PS-00301-2014

1/14 Procedimiento Nº PS/00301/2014 RESOLUCIÓN: R/02528/2014 En el procedimiento sancionador PS/00301/2014, instruido por la Agencia Española de Protección de Datos a la entidad EXPLOTACIONES CASTILLO PARK, S.L., vista la denuncia presentada por D. D.D.D. y en base a los siguientes, ANTECEDENTES PRIMERO: En escrito de fecha de entrada en esta Agencia de 1 de julio de 2013 Dr. D.D.D. (en lo sucesivo el denunciante), dentista residente en E.E.E. (Alemania), denuncia el envío, en el mes de marzo de 2013, de distintos mensajes electrónicos en alemán, en los que al parecer se suplantaba su identidad y la de otro médico, habiendo sido remitidos desde un equipo con una dirección IP localizada geográficamente en España. Junto a la denuncia se acompaña un informe de los abogados que representan al denunciante, ROXIN RECHTSANWÄLTE, LLP, en el que se incluye diversa información privada sobre la configuración de la cuenta de correo utilizada para el envío, sin especificar la fuente de la que había sido obtenida por una empresa colaboradora, Coprin AG. En fecha 17 de julio por la Inspección de Datos se solicita al denunciante, a través del bufete remitente de la denuncia, que subsane esta, aportando copia íntegra de los encabezados de internet asociados a uno de los mensajes electrónicos denunciados que, a diferencia del otro, no habían sido aportados junto a la denuncia. Asimismo, se solicita copia íntegra del informe original en el que la compañía Coprin AG había certificado la vinculación entre las direcciones de correo mencionadas en el informe, especificando el procedimiento por el que dicha compañía había tenido conocimiento de esta vinculación. También se solicita al denunciante que especifique la relación que, en su caso, pudiera mantener con las compañías titulares de las direcciones mencionadas y que aporte copia de la denuncia que, en su caso, hubiera presentado ante los Tribunales de Justicia por la suplantación de su identidad. Mediante escrito registrado en esta Agencia el 19 de agosto, el bufete alemán aclara que no puede aportar copia de los encabezados de internet asociados al segundo de los mensajes denunciados, al haber sido remitido a un tercero. Junto al escrito no se aporta la copia solicitada del informe original de la compañía Coprin AG, aunque se aclara que la vinculación entre las direcciones electrónicas fue averiguada “por medio de una investigación por parte de la Policía alemana a través de una consulta a Google” y que les fue confirmada verbalmente por la Policía Local de E.E.E.. El bufete ROXIN RECHTSANWÄLTE ha aclarado que al tratarse de una dirección IP procedente de España, las investigaciones policiales no han podido continuar, aunque podrían ser reanudadas en caso de tener un sospechoso identificado. Junto al escrito de subsanación no se ha aportado, sin embargo, ningún documento oficial de la Policía confirmando tales extremos. En fecha 1 de octubre se dictó resolución por el Director de la Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 de Protección de Datos, acordando el archivo de la denuncia (ref. E/04255/2013). En fecha 8 de noviembre ROXIN RECHTSANWÄLTE, LLP, en representación de su cliente Dr. D.D.D., presentó recurso de reposición a la citada resolución. Junto al recurso de reposición planteado se aportaba copia de distintos documentos relacionados con la investigación llevada a cabo por las autoridades policiales alemanas, sustentando los extremos expuestos en la denuncia. En fecha 18 de noviembre se estima el recurso presentado y se acuerda la realización de las actuaciones previas E/06961/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a diversas entidades, teniendo conocimiento de que: 1. De la documentación aportada junto a la denuncia se desprende la siguiente información sobre los mensajes denunciados:  El primero fue remitido el día 11 de marzo de 2013, a las 14:58 +01:00 horas, a un colega profesional del denunciante, desde la dirección A.A.A., aunque en el nombre asociado al remitente se hizo constar la dirección profesional del denunciante ( C.C.C.). En este mensaje, que se firmaba con el nombre y apellido del denunciante, se informaba de que el supuesto remitente era homosexual y cerraba su clínica por su baja cualificación y se solicitaba al destinatario que hiciera llegar esa información al círculo de colegas.  