PS-00322-2013

1/12 Procedimiento Nº PS/00322/2013 RESOLUCIÓN: R/02307/2013 En el procedimiento sancionador PS/00322/2013, instruido por la Agencia Española de Protección de Datos a la entidad DIRECTO A CASA VENTA DIRECTA S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 25 de enero de 2013 tiene entrada en esta Agencia un escrito de A.A.A., en adelante el denunciante, en el que manifiesta lo siguiente: El día 15 de diciembre de 2012 solicitó, mediante correo electrónico, la baja del correo electrónico .........1@gmail.com de la suscripción a la newsletter de la empresa DIRECTO A CASA VENTA DIRECTA, S.L., contestada afirmativamente por la empresa mediante correo de fecha 17 de diciembre de 2012. Dicha respuesta de confirmación ha sido remitida a una lista de distribución sin ocultar las direcciones de correo electrónico. Después ha continuado recibiendo dicha neswletter, por lo que el día 22 de diciembre de 2012 volvió a solicitar la baja, siendo nuevamente confirmada la baja por la entidad. Con posterioridad a las solicitudes de baja de las newsletter ha recibido una nueva comunicación comercial de la empresa de fecha 20/1/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad DIRECTO A CASA VENTA DIRECTA S.L., teniendo conocimiento de que: 1. El denunciante aporta copia de los siguientes comunicaciones electrónicas:  Solicitud de baja remitida el día 15/12/2012 desde .........1@gmail.com a bajacliente@.........1  Confirmación de que se ha procesado la baja solicitada, remitida el día 17/12/2012 desde calidad@.........1 a una lista de distribución de 16 destinatarios, entre los que se encuentra la dirección .........1@gmail.com.  Coreo publicitario recibido el día 22/12/2013, promociones@.........2 a .........1@gmail.com remitido desde  Nueva solicitud de baja de la newsletter, remitido desde la dirección de correo .........1@gmail.com a la dirección de correo calidad@.........2  Correo electrónico de confirmación de baja y de disculpa remitido el día 27 de diciembre de 2012 desde calidad@.........2 a .........1@gmail.com  Correo electrónico publicitario recibido el día 20/1/2013 remitido desde promociones@.........1.........1@gmail.com C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 2. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de DIRECTO A CASA VENTA DIRECTA S.L. remitieron un escrito en el que manifestaron, en referencia a los envíos en cuestión, que: 1. DIRECTO A CASA VENTA DIRECTA S.L. recibió las solicitudes de baja remitidas por el denunciante aportadas a la denuncia. 2. El motivo por el que no se dio de baja a .........1@hotmail.com fue el error que tenía DIRECTO A CASA S.L. en la base de datos que no identificaba, al efectuar las órdenes de baja, ciertas cuentas de correo al combinar mayúsculas y minúsculas, y/o letras y números. 3. La fecha de eliminación correcta del registro dentro de la bbdd fue exactamente el día 31 de enero de 2013. 3. El representante de DIRECTO A CASA VENTA DIRECTA S.L. no ha acreditado tener consentimiento del titular de la dirección .........1@gmail.com para que se haga pública dicha dirección de correo electrónico al resto de los destinatarios que consta en el correo electrónico enviado por dicha entidad el día 17/12/2012 desde calidad@.........1, confirmando que se ha procedido a atender la solicitud de baja. TERCERO: Con fecha 17 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DIRECTO A CASA VENTA DIRECTA S.L. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3

1. d)de la citada Ley Orgánica y por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, tipificada como leve en el art. 38.4d). CUARTO: Notificado el acuerdo de inicio, DIRECTO A CASA VENTA DIRECTA S.L. mediante escrito de fecha formuló alegaciones, reiterando lo manifestado anteriormente en fase de actuaciones previas de inspección, dejando constancia que el denunciante autorizo a la entidad a disponer de sus datos, y que se produjo de forma puntual e involuntaria el error informático al que se hizo referencia anteriormente. QUINTO: Con fecha 16/07/2013 se inició el período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante DIRECTO A CASA VENTA DIRECTA S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01421/2013 y las alegaciones al acuerdo de inicio PS/00322/2013 presentadas por DIRECTO A CASA VENTA DIRECTA S.L., y la documentación que a ellas acompaña. SEXTO: En fecha de 6/08/2013 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando: PRIMERO.- Que por el Director de la Agencia Española de Protección de Datos se sancione a DIRECTO A CASA VENTA DIRECTA, S.L. con multa de 1.200 € (mil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 dos cientos euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4
2. d)de dicha norma. SEGUNDO.- Que por el Director de la Agencia Española de Protección de Datos se sancione a DIRECTO A CASA VENTA DIRECTA, S.L con multa de 1000 € (mil euros) por la infracción del artículo 10 de la LOPD tipificada como grave en el artículo 44.3
3. d)de dicha norma. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 15/12/2012 el denunciante solicito mediante correo electrónico la baja de la suscripción de un servicio newsletter a la empresa DIRECTO A CASA VENTA DIRECTA, S.L., contestada afirmativamente mediante correo electrónico en fecha de 17/12/2012 en el que se incluye la dirección de correo electrónico de los demás destinatarios. (Folio 3, 20) DOS.- En fecha de 22/12/2012 se remite desde la dirección de correo promociones@.........2 una comunicación comercial a la dirección de correo electrónico del denunciante. (Folio 5 y 13) TRES.- En fecha de 22/12/2012, el denunciante reitera la solicitud de baja del servicio newsletter a la dirección de correo calidad@.........1 (Folio 4) CUATRO.-En fecha de 27/12/2012, DIRECTO A CASA VENTA DIRECTA, S.L., confirma la eliminación de la cuenta de correo del denunciante. (Folio 38) CINCO.- En fecha de 20/01/2013, se remite desde la dirección de correo promociones@.........2 una comunicación comercial a la dirección de correo electrónico del denunciante. (Folio 8 y 20) FUNDAMENTOS DE DERECHO I La competencia para sancionar por la comisión de las infracciones tipificadas en el artículo 38.4.
