PS-00661-2015

1/7 Procedimiento Nº PS/00661/2015 RESOLUCIÓN: R/00280/2016 En el procedimiento sancionador PS/00661/2015, instruido por la Agencia Española de Protección de Datos a la entidad FORO CAPITAL PYMES S.L., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de enero de 2015 el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a la entidad FORO CAPITAL PYMES S.L. con arreglo a lo dispuesto en el artículo 39 bis .2) de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, con relación a la denuncia por infracción del artículo 21 de la citada LSSI y tipificada como leve en el artículo 38.4.

1. d)de dicha Ley. En el mismo acuerdo el Director resolvió REQUERIR a la entidad FORO CAPITAL PYMES S.L. de acuerdo con lo establecido en el artículo 39 bis .2) de la citada LSSI para que acredite en el plazo de un mes lo siguiente: “CUMPLA lo previsto en el artículo 21 de la LSSI. En concreto se insta al denunciado a que cese en el envío de comunicaciones electrónicas a la dirección de correo electrónico del denunciante que incumplan lo dispuesto en dicho precepto, bien cancelando la citada dirección de su lista de contactos o bien adoptando cualquier otra medida necesaria que evite el envío de publicidad a la referida cuenta de correo electrónico. APORTE a la Agencia Española de Protección de Datos los documentos o medios de prueba que pongan de manifiesto la cancelación de la dirección de correo electrónico del denunciante en su lista de contactos.” En caso de no atender este requerimiento, se le advirtió que se procedería a acordar la apertura de un procedimiento sancionador. Esta Resolución fue notificada al denunciado. SEGUNDO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación con la referencia E/00104/2015. En este expediente figura la diligencia de fecha 20 de mayo de 2015 en la que se expone que, con fecha de hoy, no constan en el expediente de referencia documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 que acrediten el cumplimiento de las medidas requeridas en la resolución de fecha 19 de enero de 2015 relativa al procedimiento de apercibimiento de referencia A/00218/2014. TERCERO: Con fecha 23 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad FORO CAPITAL PYMES S.L. por presunta infracción del artículo 37.1.
2. n)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
3. i)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad FORO CAPITAL PYMES S.L. formuló alegaciones, significando, que: “El Procedimiento Nº A/00218/2014 proviene de la denuncia formulada por el Señor A.A.A.. El día 24 de marzo de 2014. a partir de la recepción de un mensaje de correo electrónico de nuestra empresa, el denunciante ejerció su derecho de acceso mediante mensaje de correo electrónico que figura reproducido en el expediente. El mensaje dc correo del Sr. A.A.A. fue enviado a la 19 h. 27’ (obra en el folio 10 del expediente administrativo) El mismo día a las 23 h 37’ el señor A.A.A. obtuvo una primera respuesta mediante correo electrónico en el que se le pedían disculpas si se había sentido molestado, se le informaba del posible origen de sus datos personales y de que se había procedido ya a la cancelación de dichos datos, cancelación que dedujimos era su voluntad. (obra en el folio 11 a 18 del expediente administrativo) En fecha 24 de abril se le envió una respuesta más extensa y detallada en los términos que figuran en el expediente. Este documento le reiteraba la eliminación de sus datos del fichero Clientes potenciales inscrito en el Registro de Ficheros Privados de la Agencia Española de Protección de