← España

PS-00391-2016

1/22 Procedimiento Nº PS/00391/2016 RESOLUCIÓN: R/00325/2017 En el procedimiento sancionador PS/00391/2016, instruido por la Agencia Española de Protección de Datos a la entidad ASSEMBLEA NACIONAL CATALANA, OMNIUM CULTURAL, vista la denuncia presentada por A.A.A., B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21/04/2016 tiene entrada en esta Agencia un escrito de A.A.A., y B.B.B. (en lo sucesivo los denunciantes) en los que declaran: <<He sabido de la existencia de una base de datos de la ANC, cuya titularidad comparte con Ómnium Cultural, que recoge información de carácter personal y que está gestionada por la empresa norteamericana Blue State Digital Inc. Al parecer, esta compañía mantiene la información en EEUU sin que ninguna de estas entidades haya realizado ninguna notificación a la AEPD ni nadie le haya dado el consentimiento para que estos datos salgan de nuestro país. Mi preocupación es que si existe una normativa que exige que la AEPD tenga conocimiento de la transmisión de datos al extranjero, será para que esos datos gocen de la protección que se merecen y si hay una entidad que no observa dicha normativa posiblemente esos datos pueden ser objeto de mala utilización. Además mi intranquilidad aumenta cuando ha quedado patente el poco esmero que estas entidades pone en la custodia de datos por la multa que recientemente esa agencia ha interpuesto a la Assemblea Nacional Catalana y a Omnium Cultural. Ante el temor de que pueda producirse un uso perjudicial de la información recogida en esa base de datos, solicito que se investigue para determinar si existen irregularidades para que sean subsanadas.>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron diligencias de investigación frente a las entidades ASSEMBLEA NACIONAL CATALANA ( ANC en adelante) y OMNIUM CULTURAL, teniendo conocimiento de que: 1. Durante las actuaciones de inspección de referencia E/04589/2014 la ANC aportó mediante correo electrónico de fecha 7/11/2014 la siguiente documentación: a. Contrato suscrito en fecha 24/7/2014 entre Blue State Digital Inc. y ÒMNIUM CULTURAL con el objeto de provisión por la primera a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 segunda de los servicios de construcción y lanzamiento del website, consultoría estratégica y herramientas y hosting. b. Copia del contrato suscrito por ÒMNIUM CULTURAL y la ANC, en calidad de responsables de los ficheros (data controller) con Blue State Digital Inc., en calidad de encargado del tratamiento (data processor) de los ficheros Associats, Voluntaris, Via Catalana y Ara es L’hora. La finalidad del contrato es la provisión de las herramientas BSD y servicios de alojamiento. Según el contrato, el encargado del tratamiento, en este caso BSD, estará sujeto a la LOPD y RLOPD, acordándose el deber de guardar secreto y las medidas de seguridad establecidas el RLOPD. El acuerdo está fechado el 1/9/2014. 2. En fecha 26 de abril de 2016 se realizó visita de inspección en la sede de la ANC. Los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Respecto al fichero Asociados, está alojado en el servidor de STRATO. El contrato fue facilitado en su día a la Agencia. b. Respecto del fichero Vía Catalana, se monta para la celebración de cada 11 de septiembre en servidores de Amazon, se cancela a la finalización de la campaña, a excepción de los registros de personas que hayan marcado su consentimiento para ser incorporados al fichero Asociados, antes citado. c. Respecto al fichero Ara es L’hora, que está alojado en los servidores de Blue State Digital, pero sin realizar ningún proceso sobre los datos a la espera de tomar una decisión sobre el futuro del fichero, y cuyo control lo tiene actualmente Ómnium Cultural. 3. Los inspectores de la Agencia solicitaron al representante de ANC que les permita el acceso a los sistemas de la entidad en donde se realizaron las siguientes consultas: a. Solicitado un acceso al formulario a través del cual se realiza la inscripción en el fichero Asociados, se realiza un acceso a través de la web www.assemblea.cat, y se observa que, a través de múltiples formularios, se captan los datos de quien desee darse de alta en dicho fichero, b. Se solicita el acceso al fichero Asociados, comprobándose que se tiene acceso a través de una VPN. Informa el personal técnico de la entidad que se trata de un acceso a los servidores de STRATO, a través de un túnel cifrado mediante una clave RSA, y accediendo con un identificador de usuario y contraseña. Informa igualmente que la estructura del fichero no ha cambiado desde anteriores inspecciones y los usuarios tienen acceso al fichero a través de una web dentro de la red privada constituida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 c. Se solicita el acceso a la aplicación de usuario a través de la cual se gestiona el fichero Asociados, verificándose que se accede a través de una IP privada del conjunto de direcciones 10.x.x.x. 4. En fecha 26 de abril de 2016 se realizó visita de inspección en la sede de OMNIUM CULTURAL. Los representantes de esta entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. El fichero Asociados está ubicado en los servidores de que dispone la entidad en la sede en que se realiza la presente inspección. b. La entidad no dispone de ficheros alojados en Amazon. c. En los servidores de Blue State Digital Inc. (BSD en adelante) están alojados los ficheros Ara es l´hora y On Tot Comença, que recogen los datos de la campaña Ara es l´hora y de una campaña realizada durante el verano de 2015. El acceso a la información alojada en esos ficheros está bloqueado al equipo de Omniun tras una petición realizada a BSD, a la espera de tomar una decisión sobre el futuro de los datos. En prueba de ello, aporta copia de una serie de correos intercambiados con BSD. El contrato con BSD que fue proporcionado en el marco del expediente E/04589/2014 continúa en vigor, a la espera de cerrar la negociación de un nuevo contrato, tras la suspensión del acuerdo Safe Harbor y a la espera de que se apruebe en nuevo acuerdo Privacy Shield. 