013 En el procedimiento sancionador PS/00275/2013, instruido por la Agencia Española de Protección de Datos a la entidad PARTIDO POPULAR, vista la denuncia presentada por D. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20/08/2012, tuvo entrada en esta Agencia Española de Protección de Datos un escrito de D. B.B.B. (en lo sucesivo el denunciante), en el que denuncia a la entidad PARTIDO POPULAR por el envío de tres correos electrónicos de fechas 13/04/2012, 18/05/2012 y 22/06/2012 con las direcciones de correo electrónico de los destinatarios, incluida la suya, visibles para todos ellos. En su escrito, el denunciante señala lo siguiente: 1. Con fecha 13 de abril de 2012 recibió en su dirección de correo electrónico C.C.C., un correo remitido desde la dirección .....@pparona.com, en el que se le convoca a una reunión del Partido Popular en la localidad de Arona, “con objeto de tratar sobre la elección y nombramiento de los compromisarios que representaran a ese Municipio en el XIII congreso Regional de Canarias del Partido”. El denunciante aporta copia del correo recibido, en el que figuran como destinatarias, además de su dirección C.C.C., otras 59 direcciones de correo electrónico aproximadamente, siendo todas ellas visibles. 2. Con fecha 18 de mayo de 2012, recibe un nuevo correo electrónico en la misma dirección, esta vez remitido desde la dirección populares......@gmail.com, en el que el Partido Popular le invita a la clausura del XIII congreso regional del partido. En la copia del correo recibido, aportada por el denunciante, se comprueba que figura remitido a otras aproximadamente 100 direcciones de correo electrónico, siendo todas ellas visibles. 3. Con fecha 22 de junio de 2012, recibe otro correo electrónico en la misma dirección, de nuevo remitido desde la dirección populares......@gmail.com, en el que el Partido Popular le invita al Foro “Santa Cruz tiene solución”. En la copia del correo recibido aportada por el denunciante se comprueba que figura remitido a otras aproximadamente 100 direcciones de correo electrónico, siendo todas ellas visibles. En los dos correos remitidos al denunciante desde la dirección populares......@gmail.com, figura junto con su dirección de correo electrónico su nombre y apellidos. Las direcciones de correo electrónico a las que se han remitido los tres correos pertenecen a diversos dominios de internet, entre ellas hay direcciones de hotmail, gmail, telefónica etc… Así mismo, según manifiesta el denunciante dichas direcciones pertenecen a diversas organizaciones, como empresas de mediación, asociaciones de vecinos, empresas de colocaciones, brokers y analistas etc (…………@hotmail.com, info@........, ………..@hotmail.com, ………@gmail.com). SEGUNDO: En fase de actuaciones previas, con fecha 25 de octubre de 2012, el PARTIDO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 POPULAR, ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. El denunciante es afiliado al PARTIDO POPULAR, según acreditan con la copia de su “Hoja de Afiliación”, firmada por el interesado con fecha 1 de marzo de 2010, en la que figura la dirección de correo electrónico C.C.C.. 2. La citada “Hoja de Afiliación” contiene una leyenda informativa respecto al tratamiento de los datos que se facilitan y se informa sobre la finalidad, entre otras, de remitir información de las actividades del partido a través de varios medios, entre los que se incluye el correo electrónico. Esta opción tiene una casilla que se puede marcar en caso de no desear ser informado de dichas actividades. En la “Hoja de afiliación” suscrita por el denunciante la casilla no figura marcada. 3. Las direcciones de correo electrónico desde las que se remitieron los tres correos recibidos por el denunciante: populares......@gmail.com y .....@pparona.com, están gestionadas únicamente por la sede del Partido Popular de Arona. 