← España

PS-00587-2013

1/12 Procedimiento Nº PS/00587/2013 RESOLUCIÓN: R/00782/2014 En el procedimiento sancionador PS/00587/2013, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., vista la denuncia presentada por D. C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 6 de noviembre de 2012 tuvo entrada en esta Agencia un escrito de D. C.C.C. (en adelante el denunciante) en el que declaraba que: <<He recibido en mi correo electrónico (A.A.A.) de mi empresa (soy el gerente) la reclamación por SITEL en nombre de CARREFOUR de una deuda de un cliente particular. Me preocupa muchísimo la posibilidad de intento de fraude, spam o en el mejor de los casos de descontrol de datos pues la empresa de la que soy gerente no es cliente de CARREFOUR ni conocemos a la persona que figura en el expediente>>. Aportaba el denunciante copia del correo electrónico mencionado, así como de las cabeceras del internet del mismo, según las cuales, se trata de un correo electrónico emitido en fecha 6 de noviembre de 2012 desde la dirección .....carrefour@... con destino a la dirección A.A.A. y con el asunto “DEUDA S.F.CARREFOUR - TRASLADO DPTO. JURIDICO”. En el cuerpo del correo electrónico se incluían datos personales de D. B.B.B., tales como su dirección postal completa y la deuda que mantenía con CARREFOUR (por SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. en adelante entidad denunciada, CARREFOUR o SFC). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se llevaron a cabo las actuaciones de investigación descritas más abajo y se solicitó información a las entidades reseñadas. De este modo, en el informe de actuaciones previas de investigación E/07860/2012 se detalla lo siguiente: 1. <<De la información y documentación aportada por SITEL se desprende: a. Existe un contrato de fecha 11/4/2012 por el cual SITEL presta a SFC los servicios de gestión de cobros. La clausula novena del contrato declara que SITEL asume la condición de encargado del tratamiento en virtud del Art. 12 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 b. Aporta la entidad copia de los datos que le fueron originalmente aportados por SFC respecto de la deuda atribuida a D. B.B.B., comprobándose que entre dichos datos figura la dirección de correo electrónico A.A.A.. Se comprueba que los datos recogidos en el correo electrónico aportado por el denunciante coinciden con los aportados por SFC a SITEL. c. Informa la entidad que recibió los datos relativos a la deuda en fecha 5/11/2012, en fecha 6/11/2012 remitió un correo electrónico a la dirección facilitada por SFC A.A.A.. 2. De la información y documentación aportada por SFC se desprende: a. Aporta la entidad impresiones de pantalla de sus sistemas en los que constan los datos de D. D.D.D., no constando entre ellos dirección de correo electrónico alguno. De las impresiones de pantalla aportadas, ni siquiera figura que la aplicación utilizada por la entidad tenga la posibilidad de almacenar el dato de la dirección de correo electrónico. b. Aporta igualmente copia del contrato, en el que tampoco consta el dato del correo electrónico. c. Finalmente aporta copia de la información aportada a SITEL para el ejercicio de las actividades de recobro, no constando entre estos datos el dato del correo electrónico. 3. En fecha 19 de septiembre de 2013 se realizó visita de inspección a SITEL en la que los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. La entidad recibe la información proporcionada por SFC por medio de una transmisión FTP. Los datos recibidos son incorporados a los sistemas de SITEL, y se realizan las operaciones de recobro por el periodo de tiempo que SFC les haya encomendado. b. Finalizada la encomienda de cobro, los datos recibidos de SFC son borrados de sus sistemas, e igualmente son borrados los ficheros recibidos via FTP, en cumplimiento de las obligaciones contractuales impuestas por SFC. En ningún momento se mantienen dichos ficheros por más de siete meses desde la encomienda de gestión. c. En el momento en que SITEL recibió la primera solicitud de información de la Agencia, la entidad disponía de los ficheros recibidos, y en su respuesta facilitó el registro físico que dichos ficheros contenían relativos a D. B.B.B., pero en la actualidad dichos ficheros han sido borrados, una vez transcurrido el plazo de gestión encomendado por CARREFOUR. d. En el recobro de la deuda de D. B.B.B. se utilizaron exclusivamente los datos facilitados por SFC, (número de teléfono y dirección de correo electrónico) no habiendo utilizado ninguna otra fuente de información adicional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 e. La dirección de correo electrónico facilitada por SFC fue A.A.A., tal y como consta en la respuesta que en su momento se dio a la Agencia. 