PS-00278-2013

1/8 Procedimiento Nº PS/00278/2013 RESOLUCIÓN: R/02383/2013 En el procedimiento sancionador PS/00278/2013, instruido por la Agencia Española de Protección de Datos a la entidad URBIDE SELAIA S.L., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30 de noviembre de 2012, tuvieron entrada en esta Agencia escritos de Don A.A.A. y otro denunciante en los que denuncian que las entidades URBIDE SELAIA, S.L., SERVICIOS INTEGRALES Y RECURSOS EMPRESARIALES, S.A. y CMMI PROJET DEVELOPMENT TECHNOLOGIES, S.A. no tenían inscritos sus ficheros de datos personales en el Registro General de Protección de Datos. SEGUNDO: A la vista de la denuncia, la Subdirección General de Inspección dirigió escrito de fecha 22 de febrero de 2013, al Registro General de Protección de Datos en solicitud de información sobre si las entidades URBIDE SELAIA, S.L., SERVICIOS INTEGRALES Y RECURSOS EMPRESARIALES, S.A. y CMMI PROJET DEVELOPMENT TECHNOLOGIES, S.A. tienen ficheros inscritos, remitiéndose por dicho Registro, con fecha 13 de marzo de 2013, información en la que se recoge que tras haber requerido a dichas entidades para que en el plazo de diez días procedieran a notificar al RGPD los ficheros o aleguen cualquier circunstancia que estimen oportuna, las entidades SERVICIOS INTEGRALES Y RECURSOS EMPRESARIALES, S.A. y CMMI PROJET DEVELOPMENT TECHNOLOGIES, S.A. habían procedido a la inscripción de sus respectivos ficheros. Por otra parte, con fecha 16 de abril de 2013, el Subdirector del Registro General de Protección de Datos informó que con fecha 27 de febrero de 2013 requirió a URBIDE SELAIA, S.L. (en lo sucesivo Urbide y/o el denunciado), para que en el plazo de diez días procedieran a notificar al RGPD los ficheros, o aleguen cualquier circunstancia que estimen oportuna, sin que se haya recibido ninguna comunicación al respecto. TERCERO: Con fecha 28 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a URBIDE SELAIA S.L, por presunta infracción del artículo 37.1.

1. f)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.i de la citada Ley Orgánica, pudiendo ser sancionada, con multa de 40.001 € a 300.000 € , de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, Urbide mediante escrito de fecha 10 de junio de 2013, formuló alegaciones, significando, básicamente lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - - - - Que, con fecha 1 de marzo de 2013, la Agencia les requirió para que procedieran a inscribir los ficheros de los que esa entidad es responsable en el RGPD. Que dicha notificación fue entregada en la C/ Velázquez nº 55, ubicación de la empresa gestora y que, debido a un error humano, la recepcionista no la trasladó a la organización. Que esa Organización es muy rigurosa en el cumplimiento de las normas y leyes y que, una vez que han tenido conocimiento del problema, a través de la notificación del Acuerdo de inicio del presente procedimiento, han procedido a solicitar la inscripción de sus ficheros en el RGPD. Que el olvido del registro de estos ficheros por parte de esa Organización ha sido debido a que el responsable del registro de los mismos, Don A.A.A., fue despedido por una grave quiebra de confianza, que es el demandante ante la Agencia. Que esa entidad está convencida de que el denunciante era conocedor de este hecho y lo consideran intencionado para dañar a la Organización. Que Urbide es la empresa patrimonial de Axpe Consulting y dentro de esa compañía tiene un alcance muy limitado: un sólo registro en el fichero de nómina, una sola persona, un fichero contable de no más de 200 apuntes y cámaras de vídeovigilancia que no registran las imágenes. Con fecha 10 de junio de 2013, han procedido a solicitar la inscripción de los ficheros (adjunta copia de la solicitud). Adjunta denuncia presentada por Axpe Consulting, S.L. ante la AEPD, contra el denunciante y otras tres personas, todos ellos antiguos responsables de la entidad, que tenían acceso a los datos y eran los responsables de su control, por tener en su poder la información confidencial de la compañía, vulnerando la normativa de protección de datos respecto de los empleados de la misma. QUINTO: Con fecha 13 de junio de 2013, se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante URBIDE SELAIA, S.L, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07772/2012. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00278/2013 presentadas por URBIDE SELAIA, S.L, y la documentación que a ellas acompaña. Por otra parte, por la Instructora del expediente, con fecha 12 de julio de 2013, se realizó consulta al RGPD y incorporó mediante diligencia el contenido de la Inscripción de los ficheros de titularidad privada de los que es responsable la entidad Urbide Selaia, S.L., que constan inscritos el 12 de junio de 2013 . SEXTO: Con fecha 5 de septiembre de 2013, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 1.000€ a URBIDE SELAIA S.L, por la comisión de una infracción artículo 37.1.