El segundo de los mensajes, recibido por el denunciante en su buzón profesional, C.C.C., fue remitido el 13 de marzo de 2013 (a las 17:38 +01:00 horas) desde la dirección A.A.A., aunque en el nombre asociado al remitente se hizo constar la dirección profesional de un colega profesional del denunciante. En este mensaje el supuesto remitente le planteaba la compra de su clínica. De la información facilitada a la Agencia por el operador de telecomunicaciones que tiene asignado el rango de direcciones al que corresponde la dirección IP referenciada en la denuncia, se desprende que ambos mensajes habrían sido remitidos desde equipos vinculados a la línea ***TEL.1, de la que es titular la compañía EXPLOTACIONES CASTILLO PARK, S.L. (en lo sucesivo el denunciado), con domicilio de instalación en el municipio de Pájara, en la isla canaria de Fuerteventura. 2. Según se desprende de la información aportada por Google Inc. a la policía alemana el 22 de marzo de 2013, la dirección electrónica A.A.A. desde la que se remitieron los citados mensajes había sido creada el 14 de junio de 2011 y se hallaba vinculada con la cuenta B.B.B., como dirección secundaria. 3. FABER GAMES, S.L., con domicilio en Ibi, Alicante, ha confirmado a la Inspección de Datos que mantiene una relación comercial con el grupo empresarial al que pertenecen las mercantiles EXPLOTACIONES CASTILLO PARK, S.L. y COMERCIAL JUPAMA, S.A. A este respecto, ha aportado copia de varias facturas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 emitidas a nombre de la última, por diversos conceptos relacionados con la conexión a su plataforma tecnológica. De la información facilitada por FABER GAMES, S.L. no se deduce la identidad de ningún trabajador con acceso a la cuenta B.B.B. que desarrollase su actividad en la isla de Fuerteventura. 4. El denunciado ha declarado a la Inspección que pertenece al Grupo Juan Padrón y que centra su actividad en la explotación de inmuebles. Según se desprende de la información que obra en el Registro Mercantil, al mismo grupo empresarial pertenecen, entre otras, las siguientes sociedades:  COMERCIAL JUPAMA, S.A. cuyo objeto social declarado es el siguiente: “reparar y mantener máquinas recreativas, explotar salones de juego”.  AUTOMÁTICOS MAXORATA, S.A. 5. El denunciado ha reconocido que es propietaria de un inmueble (Sala Ventura) alquilado a AUTOMÁTICOS MAXORATA, S.A., empresa operadora de máquinas recreativas, que utiliza la conexión ADSL vinculada a la línea telefónica citada en el apartado 1 y que presta, desde ese local, un servicio de acceso público a internet (“cyber”). Así mismo, ha declarado que tiene constancia de que AUTOMÁTICOS MAXORATA, S.A. mantiene una relación mercantil con FABER GAMES, S.L. y ha aportado a la Agencia una copia de una factura emitida por esta última compañía a nombre de AUTOMÁTICOS MAXORATA, S.A., por el licenciamiento de la plataforma que da soporte a las máquinas con las que opera el “cyber”. 6. Habiendo sido expresamente requerido por la Inspección, el denunciado no ha revelado a la Agencia la identidad de las personas que, prestando sus servicios en la citada Sala Ventura, con acceso a internet a través de la citada línea telefónica, hubieran podido tener contacto comercial con FABER GAMES, S.L. en los últimos años y que, en las fechas de remisión de los mensajes electrónicos, pudieran haber hecho un uso personal del buzón de correo A.A.A., sobre el que la compañía declara, por otra parte, desconocer quién lo gestiona, al estar asociado a un servicio gratuito de Google, susceptible de ser usado por cualquier persona. TERCERO: Con fecha 3 de junio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 30/06/2014 formuló alegaciones, significando que: <<…Por tanto, debemos reiterar que desconocemos quién gestiona el buzón de correos ........@gmail.com, (debiendo significar que se trata de un servidor de correos de google gratuito y, por consiguiente, susceptible de ser utilizado por cualquiera) y, si bien no corresponde a esta parte hacer notar tal extremo, lo que a buen seguro no escapa a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Sra. Instructora es el hecho de que la dirección de correo electrónica asociada a la cuenta B.B.B., sea una dirección de correo electrónica corporativa y, en lo que aquí nos atañe, ajena a esta parte, lo que cuanto menos debería exculpar a EXPLOTACIONES CASTILLO PARK de cualquier responsabilidad pues, si bien no se afirma en el inicio del expediente sancionador, entendemos que es dominio corporativo de la empresa