1/12 Procedimiento Nº PS/00312/2015 RESOLUCIÓN: R/03133/2015 En el procedimiento sancionador PS/00312/2015, instruido por la Agencia Española de Protección de Datos a la entidad FEDERACIÓN DE INDUSTRIA DE CCOO, (CCOO INDUSTRIA), y a la CONFEDERACIÓN SINDICAL DE COMISIONES OBRERAS, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29/06/2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que desde la Federación de Industria de CCOO Cádiz y otras Secretarías y Departamentos de afiliación del mismo Sindicato le envían correos electrónicos utilizando distintas direcciones de mail. Manifiesta el denunciante que en ningún momento ha estado afiliado a dicho Sindicato ni en la provincia de Cádiz ni en el resto del Estado Español. Aporta copia de: -Un correo remitido desde la dirección ...@.....ccoo.es a la dirección .....@gmail.com el 25/6/2014 donde le adjuntan una oferta de una clínica dental. -Un correo remitido desde la dirección ...@.....ccoo.es a la dirección .....@gmail.com el 27/6/2014 donde le adjuntan información sobre un curso para personas ocupadas que estén trabajando o hayan trabajado en el sector del metal. -Un correo remitido desde la dirección ..........@industria.ccoo.es a la dirección .....@gmail.com el 23/6/2014, especial congresos. En el pie del correo figura B.B.B., Secretario de Política Institucional Sectorial de Comunicación de CCOO Cádiz. SEGUNDO: Con fecha 19/1/2015, se solicita información a la Confederación Sindical de Comisiones Obreras sobre los datos personales que tienen en sus ficheros de D. A.A.A., relación que mantiene esta persona con la Confederación y consentimiento para el envío de los correos aportados por el denunciante cuya copia se adjunta a la solicitud de información. De la respuesta facilitada se desprende lo siguiente: 1. Aportan copia de una ficha de alta de afiliación que recoge los datos que figuran en sus ficheros referentes a D. A.A.A., con DNI y domicilio diferente a los del denunciante, con fecha de alta 13/10/2004. No consta dirección e-mail. En el logo de la ficha consta CCOO de Galicia Unidad de recaudación. Como información de la recogida figura en la ficha que los datos que se recogen se incorporan “en un fichero de CCOO integrados por los ficheros pertenecientes a la Confederación o Unión Regional correspondiente, según el lugar en que radique su centro de trabajo, a la Federación del Sector al que pertenezca la empresa en la que trabaje así como en todo caso a la CS de CCOO. La finalidad del tratamiento de sus datos por parte de todas ellas la constituye el mantenimiento de su relación como afiliado” 2. Respecto de la documentación que acredite el origen de la dirección e-mail utilizada para enviar los correos así como el consentimiento para los citados envíos, aportan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 ficha de alta de registro de otro afiliado, D. C.C.C., con fecha de alta 17/2/2014 y DNI y domicilio distinto al del denunciante, siendo su e mail: .....@gmail.com (coincide con el aportado por el denunciante). En el logo de la ficha consta CCOO de Andalucía, Unidad e Recaudación y el mismo literal informativo de protección de datos que el anteriormente citado. Consta en otros datos:”UAT gestionada alta ficha recibida de s.p. por e mail el 12/02/2014.” 3. Manifiestan que parece deducirse que existe un error en la dirección de correo electrónico, su afiliado C.C.C. tenía en la ficha por ellos cumplimentada el correo .....@gmail.com, dirección a la que la Organización CCOO enviaba las comunicaciones que estima pertinentes y derivadas de la relación de afiliación. Asimismo, manifiestan que la otra persona, A.A.A. no recibe sus correos electrónicos, por no ser afiliado activo y por no tener correo electrónico entre sus datos personales. 4. Esto les lleva a pensar que debido a una coincidencia entre nombre y apellido esta persona tenga un correo formado por su inicial de primer nombre, segundo nombre completo y segundo apellido .....