PS-00351-2013

1/12 Procedimiento Nº PS/00351/2013 RESOLUCIÓN: R/00340/2015 En el procedimiento sancionador PS/00351/2013, instruido por la Agencia Española de Protección de Datos a la entidad FEMSTORE INVESTMENT CORPORATION S.L., vista la denuncia presentada por D. A.A.A. y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de junio de 2012, tuvo entrada a esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) manifestando que había accedido al sitio web www.femstore.es, de la compañía FEMSTORE INVESTMENT CORPORATION, S.L. (en lo sucesivo el denunciado), empresa a la que había realizado compras en varias ocasiones, y había encontrado en su blog una entrada, de fecha 21 de junio de 2012, donde la compañía informaba de que había perdido las bases de datos, dominios, correos, etc. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento, en síntesis, de los siguientes extremos:

1. a)Tal y como consta en la documentación aportada por el denunciante y verificada por la Inspección de Datos en fecha 5 de septiembre de 2012, en la dirección http://www.femstore.es.......... se encuentra un anuncio en el que se informa de lo siguiente: “Debido a las malas prácticas del Ex Director Informático hemos perdido todas las bases de datos, dominios, correos e información sobre nuestros clientes. Hemos tomado las medidas legales (penales) oportunas hacia esta persona. Lamentamos enormemente los problemas ocasionados como consecuencia de este grave error, pero al no disponer del servidor antiguo, ni base de datos, ni copia de seguridad, pues todo ello está bajo control de dicho individuo, estamos teniendo serias dificultades para tramitar y gestionar pedidos […] al no haber base de datos, no tenemos teléfonos, ni emails de nuestros clientes, ni detalle de los pedidos…”
2. c)En el Acta de la inspección realizada al denunciado en fecha 13 de junio de 2013 se reflejan las declaraciones realizadas por su administrador al respecto del conflicto surgido con un trabajador, que tenía encomendada la administración y gestión de los distintos sitios web de la empresa. Según se desprende de la documentación aportada por el denunciado a la Inspección, en las mismas fechas en que se presentó la denuncia ante la Agencia este trabajador había sido demandado judicialmente por haberse negado a facilitar las claves de acceso al servidor que alojaba los sitios web de la compañía. Esta demanda ha dado lugar a las Diligencias Previas 3851/2012, tramitadas en el Juzgado de Instrucción nº 3 de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12
3. d)Por la Agencia no se ha obtenido constancia de que la compañía inspeccionada hubiera implementado las medidas a las que se refiere el Reglamento de Desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre. A este respecto, durante la inspección se requirió copia del Documento de Seguridad al que se refiere el artículo 88 del Reglamento. El inspeccionado declaró que entre los trabajos encomendados al citado trabajador se encontraba la regularización de los ficheros para adecuarlos a la normativa de Protección de Datos, desconociendo si dicho documento se encuentra entre la documentación de la empresa, dado que no podía acceder al servidor, al no haberle sido facilitadas las claves.
4. e)En fecha 24 de abril de 2013 por la Inspección se requirió al denunciante que informara de los datos personales que había suministrado a la compañía denunciada, así como del procedimiento utilizado para ello, no habiéndose obtenido ningún tipo de respuesta al requerimiento. TERCERO: Con fecha 24 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado por presunta infracción del artículos 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 88 y 94 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
5. h)de la citada ley, ppudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: Con fecha 25 de junio de 2013, la Instructora del procedimiento solicita información al Juzgado de Instrucción número 3 de Madrid sobre la identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder. El Director de la Agencia Española de Protección de Datos en fecha 28/06/2013 acuerda suspender el presente procedimiento sancionador, en cumplimiento del artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, hasta tanto recaiga resolución judicial al respecto. Dicho Acuerdo fue notificado a las partes y al citado Juzgado de Instrucción. Con fechas 12/06/2013 y 16/07/2014, se solicitó al citado Juzgado de Instrucción información sobre las citadas Diligencias. Con fecha 15/07/2013 se recibe escrito del citado Juzgado remitiendo Certificación de la Secretaria del mismo. comunicando: “…Que en este Juzgado se tramitan las diligencias previas 3851-12, en méritos a la denuncia formulada […] en nombre de Femstore Investment Corporation, por los presuntos delitos de extorsión, estafa, delitos contra la seguridad del tráfico informático y apropiación indebida […]. Tras practicar las diligencias de investigación que se estimaron oportunas, se dictó auto el 24 de octubre de 2012, por el que se acordó el sobreseimiento provisional de las actuaciones, al no quedar acreditada la perpetración de la infracción penal denunciada. Contra dicha resolución se ha interpuesto recurso de apelación por la mercantil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 denunciante, que en la actualidad se halla pendiente de resolución en la Audiencia Provincial de Madrid…” El 14/08/2014 se recibe escrito del Juzgado de Instrucción nº 3 de Madrid comunicando: <…participo a Vd., para su conocimiento y efectos, que se ha recibido la resolución del recurso de apelación formulado por la representación procesal de Femstore Investmen Corporation, contra el auto de sobreseimiento provisional dictado por este Juzgado, en las diligencias arriba expresadas, instruidas por un presunto delito de estafa […], desestimándose el mismo, por lo que con fecha del día