4. En relación con las instrucciones dadas por el Partido Popular a sus sedes, respecto al envío de correos electrónicos, manifiestan que en la actualidad se encuentran inmersos en un proceso de mejora de los procedimientos relativos al cumplimiento de la normativa de protección de datos, contando para ello incluso con el apoyo de recursos externos. Estos procedimientos incluyen tanto la sede central como las distintas sedes. En dicho proceso se encuentra incorporada la mejora de las pautas sobre remisión de correos electrónicos. TERCERO: Con fecha 11 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad PARTIDO POPULAR, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. d)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de la entidad PARTIDO POPULAR en el que manifiesta que el denunciante es afiliado de dicho partido político y le autorizó para el envío de correos electrónicos relativos a las actividades de la entidad. Reconoce que los correos electrónicos objeto de la denuncia se remitieron sin la opción de copia oculta, señalando que esta circunstancia se produjo por un error humano. Añade que la entidad está inmersa en un proceso de mejora de los procedimientos en materia de protección de datos personales, que engloba a la sede central y a las distintas sedes locales, y que en dicho marco ha elaborado unas directrices sobre el envío de correos electrónicos, que acompaña, en las que se detalla el procedimiento para el envío de correos electrónicos a múltiples destinatarios. Solicita la imposición de una multa por el importe establecido para las infracciones leves en su cuantía mínima, conforme a lo establecido en los artículos 45.4 y 45.5 de la LOPD, en atención a las siguientes circunstancias: . Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, dando a conocer a sus trabajadores el procedimiento a seguir. . Cuando el infractor haya reconocido espontáneamente su culpabilidad: de acuerdo con lo señalado en la alegación primera, reconoce el incumplimiento de la normativa, si bien fue debido a un error no intencionado del personal de la sede de Arona. . El volumen de tratamientos: ha de tenerse en cuenta que no todas las direcciones de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 destinatarias se asocian a personas físicas. . El volumen de negocio o actividad del infractor: el tratamiento de los datos se realizó desde la sede de Arona, que únicamente tiene acceso a la información de personas vinculadas a la misma. . Los hechos no conllevan beneficio alguno a la entidad. . El grado de intencionalidad: el envío de correos sin copia oculta se produjo de manera involuntaria. QUINTO: El denunciante, por su parte, se personó en el procedimiento y presentó escrito de alegaciones a la apertura del procedimiento, en que destaca que la entidad imputada es un partido político con personalidad jurídica propia al que ha de exigírsele un “plus de legalidad”. Reitera que en los correos electrónicos que motivaron la denuncia, en los que constan sus datos personales, fueron remitidos a personas presumiblemente afiliadas al Partido Popular en Arona y a empresas de productos electrónicos, de mediación, de butano, promociones y logística, una asociación de vecinos, una empresa de colocaciones y una empresa de bróker y analistas, además de la dirección de correo electrónico de una empresa llamada "Tenerife Hogar; y que todos los destinatarios tuvieron acceso a los datos de las otras personas destinatarias. Esto implica que personas y empresas han tenido acceso tanto a su nombre, apellidos, correo electrónico y a su condición de militante del Partido Popular en Arona. Considera que se trata de una infracción muy grave con arreglo a lo dispuesto en el art. 44.4
  2. b)de la LOPD, teniendo en cuenta que los datos fueron cedidos a una empresa con la denominación “Tenerifeocasión”, cuyo responsable tiene encomendada la labor de comunicación dentro del partido en Arona. Considera que en este caso no procede imponer una sanción según la escala prevista para las infracciones leves, al existir una clara e indubitada conculcación de los derechos fundamentales, por la especial naturaleza que la constitución Española otorga a los Partidos Políticos y por la pluralidad de personas afectadas. Advierte que el reconocimiento voluntario de la responsabilidad a los solos efectos previstos en el art.8 del Real Decreto 1398/1993, de 4 de agosto, solamente implica una reducción porcentual de la sanción establecida, pero entre los importes previstos para las infracciones graves En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, en relación con los supuestos previstos en dicha norma, indica lo siguiente:
  3. a)Entiende que no concurren varios criterios que justifiquen atenuar la responsabilidad de la entidad infractora en este caso.
  4. b)La regularización de la situación irregular de forma diligente implica una actitud proactiva de la entidad infractora ante las personas que se hubieran podido ver perjudicadas y la adopción de medidas para corregir la situación en el futuro.