Datos (obra en el folio 14 del expediente administrativo) (…) Esta parte quiere poner dc manifiesto, que todas las actuaciones se han realizado con la máxima celeridad y diligencia y que la Sociedad FORO CAPITAL PYMES siempre ha cumplido, y cumple, con la normativa de protección de datos; dispone de sus ficheros registrados en el Registro de Ficheros Privados de la AGPD, sus envíos de información, incorporan un procedimiento fácil y muy visible al receptor para favorecer la baja en la recepción de dichos mensajes. (…) La Sociedad no pudo responder la resolución de apercibimiento hasta el momento en que se acuerda el inicio de procedimiento sancionador. El motivo de no haber atendido al requerimiento se debe al desconocimiento del mismo atendiendo a lo siguiente: (…) El intento de notificación de la resolución de apercibimiento impidió a la Sociedad conocer la resolución porque el destinatario se presume como “desconocido” por parte del funcionario de Correos.(…) En el intento de notificación de la resolución de apercibimiento, figura en el acuse de recibo “desconocido”, y ello a pesar de que la dirección de correo es muy clara “(C/....1) Girona”; por este motivo, la Resolución R/00021/2015 no llegó a la empresa. Si hubiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 constado como ausente, se hubiera dejado aviso de llegada en el buzón y la Resolución hubiera llegado a la empresa que, inmediatamente hubiera respondido al requerimiento de la misma forma y con la misma rapidez que lo hizo en la anterior notificación del acuerdo de audiencia previa al procedimiento de apercibimiento. (…) La Sociedad nunca tuvo ni tiene la intención de desatender este asunto, es más, esta parte ha puesto todos sus esfuerzos en enmendar el error, y así quedó expresado cuando en el mismo momento en que la Sociedad recibió el correo electrónico del Sr. A.A.A., remedió el problema en cuestión de breves horas. La eliminación del correo electrónico del denunciante, ya quedó probada con la aportación de los documentos presentados en el escrito de alegaciones de fecha 15 de diciembre de 2015, y así mismo se expone, por parte de la Agencia Estatal de Protección de Datos, que obra en folio [3] del expediente administrativo, cuyo extracto reproducimos a Continuación: “HECHOS PROBADOS: QUINTO: Consta un correo de la Entidad denunciada FORO CAPITAL PYMES S.L. en la que se comunica al denunciado que se ha procedido a eliminar su información de contacto” En definitiva, ya quedaba probado que FORO CAPITAL PYMES había procedido a eliminar la información del contacto del denunciante. La Sociedad no pudo, en cuanto a un escrito formal se refiere, responder al requerimiento, por desconocimiento del mismo, pero ya constaba cumplido el apercibimiento y las medidas correctoras adoptadas, que en esencia, era lo que perseguía dicho requerimiento. En la Resolución se solicita la acreditación de la realidad de lo manifestado mediante captura de pantalla del sistema informático en la que figure que el dato ha sido cancelado. Se aporta dicha captura de pantalla.” Concluye el escrito de alegaciones solicitando que se tengan por realizadas y que se resuelva acordando el archivo del procedimiento. HECHOS PROBADOS PRIMERO: Con fecha 19 de enero de 2015 el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a la entidad FORO CAPITAL PYMES S.L. con arreglo a lo dispuesto en el artículo 39 bis .2) de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, con relación a la denuncia por infracción del artículo 21 de la citada LSSI y tipificada como leve en el artículo 38.4.