5. Los inspectores de la Agencia solicitaron al representante de OMNIUM CULTURAL que les permita el acceso a los sistemas de información de la entidad, donde se realizó la siguiente actuación: a. Se accede al sistema a través del que se gestiona la base de datos de asociados, verificándose que se trata de una aplicación realizada sobre una base de datos Access. Se solicitó el acceso a los ficheros alojados en BSD, en particular el fichero Ara es l’hora, que no fue posible porque los representantes de la entidad no tenían la capacidad de conseguir acceso a los datos de forma inmediata. A solicitud de los inspectores, los representantes de la entidad enviaron un correo electrónico a BSD solicitando que se active el acceso a los datos, e indicaron que no podrían precisar el tiempo que tardaría BSD en contestar a la petición realizada. 6. Mediante escrito con entrada en fecha 10/5/2016 OMNIUM CULTURAL da contestación a la información que se le dejó requerida durante la inspección, aportando la entidad: a. Impresiones de pantalla según las cuales, a través de la web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 catalonia.cp.bsd.net tiene acceso a la información que según la entidad se corresponde con el fichero Ara es l´hora cuya información fue solicitada. La información almacenada en el fichero contiene, entre otros, los siguientes datos: nombre, apellidos, sexo, fecha de nacimiento, empleador, ocupación, fotografía, correo electrónico, teléfono, dirección postal, reserva como voluntario de la CA 2015, confirmación para la cabecera de la Meridiana, cantidad de donaciones, idiomas, nivel máximo de formación, postura riesgos, preocupación futuro, temas de interés, historial de donaciones. El sistema almacena un total de 684952 registros. b. Los siguientes correos electrónicos: i.Fechado el 26 de abril de 2016 en que se solicitaba a una cuenta del dominio www.bluestatedigital.com la activación de la cuenta de un miembro de OMNIUM CULTURAL. ii.De fecha 28 de abril, en que el acceso fue restaurado. iii.De fecha 29 de abril en que el acceso volvió a ser inactivado 7. Mediante diligencia de fecha 23/5/2016 se ha podido comprobar que: a. La web catalonia.cp.bsd.net está localizada en EEUU. b. La entidad que tiene registrado dicho dominio es Blue State Digital, con sede en EEUU. TERCERO: Con fecha 30/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a OMNIUM CULTURAL y a ASSEMBLEA NACIONAL CATALANA con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4

  1. d)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, OMNIUM CULTURAL (OC en adelante) mediante escrito de fecha 4/11/2016 formuló alegaciones, significando en síntesis, lo siguiente: Contexto jurídico y político. Tras la anulación de la Decisión Safe Harbour (SH en adelante) las transferencias internacionales de datos personales entre los países miembros de la UE y EEUU, pasaban a estar en situación de ilegalidad. Las autoridades de control de protección de datos entre las que se encuentra la AEPD conferían un plazo de gracia hasta finales de enero de 2016 hasta que hubiera nuevo marco legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 La AEPD a finales de octubre de 2015 remitió un comunicado a los responsables de fichero instándoles para que antes del 29 de enero informaba sobre las medidas adoptadas al respecto sin que en ningún momento se anunciara su intención de iniciar procedimientos sancionadores, sino todo lo contrario ya que en diciembre de 2015 la AEPD emitió un nuevo comunicado señalando que (…) la agencia en ningún momento ha anunciado su intención de iniciar procedimientos sancionadores por defecto contra empresas. En la comunicación enviada a los responsables, la AEPD solo indica que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias.(…) Determinación de legislación aplicable. La notificación del acuerdo de inicio se firmó en fecha de 4/10/2016 en el que consta que la Directora de la AEPD firmo el citado acuerdo en fecha de 30/09/2016, sin embargo no se tiene dicho documento que permita verificar la aplicación de una ( LRJPAC) u otra normativa ( Ley 39/2015). Inexistencia de incumplimiento. El artículo presuntamente infringido requiere la acción de transferir, que en el momento temporal al que se refiere la imputación, no se producía. Al no haberse producido la acción prevista, puesto que se había bloqueado el acceso a los datos, en realidad no existió ninguna situación de riesgo o puesta en peligro para le bien jurídico protegido, lo que descarta la existencia de la antijuridicidad que se exige para imponer la sanción administrativa. El 22/08/2016 OC notifica a BSD la intención de rescindir el contrato de 10/07/2014 ante la imposibilidad de BSD de adherirse con carácter inmediato al Privacy Shield. Descargando, OC, los datos a sus servidores, con anterioridad al inicio del procedimiento sancionador estando ya los datos en Barcelona. Ausencia de intencionalidad respecto al supuesto incumplimiento. Las entidades imputadas nunca han tenido la intención de vulnerar el precepto. Ambas entidades en calidad de corresponsables de los datos verificaron que la entidad BSD estuviera adherida al SH y suscribieron el acuerdo de confidencialidad y tras la imposibilidad de que BSD se adhiriera al nuevo marco legal se produjo la resolución del contrato, todo ello en consonancia con la interpretación jurídica razonable, sustentada en la actuación de la AEPD tras la declaración de nulidad del SH. Que en ningún caso podría inferirse la intención de iniciar procedimientos sancionadores. Otras circunstancias relevantes de la antijuridicidad y culpabilidad. El periodo temporal limitado del presunto incumplimiento, debiéndose establecerse desde el día 26/04/2016 – día de la inspección- o a lo sumo, desde el 30/01/2016 fecha en que se acabaría el plazo de gracia concedido por la AEPD, hasta el 22/08/2016 fecha en que se resolvió el contrato con BSD. Desde el 30/01/2015, OC tenía bloqueada la cuenta en la plataforma BSD, por lo que no podía