PS-00627-2015

1/12 Procedimiento Nº PS/00627/2015 RESOLUCIÓN: R/00281/2016 En el procedimiento sancionador PS/00627/2015, instruido por la Agencia Española de Protección de Datos a la entidad PARTIDO POPULAR, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de mayo de 2015 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que nunca ha facilitado su dirección de e-mail, B.B.B., al Partido Popular de Hoyo de Manzanares. Sin embargo dicho partido le envía comunicaciones a través de la dirección comunicación@....... Ha contestado en tres ocasiones para que dejen de enviarle comunicaciones y den de baja su email pero no le han comunicado la baja de su lista de distribución. Aporta copia de los mail pero en estos no puede comprobarse la dirección utilizada por el denunciado para remitir los correos electrónicos objeto de la denuncia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 10 de agosto de 2015 se solicita al denunciante para que aporte copia de los encabezados de internet, recibiéndose la respuesta con fecha 28 de agosto de 2015 y donde se comprueba que se aportan los encabezados de 5 correos, remitidos desde comunicación@...... a B.B.B. entre el 17 de diciembre de 2013 y el 14 de abril de 2015. Aporta el denunciante también, los encabezados de los tres correos electrónicos enviados desde su dirección de correo electrónico a la dirección del Partido Popular de Hoyo de Manzanares, solicitando que no le envíen más comunicaciones. Con fecha 3 de septiembre de 2015 se solicita información al Partido Popular de Hoyo de Manzanares y el día 2 de octubre de 2015 solicitan ampliación de plazo para dar respuesta. Con fecha 9 de octubre de 2015 se recibe respuesta a lo solicitado y respecto de la acreditación del origen de los datos utilizados para realizar los envíos a la dirección de correo electrónico B.B.B., así como respecto de la documentación que acredite el consentimiento de los destinatarios para remitir los correos, manifiesta que, debido a cambios organizativos en el equipo de Movilización y Comunicación del Partido Popular en Hoyo de Manzanares, no ha sido posible recopilar la información requerida en el plazo dado. Esta es la respuesta que facilita también respecto si han tenido conocimiento de los hechos por los que se solicita información. Respecto del motivo por el que se realizan los envíos manifiesta que las comunicaciones enviadas tienen por objeto informar a las personas que se han dado de alta en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 correspondiente lista de distribución del área de Comunicación, sobre aspectos que pueden ser de interés público, en particular relacionada con el ejercicio de la participación ciudadana en la vida pública de Hoyo de Manzanares. TERCERO: Con fecha 17 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al PARTIDO POPULAR, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, CUARTO: Notificado el acuerdo de inicio, el PARTIDO POPULAR formuló alegaciones, significando, que: “… Que como se ha indicado, el Partido Popular, que como cualquier organización, tiene el riesgo de que sus miembros vayan contra la Normativa, de carácter legal o de carácter interno, que han de cumplir, por lo que se ve en la situación de responder frente a los hechos cometidos por quien teniendo una responsabilidad en las actividades de Comunicación del Partido Popular en Hoyo de Manzanares aportó datos de destinatarios de comunicaciones sin cumplir con los requisitos que se le habían indicado que se debían de tener en cuenta a tal fin, (…) Podrían ser múltiples las muestras que se podían aportar para poner de manifiesto tos esfuerzos y la diligencia de mi mandante en el cumplimiento de la Normativa sobre Protección de datos. De todas ellas se ha elegido para su aportación un extracto de la Memoria anual del año 2014, deI Servicio de Protección de datos (que se acompaña como DOCUMENTO 1), por dos cuestiones: • Acredita los esfuerzos y recursos aplicados. • Pone de manifiesto las tareas de formación y las normas internas emitidas y comunicadas para las sedes territoriales y que, por lo que parece, han sido incumplidas por una persona concreta en este caso, quizá intencionalmente. (…) En función de lo indicado en las Alegaciones, consideramos que deben tomarse en cuenta las apreciaciones que se han indicado para que se proceda a apreciar una cualificada disminución de la culpabilidad y antijuridicidad. “
2. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción”. (…) “
3. f)El grado de intencionalidad”. (…) “
4. b)Cuando la entidad haya regularizado la situación irregular de forma diligente.” En este sentido debe señalarse que tal como se ha manifestado en la Alegación tercera, en el momento que esta parte ya pudo tener conocimiento de los medios denunciados, se procedió (
5. i)al cese inmediato en el tratamiento de los datos del denunciante; (
