← España

REPOSICION-A-00242-2013

1/13 Procedimiento nº.: A/00242/2013 ASUNTO: Recurso de Reposición Nº RR/00547/2014 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00242/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 27/05/2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento A/00242/2013, en virtud de la cual se acordó lo siguiente: <<1.- APERCIBIR (A/00242/2013) a la entidad BETPARTNER MARKETING, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

  1. h)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
  2. f)y
  3. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. 2.- REQUERIR a BETPARTNER MARKETING, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, estableciendo mecanismos para que la información resulte accesible únicamente a los interesados y no a terceros y comprometiéndose expresamente a destruir o borrar cualquier documento o soporte que vaya a desecharse o a comercializarse, evitando el acceso a la información contenida en los mismos o su recuperación posterior. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/03196/2014, podría incurrir en una infracción del artículo 37.1.
  4. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  5. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  6. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica>>. Dicha resolución, que fue notificada al recurrente en fecha 30/05/2014, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento A/00242/2013, quedó constancia de los siguientes: <<1. Con fecha 04/01/2013, el denunciante adquirió una tablet en un establecimiento de la entidad BETPARTNER, procediendo a la devolución del citado dispositivo el día 08/01/2013. El día de la devolución, el denunciante advirtió al responsable del establecimiento que la tablet contenía información personal. 2. El responsable del establecimiento de BETPARTNER en el que el denunciante adquirió la tablet, en declaración prestada ante la Comisaría de Policía de Cartagena de fecha 25/02/2013, manifestó que la tablet fue vendida a un segundo comprador y finalmente devuelta al fabricante el día 30/01/2013. Preguntado si pudo quedar almacenada algún tipo de información del primer comprador, su dirección de correo electrónico y contraseña y si era posible recuperar información previamente eliminada, el declarante respondió “que no lo sabe”. 3. El segundo comprador de la tablet que había sido devuelta por el denunciante a BETPARTNER declaró ante la Comisaría de Policía de Cartagena que a través de dicho dispositivo “accedió a la cuenta de correo electrónico de una persona desconocida, habiendo encontrado en ésta un mensaje conteniendo un archivo Excel”>>. TERCERO: Con fecha 30/06/2014, dentro del plazo establecido, el denunciante D. A.A.A. (en lo sucesivo el recurrente) ha presentado recurso de reposición, con entrada en esta Agencia Española de Protección de Datos en fecha 07/07/2014, en el que solicita la revocación de la resolución impugnada y se proceda a sancionar a la denunciada por las infracciones de los artículos 6 y 11 de la LOPD o, en su defecto, se proceda a sancionar por la infracción del artículo 9 de la misma norma, anulando el apercibimiento, e interesando la inclusión de otras sanciones, en concreto y sin perjuicio de otras, las del artículo 44.3, apartados b),
  7. c)y d), o las leves del artículo 44,2, todos ellos de la citada Ley Orgánica. Asimismo, que se ordene todo la conducente para la efectividad y protección de los derechos que entiende vulnerados, con pronunciamiento sobre los daños y perjuicios causados y la valoración en su caso. Por otra parte, solicita estar informada del expediente de investigación E/03196/2014 y que en el mismo se requiera al establecimiento el estado de la tablet, sobre el que no se ha resuelto. Todo ello en base a las siguientes consideraciones: 1. En cuanto a las infracciones no tenidas en cuenta, a juicio del recurrente, señala las siguientes: . Incumplimiento del artículo 26 de la LOPD, por disponer de ficheros no inscritos en el Registro General de Protección de Datos. . Incumplimiento del artículo 5 de la LOPD, por no incorporar aviso legal en cumplimiento del deber de información en el momento de la recogida de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 . El establecimiento no dispone de medidas de seguridad ni Documento de Seguridad en el que se descríbanlas mismas. . Incumplimiento de los artículos 6 y 11 de la LOPD. A este respecto, advierte que no fue informado, no se solicitó su consentimiento para el tratamiento de los datos ni para su comunicación a terceros. . Artículos 82 (encargado del tratamiento), 91 (control de