utilizar los datos. ANC y OC aplicaron, por tanto, la suspensión temporal de la transferencia internacional cumpliendo el criterio de la AEPD en la comunicación de 29/10/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 Del objeto social de OC no se puede sostener que el tratamiento de datos sea el principal de su actividad. Asimismo es asociación sin ánimo de lucro. No existe beneficio para OC de la utilización de la plataforma BSD. Asimismo no se ha sancionado con anterioridad por infringir el art. 33 LOPD. No se han acreditado perjuicios causados ni a los denunciados ni a terceros. QUINTO: Notificado el acuerdo de inicio, ASSEMBLEA NACIONAL CATALANA (ANC en adelante) mediante escrito de fecha 4/11/2016 formuló alegaciones, en idénticos términos que el escrito de OC, añadiendo lo siguiente: -Falta de control por parte de ANC. Si bien ANC asumió un rol de corresponsable respecto de los datos incluidos en la bbdd alojada en BSD, fue OC la que asumió el control absoluto sobre el uso de dicha plataforma. Siendo ésta la interlocutora con BSD. Por tanto debe tenerse en cuenta la asimetría en las funciones de ambas entidades respecto al a decisión de aspectos esenciales del tratamiento para determinar posibles responsabilidades. SEXTO: Con fecha de 5/12/2016 se inició el período de práctica de pruebas, dándose por reproducido a efectos probatorios las denuncias y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ANC, y OC y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02198/2016, las alegaciones al acuerdo de inicio PS/00391/2016 presentadas por ANC, OC y la documentación que a ellas acompaña y la documentación contractual que consta en el expediente E/ 4589/2014. SÉPTIMO: Notificado el acuerdo de inicio, OC mediante escrito de fecha 30/12/2016 formuló alegaciones complementarias, en las que pone de manifiesto: Regularización de la situación de forma diligente: los datos han permanecido en los servidores de OC hasta contratar con el proveedor de servicio Tripolis Internacional B.V, y su filial española Tripolis España, S.L., aportándose la documentación contractual al efecto de 15/11/2016. Naturaleza de los perjuicios causados. No se han acreditado perjuicios a los denunciantes o a terceros ni cuantificables ni sin cuantificar. OCTAVO: En fecha de 9/01/2017 por el Instructor del Procedimiento se emitió Propuesta de Resolución en el sentido de: I.Que por la Directora de la Agencia Española de Protección de Datos se sancione a ASSEMBLEA NACIONAL CATALANA, con multa de 90.000 € (noventa mil euros) por la infracción de los artículos 33 de la LOPD, tipificada como muy grave en el artículo 44.4
  2. d)de dicha norma. II.Que por la Directora de la Agencia Española de Protección de Datos se sancione a OMNIUM CULTURAL con multa de 90.000 € (noventa mil euros) por la infracción de los artículos 33 de la LOPD, tipificada como muy grave en el artículo 44.4
  3. d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 NOVENO: Notificada la citada propuesta de resolución en fecha de 13/01/2017 a ANC, y en fecha de 19/01/2017 a OC, mediante escritos de 31/01/2017 y 06/02/2017 respectivamente, con fechas de entrada en la Agencia Española de Protección de Datos de 3 y 10 de febrero de 2017, las citadas entidades formularon, en síntesis, las siguientes alegaciones: I. Respecto de los hechos probados, debe señalarse que se obvian los siguientes que son relevantes para determinar la culpabilidad de ANC; (
  4. i)como son el llamamiento de 16/10/2015 de las Autoridades de Control de Protección de datos para iniciar conversaciones con EEUU; (
  5. ii)el comunicado de 3/02/2016 del Grupo del art. 29 que iniciaba un nuevo proceso de estudio y evaluación de borrador de acuerdo y que no preveía la incoación de procedimientos sancionadores; (iii) no acreditación de que ANC tenga los datos de los denunciantes y su verdadera intención; (
  6. iv)ANC suprimió el fichero el 24/05/2016 del RGPD y por tanto el tratamiento y su cese debe ser en dicha fecha y no en septiembre de 2016. II. Infracción del principio de legalidad y tipicidad. La ausencia de definición legal del elemento objetivo del tipo infractor vulnera dichos principios. Ante la falta de definición legal del concepto de transferencia internacional de datos no puede atribuirse a ANC dicha actuación, ni subsumir dicho significado en mantener los datos en el servidor de BSD. III. Error en la determinación de la responsabilidad. En aquellos casos en los que exista una corresponsabilidad de un fichero estaremos ante una responsabilidad solidaria. Ambas entidades actúan como corresponsables y conjuntamente deben cumplir con las obligaciones dimanantes del cumplimiento de la LOPD y, en este sentido, ambas suscribieron un contrato que regularizaba el tratamiento de los datos por cuenta de ellas por BSD. Consecuencia de la responsabilidad solidaria es el hecho de que los hechos seria susceptibles de una única sanción. Respondiendo solidariamente del pago de la sanción por dicha infracción. IV. Error en la aplicación del principio de proporcionalidad:
  7. a)No se ha tenido en cuenta que a la fecha de incoación del expediente, ya se había regularizado la situación;
  8. b)Deben añadirse a valorar el volumen de negocio o actividad y beneficios obtenidos dentro de dicha escala de infracciones graves así como la falta de reincidencia.
  9. c)En el carácter continuado de la infracción no se tiene en cuenta que la fecha de la supresión del fichero de la ANC -24/5/2016 fecha en que debe entenderse que ha cesado la comisión de la infracción.
  10. d)En cuanto a los perjuicios causados, no se tiene prueba alguna de que estos hayan ocurrido, no hay evidencia de que se haya producido injerencia alguna por parte de las autoridades gubernativas de EEUU en este caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22
  11. e)En relación con la diligencia exigible se tiene en cuenta hechos que nos infracción y de serlo estarían prescrito como son la no notificación de la transferencia internacional en el registros del fichero.