4. En fecha 17 de octubre de 2013 se realizó visita de inspección a SFC en la cual los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. SFC transmite periódicamente a SITEL un fichero por medio del protocolo sftp conteniendo los datos de las deudas de las que se encomienda su gestión. El Departamento técnico de SFC habilita los medios técnicos, y el departamento de Recobros realiza la confección del fichero y su transmisión a SITEL. b. El Departamento de Recobros, realiza la extracción de la información en un fichero en formato Excell, conservando dicho fichero durante dos o tres días, transcurridos los cuales procede a borrar del mismo. c. La base de datos de clientes es depurada constantemente, por lo que la consulta a la misma muestra el estado actual, que puede ser distinto del estado en que se encontraba en la fecha en que se confeccionó el fichero transmitido a SITEL. En el sistema transaccional se mantiene un log de accesos, y de ejecución de transacciones, pero no mantiene un log de los cambios producidos en la base de datos. d. Las copias de seguridad de la entidad se guardan siguiendo la siguiente política: se guarda una copia diaria durante un mes, una copia mensual durante los siguientes seis meses y una copia anual durante los siguientes seis años. e. Los ficheros en formato Excell generados en su momento no se pueden recuperar, dado el tiempo transcurrido. f. En el momento de la presente inspección tampoco se puede acceder a la copia de seguridad de la base de datos que refleje el contenido de la misma en la fecha en que se generó el fichero transmitido a SITEL. 5. Los inspectores de la Agencia solicitan al representante de SFC que les permita el acceso a los sistemas de la entidad donde se realizan las siguientes comprobaciones: a. Se realiza una consulta del cliente con el DNI [dato personal que consta en el expediente], encontrándose un registro asociado a D. B.B.B., encontrándose que el campo asociado a la dirección de correo electrónico está vacío. 6. Mostrada a los representantes de SFC la copia del registro físico aportado por SITEL correspondiente a los datos asociados a D. B.B.B., en el que consta la dirección de correo electrónico A.A.A.@noar.es, los representantes de la entidad manifiestan que no disponen de documentación que justifique el origen de dicho dato>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 TERCERO: En fecha 29 de octubre de 2013 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. por la posible infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); tipificada como grave en el artículo 44.3.

  1. d)de la citada Ley Orgánica, este último artículo según redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. CUARTO: En fecha 19 de noviembre de 2013 tuvo entrada en esta Agencia un escrito de la representación de SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A., por el que se solicitaba el archivo de las actuaciones por ausencia de responsabilidad en los hechos y en el que se formularon, en síntesis, las siguientes alegaciones al Acuerdo de inicio: 1º.- Que la entidad SITEL, como encargada del tratamiento, asumió la obligación de secreto profesional, comprometiéndose a cumplir con los mínimos de seguridad (como la obligación de proteger mediante contraseña cualquier dato personal que se envíe por correo electrónico) y que lo expuesto debe haberse producido por “un error informático, absolutamente puntual por el que se incluyó una dirección de correo electrónico errónea”. Por otra parte, se trataría un dato del que SFC no tenía constancia sobre su origen, de haberlo obtenido en algún momento. 2º.- Que existe por tanto una ausencia de culpabilidad en la comisión imputada. 3º.