4. d)de dicha Ley. SEGUNDO: En el mismo acuerdo el Director resolvió REQUERIR a la entidad FORO CAPITAL PYMES S.L. de acuerdo con lo establecido en el artículo 39 bis .2) de la citada LSSI para que en el plazo de un mes: “CUMPLA lo previsto en el artículo 21 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En concreto se insta al denunciado a que cese en el envío de comunicaciones electrónicas a la dirección de correo electrónico del denunciante que incumplan lo dispuesto en dicho precepto, bien cancelando la citada dirección de su lista de contactos o bien adoptando cualquier otra medida necesaria que evite el envío de publicidad a la referida cuenta de correo electrónico. APORTE a la Agencia Española de Protección de Datos los documentos o medios de prueba que pongan de manifiesto la cancelación de la dirección de correo electrónico del denunciante en su lista de contactos.” En caso de no atender este requerimiento, se le advirtió que se procedería a acordar la apertura de un procedimiento sancionador. Esta Resolución fue notificada al denunciado. TERCERO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación. En este expediente figura la diligencia de 20 de mayo de 2015 en la que se expone que no constan documentos que acrediten el cumplimiento de las medidas requeridas en la resolución de fecha 19 de enero de 2015. CUARTO: Según consta en el escrito de alegaciones de la sociedad, ésta cuando recibió el correo del Sr. A.A.A. remedió el problema en cuestión de breves horas. Así mismo ha aportado captura de pantalla del sistema informático en la que figura que el dato ha sido cancelado y se aporta la captara de la pantalla. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
6. n)de la LOPD establece como funciones de la Agencia de Protección de Datos “Cuantas otras le sean atribuidas por normas legales o reglamentarias.”. En el presente procedimiento, la falta de atención del apercibimiento contemplada en el artículo 39 bis 2 de la LSSI podría suponer la comisión por parte de la entidad FORO CAPITAL PYMES S.L. de la infracción prevista en el artículo 44.3
7. i)de la LOPD, que considera infracción grave: “No atender los requerimientos o apercibimientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“. El artículo 39.bis 2 de la LSSI dispone: “2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
8. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente procedimiento sancionador ha quedado acreditado que el denunciado fue apercibido según la posibilidad que ofrece el artículo 39.bis 2 de la LSSI que permite a los órganos con competencia sancionadora, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior del mismo artículo, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes. En el mismo acuerdo de apercibimiento el Director resolvió REQUERIR al denunciado, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 21 de la LSSI advirtiéndole que si el apercibimiento no fuera atendido en el plazo determinado se procedería a la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. En concreto se requirió "al denunciado a que cese en el envío de comunicaciones electrónicas a la dirección de correo electrónico del denunciante que incumplan lo dispuesto en dicho precepto, bien cancelando la citada dirección de su lista de contactos o bien adoptando cualquier otra medida necesaria que evite el envío de publicidad a la referida cuenta de correo electrónico. APORTE a la Agencia Española de Protección de Datos los documentos o medios de prueba que pongan de manifiesto la cancelación de la dirección de correo electrónico del denunciante en su lista de contactos.” Por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación con objeto de constatar el cumplimiento de lo requerido. Notificado el acuerdo de inicio del presente procedimiento sancionador, la entidad imputada presentó escrito en el que comunica que “FORO CAPITAL PYMES había procedido a eliminar la información del contacto del denunciante. La Sociedad no pudo, en cuanto a un escrito formal se refiere, responder al requerimiento, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 desconocimiento del mismo, pero ya constaba cumplido el apercibimiento y las medidas correctoras adoptadas, que en esencia, era lo que perseguía dicho requerimiento”. En sus alegaciones la entidad imputada manifiesta haber atendido el requerimiento realizado por esta Agencia y que todas las actuaciones se han realizado con la máxima celeridad y diligencia. Si bien en este procedimiento se imputa la falta de respuesta a un requerimiento realizado por el Director de esta Agencia, en el que se requerían dos cosas, por un lado, que cumpliese lo previsto en el artículo 21 de la LSSI adoptando unas medidas correctoras concretas, y por otra parte también se requería que informase de las medidas adoptadas para comprobar su cumplimiento, para lo se concedió el plazo de un mes; lo cierto es que una vez examinadas las alegaciones presentadas al presente acuerdo de inicio, se observa que ya en el procedimiento de apercibimiento constaban actuaciones que evidenciaban el cumplimiento de lo requerido. Estas circunstancias unidas a la aportación de un volcado de pantalla de su base de datos en el que no aparecen los datos del denunciante, nos lleva a concluir que se considera suficiente para proceder al archivo del presente procedimiento sancionador por no apreciar vulneración de la normativa de protección de datos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones practicadas a la entidad FORO CAPITAL PYMES S.L., por no apreciar vulneración de la normativa de protección de datos. SEGUNDO: NOTIFICAR la presente resolución a la entidad FORO CAPITAL PYMES S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es