PS-00547-2015

1/8 Procedimiento Nº PS/00547/2015 RESOLUCIÓN: R/00128/2016 En el procedimiento sancionador PS/00547/2015, instruido por la Agencia Española de Protección de Datos a la entidad PLANET SWAPSEE, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: En relación con la entidad PLANET SWAPSEE, S.L. (en lo sucesivo PLANET SWAPSEE), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento con la referencia A/00060/2015, que concluyó mediante resolución nº R/01966/2015, de fecha 22/07/2015, en la que se tuvieron por probados los siguientes hechos: <<1. La entidad PLANET SWAPSEE es titular del sitio web “www.swapsee.com”. 2. El sitio web “www.swapsee.com” está diseñado como una plataforma para que los usuarios registrados inserten mensajes en la web ofreciendo sus servicios, de la naturaleza que sean, o contraten los de otros usuarios. Para ello, los interesados pueden facilitar información personal y profesional, incluido el CV, parte de la cual se puede utilizar “para la creación de un perfil público que quedará accesible a otros usuarios”, según se informa en la “Política de Privacidad” accesible a través de la citada web. Según las “Condiciones del sitio web de Swapsee”, se entiende por “Usuario” cualquier “persona que está registrada como miembro del website”. 3. El denunciante se registró como usuario de la web “www.swapsee.com” e incorporó su CV a la misma. 4. Con fecha 22/01/2015, se recibe en la AEPD un escrito del denunciante en el que informa que mediante el buscador de Internet Google, con su nombre y apellidos como criterio de la búsqueda, en fecha 19/01/2015, obtuvo como resultado un enlace a la web www.swapsee.com que daba acceso al CV que incorporó al registrarse como usuario de dicha web. En dicho enlace, además de la URL, se ofrecía la indicación siguiente: “ A.A.A.”. 5. En fechas 27/01 y 06/02/2015, la Subdirección General de Inspección de Datos comprobó que el CV del denunciante, con sus datos personales, resultaba accesible al buscar en Google con su nombre y apellidos, en la carpeta B.B.B.. Asimismo, se comprobó que el citado buscador indexó otros documentos almacenados en la misma carpeta, entre ellos varios CV (seis), un certificado académico y una carta de presentación, con datos personales relativos a otras personas (datos identificativos, formación académica y experiencia profesional de los afectados). 6. Con fecha 17/07/2015, la Subdirección General de Inspección de Datos comprobó que el CV del denunciante con sus datos personales permanecía accesible al buscar en Google con su nombre y apellidos, en la misma carpeta B.B.B., al igual que el resto de CV mencionados en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Hecho Probado Quinto>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 22/07/2015 se acordó lo siguiente: “1.- APERCIBIR (A/00060/2015) a la entidad PLANET SWAPSEE, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
2. f)y
3. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos”. “2.- REQUERIR a PLANET SWAPSEE, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, evitando que resulten accesibles por parte de terceros, con el alcance expresado. Deberá solicitar a Google la eliminación de las direcciones B.B.B. de la cache de los motores de búsqueda y adoptar las medidas pertinentes para impedir la indexación de la web por motores de búsqueda. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/04738/2015, podría incurrir en una infracción del artículo 37.1.
4. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
5. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
6. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica”. TERCERO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación E/04738/2015. De la información contenida en estas actuaciones de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado por el Director de la Agencia de Protección de Datos en la resolución de 22/07/2015, que había sido notificada a PLANET SWAPSEE mediante anuncio publicado en el BOE de fecha 25/08/2015. PLANET SWAPSEE no ha aportado documentación alguna que acredite el cumplimiento de las medidas requeridas en la citada resolución, relativa al procedimiento de apercibimiento con la referencia A/00060/2015. CUARTO: Con fecha 02/11/2015, la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 acordó iniciar, procedimiento sancionador a PLANET SWAPSEE, por la presunta infracción del artículo 37.1.
7. f)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.i de la citada Ley Orgánica, pudiendo ser sancionado, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: El Acuerdo de apertura del presente procedimiento sancionador fue notificado a PLANET SWAPSEE en la forma establecida en los artículos 49.5, 60.2 y 61 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, después de haberse intentado la notificación a través del Servicio de Correos en el último domicilio conocido. Transcurrido el plazo concedido al denunciado para alegaciones sin que se hayan recibido las mismas, se procede a elevar el procedimiento a la Directora de la Agencia Española de Protección de Datos a los efectos de dictar resolución al respecto, dado que en la notificación del acuerdo de apertura del procedimiento se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entenderá el mismo como propuesta de resolución en virtud de lo previsto en el artículo 13 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS 1. Con fecha 22/07/2015, el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a PLANET SWAPSEE con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con una denuncia por infracción del artículo 9 de la misma norma, tipificada como grave en el artículo 44.3.
8. h)de la citada Ley Orgánica. 2. En el mismo acuerdo el Director resolvió requerir a PLANET SWAPSEE de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 9 de la LOPD: - En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, evitando que resulten accesibles por parte de terceros, con el alcance expresado. Deberá solicitar a Google la eliminación de las direcciones B.B.B. de la cache de los motores de búsqueda y adoptar las medidas pertinentes para impedir la indexación de la web por motores de búsqueda. - INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. En caso de no atender este requerimiento, se advirtió a PLANET SWAPSEE que se procedería a la apertura de un procedimiento sancionador. 3. Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación E/04738/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 De la información contenida en estas actuaciones de investigación se desprende que no consta que se hubiesen adoptado las medidas correctoras solicitadas y no consta que se hubiesen atendido los requerimientos efectuados por el Director de la Agencia de Protección de Datos. 4. Con fecha 02/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PLANET SWAPSEE, por presunta infracción del artículo 37.1.
