1/22 Procedimiento Nº PS/00729/2013 RESOLUCIÓN: R/01267/2014 En el procedimiento sancionador PS/00729/2013, instruido por la Agencia Española de Protección de Datos a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, TELEMAIL, S.L.U.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 10/01/2013 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de B.B.B. (en lo sucesivo denunciante) en el que denuncia a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, TELEMAIL, S.L.U. (en lo sucesivo ING) manifestando lo siguiente: El 06/12/2012, accede a la página web de la entidad ING con el fin de contratar un depósito, tras introducir el importe, cuenta de cargo y de abono y, al no poder imprimir en ese momento la solicitud, selecciona la opción de que le sea enviada por correo la documentación para firmar. El 20/12/2012, recibe por correo ordinario un sobre de ING a su atención, pero cuyo interior corresponde a otro titular, y en el que se adjunta un documento Orden de traspaso de efectivo en el que figuran los datos personales de un tercero: nombre, apellidos, NIF, importe y cuentas bancarias de abono y cargo, cuya copia se adjunta. Por lo que sus datos personales y bancarios se han podido enviar a otras personas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades afectadas: - Las compañías ING y TELEMAIL, S.L.U., (en lo sucesivo TELEMAIL), han comunicado a la Inspección de Datos, con fecha de 16/08/2013 y 09/09/2013, en relación con la documentación recibida por la denunciante lo siguiente: La comunicación recibida por la denunciante no fue realizada materialmente por ING, responsable del fichero que contiene los datos personales tratados, sino por la sociedad TELEMAIL como encargada del tratamiento, que efectúa los servicios de impresión, manipulado, ensobrado y franqueo de documentación de clientes de ING, desde el año 1998, en los términos de la Ley Orgánica de Protección de Datos. Se adjunta contrato suscrito por ambas compañías, con fecha de 30/08/2011, en el que se detallan, en las cláusulas octava y novena, los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1199. También, TELEMAIL manifiesta que dispone de un Documento de Seguridad para ficheros de datos de carácter personal auditados por una empresa externa en el que se recogen las medidas implantadas. ING tuvo conocimiento del incidente en el momento en que se produjo, en virtud de los canales internos de comunicación de incidencias, que tienen por objetivo mantener en todo momento conocimiento y control sobre las incidencias ocurridas que puedan afectar a los clientes de ING. TELEMAIL informó que se había producido un tratamiento contrario a las instrucciones de ING, consistente en que se habían comunicado a ciertos clientes datos de otros clientes, y que la causa de la comunicación incorrecta realizada obedecía a un error humano, fortuito e inhabitual, procedente de un fallo involuntario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 en la manipulación durante el proceso de impresión por parte del personal de TELEMAIL que consistió en que, tras una primera impresión defectuosa en las oficinas del proveedor, se realizó una segunda impresión de parte de la documentación que debía de remitirse a ciertos clientes (en concreto, de las cabeceras de dirección de envío de la carta), de tal forma que, por un mero caso fortuito, el registro se alteró de forma involuntaria, descuadrando el documento que había de ser enviado a los clientes. Así consta internamente y ha quedado documentado en el Reporte de Incidente de Seguridad de ING redactado por el Departamento de Seguridad de la Información conforme a los procedimientos de control del Grupo ING. Se adjunta copia del correo electrónico y del Reporte del Incidente. Como consecuencia de la incidencia, únicamente se comunicaron de manera involuntaria y puntualmente el 07/12/2012 los datos relativos a DNI, nombre y apellidos, número de cuenta de ING, número de cuenta externo e importe del ingreso solicitado de un total de “91” clientes, sobre los casi tres millones de clientes que tiene ING. También es relevante señalar, que el proceso de impresión y ensobrado de comunicaciones que realiza TELEMAIL, por su propia naturaleza, tiene un componente manual no exento de errores fortuitos