accesos) y 92 (gestión de soportes) del Reglamento de desarrollo e la LOPD. 2. En cuanto a los hechos, advierte sobre la falta de motivación de la resolución impugnada, que supone una indefensión para el afectado: . Desconocimiento de la trayectoria de la tablet y en consecuencia de la cesión de la información relativa al denunciante contenida en ella, incluyendo el acceso a su correo electrónico por un segundo comprador, que también devolvió el producto, sin que se explique qué ha sucedido tras esta segunda devolución, lo que ha provocado una incertidumbre manifestada por el denunciante en diversos correos electrónicos. . Cesión de los datos a terceros sin el consentimiento del afectado, que fue denunciada, al igual que la fala de inscripción de ficheros y la falta de medidas de seguridad relacionadas, en concreto, con la gestión de soportes, y la falta de avisos legales, ante lo que la entidad denunciada ha mostrado desinterés. . Errores en la aplicación de la legislación, en especial, el artículo 45.6 de la LOPD, cuya aplicación no ha sido correcta <<por consistir el apartado B en “cuando la entidad infractora haya regularizado la situación irregular de forma diligente” lo que entiende… que no ha sucedido>>. En cuanto a la medida de apercibimiento empleado, considera el recurrente que lo deja en situación de indefensión, quedando impune la denunciada, a la que resulta más económico incumplir que adecuar la empresa a la LOPD. Añade que, en este caso, no procede aplicar dicha medida excepcional por la falta de diligencia mostrada por BETPARTNER, porque la infracción no puede determinarse como grave, sino muy grave, y porque aunque se determine como grave, no puede reducirse a un apercibimiento una infracción sancionada con multa de 40.001 a 300.000 euros, y por la naturaleza de los hechos (aviso del denunciante, reclamación no atendida, ficheros no inscritos, falta de medidas de seguridad, no atención al borrado de los datos, no atención a la oposición al tratamiento, inexistencia de documental al respecto, inseguridad jurídica, nivel de ventas, cantidad de tratamientos, etc.). Considera, asimismo, que no se valora adecuadamente la concurrencia de los criterios del artículo 45.4 y 5 de la LOPD, al no considerar el volumen de negocio y la no implantación de procedimientos adecuados para la recogida y tratamiento de los datos, y por tratarse de criterios previstos para graduar la sanción. Reitera nuevamente que el supuesto no se refiere a una sola infracción grave, por cuanto también se incurre en otras previstas en el artículo 44.3 de la LOPD, letras b),
  8. c)y e), y tampoco se ha sancionado por ninguna de las leves del artículo 44.2, letras a), b),
  9. c)y d), de la misma norma. . Incongruencia por la falta de valoración del derecho a indemnización del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 II En relación con las manifestaciones efectuadas por el recurrente, debe señalarse que no son contrarias a las conclusiones sobre los hechos que determinaron el acuerdo adoptado en la Resolución impugnada, R/01072/2014, en cuyos Fundamentos de Derecho II a VIII, ambos incluidos, se considera que BETPARTNER MARKETING, S.L. cometió una infracción de lo dispuesto en el artículo 9 de la LOPD. En dichos Fundamentos se detallaban suficientemente los motivos que han determinado dicho acuerdo y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para el apercibimiento reseñado, y la consideración que merece la denuncia de nuevas infracciones durante el trámite del procedimiento y lo pertinente en relación con la solicitud de indemnización por daños planteada. En dichos Fundamentos de Derecho se indica lo siguiente: <<II El Titulo VII sobre Infracciones y sanciones, el artículo 43 de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” En relación con los encargados del tratamiento, el artículo 82 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece lo siguiente: “2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de seguridad en los términos exigidos por el artículo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento. 3. En todo caso, el acceso a los datos por el encargado del tratamiento estará sometido a las medidas de seguridad contempladas en este reglamento”. III Se imputa a BETPARTNER el incumplimiento del principio de seguridad de los datos personales. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  10. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  11. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  12. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  13. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 44.3.