2. a)de la LOPD, tipificada como grave en el artículo 44.3.
3. i)de dicha norma. SÉPTIMO: Con fecha 24 de septiembre de 2013, Urbide realizó alegaciones frente a la citada propuesta de resolución en las que alegó, básicamente, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 - Que con fecha 10 de junio de 2013, procedió a solicitar el alta de los ficheros en el RGPD, que se hizo efectiva tan sólo dos días después, el 12 de junio de 2013, subsanando así el error humano cometido previamente. Que en sus alegaciones al Acuerdo de inicio ya explicó los motivos de la ausencia de respuesta al requerimiento de la Agencia. Ausencia de culpabilidad. Diligencia desplegada en la rapidez de la inscripción de los ficheros en el transcurso del procedimiento. En virtud de todo ello, solicitó la exclusión de la imposición de sanción, pues tan pronto como la organización tuvo conocimiento, procedió a realizar la inscripción, actividad que debía haber realizado antes el propio denunciante, que era el encargado de dichas funciones y quien debería haberlo realizado. HECHOS PROBADOS PRIMERO: Con fecha 13 de noviembre de 2012, Don A.A.A. denunció ante la Agencia que la entidad Urbide Selaia, S.L. es responsable de ficheros de datos personales que no han sido inscritos en el RGPD (folios 1-14). SEGUNDO: Con fecha 22 de febrero de 2013, el Subdirector General del Registro General de Protección de Datos comunicó a la entidad URBIDE SELAIA, S.L que esa entidad podía ser responsable de ficheros de datos de carácter personal sin que conste su inscripción en el RGPD y requirió a dicha entidad para que en un plazo de 10 días procediera a su inscripción o alegara cualquier circunstancia que estimase oportuna (folios 82-83) TERCERO: Consta acreditado que la entidad recepcionó el escrito anterior con fecha 1 de marzo de 2013, según consta en el acuse emitido por el Servicio de Correos (folios 84-85). La notificación fue entregada en la dirección que consta como domicilio social de la empresa en el Registro Mercantil (folio 15). CUARTO: Con fecha 28 de mayo de 2013, el Director de la AEPD acordó la apertura del presente expediente sancionador, al no haber sido atendido el requerimiento anterior (folios 86-89). QUINTO: Con fecha 10 de junio de 2013, URBIDE SELAIA, S.L presentó escrito de alegaciones al Acuerdo de inicio del procedimiento en el que comunicó el cumplimiento de las medidas requeridas y comunicó la solicitud de inscripción de los ficheros de los que es responsable dicha entidad (folios 92-93 y 111-133) SEXTO: Con fecha 12 de julio de 2013, por parte de la Instructora del procedimiento, se realizó consulta al RGPD y incorporó mediante diligencia el contenido de la Inscripción de los ficheros de titularidad privada de los que es responsable la entidad Urbide Selaia, S.L., que constan inscritos el 12 de junio de 2013 (folios 147-151). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
5. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
6. a)Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos”. En el presente procedimiento sancionador ha quedado acreditado que, con fecha 22 de febrero de 2013, el Subdirector General del Registro General de Protección de Datos comunicó a la entidad URBIDE SELAIA, S.L que esa entidad podía ser responsable de ficheros de datos de carácter personal sin que conste su inscripción en el RGPD. En el mismo escrito el Subdirector General del RGPD REQUIRIÓ a dicha entidad para que en un plazo de 10 días procediera a su inscripción o alegara cualquier circunstancia que estimase oportuna (folios 82-83) Ante la ausencia de respuesta del requerimiento, con fecha 28 de mayo de 2013, el Director de la AEPD acordó la apertura del presente expediente sancionador. Sin embargo, en el transcurso del presente