← España

PS-00487-2017

1/6 Procedimiento Nº PS/00487/2017 RESOLUCIÓN: R/03406/2017 En el procedimiento sancionador PS/00487/2017, instruido por la Agencia Española de Protección de Datos a la entidad OSTEOCENTER S.L.., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha de 23/11/2016 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que denuncia a - OSTEOCENTER S.L. (en lo sucesivo la denunciada) por los siguientes hechos: Con fecha 2/11/2016 ha recibido un correo publicitario de la entidad CHAMAN ESCUELA SUPERIOR DE QUIROMASAJE en la que las direcciones de los destinatarios figuran sin copia oculta. Y, entre otra, anexa la siguiente documentación: • Copia del correo electrónico recibido por el reclamante con aproximadamente 500 direcciones de correo electrónico de terceros. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de que: 1. Los representantes de la entidad manifiestan que al formalizar la matrícula, los alumnos consienten la utilización del correo electrónico para recibir comunicaciones y en los correos remitidos siempre se hace constar la posibilidad de informar de que ya no quiere recibir información de la empresa por esta vía, procediéndose a dar de baja de las comunicaciones referidas a las actividades a realizar. Para las comunicaciones se procede por la persona de administración, hay dos en función de que sea turno de mañana o tarde, a confeccionar el contenido de la información a transmitir y se envía el correo a todos los alumnos que participan en los cursos a que se refiere la información o que han realizado cursos en la empresa. Siempre deben aparecer ocultos los datos individuales de los destinatarios. Así está configurado el equipo informático. El correo a que hace referencia el denunciante, según manifiestan los representantes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 la entidad, se envió bajo el mismo sistema de destinatarios ocultos, pero posteriormente se recibieron llamadas de alumnos diciendo que sus datos eran accesibles. Tras ello nos pusimos en contacto con el informático que se ocupa del mantenimiento de los equipos quien nos comentó que debía haber sido un fallo provocado por algún virus que habría desactivado el sistema. No consta que se haya producido con posterioridad ninguna incidencia. 2. No se aporta información relativa a qué tipo de virus afecto al sistema y cómo impidió la funcionalidad del CCO, ni si esta solucionada la incidencia. TERCERO: En fecha de 6/10/2017 , la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a OSTEOCENTER S.L.. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3

  1. d)de la citada Ley. CUARTO: La notificación del Acuerdo de Inicio, según consta en certificado del Servicio de soporte de Notificaciones electrónicas y Dirección electrónica Habilitada de la FNMT de 16/10/2017, fue puesta a disposición en fecha de 6/10/2017 y tras el plazo previsto en el art. 43 de la Ley 39/2015, de 1 de Octubre del Procedimiento Administrativo Común, y de acuerdo con lo dispuesto en el art. 41.5 de la misma norma, se entendió cumplido dicho trámite en fecha de 16/10/2017. QUINTO: En el Acuerdo de Inicio, notificado en fecha de 16/10/2017 se acordó (…)3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
  2. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
  3. b)del RLOPD, la sanción que pudiera corresponder sería de 1000 euros, sin perjuicio de lo que resulte de la instrucción.(…) SEXTO: Tal como se advertía en el citado acuerdo de inicio, de conformidad con los artículos 64.2.
  4. f)y 85 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP en adelante), de no efectuar alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. SEIS: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNICO: Con fecha 2/11/2016 la entidad OSTEOCENTER, S.L. remitió un correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 electrónico publicitario aproximadamente a 500 destinatarios, sin ocultar los datos personales de cada destinatario, provocando así que éstos tuvieran acceso a dichos datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Disponen los artículos 41.5 y 43 de la LPACAP, lo siguiente: Artículo 41.5: Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento. Artículo 43.2: Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido. En el presente caso de acuerdo con lo dispuesto en el antecedente cuarto de la presente resolución y en los preceptos transcritos el citado Acuerdo de Inicio del Procedimiento se notificó en fecha de 16/10/2017. III En el presente caso se atribuye a OSTEOCENTER S.L.. la comisión de la infracción del artículo 10 de la LOPD que señala que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Ha resultado probado que la entidad denunciada ha remitido un correo electrónico a 500 destinatarios distintos, sin ocultar los datos personales de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 destinatarios, lo que ha producido que cada destinatario conozca datos de los otros, vulnerando así el deber de secreto que recoge el art. 10 de la LOPD. IV La conducta que se atribuye a OSTEOCENTER, S.L., se encuentra tipificada como infracción grave en el artículo 44.3
  6. d)de dicha norma, que considera como tal La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. Pudiendo ser sancionada con multa de 40.001 € a 300.001 € de acuerdo con lo dispuesto en el artículo 45. 2 de la LOPD. V El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Tras las evidencias obtenidas se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, dada la aplicación del apartado a), al concurrir significativamente varios criterios del apartado 4 del citado artículo, el apartado
  22. f)El grado de intencionalidad en relación con el elemento subjetivo en la comisión de la infracción, ya que la infracción se produjo por imprudencia leve, en relación con la diligencia exigible, pues la entidad denunciada debió verificar la inclusión de las direcciones de correo de los destinatarios utilizando la función CCO, tratándose de un hecho aislado y el
  23. d)referido al volumen de negocio, de la entidad considerándose microempresa. Asimismo, se considera que procede graduar la sanción a imponer en la cuantía de 1.000 euros, de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, en su apartado
  24. b)El volumen de los tratamientos efectuados, que se circunscribe a quinientos destinatarios. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OSTEOCENTER S.L.. por una infracción del artículo 10 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3
  25. d)de la LOPD, una multa de 1.000 € ( mil euros) , de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a OSTEOCENTER S.L.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  26. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.