  5. c)La conducta del afectado no ha podido inducir a la comisión de la infracción. Y sobre la aplicación del artículo 45.4 de la citada Ley Orgánica indica lo siguiente:
  6. a)En cuanto al carácter continuado de la Infracción: se envían varios correos en distintos meses del año 2012 sin copia oculta.
  7. b)El volumen de tratamientos efectuados Este criterio debe tener en cuenta el número de tratamientos efectuados (103 datos/tratamientos de personas afectadas). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de carácter personal y la actividad del infractor: más de un millón de afiliados.
  9. d)El PARTIDO popular no obtiene ningún beneficio con su conducta.
  10. e)El grado de intencionalidad: esta circunstancia tiene un carácter excepcional y debería reservarse a aquellos casos en los que se apreciara un grado muy cualificado de ausencia de responsabilidad o culpabilidad.
  11. f)La reincidencia por comisión de infracciones de la misma naturaleza: las dos denuncias formuladas son suficientes para apreciar esta agravante.
  12. g)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas: se vulneran derechos fundamentales básicos. En cuanto a los perjuicios objetivos, señala que ha sido un destacado militante y candidato que se significado en algunas actividades del mismo, por lo que la revelación de datos le provoca un perjuicio y expone que ha sufrido un empeoramiento de su estado de salud.
  13. h)Con anterioridad a los hechos, la entidad imputada no tenía implantados procedimientos adecuados de actuación en la recogida y tratamientos de los datos de carácter personal, no siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos.
  14. g)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora: se trata de una entidad obligada al respeto escrupuloso de la Ley. De acuerdo con lo expuesto, solicita la imposición de una sanción por importe de 480.000 euros, en caso de que la entidad reconozca voluntariamente su responsabilidad, o de 540.000 en caso contrario. SEXTO: En fecha 25/09/2013, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación señaladas con el número E/05580/2012, que incorporan el correspondiente Informe de Investigación. Asimismo, se tuvieron por presentadas las alegaciones a la apertura del procedimiento elaboradas por el PARTIDO POPULAR y por el denunciante y la documentación que a ellas acompañan. Por otra parte, el instructor del procedimiento acordó Incorporar a las actuaciones copia del Documento de Seguridad correspondiente al fichero de Afiliados del que es responsable la entidad PARTIDO POPULAR y que fue aportado por la misma a las actuaciones señaladas con el número E/05233/2012, que han dado lugar al procedimiento PS/00276/2013. En cuanto a la prueba instada por el denunciante para que se determine la relación existente entre el Partido Popular y el responsable de la empresa “Tenerifeocasión”, se consideró que la práctica de dichas pruebas no es determinante ni necesaria para la resolución del presente procedimiento, que tiene por objeto el envío de correos electrónicos a diversos destinatarios con las direcciones de correo visibles para todos ellos. Además, el denunciante no justificó cómo pueden influir en la resolución del presente procedimiento sancionador el resultado de la prueba solicitada y no cabe admitir pruebas sobre hechos distintos a los señalados en la denuncia y que determinaron la apertura del expediente. En consecuencia, se rechazó la solicitud de prueba formulada, de conformidad con lo dispuesto en el artículo 17 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, advirtiendo al denunciante sobre la posibilidad de aportar cualquier documentación que consideren de interés para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 defensa de sus derechos, conforme a lo establecido en el artículo 3 del citado Reglamento, que otorga al interesado la facultad de efectuar alegaciones y aportar documentos en cualquier momento anterior al trámite de audiencia que sigue a la propuesta de resolución. SEPTIMO: Con fecha 03/06/2013, se acordó iniciar procedimiento sancionador a la entidad PARTIDO POPULAR, señalado con el número PS/00276/2013, por la presunta infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  15. h)de dicha norma, en relación con el acceso por parte de terceros a datos personales de afiliados a dicha entidad en el municipio de Arona, al haber permitido la indexación por buscadores de internet de un documento en el que figuraban tales datos. El PARTIDO POPULAR, en su escrito de alegaciones reseñado solicitó la acumulación de ambos procedimientos por “la existencia de importantes elementos de conexión entre los citados Procedimientos Sancionadores, y motivos suficientes que permiten afirmar la identidad sustancial e íntima relación entre los correspondientes expedientes administrativos”, considerando que en ambos procedimientos