← España

PS-00545-2014

1/11 Procedimiento Nº PS/00545/2014 RESOLUCIÓN: R/02803/2014 En el procedimiento sancionador PS/00545/2014, instruido por la Agencia Española de Protección de Datos a la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, vista la denuncia presentada por D.D.D. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29 de noviembre de 2013 tiene entrada en esta Agencia un escrito de D. D.D.D. en el que declara que tiene una relación contractual con la entidad denunciada y que ejerció el derecho de oposición en 2011 para publicidad. En enero de 2012 se inscribió en Robinson y ha seguido recibiendo publicidad por correo electrónico. Asimismo en fecha de 15/10/2012 un empleado ( B.B.B.) de Mutua envía un correo a su cuenta desvelando datos de terceros. Aporta el denunciante copia de la siguiente documentación: - Escrito de fecha 20/12/2011 mediante el cual el denunciante solicita el ejercicio del derecho de oposición al tratamiento, más allá del necesario para el desarrollo de la relación contractual. Y se opone, específicamente, al tratamiento con fines publicitarios, de prospección comercial, de segmentación, estudios de marketing y campañas publicitarias. Igualmente, se opone a cualquier cesión excepto las imprescindibles para el desarrollo de la relación contractual o las legalmente establecidas. No aporta copia de la respuesta ni justificante del acuse de recibo de dicho escrito. - Escrito de fecha 3/2/2012 mediante el cual MM da respuesta a un escrito de fecha 9/1/2012. En dicho escrito, informa al denunciante que procede a dar de baja los números de teléfono móvil facilitados en una serie de partes de accidente. En dicho escrito se muestra la existencia de una discrepancia entre el denunciante y MM en un parte de accidentes. Parece que en el escrito del denunciante -no aportado-, al que se le está dando contestación, hubo una acusación de incumplimiento de la LOPD, que la entidad niega. - Un total de once correos electrónicos de fechas 13/12/2011, 26/12/2011, 2/1/2012, 8/1/2012, 8/9/2012, 5/10/2012, 19/12/2012, 4/4/2013, 18/4/2013, 15/5/2013 y 12/7/2013 mediante los cuales MM hace publicidad de sus servicios. Respecto de otra posible infracción, aporta el denunciante: - Correo electrónico de fecha 23/10/2012, en los que el remitente pide disculpas por el error, y que contiene una serie de reenvíos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 - o Correo electrónico de fecha 5/10/2012 dirigido por Grupo Robo ( I.I.I.) con el asunto “RESPUESTA RECLAMACIÓN EXPEDIENTE: J.J.J./12” mediante el cual se da respuesta a una reclamación presentada por otro cliente de la entidad. o De fecha 06/10/2012 en el que D. E.E.E. se dirige a MM ( G.G.G.) mediante un correo con el asunto “Fwd: RESPUESTA RECLAMACIÓN EXPEDIENTE: J.J.J./12” mediante el que presenta una reclamación por la resolución de un expediente, con la que no queda satisfecho. o De fecha 15/19/2012 en el que D. B.B.B. ( H.H.H.) solicita un informe pericial. o De fecha 22/10/2012 en que el denunciante se queja de que, pese a que ejerció el derecho de oposición, D. B.B.B. lo mantiene en su lista de correos. Correo electrónico de fecha 23 de octubre de 2012 dirigido por D. D.D.D. ( C.C.C.) a D. B.B.B. y con el asunto “RE: Fwd: RESPUESTA RECLAMACIÓN EXPEDIENTE: J.J.J./12” mediante el cual el denunciante se queja de que continúa recibiendo correo publicitario, y solicita que dejen de enviarle correos publicitarios a sus direcciones C.C.C. y F.F.F.. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, teniendo conocimiento de que: 1. De la información y documentación aportada por MM se desprende: a. Informa la entidad que la dirección de correo electrónico C.C.C. no consta en su servicio de directorio de correo electrónico centralizado. Informa igualmente que tampoco figura en el servicio de directorio del usuario D. B.B.B., aportando impresión de pantalla del servicio de directorio de correo electrónico de dicho usuario, según el cual, no figura contacto alguno ni en “Mis contactos” ni en “Contactos recientes”. b. Respecto al motivo por el cual el reclamante recibió el correo electrónico por parte de D. B.B.B., en cuanto se va tecleando las primeras letras de la dirección del destinatario, el programa va mostrando las direcciones coincidentes que tiene almacenadas en el equipo, así como en el directorio de empleados de la compañía. En el caso que es objeto de denuncia, cuando D. B.B.B. tecleó el nombre de un empleado de Mutua Madrileña que se