PS-00288-2009

1/14 Procedimiento Nº PS/00288/2009 RESOLUCIÓN: R/01969/2015 En el procedimiento sancionador PS/00288/2009, instruido por la Agencia Española de Protección de Datos a la ASOCIACIÓN INDEPENDIENTE DE LA GUARDIA CIVIL (ASIGC), vista la denuncia presentada por D. B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de junio de 2008 tiene entrada en esta Agencia un escrito de D. B.B.B. comunicando que en mayo de 2004 interpuso denuncia contra la Asociación Independiente de la Guardia Civil (en lo sucesivo la Asociación Independiente) por la difusión de sus datos personales a través de su sitio web (www.asigc.org). Dicha actuación fue sancionada por la Agencia Española de Protección de Datos, sanción que fue ratificada por la Audiencia Nacional, que desestimó el recurso presentado 351/2005 y confirmando la sanción mediante sentencia desestimatoria, de la que aporta copia. En fecha 12/6/2008 fue informado por un miembro de la Ertzaintza adscrito a la lucha antiterrorista que sus datos personales volvían a aparecer nuevamente en la web de la Asociación Independiente. Acredita dicho hecho mediante impresión del Acta Fundacional de la ASIGC, obtenida del sitio web de dicha asociación en fecha 12/6/2008. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la Asociación Independiente, teniendo conocimiento de los siguientes hechos:

1. a)Mediante diligencia de fecha 4/12/2008 se comprueba que los datos personales del denunciante continúan apareciendo en una página web de la Asociación Independiente (www.asig.org) en la que se recoge el Acta Fundacional de la asociación, apareciendo los datos personales del denunciante. Esta página web coincide con la aportada por el denunciante.
2. b)Mediante escrito con Independiente informa: entrada en fecha 14/3/2008, la Asociación a. Respecto a la aparición de los datos personales del denunciante en la página web de la entidad, contra esta ya se instruyó un procedimiento sancionador y se resolvió la imposición de una sanción. b. Según se explicó en su día, los datos que aparecen en la web fueron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 puestos por el mismo denunciante. c. En ningún momento, ni antes ni después de ser sancionados, se solicitó que la información referente al denunciante dejara de estar publicada e la web. d. Desconocía la entidad que esa información se encontraba en la web, ni el lugar exacto de esa información, por el gran volumen de información existente. e. La entidad no puede disponer de documento por el que el denunciante otorgue su autorización a la publicación de sus datos personales en la web, ya que en el momento de su publicación, la asociación era el propio denunciante. f. Aporta copia del PS/00082/2005 por el que ya fue sancionado por los mismos hechos.
3. c)Mediante diligencia de fecha 28/1/2009 se recaba en Internet documentación referente a la titularidad de sitio web www.asigc.org tanto en el registro de dominios como en una página titulada “Aviso Legal” del mencionado sitio web, donde se atribuye la titularidad del dominio asigc.org a la asociación denunciada. TERCERO: Con fecha 22 de mayo de 2009, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Asociación Independiente, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en adelante LOPD), tipificada como grave en el artículo 44.3.