@gmail.com. Manifiestan que el 8/7/2014 se remitió al correo electrónico .....@gmail.com respuesta a su solicitud de no recibir correos por no tener relación con la organización. Ese es el motivo por el que los correos remitidos son anteriores a esta fecha. Este aspecto no lo acreditan documentalmente. 5. Manifiestan que en un principio se pensó que la diferencia era un punto ya que una dirección era jluis y la otra j.luis pero en la ficha original de C.C.C.que aportan, se puede ver otro carácter diferente antes de la @ que pudiera ser un 7 o una z. Finalmente, manifiestan que se ha comprobado que la dirección de su afiliado es ....1@gmail.com por lo que la incidencia ya está resuelta. Para confirmar este aspecto en la ficha firmada por D. C.C.C. donde él escribió su correo electrónico, se comprueba que consta nombre D. ***NOMBRE.1 y en apellidos C.C.C.. DNI y dirección distintos al del denunciante. E-mal: ....1@gmail.com. Esta ficha está firmada pero no tiene fecha de firma y no viene acompañada de copia de documento acreditativo de la persona firmante. TERCERO: Con fecha 19/1/2015, se solicita información a la Federación de Industria de Comisiones Obreras de Cádiz sobre los datos personales de D. A.A.A. que tienen en sus ficheros, relación que mantiene esta persona con la Confederación y consentimiento para el envío de los correos aportados por el denunciante cuya copia se adjunta a la solicitud de información. De la respuesta facilitada se desprende lo siguiente: 1. Manifiestan que no disponen de ningún dato asociado a A.A.A.. 2. Respecto de los correos electrónicos remitidos a la dirección .....@gmail.com, aportan copia de la ficha de alta y registro de D. C.C.C.. Se comprueba que la ficha está firmada y que consta en el apartado nombre D. ***NOMBRE.1 y en apellidos C.C.C.. DNI: y dirección (distintos de los del denunciante). E mail ....1@gmail.com. Esta ficha no tiene fecha de firma y no viene acompañada de copia de documento acreditativo de la persona firmante. 3. Manifiestan que en la ficha puede verse que superpuesto al carácter de la @ hay un 7 no una Z, que finalmente se comprueba que es un 7 y por tanto la dirección de su afiliado es ....1@gmail.com. 4. También manifiestan que el envío se hace desde ...@.....ccoo.es a .....@gmail.com. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Eso significa que se hace desde la Federación de Industria en el ámbito de Cádiz a sus afiliados de este territorio y de este sector. Concluyen que los correos de CCOO Industria iban dirigidos a su afiliado, ya que en la ficha de alta consta como datos de la empresa sector Industria. CUARTO: Con fecha 29/08/2014, se obtiene impresión de página web de www.industria.ccooo.es y en policita privacidad se indica que Comisiones Obreras Federación de Industria ANT se halla domiciliada en (C/..........1), Madrid, existiendo unidades territoriales de ámbito coincidente con las Comunidades Autónomas. QUINTO: Con fecha 19/06/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la CONFEDERACIÓN SINDICAL DE COMISIONES OBRERAS y a la FEDERACIÓN DE INDUSTRIA DE CCOO, (CCOO INDUSTRIA) por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEXTO: Notificado el acuerdo de inicio, mediante escrito de fecha 15/07/2015, la Confederación alega: La estructura orgánica del Sindicato se recoge en el apartado 3 de los Estatutos. Según el artículo 16, la Confederación confedera dos tipos de organizaciones, Federaciones de Rama y de nacionalidad/uniones regionales. Ambas con niveles organizativos diferentes. La Federación de Rama está relacionada con los lugares de trabajo y la nacional/regional se refiere al territorio El artículo 17 precisa que la CS de CCOO está integrada por las:
