← España

PS-00436-2013

1/6 Procedimiento Nº PS/00436/2013 RESOLUCIÓN: R/00437/2014 En el procedimiento sancionador PS/00436/2013, instruido por la Agencia Española de Protección de Datos a la entidad LA HERRADURA MALLORCA, S.L., vista la denuncia presentada por Euroloto 24, S.L. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas de registro de entrada en esta Agencia los días 18 y 21/02/2013 se recibieron escritos de la entidad Euroloto 24, S.L. (en lo sucesivo la denunciante), que comunica lo siguiente: . La entidad denunciante dispone de seis ficheros inscritos en el Registro General de Protección de Datos, entre los que figura el fichero denominado "Fichero de Clientes" al que se le ha asignado por parte de la Agencia Española de Protección de Datos el código de inscripción ***COD.1. . La entidad mercantil La Herradura Mallorca, S.L. (en lo sucesivo HERRADURA MALLORCA) está utilizando el mismo número de fichero en su página web http://herradura......, en el apartado referido a la protección de datos. En base a ello, considera la denunciante que aquella información induce a error a los clientes de la entidad HERRADURA MALLORCA y usuarios de la citada página web, con el consecuente perjuicio a la empresa denunciante, verdadera responsable del fichero identificado con el citado número. Aporta la correspondiente documentación y solicita que se inicien las correspondientes diligencias de investigación, se inste a HERRADURA MALLORCA para que proceda a rectificar la indicación reseñada en su web sobre el fichero indicado y, en su caso, se levante acta de infracción. SEGUNDO: Por la Subdirección General del Registro general de Protección de Datos se comprueba que no consta inscrito en dicho Registro ningún fichero en el que figure la entidad HERRADURA MALLORCA como responsable del mismo. En consecuencia, mediante escrito de fecha 10/04/2013, notificado el 15/04/2013, se requirió a la misma para que notificase los ficheros de los que sea responsable o formulase alegaciones al respecto, significándole que no solicitar la inscripción de ficheros de datos de carácter personal en el Registro General de Protección de Datos (RGPD) supone una infracción de la normativa de protección de datos. Considerando que el requerimiento citado no fue atendido por HERRADURA MALLORCA, con fecha 07/06/2013 se reiteró nuevamente a dicha entidad, advirtiéndole que, de no obtenerse respuesta, se daría traslado al órgano encargado de la función inspectora, toda vez que su conducta podría ser constitutiva de infracción, en cuyo caso serían de aplicación las sanciones previstas en el artículo 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). No obstante, este nuevo requerimiento fue devuelta por el servicio de correos el 12 de junio con la indicación "Ausente reparto”. TERCERO: Con fecha 09/07/2013, por la Subdirección General de Registro General de Protección de Datos se informó que no se ha recibido ninguna comunicación de la entidad HERRADURA MALLORCA en relación con el requerimiento citado en el Antecedente Segundo. CUARTO: Con fecha 06/09/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad HERRADURA MALLORCA por la presunta infracción del artículo 37.1.