4. g)de dicha norma, pudiendo ser sancionada, con multa de multa de 60.101,21 € a 300.506,05 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la citada Asociación Independiente mediante escrito de fecha 16/06/09, remite documentación que acredita que el denunciante es Secretario de la citada Asociación, teniendo entre otras la funciones de llevar la custodia de los libros y documentos de la Asociación. Asimismo formula alegaciones significando que: <<…SEGUNDA.- Que el denunciante es el Secretario de la asociación, -lo ha sido desde siempre- y según los estatutos, su cargo le obliga a guardar y custodiar las actas, además de ser el responsable de la base de datos de la asociación. Siendo por tanto el responsable de que sus datos, mis datos, y los de un tercero guardia civil aparezcan o aparecieran públicamente en la web (…) SEXTA.- Que los datos que observó la Agencia en la web, según pone por diligencia, son los mismos que siempre hubieran habido, y por los que en su día se sancionó a la asociación, siendo que el Secretario denunciante, no dice que él los hubiera quitado con anterioridad, siendo esa su obligación. No puede pues sancionarse dos veces por un mismo hecho, y en todo caso se debe requerir al Secretario de la asociación denunciante para que cumpla con su obligación y haga desaparecer sus datos, si no quiere verlos ahí, y también los míos y los de un tercero. O en todo caso debería iniciarse procedimiento directamente contra él…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 QUINTO: Con fecha 2 de julio de 2009 se inició el período de práctica de pruebas, en el que se acordó, entre otras: “…incorporar al presente procedimiento fotocopia compulsada de la Resolución R/00612/2005 de 12/09/2005 del PS/00082/2005 y de la Sentencia de la Audiencia Nacional de 16/02/2007”. SEXTO: Con fecha 1 de septiembre de 2009 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 60.101,21 € a la Asociación Independiente, por la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. g)de dicha Ley. SÉPTIMO: Con fecha 9 septiembre de 2009 la Asociación Independiente remite por fax escrito en el que comunica que recibida propuesta de resolución del procedimiento sancionador y otorgado plazo de quince días para alegar “…lo que viene a hacer en base a los siguientes…” <<1°.- Que el denunciante es el autor material de los hechos que se tienen por constitutivos de infracción. 2°.- Que el denunciante es el Secretario de la asociación, y por tanto la persona responsable, según los estatutos, de salvaguardar los datos de los socios. 3°.- Que hay dos testigos que avalan la versión de la asociación, respecto a que es el denunciante el autor material de los hechos que el mismo denuncia, y de los que culpa a la asociación. 4o.- Que el denunciante tiene como objetivo perjudicar a la asociación, y actúa deliberadamente. 5°.- Que por los mismos hechos ya fue sancionada la asociación, y así queda acreditado. 6°.- Que la agencia de protección de datos no ha probado, que en alguna ocasión pidiera a la asociación, que retirara los mismos datos de su web, por los que ya fue sancionada, y que por tanto, no lo hubiera hecho. Es por eso que no ha acreditado, que los datos que aparecerían en la web, no eran los mismos, por los que un día sancionó. “…se han puesto los hechos en conocimiento de la Autoridad Judicial, por cuanto el denunciante en éste procedimiento, podría estar incurriendo en un delito, no ya por mentir en su denuncia administrativa, sino porque su denuncia se reproduce en el ámbito penal (...) Se adjunta copia de la denuncia remitida al juzgado decano de Valdemoro, dirigida contra el denunciante en éste procedimiento (…) Que hasta tanto en cuanto no se pronuncia la Autoridad Judicial, sobre el hecho denunciando, no puede la Administración dictar resolución alguna, a resultas de lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 se tenga por probado en sentencia que ponga fin al procedimiento (…) Que por presentado éste escrito con el documento adjunto, suspenda la resolución hasta el momento que sea concluso