coincide el denunciante y la entidad imputada; las denuncias presentadas derivan de supuestas irregularidades manifestadas como consecuencia de una revelación de datos a terceros inicialmente no autorizados; las dos infracciones (artículo 9 y 10 de la LOPD) por las que se siguen los procedimientos están tipificadas como infracciones graves; y todos los expedientes se encuentran en el mismo momento procedimental. Asimismo, la citada entidad manifestó que la no acumulación de los procedimientos menoscabaría de forma significativa sus derechos a una actuación conforme a Derecho, equilibrada, justa y no arbitraría. Con fecha 03/10/2013, La Agencia Española de Protección de Datos acordó no acumular dichos procedimientos, que tienen por objeto hechos diferenciados que no guardan relación alguna y que han dado lugar a la imputación de infracciones de distinta naturaleza, no resultando suficiente para la acumulación de los mismos la coincidencia en los sujetos intervinientes (denunciante y entidad imputada). Por otra parte, se estimó que la tramitación separada de los citados procedimientos en nada menoscaba los derechos del PARTIDO POPULAR ni le provoca perjuicio alguno. OCTAVO: Con fecha 06/11/2013, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad PARTIDO POPULAR con multa de 3.000 euros (tres mil euros) por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  16. d)de dicha norma. Notificada la citada propuesta, se recibió escrito de alegaciones del PARTIDO POPULAR en el que solicita la imposición de una multa por el importe mínimo establecido para las infracciones leve en base a las mismas alegaciones formuladas a la apertura del procedimiento, relacionadas con los criterios previstos en el artículo 45.4 de la LOPD que deberán apreciarse para graduar la multa. Únicamente añade, sobre el carácter continuado de la infracción y su reincidencia, que el envío de los correos electrónicos objeto de la denuncia fue un hecho puntual que nunca había sucedido anteriormente. El denunciante, por su parte, presentó escrito en el que solicita la imposición de una multa a la entidad PARTIDO POPULAR por importe de 240.000 euros. En relación con las circunstancias valoradas en la propuesta de resolución para fundamentar la aplicación de lo establecido en el artículo 45.5 de la LOPD, el denunciante señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 1. Reconocimiento voluntario de la responsabilidad por el PARTIDO POPULAR: manifiesta que la propuesta de resolución no deja claro si se refiere a lo dispuesto en el artículo 8 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora y que esta circunstancia no ha de considerarse en el presente caso, referido a una entidad política y a datos especialmente relevantes, que exigen el más alto grado de seguridad. En otro caso, entiende el denunciante que se estaría desincentivando el cumplimiento de la Ley. 2. En cuanto a la ausencia de intencionalidad, advierte que la jurisprudencia ha exigido que se hubieran implantado mecanismos para garantizar el correcto funcionamiento de los sistemas para poder aplicar este criterio moderador. 3. Se manifiesta conforme con la apreciación relativa a la ausencia de beneficios, pero no justifica la aplicación del precepto citado. 4. La inexistencia de perjuicios recogida en la propuesta no ha servido como criterio moderador del artículo 45.5 de la LOPD y, en este caso, en el que se vulneran los artículos 16 y 18 de la CE, existen perjuicios que afectan a más de un centenar de militantes. 5. Tampoco la elaboración de directrices para el envío de correos electrónicos, que tiene relación con la regularización de la situación, se recoge entre los supuestos del citado artículo, Además, no puede admitirse que una organización como el PARTIDO POPULAR no hubiese adoptado las medidas necesarias para el cumplimiento de una norma aprobada hace 14 años. Y en relación con las circunstancias del artículo 45.4 apreciadas para graduar la sanción, el denunciante manifiesta lo siguiente: 1. El volumen de datos afectados es amplio y la naturaleza de los datos tratados extraordinariamente sensibles. 2. En cuanto al volumen de negocio o actividad de la entidad infractora, se refiere al volumen de subvenciones públicas recibidas por el PARTIDO POPULAR para justificar la falta de proporcionalidad de la sanción propuesta. 3. Considera que existe reincidencia por las infracciones examinadas en el presente procedimiento y en el señalado con el número PS/00276/2013. 