4. d)de la LSSI, corresponde a la Agencia Española de Protección de Datos según dispone el artículo 43.1 de dicha Ley, asimismo la competencia para sancionar las infracciones por vulneración de la LOPD corresponde al Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada entre el público en general es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 legislación española, tanto por la LSSI (a consecuencia de la transposición de la Directiva 2000/31/CE, de 8 de junio) como por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes y servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, si bien esta prohibición encuentra la excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que fueron objeto de contratación”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del art. 21,2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. Como ya se ha señalado en cuanto a la posible obtención ilícita de los datos del destinatario, la práctica del “spam” además de suponer una infracción a la LSSI, puede significar una vulneración de la legislación sobre protección de datos, ya que hay que tener en cuenta que la dirección de correo electrónico puede ser considerada como dato de carácter personal. La Directiva sobre Privacidad en las Telecomunicaciones, de 12/07/02, (Directiva 2002/58/CE) actualmente transpuesta en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, que modifica varios artículos de la LSSI, introdujo en el conjunto de la Unión Europea el principio de “opt in”, es decir, la necesidad de contar con el consentimiento previo del destinatario para el envío de correo electrónico con fines comerciales. De este modo, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. Por lo tanto, atendiendo al enunciado del art. 21.1 de la LSSI, resulta esencial delimitar el sentido aplicado por la citada normativa a la exigencia de consentimiento, previo y expresamente manifestado por el destinatario del mensaje, para que pueda admitirse el envío de comunicaciones publicitarias o promocionales por correo electrónico. La repetida LSSI, que tiene por objeto, entre otras materias, la regulación del envío de las comunicaciones comerciales por vía electrónica, establece expresamente en su artículo 1.2 que las disposiciones contenidas en la misma se entenderán sin perjuicio de lo dispuesto en las normas que tengan como finalidad la protección de datos personales. Al referirse en el Título III de la LSSI a las “comunicaciones comerciales por vía electrónica”, el artículo 19 de la LSSI declara igualmente aplicable la LOPD y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 normativa de desarrollo, “en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Esta rotunda previsión legal permite afirmar que, además de lo establecido en la LSSI, serán exigibles en el tratamiento de datos personales para la realización de comunicaciones comerciales por medios electrónicos el conjunto de principios, garantías y derechos contemplados en la normativa de protección de datos de carácter personal. Por tanto, en relación al concepto de consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, el artículo 3.
6. h)de la LOPD que establece: “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por tanto, de acuerdo con dicha definición, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del tipo de tratamiento y su finalidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. III Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
7. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Por su parte el Anexo
8. a)de la citada LSSI reconoce como Servicios de la Sociedad de la Información, entre otros y siempre que representen una actividad económica, los envíos de comunicaciones comerciales. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
9. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
10. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario”. A través de dicha definición el Legislador español transpuso el concepto recogido en las Directivas 98/34/CEE, de 22 de junio, del Parlamento y del Consejo, por la que se establece un procedimiento de información en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 materia de normas y reglamentaciones técnicas y de las reglas relativas a los servicios de la Sociedad de la Información, modificada por la Directiva 98/84/CE, de 20 de noviembre, del Parlamento y del Consejo, relativa a la protección jurídica de los servicios de acceso condicional o basados en dicho acceso. Dicha definición se refiere, tal y como se expresa en el Considerando 17 de la citada Directiva 2000/31/CE, a “cualquier servicio prestado normalmente a título oneroso, a distancia, mediante un equipo electrónico para el tratamiento (incluida la comprensión digital) y el almacenamiento de datos, y a petición individual de un receptor de un servicio”, añadiendo que estos servicios cuando “no implica tratamiento y almacenamiento de datos no están incluidos en la presente definición”. De acuerdo con lo señalado, el concepto de comunicaciones comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional, y, además, ha de realizarse dicha comunicación en los términos que señala el Considerando 17 de la Directiva 2000/31/CE que recoge lo previsto en las citadas Directivas 98/34/CE y 98/84/CE. En el presente caso, electrónico analizado. se ha acreditado el carácter comercial del correo IV En el presente supuesto, ha quedado acreditado que el denunciante recibió en su buzón de correo electrónico dos comunicaciones comerciales por medios electrónicos sin autorización expresa y sin que concurriera alguna relación comercial previa de productos similares que pudiera legitimar el envío, ya que solicitó expresamente la baja del servicio newsletter y no se ha probado nueva compra de productos o contratación de servicios por parte del denunciante con posterioridad a dichas solicitudes que pudieran legitimar los envíos. V De los hechos expuestos se desprende la infracción del artículo 21.1 de la LSSI, en atención a que no se han acreditado los supuestos que permiten el envío de comunicaciones comerciales, sin perjuicio del incumplimiento del art. 10 de la LOPD como más adelante se expondrá. VI De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, según su redacción aprobada por la por la disposición adicional octava de la Ley 59/2003, de 19 de diciembre, sobre normas reguladoras de la firma electrónica, en vigor desde el 21/03/2004, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
11. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
12. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del art. 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o más de tres a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción tipificable como grave a los efectos de la LSSI. El presente supuesto se ajusta al tipo de infracción establecido en el artículo 38.4
13. d)de la LSSI, calificado como infracción leve, de dos comunicaciones comerciales por medios electrónicos. VII A tenor de lo establecido en el art. 39.1
14. c)las infracciones leves podrán sancionarse con multa de hasta 30.001 euros, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
15. a)La existencia de intencionalidad.
16. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
17. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
18. d)La naturaleza y cuantía de los perjuicios causados.
19. e)Los beneficios obtenidos por la infracción.
20. f)Volumen de facturación a que afecte la infracción cometida”. En relación a los criterios de graduación de las sanciones recogidos en el citado art. 40 y, en especial, a la ausencia de intencionalidad, de perjuicios causados y de beneficios obtenidos por los denunciados, acreditados en el presente procedimiento, procede imponer una sanción de 1.200 € por la infracción del art. 21.1 de la LSSI, al tratarse de dos comunicaciones comerciales. VIII Asimismo en cuanto a la vulneración de la LOPD hay que señalar que dicha norma atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
21. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
22. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En el presente caso estamos ante el tratamiento de datos personales, en este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 sentido respecto de la consideración del correo electrónico como dato personal, conviene señalar lo dispuesto en el Informe 437/2012 del Servicio Juridico de esta Agencia y en la Sentencia de la audiencia Nacional recaida en el Rec. Nº911/03 de 23/03/2006. Concretamente de las citadas Resoluciones se puede establecer dos supuestos: A) Contenga información acerca de su titular, pudiendo referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no estos en la denominación del dominio utilizado). no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato de carácter personal. Ejemplos :el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndose el dominio de primer nivel con el propio del estado en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso delimitarse el centro de trabajo en que se realiza la prestación). B) En principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta ( denominación abstracta o a una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacernos concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Junto con estos dos supuestos, debe añadirse, evidentemente, que si en un fichero junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono o su domicilio, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante datos de carácter personal.” IX El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. En el presente caso se ha acreditado la vulneración del deber de secreto que incumbe a todo aquel que intervenga en el tratamiento, como el denunciado, pues de la comunicación comercial enviada por éste y analizada se desprende que 14 destinatarios de dicha comunicación conocieron datos personales de aquellos que también eran destinatarios y viceversa, quedando a disposición de éstos y sustrayendo el control a sus titulares. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizada mente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. X Señala el art. 44.3
23. d)que son infracciones graves “ La vulneración del deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. XI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 2 y 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
24. a)El carácter continuado de la infracción.
25. b)El volumen de los tratamientos efectuados.
26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
27. d)El volumen de negocio o actividad del infractor.
28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. f)El grado de intencionalidad.
30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso el deber de diligencia que se deriva del propio articulo 10, al señalar que su mandato subsistirá aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo se configura como una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizada mente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso, concurren las circunstancias previstas en el art. 45.5 1
39. a)por aplicación de los apartados d), e), f), g), y
40. h)el art. 45.4 LOPD. Aplicándose la escala inferior en gravedad, es decir, de las infracciones leves, para determinar la cuantía de la sanción propuesta, en relación con los criterios de graduación recogidos en el apartado 4 del tan citado artículo 45, y en especial los apartados e), f),
41. g)y h), procede imponer una sanción por incumplimiento del art. 10 de la LOPD, en la cuantía de 1000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DIRECTO A CASA VENTA DIRECTA S.L., por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4
42. d)de la LSSI, una multa de 1.200 € ( mil dos cientos euros) de conformidad con lo establecido en el artículo 40 de la citada LSSI. SEGUNDO: IMPONER a la entidad DIRECTO A CASA VENTA DIRECTA S.L., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3
43. d)de la LOPD, una multa de 1.000 € (mil euros) , de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a DIRECTO A CASA VENTA DIRECTA S.L., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es