el procedimiento judicial, y se establezca en sentencia…>> OCTAVO: Solicitada información al Juzgado de 1ª Instancia e Instrucción nº 2 de Valdemoro (Madrid) sobre la identidad de sujeto, hecho y fundamento entre el presente procedimiento administrativo y infracción penal que pudiera corresponder, el Director de la Agencia Española de Protección de Datos en fecha 14/09/09 acuerda suspender las actuaciones iniciadas en cumplimiento del artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el reglamento del procedimiento para el ejercicio de la potestad sancionadora, hasta tanto recaiga resolución judicial al respecto. NOVENO: En fecha 23/12/09 tiene entrada escrito del denunciante comunicando que en fecha 2/12/09 el Juzgado de Instrucción nº 2 de Valdemoro emite Auto por el que se acuerda el Sobreseimiento Provisional y Archivo de actuaciones. DECIMO: Solicitada información al citado Juzgado, el mismo remite copia del Auto de 2/12/09, que tuvo entrada el 27/01/2010. A la vista de dicho Auto en el que se acuerda el sobreseimiento provisional y el archivo del procedimiento judicial, el Director de la Agencia Española de Protección de Datos en fecha 3/02/10 acordó levantar la suspensión del presente procedimiento sancionador. Dicha resolución fue trasladada a la Asociación Independiente y al denunciante. UNDÉCIMO: La Asociación Independiente comunica mediante escrito remitido por fax el 8 de marzo de 2010 a las 8:20, que en el Juzgado de Primera Instancia e Instrucción nº 1 de Nules (Castellón), se están llevando a cabo Diligencias Previas nº 000****/2005, en virtud de denuncia contra D. D.D.D. presidente de ASIGC. DUODÉCIMO: Con fecha 8/03/10, la Instructora del procedimiento sancionador solicita información al citado Juzgado sobre la identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder, mediante escrito remitido por fax. Con fecha 9/03/10 se acordó la suspensión de dicho procedimiento, a petición de ASIGC, por cuanto se estaba tramitando Diligencias previas en el Juzgado de primera instancia e instrucción n 1 de Nules (Castellón). El Director de la Agencia Española de Protección de Datos en fecha 9/03/2010 acuerda suspender el presente procedimiento sancionador, en cumplimiento del artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el reglamento del procedimiento para el ejercicio de la potestad sancionadora, hasta tanto recaiga resolución judicial al respecto. Dicho Acuerdo fue notificado a las partes y al citado Juzgado de Instrucción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 DECIMOTERCERO: En fechas 14/10/2010, 17/05/2011, 14/11/2011, y 10/05/2012, se solicitó al citado Juzgado de Instrucción información sobre la situación de las Diligencias Previas nº ****/2005, así como de la resolución judicial que en su día se adoptase. Con fecha 18/05/2012 se recibe escrito del citado Juzgado, indicando que las citadas Diligencias Previas se han transformado en el Procedimiento Abreviado ***/2010 y que ha sido remitido al Juzgado Decano de lo Penal de Castellón para su resolución. En fechas 10/12/2012, 18/06/2013, 12/12/2013, 18/07/2014 y 25/02/2015, se solicitó al Juzgado de lo Penal nº 2 de Castellón información sobre la situación del Procedimiento Abreviado ***/2010, así como de la resolución judicial que en su día se adoptase. Con fecha 3/07/2015 se recibe escrito del citado Juzgado, comunicando: <<…En virtud de lo acordado en el procedimiento de referencia, libro el presente para informar que en las presentes actuaciones ha sentencia absolutoria, cuya copia se acompaña, respecto del acusado D.D.D., que ha alcanzado firmeza en el día de la fecha, lo que pongo en su conocimiento a los efectos oportunos…>> DECIMOCUARTO: Con fecha 15/07/2015 el Director de la Agencia Española de Protección de Datos acordó levantar la suspensión del presente procedimiento sancionador. Dicha resolución fue trasladada a la Asociación Independiente y al denunciante. HECHOS PROBADOS PRIMERO: En el acta fundacional de la Asociación Independiente, de fecha 27/08/2003, figuran, entre otros, los datos