- Que, finalmente y de manera subsidiaria, en el caso hipotético de desestimación de lo alegado con anterioridad, se aplique en la graduación de la sanción a imponer por aplicación del principio de proporcionalidad el artículo 45.5 de la LOPD, lo que vendría a suponer la imposición de multa en la cuantía mínima de las previstas para las infracciones leves. QUINTO: En fecha 28 de noviembre de 2013 se inició un período de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993 de 4 de agosto, notificándose a las partes interesadas, practicándose las siguientes: Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección (E/07860/2013), consistente en los escritos de denuncia, informes de SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. de fechas 26 de febrero de 2013 y 21 de octubre de 2013 y de la Inspección de Datos de esta Agencia de 22 de octubre de 2013, incluidas las Actas de Inspección E/07860/2012/I 01 y 02 de fechas 19 de septiembre de 2013 y 17 de octubre de 2013, respectivamente, realizadas a las entidades investigadas; así como las alegaciones de SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. de fecha 18 de noviembre de 2013 al Acuerdo de inicio citado más arriba. Todo ello con su correspondiente documentación adjunta. Asimismo, y de acuerdo con lo solicitado en ese escrito de alegaciones al Acuerdo de inicio, se remitió, para su conocimiento, copia de la documentación correspondiente al expediente de actuaciones previas de investigación E/07860/2012, (que no obraba ya en su poder por haber sido aportada por la propia entidad SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. o por corresponder a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 inspección E/07860/2012/I-02 que se le realizó en fecha 17 de octubre de 2013); en concreto, se remiten folios 1 a 14, 17 a 38, 78 a 80 y 103 a 104 (escritos de denuncia e informes de la entidad SITEL IBÉRICA TELESERVICES, S.A. y de la Inspección de Datos de esta Agencia con el Acta de inspección a esta última entidad). SEXTO: Con fecha 5 de febrero de 2014 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. con multa de 40.001 € (cuarenta mil un euros) por la infracción del artículo 10 de la LOPD; tipificada como grave en el artículo 44.3.
  2. d)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica, estos dos últimos artículos según redacción dada por la Ley 2/2011. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. SÉPTIMO: Dicha propuesta fue notificada a SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. en fecha 10 de febrero de 2014, concediéndose el citado plazo para formular alegaciones, las cuales fueron presentadas en fecha 25 de febrero de 2014. Se reiteraban los argumentos ya expuestos en anteriores alegaciones y, en especial, se solicitaba la aplicación del artículo 45.5 de la LOPD, de manera concreta, sobre todo, por concurrir varios de los supuestos previstos en su apartado 4, letras a), e), f),
  3. g)
  4. h)e i). HECHOS PROBADOS PRIMERO: Que con fecha 6 de noviembre de 2012 D. C.C.C. manifestó a esta Agencia Española de Protección de Datos que: “He recibido en mi correo electrónico ( A.A.A.) de mi empresa (soy el gerente) la reclamación por SITEL en nombre de CARREFOUR de una deuda de un cliente particular. Me preocupa muchísimo la posibilidad de intento de fraude, spam o en el mejor de los casos de descontrol de datos pues la empresa de la que soy gerente no es cliente de CARREFOUR ni conocemos a la persona que figura en el expediente” (folio 1). SEGUNDO: Que aportó el denunciante para acreditar lo expuesto en el punto anterior copia del correo electrónico mencionado, así como de las cabeceras del internet del mismo, según las cuales, se trata de un correo electrónico emitido en fecha 6 de noviembre de 2012 desde la dirección .....carrefour@... con destino a la dirección A.A.A. y con el asunto “DEUDA S.F.CARREFOUR - TRASLADO DPTO. JURIDICO”. En el cuerpo del correo electrónico se incluían datos personales de D. B.B.B., tales como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 su dirección postal completa y la deuda que mantenía con SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. (folios 3 y 9 a 14). TERCERO: Que por contrato de fecha 11 de abril de 2012 SITEL presta a SFC los servicios de gestión de cobros. La clausula novena del contrato declara que SITEL asume la condición de encargado del tratamiento en virtud del artículo 12 de la LOPD (folios 19 a 35). CUARTO: Que SITEL manifestó a esta Agencia en fase de actuaciones previas de investigación que los datos en cuestión le fueron originalmente aportados por