apellida igual que el denunciante con el objeto de remitirle un correo electrónico, el sistema asignó el email al denunciante por error, y no al empleado de la compañía de igual apellido. Por dicho motivo, es por lo que el denunciante recibió ese email por error. Si constaba en su día la dirección de correo electrónico del denunciante fue como consecuencia de las reclamaciones y ejercicios de derechos que fueron atendidas por el Departamento en el que D. B.B.B. prestaba sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 servicios. c. Presenta la entidad como acreditación del consentimiento prestado por el denunciante para el tratamiento de sus datos, copia del clausulado de Protección de datos de sus pólizas de autos suscritas con MM. Dichos documentos están fechados el 8/10/2008, 30/12/2010 y 17/9/2012. d. Respecto al ejercicio de derechos ARCO realizados por el denunciante, aporta la entidad relación de fecha en que ejerció dichos derechos, incluido el ejercicio de derecho de oposición a recepción de correos electrónicos comerciales con su fecha. - Derecho de Acceso recibido en nuestras oficinas el día 7/12/2010. - Derecho de Acceso recibido en nuestras oficinas el día 9/1/2012 - Derecho de Rectificación y Oposición recibido en nuestras oficinas el día 9/1/2012. Mediante escrito de fecha 3/2/2012 MM da respuesta positiva a dichas peticiones. - Derecho de Acceso recibido en nuestras oficinas el día 12/6/2013. - Derecho de Acceso en fecha 30/12/2013. Entre los ejercicios de derechos informados no consta el ejercicio del derecho de oposición mencionado por el denunciante mediante su escrito de fecha 20/12/2011. e. Requerido a la entidad mayor información acerca de las opciones ejercidas por el denunciante respecto al ejercicio de sus derechos ARCO y fecha en que fueron ejercidas, así como el ejercicio del derecho de oposición a la recepción de correos electrónicos comerciales y fecha en que fue ejercida, manifiesta la entidad que, si bien no se aportó en el primer requerimiento pantallazo de dicha información, ni se aporta en el segundo requerimiento, es debido a que técnicamente eso no es posible. Se trata de documentos que se encuentran guardados en una carpeta en red, y por tanto no es posible sacar un pantallazo de todas las opciones ejercidas. Ahora bien, el ánimo de Mutua Madrileña es cumplir rigurosamente los requerimientos de la Agencia, y es por ello por lo que en sustitución de dicho pantallazo aporta: C/ Jorge Juan, 6 28001 – Madrid - Un listado comprensivo de las opciones ejercitadas por el denunciante, y fecha de recepción de dichas comunicaciones en Mutua Madrileña. Coincide con el antes mencionado. - El documento justificativo de la petición efectuada por el reclamante a Mutua Madrileña. - El documento que fue remitido al denunciante en contestación a su petición inicial de ejercicio de derechos ARCO. - Pantallazo de las marcas de LOPD del denunciante, en el que se puede observar como sus marcas de gestión de LOPD se encuentran todas en NO. www.agpd.es sedeagpd.gob.es 4/11 TERCERO: De los antecedentes expuestos se desprende que el denunciante, además de poner de manifiesto unos hechos que pueden ser constitutivos de infracción a la LOPD, comunica el envío de comunicaciones comerciales por medio electrónicos sin autorización, tipificados como infracción a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico ( LSSI en adelante) , debiendo recordarse que de acuerdo con lo dispuesto en el art. 45 de dicha norma, y su consideración como infracciones leves, tras las modificaciones que introduce la disposición final segunda de Ley 9/2014, de 9 de mayo, General de Telecomunicaciones («B.O.E.» 10 mayo; Corrección de errores «B.O.E.» 17 mayo).Vigencia: 11 mayo 2014) los mismos estarían prescritos. Circunstancia por la que no se acordó iniciar procedimiento sancionador por vulneración de la LSSI. CUARTO Con fecha 2 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3