4. La obtención lícita de los datos considerada por el órgano instructor no figura entre los supuestos recogidos en el artículo 45.4 de la LOPD. Además, entre los destinatarios figuran direcciones de correo correspondientes a empresas que nada tienen que ver con la entidad imputada. HECHOS PROBADOS 1. Con fecha 01/03/2010, el denunciante se afilió al PARTIDO POPULAR mediante la firma de una “Hoja de Afiliación” en la que figura la dirección de correo electrónico C.C.C.. Esta hoja contiene una leyenda informativa respecto al tratamiento de los datos que se facilitan y se informa sobre la finalidad, entre otras, de remitir información de las actividades del partido a través de varios medios, entre los que se incluye el correo electrónico. Esta opción tiene una casilla que se puede marcar en caso de no desear ser informado de dichas actividades. En la “Hoja de afiliación” suscrita por el denunciante la casilla no figura marcada. 2. Con fecha 13/04/2012, el denunciante recibió en su dirección de correo electrónico C.C.C., un correo remitido desde la dirección .....@pparona.com, en el que se le convoca a una reunión del Partido Popular en la localidad de Arona, “con objeto de tratar sobre la elección y nombramiento de los compromisarios que representaran a ese Municipio en el XIII congreso Regional de Canarias del Partido”. En dicho correo figuran como destinatarias, además de la dirección del denunciante, otras 59 direcciones de correo electrónico aproximadamente, siendo todas ellas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 visibles. 3. Con fecha 18/05/2012, el denunciante recibió un nuevo correo electrónico en la misma dirección reseñada en el Hecho Probado Segundo, remitido desde la dirección populares......@gmail.com, en el que el Partido Popular le invita a la clausura del XIII congreso regional del partido. Dicho correo se remite a otras 100 direcciones de correo electrónico, aproximadamente, siendo todas ellas visibles. 4. Con fecha 22/06/2012, recibió un correo electrónico en la misma dirección reseñada en el Hecho Probado Segundo, remitido desde la dirección populares......@gmail.com, en el que el Partido Popular le invita al Foro “Santa Cruz tiene solución”. Dicho correo figura remitido a otras 100 direcciones de correo electrónico, aproximadamente, siendo todas ellas visibles. 5. En los correos electrónicos reseñados en los Hechos Probados Tercero y Cuarto, junto con la dirección de correo electrónico del denunciante figura su nombre y apellidos. 6. Las direcciones de correo electrónico a las que se han remitido los tres correos reseñados pertenecen a diversos dominios de internet, entre ellas hay direcciones de hotmail, gmail, telefónica etc… 7. Las direcciones de correo electrónico desde las que se remitieron los tres correos recibidos por el denunciante, populares......@gmail.com y .....@pparona.com, están gestionadas por la sede del Partido Popular de Arona. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  17. g)en relación con el artículo 36 de la LOPD. II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario, en primer lugar, transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD: “
  18. a)Datos de carácter personal: Cualquier información pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  19. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  20. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  21. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  22. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  23. c)del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13
  24. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
  25. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III La LOPD en sus artículos 1 y 2.1 establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” IV La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
  26. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
  27. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la dirección de correo electrónico, considerando que contiene información acerca de su titular, o en la medida en que permita proceder a la identificación del mismo, ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular que lo identifique, como en el presente caso, en los cuales no existe duda de que dicha dirección ha de ser considerada como dato de carácter personal, o supuestos en los que la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta, de modo que no nos encontramos ante un dato de carácter personal, a no ser que otros datos (dominio, domicilio, etc.), conjunta o separadamente, permitan la identificación del sujeto sin un esfuerzo desproporcionado por parte de quien procede a la identificación, en cuyo caso, la dirección de correo electrónico quedará amparada por el régimen establecido en la LOPD. V El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso, ha quedado acreditado en el expediente que el denunciante recibió tres correo electrónico remitidos por el denunciado, en los que se visualizaban datos personales de múltiples personas (nombre, apellidos y direcciones de correo electrónico), incluidos los del denunciante, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. El denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 El artículo 44.3.