  12. f)En cuanto al contexto jurídico y político en que se producen los hechos y su no estimación hacen vulnerar el principio de confianza legítima. DÉCIMO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 10/07/2014 OC y ANC firmaron un contrato con BSD, en calidad de responsables del fichero, cuya ejecución material suponía que un fichero – AHORA ES LA HORA- del que son responsables las citadas entidades, estuviera alojado en los servidores de BSD sitos en Estados Unidos. DOS.- En el Registro General de Protección de Datos, por parte de ANC y OC se inscribió el fichero AHORA ES LA HORA sin que conste marcado el campo relativo a transferencias internacionales de datos. TRES.- La Sentencia del Tribunal de Justicia Europeo número C-362/14 de 6/10/2015, invalida la Decisión de la Comisión 2000/520/CE que considera que las transferencias internacionales de datos a Estados Unidos tenían un nivel adecuado de protección. CUATRO.- En fechas de 19/10/2015 se pública en la página web de la Agencia Española de Protección de Datos un comunicado donde se informa que, en relación con las transferencias internacionales de datos realizadas al amparo de la Decisión de la Comisión 2000/520/CE, las Autoridades de Protección de datos investigaran aquellos casos de los que tengan conocimiento a partir de denuncias para ejercer sus poderes con el fin de proteger a las personas, teniendo entrada en esta Agencia dos denuncias de fecha 21/04/2016. CINCO.- OC remitió comunicaciones por correo electrónico a BSD donde informa de su voluntad de rescindir el contrato de fecha 10/07/2014, al no ser posible la adhesión de BSD al acuerdo de privacidad – Privacy Shield- siendo la última de fecha 22/08/2016. SEIS.- En una comunicación de BSD a OC de fecha 22/08/2016 en contestación a la anterior, se pone de manifiesto que aquella supone la comunicación previa a la rescisión del contrato que surte efecto transcurrido un mes de la misma, por lo que en a finales del mes de septiembre de 2016 los datos alojados en los servidores de BSD serian eliminados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 FUNDAMENTOS DE DERECHO 1. Competencia Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  13. g)en relación con el artículo 36 de la LOPD. 2. Sobre el precepto vulnerado y el contexto normativo aplicable. Establece el artículo 33 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que 1. No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas. (el subrayado es de la AEPD) En el presente caso hay que tener en cuenta que el contrato de 10/07/2014 entre OC y ANC con BSD – en cuanto a la transferencia internacional de datos que supone su ejecución- tenía como base jurídica la Decisión de la Comisión 2000/520/CE, que consideraba que el esquema de SH ofrecía una nivel adecuado de protección para las transferencias internacionales de datos desde la Unión Europea a Estados Unidos. Sin embargo, desde la declaración de invalidez de la Decisión 2000/520/CE por el TJUE Sentencia C-362/14 de 6/10/2015 debe entenderse que, el esquema de SH no ha proporcionado garantías suficientes para la transferencia de datos desde la Unión Europea a Estados Unidos como sucede con la ejecución del citado contrato. Por ello es necesario que aquellas entidades que hayan transferido datos a EEUU – como son OC y ANC- encuentren amparo legal, que es el previsto en el art. 33 LOPD arriba transcrito. 3. Sobre la petición de nulidad por vulneración del derecho de defensa e infracción del procedimiento. Las entidades denunciadas sostienen que se solicitó la prueba consistente en la incorporación de un certificado que constara el número de procedimientos sancionadores iniciados por la AEPD entre el 6 de octubre de 2015 y el 1/08/2016 por la vulneración del art. 33 de la LOPD, y ni en la propuesta de resolución ni en la diligencia correspondiente consta nada al respecto, entiende que estamos ante una denegación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 de la prueba sin motivación lo que supone una doble vulneración, la primera la correcta tramitación del procedimiento establecido y la segunda la vulneración del derecho a la defensa previsto en el art. 24 de la Constitución Española. Por ello ambas cuestiones son constitutivas de nulidad de pleno derecho de acuerdo con el art. 62 de la LRJPAC. Frente a ello hay que poner de manifiesto que no se ha vulnerado derecho constitucionalmente protegido alguno a las entidades denunciadas, en la medida en que las irregularidades formales únicamente pueden ser invalidantes y por tantos susceptibles de declararon de nulidad si generan indefensión STS 25/03/2011 Rec. Casación nº 5434/2006, a saber: Por la entidad denunciada se solicitó el certificado arriba citado, sin razonar la finalidad de dicha prueba, en definitiva no se justifica qué se pretendía probar. La existencia o no de procedimientos sancionadores por vulneración del art. 33 LOPD, no elimina ni modula la conducta típica, culpable y antijurídica que se considera que han cometido las entidades denunciadas. Es decir, con independencia del número de eventuales procedimientos sancionadores iniciados por la vulneración de dicho precepto, los hechos y calificación jurídica de la propuesta de resolución permanecerían inalterables. ANC y OC no explican en qué medida se ha producido una verdadera indefensión material, tal como señala la Sentencia del Tribunal Supremo antes referenciada, que (…) para que la indefensión tenga la eficacia invalidante que se pretende, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que la misma haya originado al recurrente un menoscabo real de su derecho de defensa causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio ;212/1994, de 13 de julio ,;137/1996, de 16 de septiembre ;89/1997, de 5 de mayo ;78/1999, de 26 de abril , entre otras). Circunstancia que no concurre en el caso examinado pues la parte recurrente no concreta ni explica de qué forma se le ha privado, o ha resultado menoscabado, su derecho de defensa (…) El pronunciamiento a cerca de la admisión o inadmisión de una prueba, -o el silencio respecto de procedencia de la misma- es un acto de trámite cualificado que no basta con invocar su omisión o falta de motivación, sino que es preciso que se haya traducido en una efectiva indefensión, tal como nos recuerda la Sentencia del