6. ii)a la revisión proactiva de la base de datos de destinatarios de las acciones de comunicación del Partido Popular en Hoyo de Manzanares mediante el envío de un mail de confirmación de su voluntad de estar en dicha base de datos; (iii) a la inclusión de mecanismos para que se pueda manifestar la voluntad de no recibir nuevas comunicaciones y ejercitar sus derechos en el pie de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12
7. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. De acuerdo con lo señalado en las Alegaciones, esta parte reconoce el incumplimiento de la normativa, si bien fue debido a una actuación contraria a la Normativa interna, la Formación realizada y las pautas transmitidas por parte de una persona, siendo que las actuaciones individuales que (como podría ser el caso) son intencionalmente incumplidoras son imposibles de evitar de manera plena por ninguna organización.” Concluye el escrito de alegaciones solicitando que se declare la finalización del presente procedimiento determinándose la cuantía de la sanción mediante la aplicación de la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el presente caso, mediante la imposición de una sanción leve en su cuantía mínima. QUINTO: Al haberse reconocido la responsabilidad por la entidad imputada, procede la aplicación de lo dispuesto en el artículo 8.1 de Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva a la Directora de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: El denunciante de este procedimiento ha manifestado que nunca ha facilitado su dirección de correo electrónico al Partido Popular y a pesar de eso, le envían comunicaciones a su dirección B.B.B. desde la dirección comunicación@...... que corresponde al PP de Hoyo de Manzanares. Expone el denunciante que ha contestado en tres ocasiones para que dejen de enviarle comunicaciones y den de baja su email pero no le han comunicado la baja de su lista de distribución. Aporta copia de los correos. SEGUNDO: Constan en el procedimiento los encabezados de internet de los correos recibidos desde la dirección de correo comunicación@......, a la dirección de correo del denunciante: B.B.B.. .***CORREO.1_Cena.txt, correo que me enviaron con fecha 17/12/2013; .***CORREO.2_Loteria.txt, correo que me enviaron con fecha 08/01/ 2014; .***CORREO.3_Ambulancia.txt, correo que me enviaron con fecha 18/01/2014; .***CORREO.4_Asamblea.txt, correo que me enviaron con fecha 24/01/2014; y .***CORREO.5_escucha.txt, correo que me enviaron con fecha 14/04/2014. TERCERO: Constan también los encabezados de internet de los correos enviados desde la dirección de correo B.B.B., a la dirección de correo comunicación@......, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 solicitando la baja de su dirección de correo, de su lista de distribución. .***CORREO.6_BajaNotaPrensa.txt, primer e-mail que envié, con fecha 27/03/2013, solicitando que no me enviasen más comunicaciones; .***CORREO.7 Bajalnsultos.txt, segundo e-mail que envié, con fecha 03/04/2013, solicitando que no me enviasen más comunicaciones; y .***CORREO.8_BajaLoteria.txt, tercer e-mail que envié, con fecha 08/01/2014, solicitando que no me enviasen más comunicaciones. CUARTO: La entidad denunciada ha manifestado que “reconoce el incumplimiento de la normativa, si bien fue debido a una actuación contraria a la Normativa interna, la Formación realizada y las pautas transmitidas por parte de una persona, siendo que las actuaciones individuales que (como podría ser el caso) son intencionalmente incumplidoras son imposibles de evitar de manera plena por ninguna organización.” Y a su vez expone que: “en el momento que esta parte ya pudo tener conocimiento de los medios denunciados, se procedió (
8. i)al cese inmediato en el tratamiento de los datos del denunciante; (
9. ii)a la revisión proactiva de la base de datos de destinatarios de las acciones de comunicación del Partido Popular en Hoyo de Manzanares mediante el envío de un mail de confirmación de su voluntad de estar en dicha base de datos; (iii) a la inclusión de mecanismos para que se pueda manifestar la voluntad de no recibir nuevas comunicaciones y ejercitar sus derechos en el pie de las mismas.” Se aporta un correo remitido a todos los destinatarios de la base de datos del PP de Hoyo de Manzanares informando de la posibilidad de solicitar la baja de la lista, y se aporta constancia de la inclusión en las comunicaciones de una indicación sobre el modo de ejercicio de los derechos de acceso, rectificación, cancelación y oposición. QUINTO: Que el PARTIDO POPULAR no ha aportado a esta Agencia documentación que acredite que contara con el consentimiento de D. A.A.A. para el tratamiento de sus datos de carácter personal, detallado en los hechos anteriores. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos, responsable del fichero o tratamiento y consentimiento que se acuñan en los apartados a), b), c),
11. d)y
12. h)del artículo 3 de la LOPD. De este modo, tenemos que: “
13. a)Datos de carácter personal: Cualquier información concerniente a personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 físicas identificadas o identificables.
14. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
15. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
16. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
17. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” En el presente caso, al tratarse de una dirección de correo electrónico procede analizar si se trata de un dato de carácter personal del denunciante. En relación con dicho asunto es criterio reiterado de esta Agencia, sostenido en numerosos informes, de fechas 11 de noviembre de 1999, 15 de noviembre de 2005 y 23 de junio de 2006, entre otros, del Servicio de Abogacía del Estado de la misma, que la dirección de correo electrónico de una persona puede ser, en su caso, considerada dato personal. A este respecto, de acuerdo con dichos informes: “..., debe indicarse que la dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo, incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. Por ello, podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo:
18. a)El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no éstos en la denominación del dominio utilizado). En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato personal. Ejemplos característicos de este supuesto serían aquéllos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndole el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
19. b)Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de correo a una denominación abstracta o una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 este dato podría hacer concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras a asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la “privacidad”, consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico, en las circunstancias expuestas, se encuentre amparada por el régimen establecido en la LOPD”. Profundizando más en este asunto, la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2011 (R. 297/2010) expone que: “Siguiendo el orden expuesto en la demanda se va a analizar la primera cuestión referente a si la dirección de correo electrónico (…) registrada en los ficheros de la entidad y a la que se remitió el video en cuestión, constituye o no un dato de carácter personal. (…) En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 (Rec. 911/2003) y de 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque “con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002). Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD”. Por lo tanto se concluye que la dirección de correo electrónico del denunciante es un dato de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 III De este modo, el artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. IV La Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 “Los Estados miembros reconocerán al interesado el derecho a:
20. a)oponerse, al menos en los casos contemplados en las letras
21. e)y
22. f)del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos;
23. b)oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento destinado a la prospección; o ser informado antes de que los datos se comuniquen por primera vez a terceros o se usen en nombre de éstos a efectos de prospección, y a que se le ofrezca expresamente, el derecho de oponerse, sin gastos, a dicha comunicación o utilización. Los Estados miembros adoptarán todas las medidas necesarias para garantizar que los interesados conozcan la existencia del derecho a que se refiere el párrafo primero de la letra b).” La vigente LOPD incorpora el derecho de oposición, trasponiendo la mencionada Directiva 95/46/CE. Por una parte, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” Por otra parte, el artículo 16.1 de la LOPD establece que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación . 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 El denunciante de este procedimiento ha manifestado que nunca ha facilitado su dirección de correo electrónico al Partido Popular y a pesar de eso, le envían comunicaciones a su dirección B.B.B. desde la dirección comunicación@...... que corresponde al PP de Hoyo de Manzanares. Expone el denunciante que ha contestado en tres ocasiones para que dejen de enviarle comunicaciones y den de baja su email pero no le han comunicado la baja de su lista de distribución. Ha aportado los encabezados de internet de los correos recibidos desde la dirección de correo electrónico comunicación@......, a su dirección de correo electrónico y también constan los encabezados de internet de los correos enviados desde su dirección de correo electrónico a la dirección de correo comunicación@......, solicitando la baja de su lista de distribución. La entidad denunciada ha manifestado en las alegaciones al acuerdo de inicio del presente procedimiento sancionador que “reconoce el incumplimiento de la normativa, si bien fue debido a una actuación contraria a la Normativa interna, la Formación realizada y las pautas transmitidas por parte de una persona, siendo que las actuaciones individuales que (como podría ser el caso) son intencionalmente incumplidoras son imposibles de evitar de manera plena por ninguna organización.” Expone también que: “en el momento que esta parte ya pudo tener conocimiento de los medios denunciados, se procedió (
24. i)al cese inmediato en el tratamiento de los datos del denunciante; (
25. ii)a la revisión proactiva de la base de datos de destinatarios de las acciones de comunicación del Partido Popular en Hoyo de Manzanares mediante el envío de un mail de confirmación de su voluntad de estar en dicha base de datos; (iii) a la inclusión de mecanismos para que se pueda manifestar la voluntad de no recibir nuevas comunicaciones y ejercitar sus derechos en el pie de las mismas.” Se aporta un correo remitido a todos los destinatarios de la base de datos del PP de Hoyo de Manzanares informando de la posibilidad de solicitar la baja de la lista, y se aporta constancia de la inclusión en las comunicaciones de una indicación sobre el modo de ejercicio de los derechos de acceso, rectificación, cancelación y oposición. V El artículo 44.3.
26. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, el PARTIDO POPULAR ha tratado los datos personales del denunciante sin su consentimiento inequívoco y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
27. b)de dicha norma. VI El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
28. a)El carácter continuado de la infracción.
29. b)El volumen de los tratamientos efectuados.
30. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
31. d)El volumen de negocio o actividad del infractor.
32. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
33. f)El grado de intencionalidad.
34. g)La reincidencia por comisión de infracciones de la misma naturaleza.
35. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
36. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
37. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
38. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
39. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
40. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
41. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
42. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Expone la entidad denunciada en sus alegaciones que una vez que tuvo conocimiento de lo denunciado, se procedió al cese inmediato en el tratamiento de los datos del denunciante; a la revisión proactiva de la base de datos de destinatarios de las acciones de comunicación del Partido Popular en Hoyo de Manzanares y a la inclusión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 de un párrafo en los correos enviados informando de la posibilidad de manifestar la voluntad de no recibir nuevas comunicaciones y ejercitar sus derechos. Por otra parte también reconoce el incumplimiento de la normativa, y expone que las actuaciones individuales que son intencionalmente incumplidoras son imposibles de evitar de manera plena por ninguna organización. En el presente caso, de los supuestos previstos en el artículo 45.5 puede estimarse la concurrencia de los puntos b y d porque se ha regularizado la situación irregular de forma diligente y porque se reconoce espontáneamente la culpabilidad, por lo que debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad. Por otra parte, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
43. a)la existencia de intencionalidad o reiteración,
44. b)la naturaleza de los perjuicios causados,
45. c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, permiten, que en este caso, se considere procedente la imposición de una sanción en la cuantía de 1.500 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PARTIDO POPULAR, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
46. b)de la LOPD, una multa de 1.500 euros, de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución al PARTIDO POPULAR, y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es