- a)Federaciones estatales, de la que penden 8, a título de ejemplo de Enseñanza, de Construcción y Servicios, de Industria, y las Confederaciones de nacionalidad/uniones regionales subdivididas por CCAA. Informa que a efectos de la inscripción del fichero de afiliados, en el presente caso, cada organización es responsable de su fichero y así lo tiene inscrito: la Confederación Sindical de CCOO, la Federación de Industria de CCOO y CCOO de Andalucía, con tres personalidades jurídicas distintas... Manifiesta que en el expediente no hay ningún correo remitido por la Confederación. SÉPTIMO: Notificado el acuerdo de inicio, mediante escrito de fecha 15/07/2015 CCOO Industria alega: 1) Los correos electrónicos de 23, 25 y 27/06/2014 son enviados por la Federación, dirigidos a sus afiliados del ámbito territorial de Andalucía ...@.....ccoo.es, “.....@and.ccoo.es y ..........@industria.ccoo.es. El contenido de todos ellos es información sindical para los afiliados, para desempleados del sector, convocatorias. 2) Solo les consta la petición de baja de 24/06/2014 remitida a comunicación@ccoo.es. Aporta copia de una respuesta al denunciante a través de correo electrónico de 8/07/2014 titulada “ Baja lista de distribución” en el que explica que existe otra dirección como la suya con la diferencia que lleva un punto delante de la @ y el servidor Gmail no distingue los puntos cuando van delante de la @. No es cierto que tras la petición de baja recibiera ningún correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 transcurrido 10 días hábiles desde su solicitud. Se intentó localizar la incidencia, pensando que era el punto delante del @ y se puso no LOPD en la ficha en el apartado de no recibir correos y se incluyó la dirección del denunciante en la lista Robinson de la organización. Acompaña histórico de modificaciones del afiliado C.C.C. figurando 2/02/2015 su dirección correcta y en el apartado e mail 24/06/2014 en clave 2 (no desea correo electrónico), figurando el 2/02/2015 en clave 1. Se acredita así el intento de subsanar el error cuando se recibió a finales de enero 2015 la petición de información en actuaciones previas habiendo adoptado también medidas cautelares de no más envíos de correos 3) El denunciante y su NIF no consta en sus bases de datos como afiliado, siendo el error causado por otro afiliado con nombre C.C.C. que en las fichas mecanizadas figuraba con la misma dirección que la del denunciante, si bien mirando la ficha manual rellenada por la persona, en esta constaba ....1. Niega haber tratado los datos del denunciante sin su consentimiento pues lo que se produjo fue un error de transcripción, además OCTAVO: En la página web http://www.industria.ccoo.es se recaba información sobre los Estatutos de CCOO de Industria, imprimiendo parte de los mismos para destacar que el nombre que figura “Definición de la Federación” es CCOO de Industria, que es parte integrante de la CONFEDERACIÓN SINDICAL DE CCOO (art 4). Su artículo 11 “Afiliación“indica “La afiliación a CCOO de Industria y consecuentemente a la CS de CCOO… Asimismo, en “Política de privacidad”, se obtiene el CIF que figura bajo la denominación Comisiones Obreras-Federación de Industria Ant. NOVENO: Con fecha 19/09/2015 se emitió propuesta de resolución con el literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a FEDERACIÓN DE INDUSTRIA DE CCOO, (CCOO INDUSTRIA) con multa de 6.000 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción imputada del artículo 6.1 de la LOPD imputado a la CONFEDERACIÓN SINDICAL DE COMISIONES OBRERAS, tipificada como grave en el artículo 44.3.
- b)de dicha norma.” DÉCIMO: Se registran alegaciones el 22/10/2015 de CCOO Industria en las que manifiesta:
- a)La anotación manuscrita de la dirección de correo es muy confusa, sin apreciarse bien si es un 7 o una Z el digito que consta antes de la @, por lo que no puede hablarse de falta de diligencia del operador al transcribir la ya de por si dudosa grafía.