SFC, respecto de la deuda atribuida a D. B.B.B., en los que figuró la dirección de correo electrónico A.A.A. en fecha 5 de noviembre de 2012 (folios 18 y 36). QUINTO: Que en fecha 6 de noviembre de 2012 SITEL remitió el correo electrónico detallado en el punto 2º anterior a la dirección facilitada por SFC A.A.A. (folio 18). SEXTO: Que en fecha 19 de septiembre de 2013 se realizó visita de inspección a SITEL en la que los representantes de la entidad manifestaron que la información proporcionada por SFC se realiza por medio de una transmisión FTP. Los datos recibidos son incorporados a los sistemas de SITEL, y se realizan las operaciones de recobro por el periodo de tiempo que SFC les haya encomendado (folio 77). SÉPTIMO: Que, finalizada la encomienda de cobro, los datos recibidos de SFC son borrados de sus sistemas, e igualmente son borrados los ficheros recibidos vía FTP, en cumplimiento de las obligaciones contractuales impuestas por SFC. En ningún momento se mantienen dichos ficheros por más de siete meses desde la encomienda de gestión (folio 78). OCTAVO: Que en esa inspección se manifestó de igual modo que en la actualidad dichos ficheros relativos a D. B.B.B. habían sido borrados, una vez transcurrido el plazo de gestión encomendado por SFC (folio 78). NOVENO: Que en el recobro de la deuda de D. B.B.B. se utilizaron exclusivamente los datos facilitados por SFC, (número de teléfono y dirección de correo electrónico) no habiendo utilizado ninguna otra fuente de información adicional, por lo se ratificó lo expuesto en los puntos 4º y 6º anteriores, que la dirección de correo electrónico facilitada por SFC fue A.A.A. (folio 78). DÉCIMO: Que en fecha 17 de octubre de 2013 se realizó visita de inspección a SFC y se realizó una consulta del cliente con el DNI [dato personal que consta en el expediente], encontrándose un registro asociado a D. B.B.B., encontrándose que el campo asociado a la dirección de correo electrónico estaba vacío (folio 82). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 UNDÉCIMO: Que en dicha inspección a SFC, mostrada a los representantes de SFC la copia del registro físico aportado por SITEL correspondiente a los datos asociados a D. B.B.B., en el que consta la dirección de correo electrónico A.A.A.@noar.es; los representantes de la entidad manifestaron que no disponían de documentación que justificase el origen de dicho dato (folio 82). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso, D. C.C.C. manifestó a esta Agencia que había recibido en su dirección de correo electrónico ( A.A.A.) una reclamación de deuda de SITEL en nombre de CARREFOUR, una deuda de un cliente que no le correspondía (folio 1). En efecto, tal como se constata con las cabeceras de internet de dicho correo electrónico, se trata de un correo electrónico emitido en fecha 6 de noviembre de 2012 desde la dirección .....carrefour@... con destino a la dirección A.A.A. y con el asunto “DEUDA S.F.CARREFOUR - TRASLADO DPTO. JURIDICO”. En el cuerpo del correo electrónico se incluían datos personales de D. B.B.B., tales como su dirección postal completa y la deuda que mantenía con SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. (folios 3 y 9 a 14). SITEL, que presta a SFC los servicios de gestión de cobros, manifestó a esta Agencia en fase de actuaciones previas de investigación que los datos en cuestión le fueron originalmente aportados por SFC, respecto de la deuda atribuida a D. B.B.B., en los que figuró la dirección de correo electrónico A.A.A. en fecha 5 de noviembre de 2012 (folios 18 y 36). Y que en efecto, en fecha 6 de noviembre de 2012 SITEL remitió el correo electrónico en cuestión a la dirección facilitada por SFC A.A.A. (folio 18). Por otra parte, se realizó visita de inspección a SFC y se realizó una consulta del cliente con el DNI [dato personal que consta en el expediente], encontrándose un registro asociado a D. B.B.B., encontrándose que el campo asociado a la dirección de correo electrónico estaba vacío (folio 82). En dicha inspección a SFC, mostrada a los representantes de SFC la copia del registro físico aportado por SITEL correspondiente a los datos asociados a D. B.B.B., en el que consta la dirección de correo electrónico A.A.A.