  1. d)de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA mediante escrito de fecha 20/10/2014 formuló alegaciones, significando, que reconoce el envio del email al denunciante, debido a un error humano entendiendo que no debe aplicarse sanción de acuerdo al principio del carácter restrictivo de la potestad administrativa sancionadora. No existe incumplimiento del art. 10 de la LOPD. El gestor de correo es el programa NOTES que sugiere el nombre del destinatario de los correos, almacenadas en un directorio común, donde constan empeaedos y direcciones almacenadas por estos en su relación con terceros. Y la recepción del correo por el denunciante se debe a que el destinatario era un empleado de esta mercantil y por error se designó aquel, que constaba en esa base de datos debido a las comunicaciones realizadas para la gestión de las reclamaciones que este ha interpuesto. En cuanto al alcance de la información revelada, ésta hace referencia a una reclamación de daños materiales de otro mutualista, constando únicamente como datos identificativos el nombre y los apellidos. Existen medios internos para la evitación de la problemática señalada. Todo se debe a un desafortunado error por parte de un empleado, por lo que para el caso de que no se acuerde el archivo por falta de culpabilidad, se solicita de acuerdo con lo dispuesto en el art. 45 la constatación de una cualificada disminución de la antijuricidad y culpabilidad. SEXTO: Con fecha 20/10/2014 se incorporó como prueba documental, la denuncia interpuesta por D.D.D. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07688/2013. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00545/2014 presentadas por MUTUA MADRILEÑA AUTOMOVILISTA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 SOCIEDAD DE SEGUROS A PRIMA FIJA, y la documentación que a ellas acompaña. SEPTIMO: En fecha de 6/11/2014 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA con multa de 1.000 € (mil euros) por la infracción de los artículos 10 de la LOPD, tipificada como grave en el artículo 44.3
  2. d)de dicha norma, que fue notificada según consta en el acuse de recibo de Correos en fecha de 11/11/2014. OCTAVO: En fecha de 28/11/2014 la representación de MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, formulo alegaciones en las que solicitaba el archivo de las actuaciones en la medida de que estamos ante un levísimo error, y da por reproducidas las presentadas anteriormente. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 15/10/2012 se envía un correo electrónico desde la cuenta H.H.H. al destinatario F.F.F. que contiene información de una reclamación de un expediente de seguro de daños a MUTUAMADRILEÑA. Donde constan nombre y apellidos, y dirección de correo de un tercero. DOS.- La dirección de correo remitente del envío antes señalado es de un empleado de MUTUA MADRILEÑA, y el destinatario es el denunciante, que es cliente de la entidad y que como consecuencia del citado envío es conocedor de los nombre, apellidos y dirección de correo de otro cliente de la entidad. TRES.- Según manifestaciones de los representantes de MUTUAMADRILEÑA, el envío del correo se produce por error humano debido a que el gestor de correo NOTES, con la pulsación de la primera letra del nombre del destinatario sugiere direcciones de correo almacenadas en su archivo, y en el caso analizado, apareció con carácter prioritario la del denunciante, que comparte nombre con otro empleado de la entidad quien era potencialmente el destinatario, sin que fuera advertida tal circunstancia por el titular de la cuenta H.H.H. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Con carácter previo al análisis del derecho sustantivo aplicado, debe señalarse que mediante escrito de fecha 9/10/2014 el denunciante presentó un escrito calificado de recurso de reposición frente a la Resolución de esta Agencia de fecha de 2/10/2014, es decir, el Acuerdo de Inicio del presente expediente sancionador, debiendo recordarse lo dispuesto que en el citado acuerdo se hacía constar lo siguiente, (…) Conforme a lo establecido en el artículo 107 de la LRJPAC no cabe recurso administrativo alguno (…). Dispone el art. 107.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común: 1. Contra las resoluciones y los actos de trámite, si estos últimos deciden directa o indirectamente el fondo del asunto, determinan la imposibilidad de continuar el procedimiento, producen indefensión o perjuicio irreparable a derechos e intereses legítimos, podrán interponerse por los interesados los recursos de alzada y potestativo de reposición, que cabrá fundar en cualquiera de los motivos de nulidad o anulabilidad previstos en los artículos 62 y 63 de esta Ley. La oposición a los restantes actos de trámite podrá alegarse por los interesados para su consideración en la resolución que ponga fin al procedimiento. ( El subrayado es de la Agencia Española de Protección de Datos) Por tanto no es posible admitir dicho escrito con tal consideración, sin perjuicio de la posibilidad de instar el medio de revisión que estime conveniente frente a la presente resolución. III El denunciante además de poner de manifiesto unos hechos que pueden ser constitutivos de infracción a la LOPD, comunica el envío de comunicaciones comerciales por medio electrónicos sin autorización, tipificados como infracción a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico ( LSSI en adelante). En el momento de producirse los envíos denunciados el art. 38.3