- b)Se debería reducir la cuantía teniendo en cuenta que se tomaron acciones preventivas para o enviar más correos, se subsanó diligentemente la infracción, no se obtuvieron beneficios económicos y se atendió el derecho reconociéndose el error. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12
- c)Añade una sentencia de la Audiencia Nacional de 26/02/2014, que se correspondería con el recurso contencioso-administrativo 26/2013 de 26/02/2014 se rebajó la sanción de 20 mil a 6 mil a un Banco que emitió una tarjeta y un cargo por la misma a un cliente y que la había solicitado otro cliente, habiendo actuado el Banco dando de baja y retrocediendo la comisión. HECHOS PROBADOS 1. El denunciante denuncia que sin estar afiliado al Sindicato CCOO, recibe correos electrónicos en su dirección .....@gmail.com. Aporta copia de los siguientes: a. Desde la dirección .....@and.ccoo.es, para:”...@listas.and.ccoo.es” el 23/06/2014, informando de una manifestación el día 26. En el pie del correo figura B.B.B., Secretario de Política Institucional Sectorial de Comunicación de CCOO Cádiz. b. Desde la dirección ..........@industria.ccoo.es a la dirección .....@gmail.com el 23/6/2014, especial congresos, se informa en un boletín editado por la Federación de CCOO Industria, de la constitución de la nueva Federación de CCOO Industria (10, 11). Con fecha 24, figura envío del denunciante a la dirección ..........@industria.ccoo.es solicitando no recibir más e mail ni de ninguna otra con contenido ccoo
(11). c. Desde la dirección ...@.....ccoo.es a la dirección .....@gmail.com, el 25/6/2014 donde le adjuntan una oferta de una clínica dental, pie de firma con Federación Industria Cádiz. (7, 8). d. Desde la dirección ...@.....ccoo.es a la dirección .....@gmail.com el 27/6/2014 donde le adjuntan información sobre un curso para personas ocupadas que estén trabajando o hayan trabajado en el sector del metal, pie de firma con Federación Industria Cádiz. (4, 5). 2. En los sistemas de la CONFEDERACIÓN SINDICAL DE CCOO figura en hoja de “alta de afiliación” un afiliado desde 17/02/2014 llamado C.C.C.que no es el denunciante, pero si tiene un e mail que es .....@gmail.com
(31)y con datos de empresa de una localidad de Cádiz y sector Industria. La hoja indica en el apartado de datos personales que “estos se han incorporado a un fichero titularidad de CCOO integrado por los ficheros pertenecientes a la Confederación o Unión Regional correspondiente según el lugar en que radique su centro de trabajo, así como en todo caso a la CS de CCOO. La finalidad del tratamiento de sus datos por parte de todas ellas constituye el mantenimiento de su relación como afiliado”. Se adjunta el ejemplar cumplimentado a mano por el afiliado en el que se observa que la dirección mecanizada .....@gmail.com podría ser en realidad ....1@gmail.com que es la manuscrita.
(32)La Confederación indica que a la dirección ....@gmail es a la que se han remitido correos electrónicos derivadas de la relación de afiliación. No consta en la hoja de afiliación el uso y finalidades de la dirección de correo electrónico. A los datos de afiliación también tiene acceso Comisiones Obreras de Industria que aporta la misma hoja que la Confederación (33 a 36). 3. CCOO Industria reconoce que cuando se mecanizó la ficha de afiliación manuscrita de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 su afiliado, C.C.C. se cometió el error de no contemplar una letra al final de la primera parte, metiendo la dirección de correo del denunciante ....1@gmail.com, reconociendo también que el envío se produjo desde la Federación de Industria.