de nombre y apellidos, nacionalidad, profesión, DNI y domicilio del denunciante y en ella se acuerda su nombramiento como Secretario de la Junta Directiva de la misma. SEGUNDO: Mediante Resolución R/00612/2005 de 12/09/2005 del PS/00082/2005, el Director de la Agencia Española de Protección de Datos, sancionó con 6.010,12 € a la Asociación Independiente, por la publicación en su web de los datos personales de D. C.C.C. (folios 105 a 119). TERCERO: Mediante Sentencia de 16/02/2007 la Audiencia Nacional, acuerda desestimar el recurso interpuesto por dicha Asociación frente a la citada Resolución sancionadora (folios 121 a 130). CUARTO: La Asociación Independiente ha mantenido publicado, en fechas 12/06/08, 27/06/08 y 4/12/08, en su página web www.asigc.org, una copia literal del acta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 fundacional, de fecha 27/08/2003, conteniendo el siguiente tenor literal: “D. C.C.C., mayor de edad, español, funcionario ACTIVO de la Guardia Civil, con D.N.I. núm. F.F.F., y domicilio en la calle A.A.A.)” (folios 21 y 30). QUINTO: En fecha 2/07/09 los datos del denunciante no figuraban en la página web www.asigc.org (folio 131). SEXTO: El Juzgado de Primera Instancia e Instrucción nº 2 de Valdemoro (Madrid) instruyó Diligencias Previas Proc. Abreviado ****/2009 a consecuencia de la denuncia interpuesta por la Asociación Independiente. El 27/01/10 se recibió en esta Agencia Española de Protección de Datos, escrito del citado Juzgado remitiendo Auto de 2/12/2009, por el que se acuerda el sobreseimiento provisional y archivo de las actuaciones, “...por no existir indicios de la comisión de ilícito penal alguno…” (folios 188 y 189). SÉPTIMO: En la sentencia del Juzgado de lo Penal nº 2 de Castellón nº ****/2014 de 30/10/2014, se recogen como hecho probado único: <<…Resulta probado y expresamente así se declara que: En la revista de la Asociación de Simpatizantes de la Guardia Civil, correspondiente a los meses de abril, mayo y junio de 2002, se publicó el currículum profesional de D. C.C.C., como candidato al Consejo Asesor de la Guardia Civil, en el que se contenían datos personales. Asimismo, en el ejemplar del N° 1 de la revista de la Asociación independiente de la Guardia Civil, correspondiente a los meses de enero, febrero y marzo de 2004, se publicó el Acta fundacional de dicha asociación, que contenía los datos personales de D. C.C.C., como uno de los promotores de dicha asociación. No ha quedado acreditado que el contenido de dichas publicaciones se hiciera sin el consentimiento de D. C.C.C., que pertenecía a equipo directivo de dichas asociaciones. No ha quedado acreditado que el acusado D. D.D.D. fuera el responsable del contenido de dichas publicaciones…>> (folios 294 a 302). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II En el presente procedimiento se imputa a la Asociación Independiente una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 infracción del artículo 10 de la LOPD, que dispone que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Este precepto ha de ponerse en relación con el artículo 11.1 de la LOPD que exige con carácter general el consentimiento del afectado para la cesión de sus datos de carácter general, salvo en los supuestos contenidos en el apartado 2 del mismo artículo. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Sentencia de la Audiencia Nacional, de fecha 14/09/2001, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo, lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Esta misma sentencia señala que “la autorización para acceder al conocimiento de los datos de una cuenta bancaria precisa de un consentimiento que ha de ser expreso... “ En el presente caso, ha quedado acreditado que la Asociación Independiente ha estado publicando en la página web www.asigc.org una copia literal del acta fundacional de la Asociación, que contiene los datos de nombre y apellidos, nacionalidad, profesión, DNI y domicilio del denunciante, sin haber procedido a la omisión de los datos o a la disociación prevista en el artículo 3.