  1. f)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  2. i)de la citada Ley Orgánica, pudiendo ser sancionada, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio del presente procedimiento sancionador, se recibió escrito de alegaciones de la entidad denunciante, que se persona en el procedimiento. HERRADURA MALLORCA, por su parte, presentó escrito en el que manifiesta que en agosto de 2013 suprimió la información sobre protección de datos insertada en su web, incluida la referencia al fichero señalado en la denuncia, y contrató una empresa especializada para adaptar la entidad a lo establecido en la LOPD, habiendo procedido a la inscripción de sus ficheros. En relación con la no atención de los requerimientos efectuados por la Agencia Española de Protección de Datos, señal que los mimos tuvieron lugar durante un período de inactividad de la entidad. Finalmente, añade que ha actuado de buena fe y no ha tenido intención de ignorar los mencionados requerimientos. SÉXTO: En fecha 07/10/2013, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducida a efectos probatorios la denuncia y la documentación obtenida y generada por las Subdirecciones Generales de Inspección de Datos y Registro General de Protección de Datos, y por presentadas las alegaciones al acuerdo de inicio del procedimiento PS/00436/2013 realizadas por HERRADURA MALLORCA y la documentación que a ellas acompaña. Asimismo, por el Instructor del procedimiento se acordó incorporar a las actuaciones el resultado de la consulta efectuada al Registro General de Protección de Datos sobre los ficheros inscritos en el mismo cuya titularidad corresponde a la entidad HERRADURA MALLORCA, comprobándose que figuran dos ficheros con fecha de inscripción 27/09/2013 y las denominaciones “Clientes” y “Nóminas y personal”. SEPTIMO: Con fecha 16/01/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad HERRADURA MALLORCA con multa de 1.000 euros (mil euros), por la infracción del artículo 37.1.
  3. f)de la LOPD, tipificada como grave en el artículo 44.3.
  4. i)de dicha norma, y de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Notificada la citada propuesta, el plazo concedido a la entidad HERRADURA MALLORCA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 para formular alegaciones transcurre sin que se haya recibido escrito alguno. HECHOS PROBADOS 1. Mediante escrito de fecha 10/04/2013, notificado el 15/04/2013, la Agencia Española de Protección de Datos requirió a la entidad HERRADURA MALLORCA la notificación de los ficheros de los que sea responsable, significándole que no solicitar la inscripción de ficheros de datos de carácter personal en el Registro General de Protección de Datos (RGPD) supone una infracción de la normativa de protección de datos. 2. Con fecha 09/07/2013, por la Subdirección General de Registro General de Protección de Datos se informó que el requerimiento reseñado en el Hecho Probado Primero no había sido atendido por la entidad HERRADURA MALLORCA. 3. Con fecha 06/09/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad HERRADURA MALLORCA, por presunta infracción del artículo 37.1.
  5. f)de la LOPD, tipificada como grave en el artículo 44.3.
  6. i)de dicha norma. Durante la tramitación de este procedimiento sancionador, la entidad HERRADURA MALLORCA ha adoptado las medidas que le fueron solicitadas para la adecuación de su situación a la normativa de protección de datos personales, habiendo procedido a la inscripción de sus ficheros en el Registro General de Protección de Datos. Constan inscritos dos ficheros denominados “Clientes” y “Nóminas y personal”, con fecha de inscripción 27/09/2013. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
  8. f)de la LOPD señala que “1. Son funciones de la Agencia Española de Protección de Datos:
  9. f)Requerir a los responsables y a los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. De la información contenida en estas actuaciones se desprende que, en el momento en que fue formulada la denuncia reseñada en el Antecedente Primero, la entidad HERRADURA MALLORCA no había inscrito los ficheros de datos personales de su titularidad. Asimismo, en el presente procedimiento sancionador ha quedado acreditado que la Agencia Española de Protección de Datos acordó no iniciar procedimiento sancionador y proceder a remitir a la entidad HERRADURA MALLORCA el oportuno requerimiento para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 adopte las medidas necesarias para la inscripción de los ficheros de datos personales de los que fuese responsable, advirtiéndole que si el apercibimiento no fuera atendido en el plazo determinado se procedería a comunicar los hechos a la Subdirección General de Inspección de Datos para la apertura del correspondiente procedimiento sancionador. HERRADURA MALLORCA no aportó documentación alguna que acreditase el cumplimiento de las medidas requeridas, relativas a la notificación al Registro General de Protección de Datos de los ficheros cuya titularidad le corresponda como entidad responsable. En el presente expediente sancionador la actuación que se imputa es la falta de atención al citado requerimiento de esta Agencia Española de Protección de Datos. Respecto de este requerimiento, que es lo que se valora en el presente expediente, no se tiene constancia de respuesta alguna por el imputado. Este hecho, es decir, la falta de atención al requerimiento de esta Agencia Española de Protección de Datos al imputado en este procedimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 37.1.f). III La falta de atención del requerimiento de esta Agencia Española de Protección de Datos incumple lo establecido en el artículo 37.1.
  10. f)de la LOPD, constitutivo de una infracción grave tipificada en el artículo 44.3.
  11. i)de la misma norma, que considera como tal “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que HERRADURA MALLORCA no atendió el requerimiento efectuado mediante escrito de la AEPD de fecha 10/04/2013, notificado a dicha entidad el 15/04/2013. IV El artículo 45.1, 2, 4 y 5 de la LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 culpabilidad presentes en la concreta actuación infractora”. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, que admite la posibilidad de reducir la cuantía de la sanción, aplicando la escala que preceda en gravedad, siempre que exista una cualificada disminución de la culpabilidad o de la antijuridicidad del hecho, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, se aprecian circunstancias que suponen una disminución cualificada de la antijuridicidad por la concurrencia de varios de los criterios enunciados en el apartado 4 del citado artículo 45, como son la ausencia de beneficios y perjuicios a terceros, la falta de intencionalidad apreciada, el volumen de tratamientos, la actividad del infractor y la ausencia de reincidencia. Procede, por tanto, la aplicación de lo dispuesto en el artículo 45.5, imponiendo una sanción en cuantía correspondiente a la escala relativa a las infracciones leves. Por otra parte, en relación con los criterios de graduación recogidos en el artículo 45.4 de la LOPD, relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y, en especial, por un lado, que durante la tramitación del presente procedimiento se ha procedido a regularizar la situación de la entidad HERRADURA MALLORCA desde el punto de vista de la normativa de protección de datos, con la inscripción de los ficheros en el Registro General de Protección de Datos que constan detallados en el Hecho Probado Tercero (fecha de inscripción 27/09/2013), y por otro lado el número de ficheros (dos) inscritos, procede la imposición de una sanción por importe de 1.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad LA HERRADURA MALLORCA, S.L., por una infracción del artículo 37.1.
  27. f)de la LOPD, tipificada como grave en el artículo 44.3.
  28. i)de dicha norma, una multa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 de 1.000 euros (mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a las entidades LA HERRADURA MALLORCA, S.L. y a Euroloto 24, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.