  4. c)de la LSSI tipificaba como infracción grave el envío de más de tres comunicaciones comerciales a un mismo destinatario en el plazo de un año que incumplieran lo dispuesto en el art. 21 de dicha norma, teniendo un plazo de prescripción de 2 años de acuerdo con su art. 45. Sin embargo de acuerdo con la modificación de la LSSI operada por la disposición final segunda de la Ley 9/2014, de 10 de mayo, de Telecomunicaciones, publicada en el BOE nº 114 de fecha 10 de mayo de 2014, se consideran infracciones graves y leves, de acuerdo con el art. 38. 3
  5. c)y 38.4 d): Art. 38.3
  6. c)considera infracción grave: El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21. Art. 38.4
  7. d)considera infracción leve: El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 Por lo tanto, y de acuerdo con lo dispuesto en el art. 9.3 de la Constitución Española que dispone que: La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales y con lo dispuesto en el art. 128.2 de la ley 30/1992, de 26 de noviembre, que dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, se ha de aplicar el régimen sancionador más favorable, y en el momento de iniciarse el procedimiento sancionador, los hechos denunciados se tipificaron con infracción leve ( art. 38.4
  8. d)con un plazo de prescripción de 6 meses, por lo que no se ha realizado imputación alguna en este sentido. Sobre la retroactividad de las disposiciones sancionadoras cuando sean mas favorables debe citarse la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Asimismo, en Sentencias de la Sala de lo Contencioso Administrativo del Tribunal Supremo de 24 de enero de 2006 (recurso 419/2002), 31 de enero de 2007 (recurso 8873/2003) y 13 de febrero de 2008 (recurso 2110/2004), entre otras muchas, se afirma que el principio de retroactividad de las normas administrativas sancionadoras obliga a aplicar retroactivamente dichas normas en todo aquello que pudiera ser más beneficioso para el presunto infractor, y "...tal aplicación debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial." En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el nuevo régimen sancionador de la LSSI más favorable para la entidad infractora que el vigente en el momento de la comisión de los hechos objeto de imputación y por lo tanto no acordar iniciar procedimiento sancionador por la prescripción de los hechos de acuerdo con el art. 38.4
  9. d)y 45 de la LSSI. IV El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. En el presente caso se ha acreditado la vulneración del deber de secreto que incumbe a todo aquel que intervenga en el tratamiento, como el denunciado, pues de la comunicación electrónica enviada por éste y analizada se desprende que el denunciante y destinatario del mismo conoció los datos personales de un tercero, consistentes en nombre y apellidos. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. V Señala el art. 44.3
  10. d)que son infracciones graves “ La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 2 y 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso el deber de diligencia que se deriva del propio articulo 10, al señalar que su mandato subsistirá aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo se configura como una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizada mente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso, concurren las circunstancias previstas en el art. 45.5 1
  26. a)por aplicación de los apartados d), e), f), g), y
  27. h)el art. 45.4 LOPD. Aplicándose la escala inferior en gravedad, es decir, de las infracciones leves, para determinar la cuantía de la sanción propuesta, en relación con los criterios de graduación recogidos en el apartado 4 del tan citado artículo 45, y en especial los apartados e), f),
  28. g)y h), procede imponer una sanción por incumplimiento del art. 10 de la LOPD, en la cuantía de 1000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3
  29. d)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA y a D.D.D.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.