7. f)de la LOPD que define el procedimiento de disociación como “Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable” (el subrayado es de la AGPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 La Audiencia Nacional en su sentencia de 08/03/2002, ha señalado que el procedimiento de disociación “consiste en eliminar la conexión entre el dato y la persona, en “despersonalizar” el dato, actuando como barrera que impide la identificación y entrañando en definitiva un elemento protector de la intimidad o privacidad del afectado” (el subrayado es de la AGPD). En este caso, con los datos publicados por la Asociación Independiente es posible identificar al denunciante. Esta publicación se ha realizado sin el consentimiento de aquél para la divulgación de sus datos personales, suponiendo tales hechos una vulneración del deber de secreto que impone el artículo 10 de la LOPD. III De acuerdo con el artículo 10 de la LOPD el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El artículo 3 de la LOPD en su apartado
8. c)define el tratamiento de datos como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La Sentencia del Tribunal de Justicia de las Comunidades Europeas, 6 de noviembre de 2003, en el asunto C-101/01, señala: “El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole”. Teniendo en cuenta la definición de tratamiento de datos transcrita, debe concluirse que la Asociación Independiente, al no suprimir o anonimizar los datos personales del denunciante en su página web, ha realizado un tratamiento automatizado de los datos del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 IV La Asociación Independiente manifestaba en el procedimiento sancionador anteriormente tramitado, que el acta fundacional de la Asociación se encuentra registrada en el Registro Nacional de Asociaciones y, por tanto, es pública. El artículo 22 de la Constitución Española reconoce el derecho de asociación y especifica en su apartado 3 que “las asociaciones constituidas al amparo de este artículo deberán inscribirse en un registro a los solos efectos de publicidad.” La Ley Orgánica 1/2002, de 22 de marzo, reguladora del Derecho de Asociación señala en artículo 29 que “1. Los Registros de Asociaciones son públicos. 2. La publicidad se hará efectiva mediante certificación del contenido de los asientos, por nota simple informativa o por copia de los asientos y de los documentos depositados en los Registros o por medios informáticos o telemáticos que se ajustará a los requisitos establecidos en la normativa vigente en materia de protección de datos de carácter personal.” El artículo 3.
9. j)de la LOPD define las fuentes accesibles al público como “Aquellos ficheros cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación”. Este artículo establece una relación exhaustiva de fuentes de acceso público pues textualmente dice que Tienen la consideración de fuentes de acceso público, exclusivamente ... El Registro de Asociaciones no tiene el carácter de fuente accesible al público a efectos de la LOPD pues no se incluye entre las citadas en el artículo 3.
10. j)de dicha norma y el acceso a los datos personales contenidos en el mismo requiere la observancia de los requisitos contenidos en la LOPD. V Asimismo alega la antedicha Asociación que el denunciante es el responsable de la publicación de sus datos de carácter personal, no obstante no acredita dicho extremo. No obstante en la sentencia del Juzgado de lo Penal nº 2 de Castellón nº ****/2014 de 30/10/2014, se recogen como hecho probado único: <<…No ha quedado acreditado que el contenido de dichas publicaciones se hiciera sin el consentimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 D. C.C.C., que pertenecía a equipo directivo de dichas asociaciones…>> En este sentido la Audiencia Nacional declaró en su Sentencia, de fecha 11/05/2001, que “quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado –art. 6 LO 5/1992-, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. Criterio también mantenido por la Audiencia Nacional en su Sentencia de 15/12/2001 que señala que “Los inspectores de la APD comprueban que los datos de ... figuran registrados en una copia del fichero de clientes. Datos personales que fueron utilizados por ... para remitir las susodichas revistas al menor. Dichos hechos no han sido negados por la actora, es más los admite, sin embargo sostiene que la falta de consentimiento para el tratamiento de datos no ha sido acreditado por la APD, y ésta al tenerlos como tales a la espera de que los probara el inculpado ha invertido la carga de la prueba. Argumento de todo punto insostenible, porque de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la APD probó el hecho constitutivo que era el tratamiento automatizado de datos personales del menor ... , y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo.... Es decir (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/21992. Y nada de esto ha sucedido.” En resumen, compete a la Asociación Independiente probar que posee el consentimiento del denunciante para la publicación de sus datos personales, sobre todo cuando el denunciante niega haberlo otorgado. Así las cosas, la Asociación Independiente ha divulgado datos personales del denunciante sin consentimiento del mismo, sin que se hayan obtenido de fuentes accesibles al público o tratado al amparo de alguna de las excepciones previstas en el artículo 6.2 de la LOPD. Tal conducta supone incurrir en la infracción imputada. VI La LOPD, en la redacción vigente en el momento de comisión de las infracciones (antes de las modificaciones introducidas por Ley 2/2011, de 4 de marzo, de Economía Sostenible), calificaba como infracción leve, grave o muy grave la infracción del artículo 10 de la citada norma, dependiendo del contenido de la información que ha sido indebidamente facilitada a terceros. El artículo 44.3.