9. a)de la LOPD, tipificada como grave en el artículo 44.3.
10. i)de dicha norma. Durante la tramitación de este procedimiento sancionador, PLANET SWAPSEE no ha adoptado las medidas correctoras que le fueron solicitadas mediante lo requerimientos reseñados en los hechos probados anteriores. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. II El artículo 13.2 del citado Real Decreto 1398/1993 establece que el acuerdo de iniciación de un procedimiento sancionador se notificará al interesado haciendo constar en dicha notificación que, de no efectuar alegaciones sobre el contenido, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. En este caso, en la notificación del acuerdo de inicio de la Directora de la Agencia Española de Protección de Datos se hacía referencia a este artículo, advirtiendo a la entidad imputada sobre las consecuencias de no efectuar alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre la infracción imputada a la denunciada. III El artículo 37.1.
12. f)de la LOPD señala que “1. Son funciones de la Agencia Española de Protección de Datos:
13. f)Requerir a los responsables y a los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento sancionador ha quedado acreditado que PLANET SWAPSEE fue apercibida según la posibilidad que ofrece el artículo 45.6 de la LOPD, que permite excepcionalmente al órgano sancionador, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 5 del mismo artículo, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 pertinentes. En el mismo acuerdo de apercibimiento el Director resolvió requerir a la citada entidad, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 9 de la LOPD, advirtiéndole que si el apercibimiento no fuera atendido en el plazo determinado se procedería a la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación con objeto de constatar el cumplimiento de lo requerido. Del contenido de estas actuaciones previas de investigación se desprende que no consta que el denunciado hubiese adoptado las medidas correctoras solicitadas y atendido los requerimientos efectuados en la resolución de 22/07/2015. El denunciado no ha aportado documentación alguna que acredite el cumplimiento de las medidas requeridas, consistentes en adoptar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, evitando que resulten accesibles por parte de terceros; así como solicitar a Google la eliminación de las direcciones B.B.B. de la cache de los motores de búsqueda y adoptar las medidas pertinentes para impedir la indexación de la web por motores de búsqueda. En el presente expediente sancionador la actuación que se imputa es la falta de atención al citado requerimiento del Director de esta Agencia Española de Protección de Datos, en el que se advirtió que en caso de no atenderlo se procedería a acordar la apertura de un procedimiento sancionador. Respecto de este requerimiento, que es lo que se valora en el presente expediente, no se tiene constancia de respuesta alguna por la imputada en el plazo concedido ni en cualquier otro momento anterior o posterior a la apertura del presente procedimiento. Incluso, durante la tramitación de este procedimiento sancionador el imputado no ha hecho uso del plazo que le fue concedido para formular alegaciones a dicha apertura. El hecho constatado de la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos al imputado en este procedimiento establece la base de facto para fundamentar la imputación de la infracción del artículo 37.1.f). IV La falta de atención del requerimiento de esta Agencia Española de Protección de Datos incumple lo establecido en el artículo 37.1.
14. f)de la LOPD, constitutivo de una infracción grave tipificada en el artículo 44.3.
15. i)de la misma norma, que considera como tal “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que PLANET SWAPSEE no ha atendido el requerimiento efectuado mediante la resolución de 22/07/2015, notificada el 25/08/2015. Se trata de un hecho objetivo atribuible a PLANET SWAPSEE y que configura el tipo de infracción señalado. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El artículo 45.1, 2, 4 y 5 de la LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
16. a)El carácter continuado de la infracción.
17. b)El volumen de los tratamientos efectuados.
18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
19. d)El volumen de negocio o actividad del infractor.
20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
21. f)El grado de intencionalidad.
22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, que admite la posibilidad de reducir la cuantía de la sanción, aplicando la escala que preceda en gravedad, siempre que exista una cualificada disminución de la culpabilidad o de la antijuridicidad del hecho, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, se aprecian circunstancias que suponen una disminución cualificada de la antijuridicidad por la concurrencia de varios de los criterios enunciados en el apartado 4 del citado artículo 45, como son el volumen de tratamientos afectados por la incidencia denunciada y la ausencia de beneficios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Procede, por tanto, la aplicación de lo dispuesto en el artículo 45.5, imponiendo una sanción en cuantía correspondiente a la escala relativa a las infracciones leves. Por otra parte, en relación con los criterios de graduación recogidos en el artículo 45.4 de la LOPD, relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, se tiene en cuenta, por un lado, la ausencia de intencionalidad y que no se han derivado perjuicios distintos a los que conlleva la infracción declarada; y por otro lado, que el imputado aún no ha acreditado haber atendido el requerimiento de la AEPD; procediendo la imposición de una sanción por importe de 2.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PLANET SWAPSEE, S.A., por una infracción del artículo 37.1.
31. f)de la LOPD, tipificada como grave en el artículo 44.3.
32. i)de dicha norma, una multa de 2.000 euros (dos mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a PLANET SWAPSEE, S.L., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es