que presta el servicio de mantenimiento de las máquinas del Cyber y, su utilización-la del dominio queremos decir- debe estar restringida al personal de dicha mercantil. Es significativo que en el punto tercero del Hecho Segundo del mentado inicio de expediente Faber Games, S.L. no pueda dar la identidad de ningún trabajador con acceso a la cuenta B.B.B. que desarrolle su actividad en la Isla de Fuerteventura. Cuando lo que realmente debería identificar o poner en conocimiento de la agencia los datos del personal encargado de realizar las instalaciones o el mantenimiento de las máquinas contratadas por Automáticos Maxorata S.A. en la Sala Ventura, quienes, sin duda, podrán manejar perfectamente la dirección de correo corporativo de su empresa. (No olvidemos que dichos mensajes están vinculados como segunda dirección a los mensajes objeto de denuncia) (el subrayado es de la AEPD). No podemos obviar que Faber Games S.L. es la encargada de instalar y mantener más de cincuenta máquinas para el Cyber (…) Explotaciones Castillo Park únicamente es la propietaria del Local y, titular de los suministros del citado local (agua, Luz, teléfono (ADSL)…) lo que en ningún caso comporta que se decida sobre el destino de los mismos…>> QUINTO: Con fecha 17/07/2014 se inició el período de práctica de pruebas, en el que se acuerda: <<…1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. D.D.D. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección durante las actuaciones previas de Inspección que forman parte del expediente E/06961/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00301/2014 presentadas por EXPLOTACIONES CASTILLO PARK, S.L., y la documentación que a ellas acompaña. 3. Solicitar a la entidad EXPLOTACIONES CASTILLO PARK, S.L. que remita copia del contrato que sustenta la relación establecida con AUTOMÁTICOS MAXORATA, S.A. Así mismo se solicita que especifique las obligaciones que, en su caso, hubiera asumido AUTOMÁTICOS MAXORATA, S.A. en relación con el uso y comercialización de la línea de telecomunicaciones ***TEL.1, de la que es titular la entidad EXPLOTACIONES CASTILLO PARK, S.L., aportando copia de toda la documentación que pueda acreditar el compromiso adquirido al respecto por AUTOMÁTICOS MAXORATA, S.A. Dicha remisión deberá ser realizada en el plazo de diez días hábiles desde la recepción del presente escrito. 4. Solicitar a la entidad FABER GAMES, S.L. lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14  Datos identificativos (nombre y apellidos, NIF, domicilio) de las personas que han prestado, en nombre de FABER GAMES, S.L., servicios de instalación o mantenimiento del cyber de la Sala Ventura (Pájara, Fuerteventura, Las Palmas) en el mes de junio de 2011 y en los días 11, 12 y 13 de marzo de 2013.  Indicación de quiénes de los anteriores tienen o han tenido acceso al buzón B.B.B. en las citadas fechas.  Copia de los contratos suscritos, en su caso, con terceras entidades para la realización de los servicios de instalación y mantenimiento antes citados. 5. Solicitar a D. D.D.D. identificación de las personas que, pudiendo tener su domicilio en la isla de Fuerteventura o en la provincia de Alicante, han podido tener conocimiento de su actividad profesional y de su dirección electrónica de contacto, C.C.C., en la que recibió el mensaje denunciado. 6. Por otro lado, en cuanto a la prueba instada por EXPLOTACIONES CASTILLO PARK, S.L.: “…Se libre oficio a Google Inc para que facilite la dirección IP o, en su caso, la dirección física del lugar donde fue creada la dirección de correo electrónico A.A.A. el 14 de Junio de 2011…”, el artículo 80 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece en su apartado 3: “El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada”. El artículo 137.4 de la misma Ley dispone: “Se practicarán de oficio o se admitirán a propuesta del presunto responsable cuantas pruebas sean adecuadas para la determinación de hechos y posibles responsabilidades”. Del análisis de la documentación que obra en el expediente se desprende que en fecha 22 de marzo de 2013 Google dio contestación al requerimiento de la Policía alemana, aportando la información que obraba en sus sistemas relativa a la creación, en el año 2011, de la citada cuenta de correo electrónico, no constando datos sobre la dirección IP asociada. Por todo ello, procede rechazar la prueba propuesta, sin perjuicio de que por esa parte pueda aportarse cualquier documentación