@noar.es; los representantes de la entidad manifestaron que no disponían de documentación que justificase el origen de dicho dato (folio 82). Por tanto, se incumplió el deber de secreto con la revelación de datos personales de terceros con la divulgación llevada a cabo, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. El Tribunal Superior de Justicia de Madrid, en su sentencia de 16 de octubre de 2001, reitera que “el TC en su Sentencia 76/1990, de 26 de abril, nos recuerda que, aún sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho; manifestando la STC 246/1991, de 19 de diciembre, que es inadmisible en el ámbito del derecho administrativo sancionador una responsabilidad sin culpa. La Ley 30/92 ha pretendido regular la cuestión en su artículo 130.1 al consagrar el principio de responsabilidad como uno de los informadores del ejercicio de la potestad sancionadora, estableciendo que “sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia”; el último inciso “aún a título de simple inobservancia” no es muy preciso puesto que pudiera pensarse que consagra una responsabilidad objetiva sin dolo o culpa del sujeto, por lo que deberá interpretarse conforme a la doctrina aludida, así como señala la más reciente jurisprudencia del Tribunal Supremo (SS 16 y 22 de abril de 1991 y 5 de febrero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 de 1992) uno de los principales componentes de la infracción administrativa es el elemento culpabilista, del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.- Probablemente, el legislador de la Ley 30/92 haya pretendido aludir a que serán sancionables las infracciones meramente formales, aunque no produzcan un resultado dañosos al interés publico e, igualmente, que será incriminable la culpa inconsciente o sin representación, atendiendo al aspecto normativo de la culpabilidad según el cual puede reprocharse no haber previsto lo que se podía y debía prever.” Consiguientemente, aún en el supuesto en que se hubiera padecido algún tipo de error, el mismo constituiría una falta de diligencia plenamente imputable a la entidad sancionada, con claro incumplimiento del artículo 10 (...) tipificado correctamente y sancionado como falta grave (...).” Por consiguiente, ha quedado acreditado en el expediente que SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. difundieron al denunciante datos personales de un cliente, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. III El artículo 44.3.
  6. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, hay que entender que por parte de SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. se ha producido una vulneración del deber de secreto, dado que se difunden al denunciante datos de terceros, y que procede calificar la infracción como infracción grave. IV El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, en concreto, su apartado b), pues, como consta acreditado en el expediente, la entidad imputada corrigió los datos erróneos que obraban en su base de datos con anterioridad incluso a la actuación inspectora de esta Agencia. Asimismo, procede considerar el apartado a), por la concurrencia de los apartados 4.a), 4.
  22. h)y 4.i), pues en el presente caso concreto se trata de un hecho aislado y puntual, sin continuidad en el tiempo, del que no se ha acreditado perjuicio alguno para el afectado (con excepción de la visualización por pare del denunciante de la información en cuestión), por una anomalía informática del procedimiento implantado para la gestión de cobros con la entidad SITEL, que remitió tal información de la deuda sin protección por contraseña para su acceso. No obstante, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009). En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.5, y en particular, sus apartados
  23. a)y b), por la concurrencia de los apartados 4.a), 4.
  24. h)y 4.
  25. i)y regularizar la situación producida de forma diligente, procede imponer una multa de 6.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. multa de 6.000 € (seis mil euros) por la infracción del artículo 10 de la LOPD; tipificada como grave en el artículo 44.3.
  26. d)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica, estos dos últimos artículos según redacción dada por la Ley 2/2011. SEGUNDO: NOTIFICAR la presente Resolución a SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. y a D. C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en el artículo 116 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.