como el sufrido por dicha empresa en este caso. La entidad financiera ING ha podido averiguar, siguiendo la secuencia de envío de formularios remitida por TELEMAIL, que un cliente de la entidad (tercero) recibió efectivamente por correo ordinario un documento justificativo con datos de la denunciante. Así, ING se puso en contacto con dicho cliente, con fecha 17/01/2013, para consultarle sobre la incidencia y confirmar si efectivamente había recibido los datos de otro cliente (denunciante), confirmando que los había recibido y que procedió a destruirlos inmediatamente. El Servicio de Defensa del Cliente de ING remite escrito a la denunciante, con fecha de 18 de enero de 2013, en el que se informa de que, a pesar del incidente, seguía sin ser posible acceder a sus cuentas bancarias en ING sin la previa validación de su clave de seguridad y de su tarjeta de coordenadas, de forma que su posición financiera nunca se había puesto en riesgo. Por otro lado, el Servicio de ING de Defensa del Cliente no ha recibido ninguna otra reclamación por la incidencia sobre la que versa las presentes actuaciones, y a efectos de control interno, indican que se realizó un test de calidad con el proveedor TELEMAIL para comprobar que el fallo producido no se replicaba, no habiéndose sufrido con posterioridad ningún incidente similar que haya afectado a datos personales de los ficheros de ING. Añade TELEMAIL que se establecieron medidas correctivas detectadas la causa del error como las siguientes: Siempre que se realice la carga de la Base de Datos de actualización de coberturas de franqueo se deberá comprobar que la carga es correcta. Cuando se realice la carga de actualización se enviará un email informativo a los diferentes departamentos de producción. Implementar un código de control de franqueo (mes+versión) e incluirlo al principio del correlativo del envío. Generar, además de la estadística de control de envíos de ING, una estadística de control de impresión por tipo de papel, obtenida con los datos de entrada, generar la misma estadística para con el fichero de salida, de manera que se pueda controlar antes de imprimir que todo es correcto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 En el proceso de manipulado se realizará el casado de documentación por nombre siempre que se realicen manipulados adicionales. TERCERO: Con fecha 20/12/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ING y a TELEMAIL, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma, pudiendo ser sancionadas cada una de ellas con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ING y a TELEMAIL han presentado alegaciones, formulando en síntesis las siguientes: TELEMAIL, en escrito de fecha 15/01/2014, ha señalado la anulabilidad o nulidad de pleno derecho del expediente sancionador por la utilización artificiosa de las diligencias de investigación por parte de esta Agencia con el fin de evitar la caducidad del procedimiento; la ausencia de infracción imputada así como la vulneración de los principios de tipicidad, culpabilidad presunción de inocencia e in dubio pro reo; aplicación en el presente caso del apercibimiento; aplicación del principio de proporcionalidad, imponiendo en todo caso una sanción correspondientes a las infracciones leves por aplicación del artículo 45.5 y 4 de la LOPD. ING, en escrito de fecha 16/01/2014, ha señalado que la actuación objeto del procedimiento no fue realizada por la entidad, sino por TELEMAIL en virtud de la relación contractual que les unía, actuando este en calidad de encargado del tratamiento; vulneración del principio de culpabilidad; aplicación del apercibimiento previos en el 45.6 de la LOPD; subsidiariamente la aplicación del artículo 45.5 y 4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 QUINTO: Con fecha 27/01/2014 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00893. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas por ING y TELEMAIL y la documentación que a ellas acompañan. Solicitar a la denunciante copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas ó, cualquier otra manifestación en relación con los hechos denunciados. SEXTO: En fecha 05/05/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a ING y TELEMAIL por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, con multa de 20.000 € (veinte mil euros) a cada una de ellas, de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de TELEMAIL mediante escrito de fecha 22/05/2014 ratificaba las alegaciones realizadas con anterioridad, manteniendo la solicitud de nulidad del expediente y la ausencia de culpabilidad en los hechos acaecidos; que lo procedente seria apercibir de acuerdo con el artículo 45.6 y su disconformidad con la postura adoptada por la Agencia con respecto al citado articulo; aplicación de circunstancias previstas en el 45.4 de la LOPD. La representación de ING mediante escrito de 29/05/2014 formulo las siguientes alegaciones: aceptación del relato de los hechos y ratificación de las anteriores alegaciones; la inconsistencia jurídica de la propuesta de resolución y ratificación de las peticiones subsidiarias expresadas en el escrito de 16/01/2014. HECHOS PROBADOS PRIMERO. En fecha 10/01/2013, tuvo entrada en esta Agencia escrito de la denunciante en el que manifiesta que habiendo accedido a la página web de la entidad ING con el fin de contratar un depósito , seleccionando la opción de que le sea enviada por correo la documentación para firmar; con posterioridad, ha recibido por correo ordinario un sobre de la entidad conteniendo documentación de otro titular, en el que figuran los datos personales de un tercero: nombre, apellidos, NIF, importe y cuentas bancarias de abono y cargo, cuya copia se adjunta (folio 1 y 2). SEGUNDO. La denunciante aporta copia de su DNI nº D.D.D., domiciliada en C/ C.C.C., Madrid, que coincide con el que figura en el escrito de denuncia (folio 3). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 TERCERO. La denunciante ha aportado carta dirigida por ING, de fecha 06/12/2012, en la que se indica: “Respondiendo a su solicitud de realizar un ingreso, le adjuntaos un sencillo formulario. Solo tiene que firmarlo y enviárnoslo en el sobre que le adjuntamos, no necesita sello. Una vez que lo recibamos nosotros nos ocuparemos de todo, sin que tenga que hablar con su otro banco y sin ningún coste para usted...” Consta asimismo el formulario enviado por ING, en el que figura OTE (Orden de Traspaso de Efectivo), en el que aparece como titular de las cuentas un tercero, su nº de NIF, su nº cuenta de cargo, nombre de la entidad bancaria, su cuenta de abono de ING y la cantidad de traspaso (folios 5 y 6). CUARTO. ING en escrito de fecha 16/08/2013 ha manifestado que “… TELEMAIL indicó a ING DIRECT que se había producido un tratamiento contrario a las instrucciones de ING DIRECT consistente en que se habían comunicado a ciertos clientes datos de otros clientes…” (folio 13). Además, en el mismo escrito se señala que “debido a la naturaleza del error ocurrido al ensobrar el citado documento justificativo de transacciones financieras, ING ha podido averiguar, siguiendo la secuencia de envío de formularios remitida por TELEMAIL el día 7 de diciembre de 2012, que un cliente de la entidad –el que correlativamente correspondería como receptor de la información de la Sra. B.B.B., cuyo nombre es …- recibió efectivamente por correo ordinario un documento justificativo con datos de la Señora B.B.B.” (folio 14). QUINTO. ING y TELEMAIL suscribieron el 30/08/2011 Contrato de prestación de servicios, conteniendo en su estipulación octava y novena cláusulas de confidencialidad y sobre protección de datos de conformidad con lo señalado en el artículo 12 de la LOPD, adoptando este la condición de encargado del tratamiento (folios 93 y ss). SEXTO. ING ha aportado copia del e-mail que le fue enviado desde TELEMAIL (mailto:....@...., el 02/01/2013, asunto: error Kit ID, en que se indica: “Ya hemos detectado la incidencia, Este fichero se procesó inicialmente el 6 de diciembre, cuando el 7 de diciembre se empieza a manipular, se detecta un error en la calidad de impresión y se vuelve a imprimir la carta porque el formulario esta Ok. Todo esto sucede paralelamente al tema del fichero de los códigos postales de Unipost, que no se estaba haciendo bien la clasificación, al generar de nuevo la carta y ya volcado el nuevo fichero de Unipost, salen de forma diferente, cuando se manipula casan por el correlativo, que como veis es el mismo pero diferente en carta y formulario, ahí se produce el