(79). 4. CCOO Industria reconoce que recibió el 24/06/2014 la solicitud de baja de las listas (11,78). No se acredita que transcurridos diez días el denunciante recibiera nuevos correos. Al recibirse la petición de información de la Agencia, se encontró el error en la dirección de correo electrónico del afiliado, figurando a 2/02/2015 su dirección corregida. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la Ley Orgánica 15/1999 consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos, que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y, entre esas excepciones contempla a quienes son parte de una relación negocial, siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. No consta que el denunciante estuviera afiliado al Sindicato CCOO, aunque sí que figuraba un afiliado que al tener un nombre similar, proporcionó una dirección de correo electrónico en la que también se incluía referencia a su nombre, y que al pasarse de manual a ficha automatizada, se omitió hacer constar un número, lo que dio lugar a que se pusiera la dirección de correo del denunciante y este recibiera los envíos. Por otro lado no se acredita la comisión de la infracción por la CONFEDERACIÓN SINDICAL de CCOO al constar los envíos específicamente producidos desde la dirección “industria.ccoo.es”. Esta Federación de Comisiones Obreras de Industria, de nivel estatal, e integrada en la Confederación Sindical tiene personalidad jurídica específica, y a efectos de ficheros es un órgano responsable distinto de la Confederación Sindical y de la Confederación Sindical de Comisiones Obreras de Andalucía. A la vista de las consideraciones que han quedado expuestas en los párrafos precedentes se debe ARCHIVAR la infracción imputada a CONFEDERACIÓN SINDICAL de CCOO y proseguir la imputación con la FEDERACIÓN ESTATAL DE COMISIONES DE INDUSTRIA, que realiza los envíos a los afiliados del ámbito de Andalucía, Cádiz. Además, efectúa los envíos de carácter o a título “informativo”. La que ha decidido en más de una ocasión el envío, y el ámbito territorial y funcional del envío ha sido la citada Federación, que decide el contenido de los envíos (sea información de convocatorias, de cursos o de temas relacionados, todos ellos de tipo informativo, distintos aunque complementarios de los envíos que pudieran ser relacionados para el mantenimiento y desarrollo de la relación de afiliados) Correspondiendo a la FEDERACIÓN denunciada la carga de probar que recabaron y obtuvieron el consentimiento del titular del dato del correo electrónico, cabe inferir que en este supuesto dicha obtención no queda acreditada, y si la falta de diligencia en la gestión de traspasar datos manuales a automatizados, que dio lugar a la asignación del dato al denunciante. Por ello, el tratamiento de datos llevado a cabo por la FEDERACIÓN y sobre el que versa este expediente sancionador, no encuentra amparo en la LOPD, por lo que se estima vulnerado por la denunciada el artículo 6.1 de la LOPD. Infracción tipificada en el artículo 44.3.
- b)de la citada norma que dispone: “Son infracciones graves (…)
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 III Una dirección de correo electrónico es un conjunto de palabras que identifican a una persona que puede enviar y recibir correo. Cada dirección es única y pertenece siempre a la misma persona, y está compuesta por el nombre de usuario (a la izquierda de la arroba) con que el usuario desee registrarse, y que no figure ya registrado, es un identificador cualquiera, que puede tener letras, números, y algunos signos, siendo la palabra a la derecha de la arroba el nombre del servidor o proveedor a través del cual el usuario envía y recibe correos. Los correos gratuitos son los más usados, aunque incluyen algo de publicidad. Una desventaja de estos correos es que en cada dirección, la parte que hay a la derecha de la @ puede verse el nombre del proveedor; en otros casos es común comprar un dominio propio, para dar un aspecto más corporativo. Un cliente de correo electrónico, o también llamado en inglés mailer o Mail User Agent (MUA) es un programa de ordenador usado para leer y enviar e-mails. La gran mayoría de clientes de correo electrónico emplean el Protocolo de Transferencia Simple de Correo (Simple Mail Transfer Protocol, SMTP) para enviar los emails. Los correos electrónicos quedan almacenados en el ordenador de destino, teniendo entrada a través del servidor que proporciona el acceso a la red. Al conectarse a dicho correo, en correos recibidos figuran los nuevos correos en el buzón de entrada, pudiendo llevar un título. A partir de ese momento, los correos pueden guardarse en otra carpeta, permanecer en la misma de entrada, guardar en discos para su almacenamiento, o eliminar, pudiéndose en el mismo efectuar búsquedas avanzadas por multitud de criterios que hacen perfectamente asumible su consideración como fichero. En todo caso, no resulta difícil buscar la información, pues estos correos entrantes tienen diversos elementos para su búsqueda: por asunto, fecha, o buscar en modo avanzado incluso por