  14. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  15. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  16. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  17. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  18. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Partiendo de tales premisas, procede analizar a continuación las previsiones contenidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, para garantizar la seguridad de los datos personales y, en concreto, que no se produzcan accesos no autorizados. De acuerdo con lo establecido en dicho Reglamento, las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 92 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 para garantizar que los usuarios con acceso a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. Y el citado artículo 92 del Reglamento establece: Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. En definitiva, la denunciada está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado en el procedimiento, y así lo ha reconocido la propia imputada BETPARTNER, que incumplió estas obligaciones, en lo relativo a la supresión de los datos personales del denunciante contenidos en una tablet vendida a un tercero por dicha entidad, la cual había sido previamente adquirida y utilizado por aquél. Dicha eliminación hubiese impedido que el tercero que adquirió la tablet devuelta a BETPARTNER por el denunciante accediera a la información personal relativa a éste contenida en la misma. El propio responsable del establecimiento en cuestión reconoció, en declaración prestada ante la Policía, que fue advertido por el denunciante sobre la naturaleza de la información contenida en la tablet y que devuelta por el mismo y, a pesar de ello dispuso la venta del aparato sin adoptar ninguna medida para impedir que dicha información pudiera ser accedida por un tercero Por otra parte, a la vista de la documentación formalizada por la Comisaría de Policía de Cartagena, consta igualmente acreditado que el tercero adquirente de la tablet devuelta a BETPARTNER por el denunciante pudo acceder a la cuenta de correo electrónico de éste. En consecuencia, en este caso, resulta que BETPARTNER no había garantizado la seguridad de los datos personales del denunciante, lo que supone la comisión de una infracción del artículo 9.1 de la LOPD, En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 cumplan y se ejecuten con rigor”. IV El artículo 44.3.
  19. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que BETPARTNER ha incurrido en la infracción grave descrita. V De acuerdo con lo expuesto, se iniciaron actuaciones contra la entidad BETPARTNER por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
  20. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, se tuvo en cuenta que la citada entidad BETPARTNER no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  21. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  22. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  23. a)El carácter continuado de la infracción.
  24. b)El volumen de los tratamientos efectuados.
  25. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  26. d)El volumen de negocio o actividad del infractor.
  27. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13
  29. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  31. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  32. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  38. a)y
  39. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el carácter no continuado de la infracción, el volumen de los tratamientos afectados, el grado de intencionalidad apreciado y que no constan beneficios obtenidos como consecuencia de la comisión de la presunta infracción ni vinculación de la actividad de BETPARTNER con la realización de tratamientos de datos de carácter personal y la ausencia de reincidencia. Por otra parte, procede requerir a la entidad BETPARTNER la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo medidas correctoras adecuadas para impedir el acceso indiscriminado a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, evitando que resulten accesibles por parte de terceros, con el alcance expresado en los Fundamentos de Derecho anteriores. VI El denunciante ha solicitado que el procedimiento se resuelva con la imposición de la oportuna sanción. A este respecto, cabe señalar que el procedimiento sancionador se inicia siempre de oficio y es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura. Del mismo modo, corresponde al órgano sancionador ponderar la aplicación de lo establecido en el apartado 6 del artículo 45 de la LOPD, atendidas las circunstancias concurrentes y los presupuestos contenidos en dicho artículo mencionado. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  40. a)y