que resulte de interés para la defensa de sus derechos…>> SEXTO: Mediante escrito de 31/07/2014 el denunciado remite copia del contrato solicitado y comunica: “…Asimismo se nos requiere para que especifiquemos las obligaciones que, en su caso, hubiera asumido Automáticos Maxorata S.A., en relación con el uso y comercialización de la línea de teléfono ***TEL.1 con la documental que acredite tales extremos. Pues bien, al respecto solo podemos resaltar las obligaciones dimanantes de las estipulaciones tercera y cuarta del contrato que se adjunta y, por el que mi representada se obliga a facilitar los medios para que la mercantil explotadora pueda realizar la actividad. Entre estos medios, si bien no lo expone expresamente, se encontrarían los suministros de agua, luz, teléfono y, tratándose de la explotación de un Cyber, sin duda, la línea ADSL objeto de este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 SÉPTIMO: Con fecha 12/08/2014 el representante del denunciante remite contestación, por correo electrónico, comunicando: <<…2.- Mi representado tiene serias sospechas respecto de un sujeto concreto quien es propietario de un apartamento en España y con quien ha tenido una vinculación alguna discordancia y cuyos datos, conforme la legislación que rige este proceso, podría aportarlos en este acto, no obstante, siguiendo expresas instrucciones de mi mandante, nos reservamos dichos datos en este momento debido al tratamiento de datos personales en Alemania y en general, a la legislación de aquél país, pues en estricto cumplimiento de su legislación podría mi patrocinado incurrir en “calumnias”. 3.- Asimismo, mi patrocinado ha cumplido con los deberes de protección de datos inherentes a su cuenta de correo electrónico de uso profesional, por lo que no habiendo desatendido la normativa resulta del todo imposible que sea eI debido la injerencia en su intimidad. 4.- Habida cuenta de que esta parte tiene conocimiento de que, de contrario se han vertido una serie de alegaciones, solicitamos por medio del presente escrito se nos dé traslado de las mismas a fin de poder confirmar las sospechas que actualmente tiene mi patrocinado y así facilitar cuantos datos nos sean posibles a esta Ilma. Agencia a la que me dirijo y con el mejor de los ánimos de colaboración…>> Así mismo a fecha de hoy no se ha recibido escrito alguno a la solicitud realizada a la entidad FABER GAMES, S.L. Con fecha 26/09/2014 el denunciante solicita la personación en el procedimiento y la remisión de alguno de sus documentos. OCTAVO: Con fecha 30/09/2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se exonere de responsabilidad al denunciado por los hechos imputados en el presente procedimiento sancionador. Dicha propuesta fue notificada al denunciado, así como al denunciante remitiéndole la documentación solicitada. NOVENO: Mediante correo electrónico de 14/10/2014 el denunciante solicita tener acceso al expediente completo y la suspensión del plazo. Con fecha 15/2014 se remite por correo certificado al denunciante escrito en el que se comunica la denegación de la suspensión del plazo de alegaciones, así como: <<…En relación con la solicitud de remisión del procedimiento completo. Con fecha 30 de septiembre de 2014, previa solicitud se le remitió copia de los documentos que no obraban en su poder así: - contestación de Telefónica sobre la titularidad de la IP. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 - escrito de contestación a la solicitud de información de Faber Games, no remitiéndose la documentación adjunta (fotocopia de facturas por sus servicios a una tercera entidad). - escrito de contestación a la solicitud de información de Explotaciones Castillo, no remitiéndose la documentación adjunta (fotocopia de facturas de ARSYS a una tercera entidad). - nuevo escrito de contestación a la solicitud de información de Explotaciones Castillo, no remitiéndose la documentación adjunta (fotocopia de factura Faber Games a una tercera entidad). - escrito de alegaciones al Acuerdo de inicio de Explotaciones Castillo, no remitiéndose la documentación adjunta (fotocopia de los contratos de arrendamiento de industria de bar de salón recreativo y prestación de servicio con una persona particular en 20132014). - escrito de contestación a la solicitud en periodo de pruebas de Explotaciones Castillo, no remitiéndose la documentación adjunta (fotocopia del contrato de instalación – explotación de máquinas recreativas