error. El fichero consta de 116 registros y los afectados son 91” (el subrayado es de la AEPD) (folio 43 y ss). SEPTIMO. TELEMAIL ha aportado Informe Detallado de Tratamiento de no Conformidades Incidencias y Reclamaciones de clientes, de fecha 08/01/2013, proceso ING 06/12, motivada por una incidencia con el manipulado del envió de un cliente al que se le incluye un formulario de OTE de otro cliente. En el documento se señala: “El problema se produjo al tener que repetir un proceso para recuperar un código. Desde que se hizo el proceso inicial a la repetición se cambió la tabla de Unipost con lo cual el correlativo no coincidía”. A la vez se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 aportan como soluciones: “La próxima vez tendremos que imprimir tanto la carta como el formulario”, “que se casen con el nombre y el correlativo”, “…Para evitar estos errores se pide permiso a la dirección para que el formulario se ensobre de tal manera que se pueda casar todo por nombre” (folios 87, 88, 89). OCTAVO. Consta que la denunciante se dirigió al Servicio de Defensa del Cliente de ING poniéndole de manifiesto los hechos que son objeto de este procedimiento y, además, una solución a fin de garantizar que sus datos no habían sido enviados a terceras personas y las medidas para solucionar el grave perjuicio que le habían ocasionado (folio 54 y 55). NOVENO. El defensor del cliente de ING se dirigió a la denunciante el 18/01/2013 manifestándole, entre otras, disculpas por las molestias que el hecho le hubiera podido ocasionar habiendo traslado a la entidad y a la empresa encargada del envío que se tomaran medidas para que hechos como los denunciados no se volvieran a repetir, así como la posibilidad de modificar la numeración de su cuenta (folios 59 a 61). DECIMO. ING y TELEMAIL no han acreditado disponer del consentimiento de la denunciante, ni del tercero (al que se le enviaron sus datos) para la revelación de sus datos respectivos, ni que exista norma legal que justifique dicha revelación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a ING y a TELEMAIL en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio, como en el caso presente. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. IV La representación de ING ha alegado que la entidad no es responsable de los hechos acaecidos, ya que TELEMAIL, encargada del tratamiento, no siguió sus instrucciones, siendo ésta la única responsable de la infracción cometida. Hay que indicar que TELEMAIL, ostenta la condición de encargado del tratamiento, como consecuencia del Contrato de prestación de servicios suscrito con ING el 30/08/2011, del que existe incorporada copia al expediente administrativo. La propia entidad crediticia en escrito de 16/08/2013 así lo manifiesta. En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, hay que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 El artículo 12 de la LOPD permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La Ley exige que el contrato figure por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de requisitos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. Interpreta el artículo 12.4 de la LOPD la sentencia de 14/03/2007 Rec. 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumpliendo las estipulaciones del contrato <<(…) será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente>> (el subrayado es de la AGPD). A los efectos de considerar responsable a ING, resultan irrelevantes las alegaciones realizadas por la representación de la entidad crediticia de que su mandante no es responsable de los hechos acaecidos, ya que TELEMAIL, encargada del tratamiento, no siguió sus instrucciones en la comunicación de los datos cuando remitió por error los datos de un tercero, cliente de la entidad, a la denunciante (a los que habría que añadir los de otros 90 más y los de la denunciante a un tercero), siendo exclusivamente suya la responsabilidad por los hechos denunciados. El artículo 43 de la LOPD señala: “Responsables.- 1. “ Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43.1), conceptos que deben integrarse con la definición que de los mismos recoge el artículo 3.
- d)y g). Conforme al artículo 3.
- d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”; y conforme al artículo 3.