11. g)calificaba como infracción grave: “La vulneración del deber de guardar secreto sobre los datos de carácter personal incorporados a ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros, prestación de servicios de solvencia patrimonial y crédito, así como aquellos otros ficheros que contengan un conjunto de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 carácter personal suficientes para obtener una evaluación de la personalidad del individuo.” El artículo 44.3.
12. d)de la LOPD vigente califica como falta grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” Lo esencial por tanto del tipo infractor era la transmisión de datos de carácter personal “suficientes para obtener una evaluación de la personalidad del individuo”. En este caso, es claro que conocer los datos de nombre y apellidos, nacionalidad, DNI, dirección y profesión de una persona ofrece una información necesaria y útil para establecer un perfil del individuo. Por ello, la vulneración del deber de guardar secreto cometida por la Asociación Independiente fue calificada como grave del artículo 44.3.g). En conclusión, la información proporcionada permite hacer una valoración sobre el perfil o personalidad de los titulares de los datos, por lo que la conducta era subsumible en la infracción grave del artículo 44.3.
13. g)de la LOPD y actualmente en el artículo 44.3.
14. d)de la LOPD vigente. VII El artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien.” En el presente procedimiento cuando se tuvo conocimiento de que se habían incoado Diligencias Previas en el Juzgado de Primera Instancia e Instrucción nº 2 de Valdemoro, el Director de la Agencia Española de Protección de Datos acordó la suspensión del procedimiento administrativo iniciado. Una vez que el Juzgado declara el archivo de la causa, se vuelvan a retomar las actuaciones administrativas en la fase en que fueron suspendidas. La resolución judicial recaída permite que el procedimiento administrativo continúe. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 Así mismo cuando se tuvo conocimiento de que se habían incoado Diligencias Previas en el Juzgado de Primera Instancia e Instrucción nº 1 de Nules, el Director de la Agencia Española de Protección de Datos acordó la suspensión del procedimiento administrativo iniciado. Una vez que el Juzgado de lo Penal nº 2 de Castellón dicto sentencia que adquiere firmeza, se vuelvan a retomar las actuaciones administrativas en la fase en que fueron suspendidas. La resolución judicial recaída permite que el procedimiento administrativo continúe. VIII El artículo 45.2 de la LOPD en su versión original establecía: “2. Las infracciones graves serán sancionadas con multa de 60.101,21 a 300.506,05 euros.” La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en su artículo 128. 1 establece: “1. Serán de aplicación las disposiciones sancionadoras vigentes en el momento de producirse los hechos que constituyan infracción administrativa.” No obstante, dicha ley que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable, estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. El artículo 45 de la LOPD, en sus aparatados 1 a 5, establece, según la nueva redacción dada por la Ley 2/2011, que: «1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» De acuerdo con lo señalado en el trascrito articulo 45.5 ha quedado acreditado a lo largo del presente procedimiento que el denunciante formaba parte de la Junta Directiva Provisional de la Asociación Independiente de la Guardia Civil en el momento en el que el Acta Fundacional que contenía datos personales suyos, que publicaba en la revista y en la página web de la Asociación, por lo que se estima que concurre una cualificada disminución de la culpabilidad, aunque no se haya podido acreditar que su publicación se hiciera con su consentimiento o por acuerdo colegiado de la citada Junta Directiva, razón por la que estima que procede la aplicación del artículo 45.5 de la LOPD. Asimismo teniendo en cuenta los criterios de graduación de la sanción que recoge el artículo 45.4 de la LOPD, procede imponer a la Asociación Independiente una sanción de 1.000 € por la infracción del artículo 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la ASOCIACIÓN INDEPENDIENTE DE LA GUARDIA CIVIL (ASIGC), por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
30. d)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la ASOCIACIÓN INDEPENDIENTE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 DE LA GUARDIA CIVIL (ASIGC) y a D. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es