entre dicha entidad y una tercera entidad). Teniendo en cuenta el contenido de dicha documentación (facturas de consumo y contratos suscritos con terceras entidades), por todo ello no se le remitió copia de dicha documentación, ya que incluyen información relativa a terceros ajenos a los hechos que motivan las presentes actuaciones…>> DECIMO: Con fecha 29/10/2014 tiene entrada en la Agencia correo electrónico del denunciante, realizando alegaciones frente a la citada propuesta de resolución en el que comunica: << Pues bien, sorprende que sólo 4 días más tarde de nuestra personación formal en el procedimiento, esto es, el 30 de septiembre de 2014, se produzca la resolución que ahora discutimos. Y es que no se ha posibilitado la discusión formal entre las partes, el estudio y análisis de las diligencias practicadas a esta representación ni mucho menos la proposición de cuantas pruebas y diligencias estimemos, siempre a los efectos de esclarecer los hechos y concretar los responsables de los mismos (…) deje en suspensión dicha propuesta en tanto acuerde el traslado a esta parte de cuantas alegaciones y documentación hayan presentado las partes implicadas y, asimismo, requiera nuevamente a FABER GAMES a fin de que aporte cuantos datos y documentación se le hubiera requerido…>> HECHOS PROBADOS PRIMERO: En escrito de fecha de entrada en esta Agencia de 1 de julio de 2013 el denunciante, dentista residente en E.E.E. (Alemania), denuncia el envío, en el mes de marzo de 2013, de distintos mensajes electrónicos en alemán, en los que al parecer se suplantaba su identidad y la de otro médico, habiendo sido remitidos desde un equipo con una dirección IP localizada geográficamente en España (folios 1 a 20). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 SEGUNDO: De la documentación aportada junto a la denuncia, que incluye documentación obtenida por la Policía alemana, se desprende la siguiente información sobre los mensajes denunciados:  El primero fue remitido el día 11 de marzo de 2013, a las 14:58 +01:00 horas, a un colega profesional del denunciante, desde la dirección A.A.A., aunque en el nombre asociado al remitente se hizo constar la dirección profesional del denunciante ( C.C.C.). En este mensaje, que se firmaba con el nombre y apellido del denunciante, se informaba de que el supuesto remitente era homosexual y cerraba su clínica por su baja cualificación y se solicitaba al destinatario que hiciera llegar esa información al círculo de colegas.  El segundo de los mensajes, recibido por el denunciante en su buzón profesional, C.C.C., fue remitido el 13 de marzo de 2013 (a las 17:38 +01:00 horas) desde la dirección A.A.A., aunque en el nombre asociado al remitente se hizo constar la dirección profesional de un colega profesional del denunciante. En este mensaje el supuesto remitente le planteaba la compra de su clínica (folios 24 a 53) TERCERO: De la información facilitada a la Agencia por el operador de telecomunicaciones que tiene asignado el rango de direcciones al que corresponde la dirección IP referenciada en la denuncia, se desprende que ambos mensajes habrían sido remitidos desde equipos vinculados a la línea ***TEL.1, de la que es titular la compañía EXPLOTACIONES CASTILLO PARK, S.L., con domicilio de instalación en el municipio de Pájara, en la isla canaria de Fuerteventura (folio 61). CUARTO: Según se desprende de la información aportada por Google Inc. a la policía alemana el 22 de marzo de 2013, la dirección electrónica A.A.A. desde la que se remitieron los citados mensajes había sido creada el 14 de junio de 2011 y se hallaba vinculada con la cuenta B.B.B., como dirección secundaria (folios 44 a 45). QUINTO: FABER GAMES, S.L., con domicilio en Ibi, Alicante, ha confirmado a la Inspección de Datos que mantiene una relación comercial con el grupo empresarial al que pertenecen las mercantiles EXPLOTACIONES CASTILLO PARK, S.L. y COMERCIAL JUPAMA, S.A. A este respecto, ha aportado copia de varias facturas emitidas a nombre de la última, por diversos conceptos relacionados con la conexión a su plataforma tecnológica. De la información facilitada por FABER GAMES, S.L. no se deduce la identidad de ningún trabajador con acceso a la cuenta B.B.B. que desarrollase su actividad en la isla de Fuerteventura (folio 76). SEXTO: EXPLOTACIONES CASTILLO PARK, S.L. ha declarado a la Inspección que pertenece al Grupo Juan Padrón y que centra su actividad en la explotación de inmuebles. Según se desprende de la información que obra en el Registro Mercantil, al mismo grupo empresarial pertenecen, entre otras, las siguientes sociedades:  COMERCIAL JUPAMA, S.A. cuyo objeto social declarado es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 “reparar y mantener máquinas recreativas, explotar salones de juego”.  