procedimiento, la entidad denunciada ha comunicado el cumplimiento de las medidas requeridas y comunicó la solicitud de inscripción de los ficheros de los que es responsable dicha entidad, que constan inscritos el 12 de junio de 2013 (folios 147-151). III En sus alegaciones al Acuerdo de Inicio Urbide manifiesta que el requerimiento del Subdirector General del RGPD fue entregada en la C/ Velázquez, 55, ubicación de la empresa gestora y que, debido a un error humano, la recepcionista no la trasladó a la organización. A este respecto hay que señalar que la notificación fue entregada en la dirección que consta como domicilio social de la empresa en el Registro Mercantil. Por otra parte, la entidad imputada sustenta su defensa en aducir la inexistencia de la infracción imputada, para ello alega que no respondió al requerimiento debido a un error de la recepcionista que no les trasladó la notificación. Atendido que en el presente supuesto Urbide no cuestiona la recepción del requerimiento objeto de análisis, sino que centra sus alegatos en la falta responsabilidad en su conducta al no apreciarse el elemento subjetivo de culpabilidad.en la comisión de la infracción imputada, resulta necesario analizar si en la conducta de dicha entidad ha concurrido culpabilidad a la la vista de la existencia del error invocado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
7. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En el presente caso, si bien no puede acreditarse una conducta dolosa por parte de la entidad imputada, si puede imputarse la responsabilidad en la comisión de la infracción imputada del artículo 37.1.
8. f)de la LOPD a título de culpa, ya que Urbide no mostró la diligencia y el deber de cuidado que le eran exigibles. Todo lo expuesto lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de Urbide en el ilícito administrativo imputado, ya que ha la notificación fue entregada en la dirección que consta como domicilio social de la empresa en el Registro Mercantil. Por lo tanto, dichas alegaciones deben ser desestimadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 IV El artículo 44.3.
9. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que, el denunciado no cumplió requerimiento del Subdirector General del Registro General de Protección de Datos ni cumplió con todas las medidas requeridas, por lo que ha de considerase infringido el artículo 44.3.
10. i)de la LOPD. Sin embargo, procede señalar que, en el transcurso del presente procedimiento sancionador de referencia PS/00278/2013, ha cumplido las medidas ordenadas por el Director de la AEPD y ha atendido el requerimiento efectuado a la entidad denunciada. V Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado www.agpd.es sedeagpd.gob.es 7/8 de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Respecto de la aplicación del artículo 45.5 considerando la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, en especial no puede obviarse que la conducta infractora se realizó por una entidad no habituada al tratamiento de datos personales lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sanción correspondiente a una infracción leve. Por otro lado respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
11. a)la existencia de intencionalidad o reiteración,
12. b)la naturaleza de los perjuicios causados,
13. c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 1.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: IMPONER a la entidad URBIDE SELAIA, S.L, por una infracción del artículo 37.1.
14. a)de la LOPD, tipificada como grave en el artículo 44.3.
15. i)de dicha norma, una multa de1.000 € (mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a URBIDE SELAIA S.L. y a A.A.A. Don TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es