Tribunal Constitucional de la Sala Primera, núm. 79/2002 de 8 abril, en su Fundamento de Derecho 2 (…)En efecto, para apreciar la vulneración del derecho a la utilización de medios de prueba, inseparable del derecho mismo de defensa ( SSTC 169/1996, de 15 de enero [ RTC 1996, 169] , F. 3 y 73/2000, de 26 de marzo [ RTC 2000, 73] , F. 2, por todas), no basta con constatar que la decisión judicial de inadmisión de las pruebas propuestas adolece de falta de motivación o incurre en una interpretación de la legalidad arbitraria o irrazonable, sino que es necesario asimismo que la falta de actividad probatoria se haya traducido en una efectiva indefensión del recurrente, o lo que es lo mismo, que sea «decisiva en términos de defensa» ( SSTC 1/1996, de 15 de enero [ RTC 1996, 1] , F. 2; 219/1998, de 17 de diciembre [ RTC 1998, 219] , F. 3; 101/1999, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 de 31 de mayo [ RTC 1999, 101] , F. 5; 26/2000, de 31 de enero [ RTC 2000, 26] , F. 2; 45/2000, de 14 de febrero [ RTC 2000, 45] , F. 2). A tal efecto, hemos señalado que la tarea de verificar si la prueba es decisiva en términos de defensa y, por tanto, constitucionalmente relevante, lejos de poder ser emprendida por este Tribunal mediante un examen de oficio de las circunstancias concurrentes en cada caso concreto, exige que el recurrente haya alegado y fundamentado adecuadamente dicha indefensión material en la demanda, habida cuenta de que, como es notorio, la carga de la argumentación recae sobre los solicitantes de amparo ( SSTC 1/1996, de 15 de enero [ RTC 1996, 1] ; 164/1996, de 28 de octubre [ RTC 1996, 164] ; 218/1997, de 4 de diciembre [ RTC 1997, 218] ; 45/2000, de 14 de febrero [ RTC 2000, 45] , F. 2). Esta exigencia se proyecta en un doble plano: de una parte, el recurrente ha de razonar en esta sede la relación entre los hechos que se quisieron y no se pudieron probar y las pruebas inadmitidas ( SSTC 149/1987, de 30 de septiembre [ RTC 1987, 149] , F. 3; 131/1995, de 11 de septiembre [ RTC 1995, 131] , F. 2); y de otra, quien en la vía de amparo invoque la vulneración del derecho a utilizar los medios de prueba pertinentes deberá, además, argumentar de modo convincente que la resolución final del proceso «a quo» podría haberle sido favorable, de haberse aceptado y practicado la prueba objeto de controversia ( SSTC 116/1983, de 7 de diciembre [ RTC 1983, 116] , F. 3; 147/1987, de 25 de septiembre [ RTC 1987, 147] , F. 2; 50/1998, de 2 de marzo [ RTC 1998, 50] , F. 3; 357/1993, de 29 de noviembre [ RTC 1993, 357] , F. 2), ya que sólo en tal caso, comprobado que el fallo pudo, acaso, haber sido otro si la prueba se hubiera admitido, podrá apreciarse también el menoscabo efectivo del derecho de quien por este motivo busca amparo ( SSTC 30/1986, de 20 de febrero [ RTC 1986, 30] , F. 8; 1/1996, de 15 de enero [ RTC 1996, 1] , F. 3; 170/1998, de 21 de julio [ RTC 1998, 170] , F. 2; 45/2000, de 14 de febrero [ RTC 2000, 45] , F. 2; 165/2001, de 16 de julio [ RTC 2001, 165] , F. 2, entre otras muchas). No habiendo cumplido los demandantes de amparo esta carga, debe ser rechazada su queja.(…) En definitiva, deben desestimarse las alegaciones relativas a la nulidad por vulneración de derechos fundamentales, puesto que ANC y OC ni han razonado en qué medida podía alterar el fondo del asunto la práctica de la prueba solicitada ( la expedición de un certificado) , ni al margen de dicha ausencia, puede determinarse en qué se hubiera modificado el sentido de la resolución -en cuanto a la producción de los hechos, la identificación de los responsables y las consecuencias derivadas de la comisión de la infracción-, si existen otros procedimientos incoados a tal fin. 4. Responsabilidad. Teniendo en cuenta el contexto normativo antes señalado, procede abordar el análisis del estatus de ambas entidades en orden a establecer su responsabilidad. ANC y OC realizaron cada una, inscripciones relativas al fichero AHORA ES LA HORA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 que es el objeto de la transferencia internacional de datos. En el Anexo de Privacidad del contrato de servicio de alojamiento con la empresa estadounidense Blue State Digital, figuran ambas entidades como firmantes y en calidad de DATA CONTROLLER, es decir, responsables del tratamiento. Asimismo, no puede obviarse que en el procedimiento sancionador PS/235/2015, las citadas entidades son responsables del fichero -de acuerdo con la definición prevista en el art. 3 de la LOPD y su régimen de responsabilidad previsto en el art. 43 de la citada norma- y en el presente caso se analiza la adecuación a la normativa aplicable de la trasferencia internacional de los datos del mismo fichero, por lo que nada ha cambiado respecto de dicha condición. Es decir, la condición de responsables del fichero se mantiene intacta respecto del citado procedimiento y por tanto ambas entidades ostentan una posición susceptible de generar responsabilidad por el incumplimiento de los preceptos de la LOPD de acuerdo con su art. 43 que establece que: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. En las alegaciones formuladas a la propuesta de resolución, manifiestan las entidades que en aquellos casos en los que exista una corresponsabilidad de un fichero estaremos ante una responsabilidad solidaria, siendo la consecuencia de que los hechos imputados solo serían constitutivos de una única infracción y que ambos deben responder del pago de la misma solidariamente pues así lo determinan las SSTS de 13 de julio de 1987 y de 2 de enero de 1992. Frente a ello, debe señalarse en primer lugar que la jurisprudencia en la que se pretende apoyar su argumentación y aplicarla al presente caso, versa sobre responsabilidad en el ámbito de la normativa de ordenación urbana y régimen del suelo, con espacios singulares de actividad en la que intervienen diferentes actores – promotores, constructores, facultativos, dirección de obra, etc.,..