← España

PS-00466-2015

1/7 Procedimiento Nº PS/00466/2015 RESOLUCIÓN: R/03268/2015 En el procedimiento sancionador PS/00466/2015, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO DE DERECHO DE AUTOR, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha de 06/03/2015 tiene entrada en esta Agencia un escrito de A.A.A. (el denunciante en adelante) en el que pone de manifiesto que constan sus datos personales en la página web www.institutoautor.org a pesar de haberse incoado por esta Agencia los procedimientos A/250/2013 donde se comprobó la retirada de sus datos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias teniendo conocimiento de los siguientes hechos: En fechas de 09/03/2015 y 14/08/2015 se accede a la siguiente web:http://institutoautor.org............1 verificando que constan los datos del denunciante. La citada url contiene otro enlace http://institutoautor.org............2 donde si bien no constan los datos de este hace referencia al mismo supuesto que en el enlace anterior. TERCERO: Con fecha 3/09/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a INSTITUTO DE DERECHO DE AUTOR con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, INSTITUTO DE DERECHO DE AUTOR mediante escrito de fecha de entrada 01/10/2015 formulo alegaciones reconociendo la responsabilidad de los hechos denunciados, el acaecimiento de un error humano y la existencia de procedimientos adecuados de tratamientos de datos. Asimismo acreditan que regularizaron de inmediato la situación. Para finalmente solicitar la graduación y reducción de la escala de la posible sanción. QUINTO: En fecha de 02/10/2015 se incorporó como prueba documental la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante INSTITUTO DE DERECHO DE AUTOR. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00466/2015 presentadas por INSTITUTO DE DERECHO DE AUTOR, y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 documentación que a ellas acompaña. SEXTO: Al haber reconocido la entidad denunciada los hechos que se le imputan y la responsabilidad que se deriva de los mismos, se procede a elevar a la Directora de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.Mediante Resolución R/00809/2015 se resolvió el procedimiento de Apercibimiento nº A/250/2013 archivando las actuaciones, en el que resultaron probados lo siguientes hechos: (…)Uno.- Resulta acreditado que en fecha de 25/06/2013 y 09/12/2013 consta accesible a través de internet una sentencia con datos personales del denunciante en la dirección web http://www.institutoautor.org............3 relativa a una condena penal a un administrador de páginas web por violar las normas de propiedad intelectual. Dos.-El dominio www.institutoautor.org pertenece a la asociación socio-cultural “Instituto de derecho de autor”, encontrándose entre los fines de la asociación (…) la promoción y difusión del estudio de la Propiedad Intelectual. Tres.- Mediante escrito de 17/03/2014 la representación de Instituto de Derecho de Autor manifestó la url donde se encontraba accesible la sentencia (…)que se genera a través del gestor de contenidos de www.institutoautor.org/admin de forma automática cuando se “carga” un documento pdf dentro del texto de la noticia de una de las secciones de la web del lA (…) y que (…)Al desactivar el enlace a la sentencia en la noticia titulada “Un Juzgado Penal condena a un administrador de páginas web por enlazar”, sin embargo, la URL en formato pdf creada de forma automática a través del gestor de contenidos de la web, no se eliminó totalmente de Internet, ya que el enlace había sido indexado por Google, permitiendo la búsqueda y el acceso única y exclusivamente para aquellas personas que tecleasen exactamente la dirección www.institutoautor.org............3 directamente en la barra de navegación del buscador. (…) Cuatro.- Resulta acreditado que ya no es accesible la sentencia a través de los enlaces http://www.institutoautor.org............3 y que a través del enlace http://www.institutoautor.org............4 se accede a un resumen de la sentencia, sin contener datos de carácter personal.(…) DOS.- En fecha de 06/03/2015 tiene entrada en esta Agencia un escrito del denunciante en el que pone de manifiesto que constan sus datos personales en la página web www.institutoautor.org a pesar de haberse incoado por esta Agencia los procedimientos A/250/2013 donde se comprobó la retirada de sus datos. TRES.- En fechas de 09/03/2015 C/ Jorge Juan, 6 28001 – Madrid y 14/08/2015 se accede a la siguiente web: www.agpd.es sedeagpd.gob.es 3/7 http://institutoautor.org............1 verificando que constan los datos del denunciante. La citada url contiene otro enlace http://institutoautor.org............2donde si bien no constan los datos de este hace referencia al mismo supuesto que en el enlace anterior. CUATRO.- Mediante Acta Notarial de fecha 16/09/2015 aportada por INSTITUTO DE DERECHOS DE AUTOR, se da fe de que en la dirección de internet objeto de denuncia no aparecen los datos personales del denunciante. CINCO.- Mediante diligencia de Instrucción de fecha 04/12/2015 se comprueba que no está accesible el enlace objeto de denuncia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 6.1 de la LOPD: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por lo tanto, se exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, INSTITUTO DERECHOS DE AUTOR, como titular del dominio institutoautor.org ha de considerarse responsable del fichero y del tratamiento, y por tanto ostenta una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 III Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. En el presente caso, ha resultado probado que INSTITUTO DE DERECHOS DE AUTOR ha tratado datos del denunciante sin su consentimiento. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Así las cosas el titular de los datos observa cómo éstos son tratados para fines al margen de su voluntad y para una finalidad al margen del proceso judicial del que trae causa la sentencia, lo que escapa del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales. De conformidad con la definición de tratamiento de datos personales, se ha acreditado el tratamiento por parte de INSTITUTO DE DERECHOS DE AUTOR de los datos del denunciante, sin que haya presentado ninguna prueba que acredite que contaba con su consentimiento , así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 IV Dispone el artículo 44.3.
  3. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. V El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  4. a)El carácter continuado de la infracción.
  5. b)El volumen de los tratamientos efectuados.
  6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  7. d)El volumen de negocio o actividad del infractor.
  8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  9. f)El grado de intencionalidad.
  10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 artículo.
  15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso resultan acreditadas circunstancias que permiten la aplicación de la degradación prevista en el art. 45.5 de la LOPD, en concreto el apartado
  19. a)del citado precepto por la concurrencia de las letras
  20. b)e
  21. i)del apartado 4, (el volumen del tratamiento realizado y la implantación de protocolos para el cumplimiento de la LOPD). Asimismo concurren los apartados 45.5
  22. b)y
  23. d)de la LOPD, en concreto se ha regularizado inmediatamente la situación denunciada y tan pronto como se recibió el Acuerdo de Inicio del procedimiento la entidad denunciada procedió a reconocer su responsabilidad en los hechos. Ahora bien para determinar la cuantía de la infracción de acuerdo con el art. 45.4 de la LOPD, se han de tener en cuenta las circunstancias atenuantes antes expuestas y una única circunstancia agravante consistente en la reiteración y en la reincidencia, derivada de los hechos acreditados en el Procedimiento de apercibimiento A/250/2013. Por lo que no es posible fijar la cuantía de la sanción en la cantidad mínima que permite el precepto e imponer una sanción en la cuantía de 2.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad INSTITUTO DE DERECHO DE AUTOR, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  24. b)de la LOPD, una multa 2.000 euros ( dos mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a INSTITUTO DE DERECHO DE AUTOR, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.