  28. d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Así el denunciado ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando los datos personales del denunciante. VII El denunciante ha manifestado que los hechos son constitutivos de la infracción muy grave tipificada en el artículo 44.4.
  29. b)de la LOPD, referido a la cesión de los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de la misma norma. El artículo 11.1 de la LOPD dispone lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. La LOPD define, en su artículo 3.i), la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. La Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
  30. b)a la cesión, dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión”. Por otra parte, el artículo 10 de la LOPD dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Debe compararse el texto de los artículos 10 y 11 de la LOPD, que definen, respectivamente, los deberes de secreto profesional respecto de los datos de carácter personal que integran el fichero y la prohibición de comunicación, salvo los supuestos previstos, de dichos datos, pues la trasgresión de cualquiera de dichas garantías por parte de quien se responsabiliza del fichero supone, desde un punto de vista meramente fáctico, una conducta semejante: la comunicación de la información que se contiene en el fichero. Así, la distinción entre ambos tipos de garantías exige que la cesión suponga un comportamiento cualificado de la comunicación de datos, cualificación que no puede ser otra que la voluntad de que los datos sirvan para ser tratados de forma automatizada por parte del cesionario, en este caso los destinatarios de los correos electrónicos, circunstancia que no concurre en este caso, por lo que la comunicación acontecida debe encuadrarse dentro del marco del deber de secreto recogido en el artículo 10 de la LOPD. VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 El artículo 45.1, 2, 4 y 5 LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  31. a)El carácter continuado de la infracción.
  32. b)El volumen de los tratamientos efectuados.
  33. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  34. d)El volumen de negocio o actividad del infractor.
  35. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  36. f)El grado de intencionalidad.
  37. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  38. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  39. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  40. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  41. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  42. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  43. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  44. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  45. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad PARTIDO POPULAR, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado y la concurrencia significativa de varias de las circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la LOPD, considerando que la entidad PARTIDO POPULAR ha reconocido voluntariamente su responsabilidad, por la ausencia de intencionalidad que se aprecia en su conducta, considerando que los hechos tienen que ver con una actuación puntal de una agrupación municipal, la ausencia de beneficios, que no constan perjuicios a los afectados distintos al acceso a sus datos personales que conlleva la vulneración del deber de secreto, es decir, a los que resultan de la propia infracción sancionada. Por otra parte, es un criterio habitual de la Agencia Española de Protección de Datos considerar las actuaciones llevadas a cabo por la entidad infractora para regularizar la situación y evitar infracciones futuras. En este caso, la entidad PARTIDO POPULAR ha elaborado unas directrices sobre el envío de correos electrónicos para evitar que se cometan infracciones similares en el futuro. La consideración del reconocimiento voluntario de la responsabilidad para el establecimiento de la cuantía de la sanción ya se advertía en el acuerdo de apertura del presente procedimiento sancionador, en el que expresamente se advierte lo siguiente: “… así como la posibilidad de reconocer voluntariamente su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el artículo 45.5
  46. d)de la ley 15/1999 de 13 de diciembre de protección de datos de carácter personal”. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, por un lado, el volumen de datos personales afectados por la infracción y la naturaleza de tales datos personales (excluidos los relativas a empresas, que no tienen la consideración de datos de carácter personal y están excluidos del sistema de protección de la LOPD); y por otro lado, el volumen de negocio o actividad de la entidad infractora y la ausencia de reincidencia, al no constar otras infracciones de la misma naturaleza declaradas por resolución firme, así como la obtención lícita de los datos del denunciante y el tipo de información a la que hacían referencia los correos electrónicos objeto de la denuncia, relacionadas con las actividades propias de la entidad PARTIDO POPULAR, procede la imposición de una multa por importe de 1.500 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PARTIDO POPULAR (Agrupación Municipal de Arona), por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  47. d)de dicha norma, una multa de 1.500 euros (mil quinientos euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 SEGUNDO: NOTIFICAR la presente resolución a la entidad PARTIDO POPULAR (Agrupación Municipal de Arona) y a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.