- . La Sentencia citada dirime el régimen de responsabilidad de los intervinientes y viene a concluir que el expediente sancionador en aquel caso, debió seguirse frente a todos los que la norma señala como obligados a un determinado cumplimiento o deber, pudiendo extrapolar de ella, en este caso, únicamente el régimen de responsabilidad, sin que nada se diga del modo de pago de una sanción. La Sentencia del Alto Tribunal anula la sanción a un interviniente y mantiene la corresponsabilidad derivada de la normativa aplicable, pero en ningún caso analiza el posible pago solidario de una única sanción que es lo propuesto aquí por las entidades denunciadas. En segundo lugar, la propuesta de resolución determina la comisión de una única infracción, - tal como aducen las denunciadas -, y la imposición de sanción a cada entidad deriva precisamente de su condición de responsable del fichero y de las obligaciones que el ordenamiento jurídico les atribuye derivadas de dicha condición. El principio de personalidad y de responsabilidad solidaria que establece la LRJPAC, determina que para el caso de que se haya incumplido una obligación que corresponda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 a varias personas conjuntamente (art. 130.3), todos los infractores pueden ser sancionados por una única infracción – siendo esa posibilidad la que puede revestirse de “solidaria”-. Por lo que debe confirmarse la Propuesta de Resolución en el sentido de determinar la imposición de una sanción a cada entidad por la infracción del art. 33 de la LOPD, en su calidad de responsables del fichero. 5. Sobre los hechos declarados probados. Las entidades denunciadas manifiestan en sus alegaciones a la propuesta de resolución que no se han tenido en cuenta en el relato de hechos probados determinadas circunstancias que son esenciales para determinar la culpabilidad de la entidad. Frente a ello debe señalarse en primer lugar, que los comunicados realizados desde el Grupo de Trabajo del art. 29, y las notas de prensa o publicaciones realizadas desde la Agencia Española de Protección de datos, en nada modifican el análisis del elemento de culpabilidad que se atribuye a ANC y OC, y la vigencia del principio de confianza legítima, pues claramente se advierte en la publicación de 19/10/2015 que las autoridades de protección de datos investigaran y ejercerán sus potestades en caso de denuncias con el fin de proteger a las personas, es decir, tal como ha sucedido en el presente caso. En segundo lugar, respecto a la no acreditación de que los datos de los denunciantes consten en el fichero trasferido a Estados Unidos, y la intención o finalidad de los denunciantes en su actuación, debe tenerse en cuenta que el papel de los denunciantes puede revestirse de diversa naturaleza jurídica, o bien como afectados directamente, o bien como mero comunicador de hechos que pueden revestir el carácter de infracción. Cualquiera de las dos opciones no puede ser óbice para que la Agencia Española de Protección de Datos, actué de acuerdo con el mandato legalmente atribuido en el ejercicio de sus potestades, teniendo presente que las actuaciones de este organismo se realizan siempre de oficio, bien mediante denuncia, bien por ser conocedora de hechos que pueden revestir el carácter de infracción. Por lo que resulta irrelevante que los datos personales de los denunciantes consten en dicho fichero para que se analice la adecuación de un determinado tratamiento a la LOPD y su normativa de desarrollo. Finalmente, en cuanto a la fecha en que ha de considerarse finalizada la comisión de la infracción, -el tratamiento en otro Estado sin autorización ex art. 33 LOPD u otro amparo legal-, debe hacerse una remisión al apartado de la presente resolución dedicado al análisis de los criterios de graduación previstos en el art. 45.4 y 5 de la LOPD. 6. Conducta típica y antijurídica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 Dispone el artículo 44.4
  14. d)de la LOPD, que es infracción grave, “La transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia Española de Protección de Datos salvo en los supuestos en los que conforme a esta Ley y sus disposiciones de desarrollo dicha autorización no resulta necesaria” En el presente caso se da la conducta descrita en el citado artículo, no pudiendo estimarse las alegaciones formuladas por ANC y OC, respecto del significado del término “trasferir” que según indican, exige una acción positiva y que se extingue una vez realizada ésta. OC y ANC en sus alegaciones formuladas a la propuesta de resolución, sostiene que no existe ni en la LOPD, ni en el RDLOPD definición de “trasferencia internacional de dato” y por tanto no puede determinarse el tipo infractor. Frente a ello debe hacerse una remisión al art. 5 apartado
  15. s)del RDLOPD, que al contrario de lo que alega ANC, se determina la definición de transferencia internacional de datos como aquel Tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español. La citada definición, por tanto, indica expresamente que existirá transferencia internacional de datos en los supuestos en que los datos de carácter personal hayan sido transmitidos a un tercer Estado fuera del Espacio Económico Europeo realizándose en el mismo una actividad de tratamiento de aquéllos por cuenta del responsable establecido en territorio español. En este sentido, debe recordarse que el artículo 5.1
  16. t)del RLOPD considera tratamiento de datos “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Pues bien, es un hecho no discutido que ANC y OC contrataron los servicios de BSD a fin de que por la misma se procediese, por cuenta de aquéllas a la conservación de los datos de carácter personal en sus servidores; es decir, a la realización en los Estados Unidos de América de un tratamiento por cuenta de las responsables del fichero establecidos en territorio español, lo que encaja evidentemente en la definición de tratamiento internacional de datos establecida en el artículo 5.1
  17. s)del RLOPD. En definitiva, la transferencia internacional de datos ha de interpretarse en relación con el concepto de tratamiento de datos que contiene la LOPD y su normativa de desarrollo, - tal como se hacía constar en la propuesta de resolución - en el sentido de que, ésta existe mientras los datos de carácter personal se encuentren ubicados fuera del territorio nacional -y por tanto sometidos a tratamiento- , y en el supuesto analizado ha resultado probado que mientras los datos están en los servidores de BSD, no se cuenta con la autorización de la AEPD ni amparo legal alguno, conducta que por sí sola cumple las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 exigencias del principio de tipificación, cuya consagración tiene su reflejo en el texto del citado art. 44.4
