1/7 Procedimiento nº: A/00128/2013 ASUNTO: Recurso de Reposición Nº RR/00158/2014 Examinado el recurso de reposición interpuesto por Dña. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00128/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 23 de diciembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento A/00128/2013, en virtud de la cual se acordaba Apercibir a D. B.B.B., por la vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.6 de la citada Ley Orgánica. Dicha resolución, que fue notificada a la denunciante en fecha 15/01/2014, fue dictada previa la tramitación del correspondiente procedimiento. SEGUNDO: Como hechos probados del citado procedimiento A/00128/2013, quedó constancia de los siguientes: “…En fecha 6 de febrero de 2012, el denunciado remitió un correo electrónico sin copia oculta, a la denunciante, Dña. A.A.A., a dos direcciones de correo electrónico, entre ellas ..........@hotmail...., vinculadas ambas en el mensaje con el pseudónimo que al parecer utiliza en ocasiones la denunciante, ***NOMBRE.1 (folios 2 y 4)…” TERCERO: Dña. A.A.A. (en lo sucesivo la recurrente) ha presentado en fecha 14/02/2014, teniendo entrada el 24/02/2014 en esta Agencia Española de Protección de Datos, recurso de reposición solicitando se imponga una sanción económica al denunciado y fundamentándolo básicamente en: <….Por todo lo expuesto le solicito como director de Ia AGPD que no hagan ninguna “Excepción con B.B.B. quien no solo no ha reconocido su negligencia, sino que es mintió inventándose un virus y que lo había enviado por Gesfincas, siendo todo mentira, yo les demostré con pruebas que lo envió desde un dominio único para Ia abogacía totalmente seguro por el que mandan los abogados sentencias y documentos con total seguridad (…) El que ahora tome medidas me da igual, el daño ya lo ha hecho y pudo evitarlo. J. Villegas no puede saltarse a Ley por dejadez, desidia y cuando se le denuncia, solo entonces pone los medios. Es inaceptable. Solicito aplique Ia Ley sin ninguna excepción ya que ¿qué sentido tiene entonces Ia Ley si no se impone Ia sanción? …>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por A.A.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VIII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<…II La LOPD en su art. 1 establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” III Asimismo en su Artículo 3 la LOPD, en “Definiciones”, establece: “A los efectos de la presente Ley Orgánica se entenderá por (…)
- a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso (…)
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.
- f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
- h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
- i)Cesión o comunicación de datos: Toda revelación de datos realizada a una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 persona distinta del interesado.
- j)Fuentes accesibles al público: Aquellos ficheros cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.” IV En relación con la consideración de la dirección de correo electrónico como dato personal, procede tener en consideración la Sentencia de la Audiencia nacional de 15 de enero de 2011, que estima: «...esta Sala ha considerado en las SSAN, Sec. 1a, de 23 de marzo 2006 (Rec. 911/2003) y de 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias...» En la Sentencia de la Audiencia Nacional de 25 de mayo de 2006 se especifica que la dirección de correo electrónico de que es titular una persona física constituye un dato personal, recogiéndose en el fundamento Quinto que: «...La primera cuestión suscitada por el recurrente se refiere a su alegación de que la dirección del correo electrónico del denunciante no constituye un dato de carácter personal en los términos que de la definición de dicho concepto se establece en el artículo 3.
- a)de la LOPD, por cuanto no existe vinculación personal entre dicha dirección y ese titular. Este Tribunal, a la vista del literal del mencionado precepto legal y del todavía vigente artículo 1.4 del mencionado Real Decreto 1332/1994, considera que la dirección del correo electrónico del que es titular una persona física, como ocurre en el caso de autos y no ha sido negado por la recurrente, constituye un dato personal, porque, con independencia de que la denominación de la dirección corresponda o no con el nombre v apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede, mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección del correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más, esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD. Así en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 sentencia de 27 de octubre de 2004 (rec. 1112/2002), se decía: "Para la resolución de este caso debemos partir de una primera consideración jurídica elemental: el número del DNI es un dato de carácter personal, y por tanto protegido por la ley. El artículo 3
- a)LOPD define los datos de carácter personal como "cualquier información concerniente a personas físicas identificadas o identificables. Nada mejor que atender a las circunstancias de este caso para confirmar el encaje del dato controvertido en la definición legal: en el supuesto de autos, el número del DNI erróneamente cedido permitió identificar a la persona de…, después denunciante del hecho ante la Agencia de Protección de Datos"...» (el subrayado es de la AGPD). V El artículo 10 de la LOPD dispone que: "El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo." El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: "El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)". En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: "Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un «instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegitimo del tratamiento mecanizado de datos» (STC 292/2000). Derecho fundamental a la protección de los datos que «persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino» (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, «es decir, el poder de resguardar su vida privada de una publicidad no querida». En el presente caso ha quedado acreditado en el expediente que el denunciado remitió un mensaje a cerca de 40 destinatarios, sin ocultar, en concreto, la dirección ..........@hotmail...., que los destinatarios recibieron asociada al pseudónimo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 ***NOMBRE.1. En el presente procedimiento no se imputa la revelación de las direcciones del resto de destinatarios, al no haberse recibido más denuncia que la de la señora A.A.A.. En consecuencia y de acuerdo con el criterio mantenido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 1, Recurso 536/2004, Sentencia de 25/05/2006, cabe entender que, como consecuencia del envío del mensaje que ha motivado el presente procedimiento, se hayan divulgado a terceros datos de carácter personal que puedan ser atribuidos e identifiquen a la denunciante. VI En el Titulo VII de la LOPD, al regular las Infracciones y sanciones, define en el artículo 43.1 como "Responsables 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley..." VII El artículo 44.3.
- d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, califica como infracción grave: "La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley" Así el denunciado ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando datos personales de la denunciante (su dirección de correo electrónico, ..........@hotmail.... vinculado al pseudónimo ***NOMBRE.1). Infracción grave que podría ser sancionada con multa de 40.001 a 300.000 euros. VIII La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: "Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 dispuesto en esta Ley. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. i Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento". En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno…>> III El Tribunal Supremo en su sentencia de 26/11/2002, recurso 65/2000, expresa lo siguiente: “el denunciante ni es titular de un derecho subjetivo a obtener una sanción contra los denunciados, ni puede reconocérselo un interés legítimo a que prospere su denuncia, derecho e interés que son los presupuestos que configuran la legitimación, a tenor del artículo 24,1 de la Constitución y del art. 31 de la Ley 30/92, sin que valgan como sostenedores de ese interés los argumentos referidos a que se corrijan las irregularidades, o a que en el futuro no se produzcan, o a la satisfacción moral que comportaría la sanción, o la averiguación de los hechos.” La Audiencia Nacional en su Sentencia de 6 de octubre de 2009, recurso nº 4712/2005 expresa lo siguiente: “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Española de Protección de Datos- y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. En cualquier caso, los procedimientos se inician de oficio por la AEPD, que es quien determina la responsabilidad de los hechos constatados, independientemente de la intencionalidad del denunciante al presentar su escrito de denuncia. Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y en lo que concierne a su pretensión con respecto al resultado del expediente mismo, se considera que carece de legitimación activa para ello. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dña. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 23 de diciembre de 2013, en el procedimiento A/00128/2013. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es