- g)el encargado del tratamiento es “la persona física o jurídica (…) que solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento” También el artículo 5.1
- i)del Real Decreto 1720/2007, de 21 de diciembre, señala que “El encargado del tratamiento es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que, a tenor de los artículos transcritos, <<se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.>> Y en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento”. (el subrayado corresponde a la AEPD). Por otra parte, el reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, complementa esta definición en el apartado
- q)del artículo 5, en el que señala lo siguiente: “
- q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados” (El subrayado es de la Agencia). En el presente caso, tanto TELEMAIL, en su condición de encargado del tratamiento, como ING, en su condición de responsable del fichero en el que figuraban los datos personales de la denunciante, son responsables de la infracción cometida, de conformidad con las definiciones legales recogidas en el artículo 3 y 43 de la LOPD apuntadas. De lo que se deduce que ING también está sometido al régimen sancionador de la citada norma de conformidad con el artículo 43. IV La representación de TELEMAIL invoca la nulidad del expediente por la utilización artificiosa de las diligencias de investigación. Sin embargo, tal alegación carece de sentido. El artículo 122 del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, relativo a las denominadas actuaciones previas, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas” (el subrayado es de la AEPD). En el presente caso, la duración de las Actuaciones Previas no superó el plazo de los 12 meses a que se refiere el apartado cuarto de este precepto puesto que la denuncia se presentó el 10/01/2013 y el Acuerdo de Inicio de Procedimiento Sancionador fue notificado a las entidades denunciadas el 27 y 29/12/2013. V La representación de TELEMAIL ha alegado la falta de tipicidad, culpabilidad (que también es alegada por ING), presunción de inocencia y el principio in dubio pro reo. - Hay que indicar que la obligación establecida en el artículo 10 de la LOPD imputable a TELEMAIL, vulneración del deber de secreto, se encuentra plenamente acreditada en el expediente, siendo irrelevante el que solo uno de los 91 clientes afectados formulara denuncia e inaceptable la pretensión de la representación de la denunciada en el sentido de que como solo una persona del total de afectados ha denunciado, no puede entenderse cometida la infracción. El artículo 10 de la LOPD, precepto que se trascribe en el Fundamento Jurídico I de esta resolución, tiene como finalidad evitar que quienes están en contacto con los datos personales de terceros, almacenados en ficheros, realicen filtraciones no consentidas por sus titulares. En consecuencia, la conducta antijurídica de TELEMAIL, la revelación de los datos personales de un cliente de ING a la denunciante y los de la denunciante a un tercero, también cliente de ING (hecho probado cuarto), en tanto la empresa ha posibilitado tal conocimiento como consecuencia de haber vinculado erróneamente los datos de las cartas y los formularios incluidos en las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 Además, tanto ING (responsable del fichero), como TELEMAIL (encargado del tratamiento) reconocen en sus alegaciones al acuerdo de inicio del expediente que los datos habían sido revelados (hechos probados cuatro, seis y siete). La Audiencia Nacional considera que la infracción tipificada en el artículo 44.3.
- d)de la LOPD, (antes de la reforma operada por la LES, artículo 44.3.g de la LOPD) es una infracción de resultado, que exige, para que pueda apreciarse su comisión, que conste acreditado que alguna persona ha tenido conocimiento de los datos sobre los que existe un deber de guardar secreto. A este respecto, en STAN de 7 de mayo de 2009, la Audiencia Nacional declaró lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
- g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corrientese hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido.” Teniendo en cuenta que es responsabilidad de TELEMAIL garantizar que la comunicación de los datos se debe realizar en condiciones de inviolabilidad y confidencialidad y, dado que es incuestionable que la denunciante tuvo conocimiento de los datos de un tercero cliente de la entidad y que un tercero, cliente de la entidad, tuvo perfecto conocimiento de los datos de la denunciante, se concluye que la citada entidad incurrió en infracción del artículo 10 de la LOPD. Vulneración del deber de secreto que tipifica el artículo 44.3.
- d)de la citada norma en los siguientes términos: “Son infracciones graves: (...) La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. - En cuanto a la vulneración del principio de inocencia y del principio “in dubio pro reo”, hay que señalar que al derecho administrativo sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia e “in dubio pro reo” en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 El mismo Tribunal Constitucional, en sentencia 120/1994, de 25 de abril, ha señalado que “cuando un Tribunal independiente, imparcial y establecido por la Ley declara la culpabilidad de una persona tras un proceso celebrado con todas las garantías, al cual se aporte una suficiente prueba de cargo”; pero en ningún caso significa que existiendo prueba de cargo suficiente obtenida en base a medios probatorios lícitos, el sancionado esté exento de actividad probatoria tendente a justificar su conducta. En este sentido, la Sentencia del Tribunal Supremo, de 26/07/1988, sostiene que “frente a las pruebas no solo indiciarias, sino también de cargo..., el interesado en su momento no llevó a cabo la imprescindible contraprueba, incidiendo en el error tantas veces observado por este Tribunal, de entender que este principio presuntivo supone, sin más, una inversión de la carga de la prueba”. TELEMAIL no ha presentado prueba o contraprueba alguna que pudiera desvirtuar, o simplemente, suscitar un indicio de duda razonable que hubiera puesto en cuestión la infracción imputada. VI Las representaciones de ING y TELEMAIL han alegado la ausencia de culpabilidad. Constatado que fue realizada la acción típica, vulneración del deber de secreto, debemos analizar si concurre el elemento subjetivo de la culpabilidad, requisito esencial para exigir, en el ámbito del derecho administrativo sancionador, responsabilidad por el ilícito cometido. Ello, porque no cabe en este ámbito imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado, y que como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE es imprescindible la presencia del elemento subjetivo de la culpabilidad para imponerlas. El artículo 130.1 de la LRJPAC dispone que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia” Pues bien, afirmada por el TC la plena vigencia del principio de culpabilidad en el marco del Derecho Administrativo Sancionador, se observa que la Ley 30/1992 no exige la concurrencia del dolo, salvo que el tipo sancionador así lo exija expresamente; de modo que la forma habitual de manifestarse el elemento subjetivo de la infracción es la culpa o negligencia, en tanto la concurrencia de dolo constituye un criterio de graduación de la sanción, supone en definitiva un plus de responsabilidad (así artículo 131.3.