  18. d)y no en el art. 33 de la LOPD, tal como pretenden las entidades denunciadas. 7. Determinación de la cuantía de la sanción a imponer y análisis del elemento subjetivo en la comisión de la infracción. Con carácter previo al análisis de la aplicación de los criterios previstos en el art. 45 de la LOPD, procede abordar las alegaciones de ANC en las que manifiesta la existencia de una “asimetría” en las funciones de ambas entidades. ANC pretende excluir su participación en los hechos aduciendo que el control de los actos recaía sobre OC, tanto es así, que suprimió la inscripción del fichero y la gestión posterior del mantenimiento o no del contrato con BSD la realizo OC. Argumentos que no pueden ser estimados con los efectos exculpatorios que propone ANC, teniendo en cuenta que al ser responsable del fichero, tanto formal como materialmente, era tributario de las obligaciones legales derivadas de tal condición, entre las que se encuentra obtener el correspondiente amparo legal para mantener el fichero en los servidores de BSD. El artículo 45 de la LOPD, apartados 2 a 5, establece lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso procede aplicar la degradación prevista en el apartado 5
  34. a)del art. 45 de la LOPD por la concurrencia significativa de varios criterios del apartado 4 y no por el apartado b dicho art. 45.5 como pretenden ANC y OC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 En concreto, concurre el apartado
  35. d)por el volumen de negocio o actividad de las entidades infractoras, dado que si bien trataron datos de carácter personal, no tienen entre su objeto como actividad principal la explotación de bases de datos ni otra actividad focalizada principalmente en el tratamiento de datos personales. Asimismo concurre el apartado
  36. e)dados los beneficios obtenidos como consecuencia de la comisión de la infracción, que no han sido acreditados, ni económicos ni de ninguna otra clase. Estas circunstancias que han sido tenidas en cuenta para aplicar el art. 45.5
  37. a)de la LOPD, al contrario de lo que manifiestan las entidades denunciadas, en sus alegaciones formuladas a la propuesta de resolución, no deben ser son observadas una vez aplicada la degradación a la escala inferior en gravedad puesto que ello implicaría una doble valoración y por ende aplicación. Tampoco puede estimarse, la regularización de la situación irregular de forma diligente como pretenden ANC y OC (ex art. 45.5
  38. b)LOPD), puesto que precisamente la valoración del espacio temporal en el que se comete la infracción, no puede analizarse desde una perspectiva que atenué el reproche sancionador, sino todo lo contrario, tal como se analiza en el apartado relativo al carácter continuado de la infracción. Ni valorar la ausencia de reincidencia como circunstancia atenuante, dado que dicha circunstancia –la reincidencia- aumentaría la gravedad de la antijuridicidad de la conducta imputable a los infractores de la LOPD, pero su ausencia no está contemplada en el precepto. Por ello procede aplicar el art. 45.5
  39. a)para situarse en la escala inferior en gravedad, y por tanto establecer la cuantía de la sanción en la horquilla de 40.001 € a 300.000 €. Ahora bien, en cuanto a la determinación de la sanción a imponer dentro del intervalo de las infracciones graves, debe tenerse en cuenta la concurrencia de circunstancias que agravan el reproche sancionador y el desvalor de la acción y del resultado- esto es, el modo en que se realiza la acción y la afectación al bien jurídico protegido-, que se concretan en: El carácter continuado de la infracción. Apartado a). La conducta se inicia en fecha de 6/10/2015 hasta que en fecha de 22/08/2016 se inicia el periodo de preaviso de un mes para resolver el contrato, por lo que se puede deducir que hasta finales del mes de septiembre los datos estarían en los servidores de BSD. Es decir, casi se cumple un año desde la Sentencia y se mantienen los datos en un servidor ubicado en un país cuyas transferencias requieren la autorización prevista en el art. 33 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 También debe tenerse en cuenta que el art. 66.3 RDLOPD señala En todo caso, la transferencia internacional de datos deberá ser notificada a fin de proceder a su inscripción en el Registro General de Protección de Datos, conforme al procedimiento establecido en la sección primera del capítulo IV del título IX del presente reglamento.Notificación ésta que no se llevó a cabo ni al inicio: ya que en la solicitud de inscripción no se marcó dicha opción, ni en un estadio posterior: desde que se tuvo conocimiento de que se puede llevar a cabo dicho tratamiento - la transferencia internacional- ; siempre y en todo caso, con carácter previo a la realización material de la citada trasferencia. Por dicha ausencia de comunicación, ni ANC ni OC, pudieron ser destinatarios de la comunicación que la AEPD remitió al respecto. Es decir, por la inobservancia del cumplimiento del citado precepto, las entidades denunciadas se colocaron en una zona de ignorancia culposa de la comunicación de esta Agencia, o dicho de otro modo, de haber cumplido el art. 66.3 RDLOPD hubieran tenido elementos adicionales para regularizar la situación. Asimismo y en relación con el apartado
  40. f)el grado de intencionalidad como elemento subjetivo en la comisión de la infracción y la capacidad del sujeto de actuar de otro modo, debe tenerse en cuenta que se realizaron dos inspecciones con anterioridad al inicio del procedimiento sancionador, respecto de las que podían deducir, sin arduos ejercicios intelectuales, lo irregular de la situación y solucionarlo de inmediato. No existe justificación, con las circunstancias expuestas, para mantener la situación al menos hasta el mes de septiembre de 2016. Desde la Agencia nunca se ha informado de la existencia de un período de gracia que pudiera dar lugar a interpretaciones erróneas. Siendo el transcurso de tiempo una circunstancia que ha de interpretarse en relación con las oportunidades que tanto OC como ANC han tenido para regularizar su situación.
  41. b)El volumen de los tratamientos efectuados. Habiéndose acreditado un volumen de 684.952 registros.