AUTOMÁTICOS MAXORATA, S.A. EXPLOTACIONES CASTILLO PARK, S.L. ha reconocido que es propietaria de un inmueble (Sala Ventura) alquilado a AUTOMÁTICOS MAXORATA, S.A., empresa operadora de máquinas recreativas, que utiliza la conexión ADSL vinculada a la línea telefónica ***TEL.1 y que presta, desde ese local, un servicio de acceso público a internet (“cyber”). Así mismo, ha declarado que tiene constancia de que AUTOMÁTICOS MAXORATA, S.A. mantiene una relación mercantil con FABER GAMES, S.L. y ha aportado a la Agencia una copia de una factura emitida por esta última compañía a nombre de AUTOMÁTICOS MAXORATA, S.A., por el licenciamiento de la plataforma que da soporte a las máquinas con las que opera el “cyber” (folios 85 y 106). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En el presente caso, no pueden ser tenidas en cuenta las alegaciones del denunciante frente a la propuesta de resolución, en el sentido de suspender el procedimiento hasta que la entidad Faber Games, S.L. aporte la información solicitada en pruebas, pues el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, regula el Procedimiento Sancionador de esta Agencia en sus Artículos 127 y 128, estableciendo: <<…Artículo 127. Iniciación del procedimiento. Con carácter específico el acuerdo de inicio del procedimiento sancionador deberá contener:
3. a)Identificación de la persona o personas presuntamente responsables.
4. b)Descripción sucinta de los hechos imputados, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
5. c)Indicación de que el órgano competente para resolver el procedimiento es el Director de la Agencia Española de Protección de Datos.
6. d)Indicación al presunto responsable de que puede reconocer voluntariamente su responsabilidad, en cuyo caso se dictará directamente resolución.
7. e)Designación de instructor y, en su caso, secretario, con expresa indicación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 régimen de recusación de los mismos.
8. f)Indicación expresa del derecho del responsable a formular alegaciones, a la audiencia en el procedimiento y a proponer las pruebas que estime procedentes.
9. g)Medidas de carácter provisional que pudieran acordarse, en su caso, conforme a lo establecido en la sección primera del presente capítulo. Artículo 128. Plazo máximo para resolver. 1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones…>> Así mismo el Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, estable que: <<…Artículo 11. Forma de iniciación. 1. Los procedimientos sancionadores se iniciarán siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, petición razonada de otros órganos o denuncia…>> <<…Artículo 20.6 Resolución 6. Si no hubiese recaído resolución transcurridos seis meses desde la iniciación, teniendo en cuenta las posibles interrupciones de su cómputo por causas imputables a los interesados o por la suspensión del procedimiento a que se refieren los artículos 5 y 7, se iniciará el cómputo del plazo de caducidad establecido en el artículo 43.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común…>> <<…Artículo 5. Concurrencia de sanciones. 1. El órgano competente resolverá la no exigibilidad de responsabilidad administrativa en cualquier momento de la instrucción de los procedimientos sancionadores en que quede acreditado que ha recaído sanción penal o administrativa sobre los mismos hechos, siempre que concurra, además, identidad de sujeto y fundamento…>> <<…Artículo 7. Vinculaciones con el orden jurisdiccional penal. 1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien…>> III El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
10. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
11. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El vigente Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define el concepto de datos de carácter personal como cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a una persona física identificada o identificable. En este mismo sentido se pronuncia el artículo 2.
12. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. La Directiva 95/46/CE en su Considerando 14 señala: “