palabras en los textos de todos los mensajes recibidos, también permite búsquedas de recibos entre dos fechas, ordenación que se incluye como referente a un fichero. El apartado 15 de la Directiva 95/46 nos dice que los tratamientos que afectan a los datos de carácter personal sólo quedan amparados por la Directiva cuando están automatizados o cuando los datos a que se refieren se encuentran contenidos en un archivo estructurado según criterios específicos relativos a las personas, a fin de que se pueda acceder fácilmente a los datos de carácter personal de que se trata. Por su parte, el apartado 27 del Preámbulo señala que la protección de las personas debe aplicarse tanto al tratamiento automático de datos como al tratamiento manual; que el alcance de esta protección no debe depender de las técnicas utilizadas, pues lo contrario daría lugar a riesgos graves de elusión; que no obstante, por lo que respecta al tratamiento manual, la Directiva sólo abarca los ficheros, y no se aplica a las carpetas que no están estructuradas; que, en particular, el contenido de un fichero debe estructurarse conforme a criterios específicos relativos a las personas, que permitan acceder fácilmente a los datos personales; que, de conformidad con la definición que recoge la letra
- c)del art. 2 , los distintos criterios que permiten determinar los elementos de un conjunto estructurado de datos pueden ser definidos por cada Estado miembro; que, las carpetas y conjuntos de carpetas, así como sus portadas, que no estén estructuradas conforme a criterios específicos no están comprendidas en ningún caso en el ámbito de aplicación de la presente Directiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En el presente supuesto el denunciante almacenó los correos recibidos, y enviados desde direcciones ccoo industria, cuatro en total, correos que serían susceptibles de ser ordenados, buscados y hallados en base a distintos métodos, estimándose que los correos buscados y hallados forman parte de un fichero. Además, dirección de correo que procede, si bien por error en la mecanización, de los datos de un afiliado y que no es de tal persona sino del denunciante, al que se han remitido los correos sin que conste su consentimiento, siendo la FEDERACIÓN la que decide el fin de los envíos, las fechas y demás peculiaridades de los envíos. Por otro lado, destacar también que en las fichas de afiliación en la que se recogen los datos, no se indica en la cláusula informativa la posibilidad de recibir correos electrónicos a efectos de mantener informado al afiliado, que es una finalidad distinta del mantenimiento de la relación. Si se incluyera dicha finalidad, se debería arbitrar al mismo tiempo la posibilidad de oponerse a dicho tratamiento, insertando una casilla para su marcaje. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del artículo 130 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), tal y como con criterio general ha venido señalando la Jurisprudencia (Sentencias del Tribunal Supremo de 5/06/1989 y 12/03/1990, entre otras muchas), la expresión simple inobservancia del artículo 130.1 de la LRJPAC permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando para la imposición de la sanción, la inobservancia del deber de cuidado. La aplicación del artículo 45.5 de la LOPD <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC)”, SAN 21/01/2014, incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto y en el resto de supuestos examinados en el citado artículo. Considerando que lo sucedido fue un error en la trascripción manual de datos reconocido por la denunciada, que se regularizó la situación antes de iniciarse este procedimiento, y se tomaron acciones preventivas para no volver a enviar correos (45.5.b), procede la aplicación del artículo 45.5 de la LOPD. Ello no supone una reducción total de la responsabilidad habida cuenta que en el tratamiento de datos se ha de actuar con máxima y cuidadosa atención porque se pueden producir resultados no deseados como el producido en este procedimiento. En el presente caso, a efectos del artículo 45. 4 de la LOPD, se debe tener en cuenta que se subsanó diligentemente la infracción, acreditándose que se habían tomado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 medidas para no volver a enviar correos, no se pretendía obtener beneficios pues era información para los afiliados, teniendo en cuenta la entidad de los hechos, se impone una sanción a la Federación de Industria de 1.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FEDERACIÓN DE INDUSTRIA DE COMISIONES OBRERAS (CCOO INDUSTRIA) una sanción de 1.000 euros por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la LOPD, de conformidad con el artículo 45.1, .2, .4 y .5 de la citada LOPD. SEGUNDO: ARCHIVAR la infracción del artículo 6.1 imputada a la CONFEDERACIÓN SINDICAL DE COMISIONES OBRERAS. TERCERO: NOTIFICAR la presente resolución a FEDERACIÓN DE INDUSTRIA DE COMISIONES OBRERAS (CCOO INDUSTRIA), CONFEDERACIÓN SINDICAL DE COMISIONES OBRERAS, y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es