  42. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En este sentido debe tenerse en cuenta, en primer lugar, (i)la diligencia exigible en atención a las circunstancias puestas de manifiesto, pues estamos ante la comisión de la infracción, al menos, a título de negligencia culposa, ya que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 • ANC y OC debieron haber notificado al registro la previsión relativa la transferencia Internacional que pudiera hacerse, notificación que no se llevó a cabo y que de haberse realizado hubieran sido destinatarios de la comunicación y estar en condiciones de haber solucionado antes la situación y por tanto disminuir el riesgo que supone mantener ese fichero en BSD. • En el comunicado de la AEPD se advertía la posibilidad de iniciar actuaciones en caso de denuncia, en ningún caso este organismo puede hacer dejación de sus funciones. En segundo lugar, (
  43. ii)el riesgo al que han sido sometidos los datos contenidos en ese fichero en un Estado que no tiene un nivel adecuado de protección, que de haber solicitado la autorización que requiere el art. 33 de la LOPD, se hubieran observado las consideraciones de la Sentencia C-362/2014 que invalida la decisión 2000/520/CE sobre la adecuación del tratamiento de datos basado en SH, en la medida en que el nivel adecuado de protección que ofrecía SH únicamente era aplicable a las entidades adheridas a él, de modo que las autoridades públicas estadounidenses no están sometidas a dicho régimen; las exigencias de seguridad nacional, interés público y cumplimiento de la ley de EEUU prevalecen en ese caso, sobre el régimen de puerto seguro, de modo que las entidades estadounidenses están obligadas a dejar de aplicar, sin limitación, la reglas de protección previstas por ese régimen cuando entren en conflicto con las citadas exigencias; posibilitando, por tanto, injerencias por parte de las autoridades públicas estadounidenses en los derechos fundamentales de las personas, sin que conste que haya reglas destinadas a limitar esas posibles injerencias ni que exista una protección jurídica eficaz contra estas. En concreto se hace constar lo siguiente en la STJUE: Señala en su apartado 90 (…)la Comisión constató que las autoridades estadounidenses podían acceder a los datos personales transferidos a partir de los Estados miembros a Estados Unidos y tratarlos de manera incompatible con las finalidades de esa transferencia, que va más allá de lo que era estrictamente necesario y proporcionado para la protección de la seguridad nacional. De igual modo, la Comisión apreció que las personas afectadas no disponían de vías jurídicas administrativas o judiciales que les permitieran acceder a los datos que les concernían y obtener, en su caso, su rectificación o supresión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 Señala en su apartado 91(…)una normativa de ésta que haga posible una injerencia en los derechos fundamentales garantizados por los artículos 7 y 8 de la Carta debe contener reglas claras y precisas que regulen el alcance y la aplicación de una medida e impongan unas exigencias mínimas, de modo que las personas cuyos datos personales resulten afectados dispongan de garantías suficientes que permitan proteger eficazmente sus datos personales contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos de éstos. La necesidad de disponer de esas garantías es aún más importante cuando los datos personales se someten a un tratamiento automático y existe un riesgo elevado de acceso ilícito a ellos (sentencia Digital Rights Ireland y otros, C-293/12 y C-594/12, EU:C:2014:238, apartados 54 y 55 y la jurisprudencia citada). Señala en el apartado 93 (…) no se limita a lo estrictamente necesario una normativa que autoriza de forma generalizada la conservación de la totalidad de los datos personales de todas las personas cuyos datos se hayan transferido desde la Unión a Estados Unidos, sin establecer ninguna diferenciación, limitación o excepción en función del objetivo perseguido y sin prever ningún criterio objetivo que permita circunscribir el acceso de las autoridades públicas a los datos y su utilización posterior a fines específicos, estrictamente limitados y propios para justificar la injerencia que constituyen tanto el acceso a esos datos como su utilización En conclusión, el riesgo acontecido y que agrava la conducta de las entidades denunciadas, se concreta en que la mera tenencia de los datos en un Estado donde, se puede tener acceso al fichero sin restricciones constituye en sí mismo un riesgo que, como indica el apartado 91 parcialmente transcrito, impide que los afectados dispongan de garantías suficientes que permitan proteger eficazmente sus datos personales contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos de éstos. En tercer lugar, (iii) la situación en la que se encuentra el fichero, debe tenerse en cuenta que según manifiestan ANC y OC, el acceso al fichero estaba bloqueado lo que conlleva que cualquier ciudadano que quisiera ejercer los derechos previstos en la LOPD, difícilmente podría llevarlo a cabo, pues ni ANC ni OC controlaban materialmente el citado fichero. Dándose por tanto la situación de que los responsables no estaban en condiciones de gestionar materialmente el fichero con celeridad, eficacia e inmediatez y sin embargo, si lo estaban – dadas las circunstancias expuestas en la Sentencia C362/2014- autoridades gubernativas del tercer estado sin limitación o restricción alguna, tal como se ha hecho referencia en el párrafo anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 Y en cuarto y último lugar, en cuanto a (
  44. iv)la naturaleza de los datos objeto de tratamiento, pues estamos ante datos sensibles de ideología, es decir, la mera constancia de un dato personal, en un fichero obtenido a raíz de participación en encuesta o consulta sobre cuestiones relativas a la integridad e identidad territorial de una parte del territorio nacional, hace que dicho dato adquiera la naturaleza de dato ideológico, tal como se resolvió en el Procedimiento Sancionador PS/235/2015 que analiza la naturaleza del citado fichero y cuya resolución ha sido notificada a las partes y a la que por razones de brevedad debe hacerse la oportuna remisión. Al concurrir las mencionadas circunstancias agravantes (apartados a), b), f), y j)), especialmente cualificadas por su trascendencia, procede determinar la cuantía de la sanción a imponer, a cada entidad, en 90.000 euros estimándose acorde con el principio de proporcionalidad dada la calificación de muy grave que recoge el art. 44.4
  45. d)de la LOPD en relación con las circunstancias apreciadas en la determinación de la cuantía de la sanción a imponer dentro de la escala de las infracciones graves. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ASSEMBLEA NACIONAL CATALANA, OMNIUM CULTURAL, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4
  46. d)de la LOPD, una multa de 90.000 € ( noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD. SEGUNDO: IMPONER a la entidad OMNIUM CULTURAL, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4
  47. d)de la LOPD, de 90.000 € ( noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a CATALANA, OMNIUM CULTURAL, y a A.A.A., B.B.B.. ASSEMBLEA NACIONAL Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre de 2015, del Procedimiento Administrativo Común de las Administraciones Públicas, (LPACAP) los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.