de hoy se procede al archivo definitivo de las actuaciones…>> QUINTO: A la vista de la citada comunicación, el Director de la Agencia Española de Protección de Datos en fecha 08/09/2014 acordó levantar la suspensión del presente procedimiento sancionador. Dicha resolución fue notificada al denunciante. En fechas 12/09/2014, 20/10/2014 y 22/10/2014, se intentó la notificación del citado procedimiento sancionador al denunciado, a través del servicio de Correos y Telégrafos. Según se desprende de la información facilitada por este servicio, dicha notificación fue depositada para su retirada en oficina de Correos hasta el 30/10/2014, siendo devuelta junto al documento de aviso de recibo, con la anotación “ausente reparto”. Con fecha 21/11/2014, se envió al Ayuntamiento del municipio de residencia del denunciado un extracto del citado Acuerdo de Inicio, para su exposición en el Tablón de edictos, y al Boletín Oficial del Estado, publicándose en este último en fecha 1/12/2014. Con fecha 28/03/2014, tuvo entrada en esta Agencia escrito del citado Ayuntamiento, en el que se hace constar que el edicto, correspondiente a la notificación del citado acuerdo, estuvo expuesto en el Tablón de edictos del citado Ayuntamiento desde el día 28/11 al 17/12 de 2014. SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS PRIMERO: Con fecha 28 de junio de 2012, tuvo entrada a esta Agencia escrito del denunciante manifestando que había accedido al sitio web www.femstore.es, de la compañía denunciada, empresa a la que había realizado compras en varias ocasiones, y había encontrado en su blog una entrada, de fecha 21 de junio de 2012, donde la compañía informaba de que había perdido las bases de datos, dominios, correos, etc. (folios 1 a 8). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 SEGUNDO: Tal y como consta en la documentación aportada por el denunciante y verificada por la Inspección de Datos en fecha 5 de septiembre de 2012, en la dirección http://www.femstore.es.......... se encuentra un anuncio en el que se informa de lo siguiente: “Debido a las malas prácticas del Ex Director Informático hemos perdido todas las bases de datos, dominios, correos e información sobre nuestros clientes. Hemos tomado las medidas legales (penales) oportunas hacia esta persona. Lamentamos enormemente los problemas ocasionados como consecuencia de este grave error, pero al no disponer del servidor antiguo, ni base de datos, ni copia de seguridad, pues todo ello está bajo control de dicho individuo, estamos teniendo serias dificultades para tramitar y gestionar pedidos […] al no haber base de datos, no tenemos teléfonos, ni emails de nuestros clientes, ni detalle de los pedidos…” (folios 10 a 22). TERCERO: En el Acta de la inspección realizada al denunciado en fecha 13 de junio de 2013 se reflejan las declaraciones realizadas por su administrador al respecto del conflicto surgido con un trabajador, que tenía encomendada la administración y gestión de los distintos sitios web de la empresa. Según se desprende de la documentación aportada por el denunciado a la Inspección, en las mismas fechas en que se presentó la denuncia ante la Agencia este trabajador había sido demandado judicialmente por haberse negado a facilitar las claves de acceso al servidor que alojaba los sitios web de la compañía. Esta demanda ha dado lugar a las Diligencias Previas 3851/2012, tramitadas en el Juzgado de Instrucción nº 3 de Madrid (folios 149 a 187). CUARTO: Por la Agencia no se ha obtenido constancia de que la compañía inspeccionada hubiera implementado las medidas a las que se refiere el Reglamento de Desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre. A este respecto, durante la inspección se requirió copia del Documento de Seguridad al que se refiere el artículo 88 del Reglamento. El inspeccionado declaró que entre los trabajos encomendados al citado trabajador se encontraba la regularización de los ficheros para adecuarlos a la normativa de Protección de Datos, desconociendo si dicho documento se encuentra entre la documentación de la empresa, dado que no podía acceder al servidor, al no haberle sido facilitadas las claves (folios 149 a 187). QUINTO: El 14/08/2014 se recibe escrito del Juzgado de Instrucción nº 3 de Madrid comunicando: <…participo a Vd., para su conocimiento y efectos, que se ha recibido la resolución del recurso de apelación formulado por la representación procesal de Femstore Investmen Corporation, contra el auto de sobreseimiento provisional dictado por este Juzgado, en las diligencias arriba expresadas, instruidas por un presunto delito de estafa […], desestimándose el mismo, por lo que con fecha del día de hoy se procede al archivo definitivo de las actuaciones…>> (folios 269). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El citado Real Decreto 1398/1993, establece en su artículo 7 “Vinculaciones con el orden jurisdiccional penal. 1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien.” III El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
7. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
8. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Sintetizando las previsiones legales puede afirmarse que:
9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. IV El artículo 88 del Real Decreto 1720/2007 regula “El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 3. El documento deberá contener, como mínimo, los siguientes aspectos:
13. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
14. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
15. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
16. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
17. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
18. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
19. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
20. a)La identificación del responsable o responsables de seguridad.
21. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. 5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo. 6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados. En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento. 7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.” V Así mismo el artículo 94 del citado RD 1720/2007, establece: “Copias de respaldo y recuperación. 1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos. 2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad. 3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. 4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad. Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.” En el presente caso, por el denunciado no se ha acreditado que, respecto de los ficheros de los que es responsable, los cuales contienen datos de carácter personal de los clientes de los distintos sitios web a través de los que realizaba su actividad comercial, hubiese implementado las medidas de seguridad especificadas en la normativa transcrita, particularmente las que se refieren a la recuperación de los datos perdidos. VI El artículo 44.3.
22. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que el denunciado ha incurrido en la infracción grave descrita. VIII El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29 de junio de 2001). IX El artículo 45 de la LOPD, en sus aparatados 1 a 5, establece, según la nueva redacción dada por la Ley 2/2011, que: «1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
23. a)El carácter continuado de la infracción.
24. b)El volumen de los tratamientos efectuados.
25. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
26. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
27. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
28. f)El grado de intencionalidad.
29. g)La reincidencia por comisión de infracciones de la misma naturaleza.
30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
31. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
32. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La aplicación con carácter excepcional del citado artículo 45.5 de la LOPD, procede tras la concurrencia entre otros del requisito de la disminución de la culpabilidad del imputado, la falta de beneficios obtenidos como consecuencia de la comisión de la infracción, así como por su falta de intencionalidad. Dicho artículo, que no es sino la manifestación del llamado principio de proporcionalidad (art. 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común), incluido en el más general de prohibición de exceso reconocido por la Jurisprudencia como Principio General del Derecho (Sentencia del Tribunal Constitucional 62/1982), y es consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico (Art. 1 de la Constitución Española), sin embargo debe aplicarse con exquisita ponderación, y sólo en los casos en los que la culpabilidad resulte sustancialmente atenuada atendidas las circunstancias del caso concreto. En el presente caso, no consta acreditada intencionalidad ni reincidencia en la conducta imputada a la entidad denunciada, no haber implementado las medidas de seguridad especificadas en la normativa transcrita, particularmente las que se refieren a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 la recuperación de los datos perdidos. No obstante al haber quedado acreditado según se desprende de la documentación aportada por el denunciado a la Inspección, que en las mismas fechas en que se presentó la denuncia ante la Agencia, el citado trabajador había sido demandado judicialmente por haberse negado a facilitar las claves de acceso al servidor que alojaba los sitios web de la compañía. Demanda que dio lugar a las Diligencias Previas 3851/2012, tramitadas en el Juzgado de Instrucción nº 3 de Madrid. Por todo ello, procede imponer a la entidad denunciada una sanción de 6.000 € en aplicación de lo dispuesto en el trascrito artículo 45.5 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FEMSTORE INVESTMENT CORPORATION S.L., por una infracción del artículo 9.1 de la LOPD, en relación con los artículos 88 y 94 del Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
38. h)de dicha norma, una multa de 6.000 € (seis mil euros), de conformidad con lo establecido en el artículo 45.2 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a FEMSTORE INVESTMENT CORPORATION S.L. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es