- a)de la Ley 30/1992). Del tenor del artículo 130.1 de la LRJPAC se desprende que bastará la “simple inobservancia” para apreciar la concurrencia de culpabilidad a título de negligencia. Expresión ésta que alude al mero incumplimiento de la norma jurídica, en cuanto representa una omisión de aquél deber de cuidado que exige el respeto a la norma. En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilísimo para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Por tanto, es a ING y TELEMAIL en su condición de responsable y encargada del tratamiento a quien les corresponde adoptar las medidas adecuadas ajustando su actuación a la normativa en materia de protección de datos, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como las denunciadas, trabajan con grandes volúmenes de datos personales y, sin que pueda considerarse la adopción de estas medidas base para la apreciar disminución de la culpabilidad. En el supuesto que nos ocupa la falta de diligencia de las entidades es notoria. Por una parte es evidente que el error cometido era vencible. Baste como prueba señalar que en la misma fecha se ensobraron y manipularon otras comunicaciones que no se vieron afectadas por la vinculación irregular que se produjo entre las cartas dirigidas a otros clientes de la entidad. Tampoco es admisible la tesis de las entidades según la cual estamos en presencia de un error humano puntual y aislado. Recordemos que en este expediente se valora la conducta de ambas entidades en relación con una denuncia de la que a su vez deriva otra revelación de los datos de la cliente a un tercero y, que si bien proviene del mismo hecho, afectó a personas diferentes (por no hablar del resto de los afectados no denunciantes). A la vista de estas consideraciones se infiere que el elemento subjetivo de la culpabilidad sí está presente en el asunto que nos ocupa y se concreta en la falta de diligencia demostrada por ING y TELEMAIL en el tratamiento de los datos de sus clientes, con ocasión del desarrollo de su actividad. En consecuencia hemos de concluir que ING y TELEMAIL no han acreditado haber observado la diligencia que les era exigible en el presente caso, por lo que debe encuadrarse la conducta observada por ambas sociedades en la infracción del artículo 10, de la Ley Orgánica 15/1999 tipificada en su artículo 44.3,d). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 VII Las representaciones de ING y TELEMAIL han alegado su disconformidad por la no aplicación del instituto del apercibimiento, al concurrir los requisitos contemplados en el artículo 45.6 de la LOPD. La disposición final quincuagésima sexta “cuatro” de la Ley 2/2011 de 4/03, de Economía Sostenible (BOE 5-3- 2011) ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, que señala: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. No obstante, también la nueva redacción del artículo 45.4 de la LOPD incluye nuevos circunstancias de graduación de la sanción, entre los que deben destacarse las siguientes: - Volumen de tratamientos - El volumen de negocio o actividad del infractor - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal Del análisis de la concurrencia de los citados criterios se concluye, que en el caso como el presente, se trata de sociedades, compañía crediticia y empresa dedicada al ensobrado y manipulado de correspondencia, donde el número de tratamientos efectuados que ha afectado a un número apreciable de clientes, el volumen de negocio y la actividad de los infractores y, que en el desarrollo de sus actividades lleva implícita el tratamiento de datos de carácter personal tanto de los clientes como de terceros, estas circunstancias, les obligan a ser especialmente diligentes en la aplicación de medidas que garanticen el derecho fundamental a la protección de datos de carácter personal. Es por ello, que no procede la aplicación de la previsión contenida en el nuevo apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. En este sentido la sentencia de la Audiencia Nacional en sentencia de 24/04/2014, señala “Se argumenta también en la demanda que la Agencia no ha motivado ni fundamentado, porque no ha aplicado el apercibimiento contemplado en el artículo 45.6 LOPD. Se considera que procede su aplicación, al concurrir todos los requisitos previstos en el precepto. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 Precepto que ha sido objeto de una nueva interpretación por esta Sala a partir de la SAN 29-11-2013 (Rec. 455/2011), cuyo fundamento jurídico 6º establece la siguiente doctrina: "(...) el legislador ha previsto la sustitución del procedimiento sancionador y, por ende, de la sanción que correspondería al sujeto responsable por la comisión de una infracción leve o grave por la adopción de medidas correctoras de cesación de la actividad constitutiva de infracción y de corrección de las consecuencias derivadas de la misma, cuando la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45 así lo justifiquen. En consecuencia, el "apercibimiento" a que se refiere el precepto no constituye una sanción y tiene por objeto, exclusivamente, que el sujeto responsable " en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes", siendo tales medidas las que establezca en cada supuesto la Agencia Española de Protección de Datos. De manera que el artículo 45.6 de la LOPD no contempla la imposición de la sanción de apercibimiento, consistente en la amonestación que se hace al sujeto responsable de una infracción administrativa, haciéndole saber el reproche social que merece su conducta infractora. Tal consideración se ve avalada también por el hecho de que el "apercibimiento", al que se refiere la norma, no se ve precedido de la tramitación de procedimiento sancionador, en cuyo seno se acuerde, y se contrapone abiertamente a la imposición de sanciones, tal y como indica expresamente el precepto, tanto al prever su aplicación en lugar de la apertura del procedimiento sancionador, como al exigir su procedencia, entre otros requisitos, que "el infractor no hubiere sido sancionado o apercibido con anterioridad". En este sentido, resulta revelador el hecho de que el incumplimiento del apercibimiento o su desatención conlleve la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. En definitiva, nos encontramos ante una habilitación legal y expresa a la Agencia Española de Protección de Datos para sustituir la sanción que correspondería a la conducta infractora apreciada por un mero requerimiento para la adopción de determinadas medidas correctoras, al que se denomina "apercibimiento ", que carece de naturaleza sancionadora. Consecuentemente, el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. (...) Por consiguiente, cuando, como ocurre en el supuesto que nos ocupa, atendidas las circunstancias del caso y, en particular, la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45 de la LOPD , se estime que el sujeto responsable de la infracción no es merecedor de la sanción prevista para la misma, y que en su lugar debe imponérsele la obligación de llevar a cabo determinadas medidas correctoras, procediendo por ello la aplicación del artículo 45.6 de la LOPD , no cabe la imposición de "apercibimiento" alguno como medida de naturaleza sancionadora. Por el contrario, lo que procede en tal caso es "apercibir" o requerir al sujeto responsable a fin de que cumpla en el plazo que se le indique con tal obligación, tal y como se desprende de la interpretación del precepto legal examinado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 (...) En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a " apercibir" a la entidad (...), aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un "apercibimiento", entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
- c)de la misma Ley. Razones, las anteriores, que conllevan que la denunciada ausencia de motivación por la no aplicación de dicho apercibimiento por parte de la AEPD, tampoco pueda ser tomada en consideración, máxime cuando la rebaja en grado de la sanción, a tenor del apartado 5 del mismo artículo 45 LOPD , ha sido ya aplicada en la resolución combatida por considerar concurrentes varias de las circunstancias contempladas en tal precepto rebajando la sanción a 20.000 euros, sanción que se considera ajustada a derecho y proporcionada por la Sala, por lo que la misma ha de ser confirmada”. VIII De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por parte de ING en su condición de responsable del fichero y por parte de TELEMAIL en su condición de encargado del tratamiento, una vulneración del deber de secreto al enviar y comunicar a la denunciante los datos de un tercero cliente de la entidad y, a su vez, los datos de la denunciante a un tercero cliente de la entidad y distinto de aquel. Por tanto, ING en su condición de responsable del fichero y por parte de TELEMAIL en su condición de encargado del tratamiento no han actuado con la diligencia debida al comunicar datos erróneos y no comprobar correctamente los documentos remitidos, por lo que debe considerarse que han vulnerado la LOPD por vulneración del artículo 10 de la LOPD y que encuentra su tipificación en el tipo del citado artículo 44.3.d). IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Las representaciones de ING y TELEMAIL han solicitado la aplicación del artículo 45.5 de la LOPD, teniendo en cuenta las especiales circunstancias que se han producido en el presente caso, reduciendo la cuantía y aplicando la escala relativa a la clase de infracciones leves y la graduación de la sanción en aplicación de supuesto contenidos en el artículo 45.4 de la LOPD. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 En el caso presente, de las actuaciones practicadas ha quedado acreditado que ING, en su condición de responsable del fichero y, TELEMAIL, en su condición de encargado del tratamiento, son responsables de la infracción cometida, la revelación de los datos personales de un cliente de ING a la denunciante y, los de la denunciante a un tercero, también cliente de ING, posibilitando tal conocimiento al haber vinculado y asociado erróneamente los datos de las cartas con los de los formularios incluidos en las mismas, en un proceso que afectó a 91 clientes de la entidad crediticia, conculcándose el deber de secreto, por lo que su actuación ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto en el artículo 45.5,
- b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que las entidades tan pronto como tuvieron conocimiento de los hechos actuaron de manera inmediata para corregir la situación adoptando las medidas adecuadas, informando a la denunciante ante su reclamación, solicitándole disculpas por los perjuicios que se le hubiera podido irrogar y adoptando medidas para que hechos como los denunciados no se volvieran a repetir, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, hay que hacer mención a otras circunstancias que se producen en el presente caso que atenúan la culpabilidad de las entidades denunciadas: ante los hechos ocurridos fue emitido un Informe detallado de las incidencias producidas, estableciéndose aspectos a mejorar en el tratamiento de los datos, así como medidas correctivas que han sido efectivamente implantadas como estadísticas de control de impresión para comprobar que todo el proceso es correcto. TELEMAIL ha invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la atenuación de la sanción a imponer. En cuanto a la circunstancia prevista en el apartado
- f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la empresa hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la ausencia de perjuicios a la denunciante, tal alegato no puede aceptarse a la vista de los hechos considerados probados en el procedimiento, derivados de la lesión del derecho fundamental a la protección de datos inherente a la infracción sancionada. En cuanto a la existencia de procedimientos internos de recogida y tratamiento de datos, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos, situación que debería mejorar con las medidas que la empresa ha tomado para no repetir hechos como los enjuiciados y que no pudieron ser evitados, lo que demuestra la falta de diligencia mostrada por la empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 En cuanto a la ausencia de beneficio, la LOPD prevée en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad y, es por ello, que al margen de que en la conducta de la empresa se aprecie como atenuante de su conducta la circunstancia prevista en el apartado
- e)la ausencia de beneficios como consecuencia de la comisión de la infracción, la concurrencia de las circunstancias agravantes que se expresan en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. Por otra parte, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
- b)“volumen de los tratamientos efectuados”, porque como ha sido acreditado en el procedimiento el error provocado afecto a 91 clientes de ING,
- c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidades denunciadas se ven obligadas a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
- d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las grandes entidades crediticias del país por volumen de negocio. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 20.000 € a cada una de ellas, por la infracción del artículo 10 de la LOPD, de las ING y TELEMAIL deben responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, TELEMAIL, S.L.U., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, TELEMAIL, S.L.U.., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a ING DIRECT NV SUCURSAL EN ESPAÑA, TELEMAIL, S.L.U.. y a B.B.B.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es