  41. b)del citado apartado 6 y se estimó aplicable la previsión contenida en el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 VII Durante la tramitación del expediente, en sus alegaciones a la apertura del trámite de apercibimiento, el denunciante puso de manifiesto que la actuación de BETPARTNER pudiera infringir, además, lo establecido en los artículos 5, 6, 11 y 26 de la LOPD. Sin embargo, ha de señalarse que durante la tramitación del procedimiento no es procedente modificar el planteamiento inicial añadiendo nuevas pretensiones ajenas al objeto propio del procedimiento iniciado en razón a unos hechos concretos y su posible calificación. VIII Con respecto a la reposición de los perjuicios que solicita el denunciante deberá dirigirse a los órganos de la jurisdicción ordinaria, de conformidad con lo dispuesto en el artículo 19 de la LOPD, según el cual: “1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.”>>. III En relación con la infracción declarada, por vulneración de lo dispuesto en el artículo 9 de la LOPD, que determinó la resolución de apercibimiento, el recurrente ha señalado que no se ha tenido en cuenta la gravedad de los hechos al adoptar dicho acuerdo y solicita la imposición de una multa. A este respecto, conviene delimitar si el denunciante está legitimado para interponer recurso de reposición con el propósito de que la resolución impugnada se revise “in peius” para el denunciado, si existe interés suficiente y legítimo para la impugnación de la resolución por parte del recurrente, al objeto de que se imponga una sanción. Se tiene en cuenta, al respecto, que la condición de denunciante no otorga por sí la de interesado, y que la LOPD y el Reglamento de desarrollo no se refieren a interesado sino a afectado, señalando que se le comunique la resolución final. Además, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 6/10/2009 determina que “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. Aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 "carácter revisor" de la jurisdicción contencioso-administrativo. Por tanto, el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.). Por otro lado, la sentencia del Tribunal Supremo, Sala de lo Contencioso, sección: 7, nº de Recurso: 234 / 1995, de 12/09/1997 refiere que el concepto de legitimación y su atribución a un sujeto determinado responden a una misma idea en la vía administrativa y en la contenciosoadministrativa: la titularidad por parte del legitimado de un derecho o de un interés legítimo en que prospere su pretensión, como se desprende fundamentalmente del artículo 24.1 de la Constitución y se recoge en el artículo 31 de la LRJPAC. El interés legítimo equivale a una titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta. Es decir, la relación entre el sujeto y el objeto de la pretensión, con la que se define la legitimación activa, comporta el que la anulación del acto que se recurre, para imponer una cuantía superior, sea en vía administrativa o jurisdiccional, produzca de modo inmediato un efecto positivo (beneficio) o negativo (perjuicio) actual o futuro para el legitimado, pero cierto. Por decirlo con palabras del Tribunal Constitucional (S.T.C. 143/1987, F.D. 3º) el interés legítimo, al que se refiere el art. 24.1 (en el que debe disolverse el concepto más restrictivo del art. 28.1.a L.J.C.A.), "equivale a titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta" (SS.T.C. 60/1982, 62/1983, 257/1988 y 97/1991, entre otras)". No existiendo en el supuesto examinado la titularidad de un derecho subjetivo, que en ningún caso puede atribuirse al denunciante de una infracción de protección de datos en relación con la sanción de la misma, no se advierte que el recurrente tenga un interés legítimo en la impugnación ante esta Agencia de la resolución dictada en lo que respecta a la medida impuesta, porque la situación jurídica del denunciante-recurrente no experimenta ventaja alguna por el hecho de que se sancione en más a la entidad denunciada. Por lo tanto, en el presente recurso de reposición, el recurrente no se halla legitimado para que la resolución dictada sea modificada sustituyendo el acuerdo de apercibimiento por la imposición de una sanción. En todo caso, la medida de apercibimiento con requerimiento de adopción de medidas que regularicen las incidencias apreciadas se adopta conforme a los presupuestos establecidos en la normativa vigente. Según se indicó en la resolución impugnada, en este caso se cumplen los dos requisitos recogidos en los apartados
  42. a)y
  43. b)del artículo 45.6 de la LOPD. Por otra parte, la aplicación del mencionado precepto, de carácter excepcional, se estimó pertinente en consideración al resto de circunstancias concurrentes, que constan detalladas en la resolución impugnada, cuya ponderación no supone la aplicación errónea de la normativa. Tal como se indica en dicha resolución, corresponde al órgano sancionador ponderar la aplicación del artículo 45.6 de la LOPD, atendidas las circunstancias concurrentes, ya sean las indicadas en el artículo 45 de dicha norma o cualquier otra que permita valorar la excepcionalidad. Obviamente, se tienen en cuenta, con carácter previo y preceptivo, los presupuestos contenidos en ese precepto. De acuerdo con esos presupuestos, el acuerdo de apercibimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 esta previsto legalmente para supuestos en los que se declare infracción grave, de modo que no puede estimarse la alegación del recurrente según la cual resulta desproporcionado reducir a un apercibimiento una infracción sancionada con multa de 40.001 a 300.000 euros. A este respecto, el recurrente señala en su recurso, erróneamente, que la infracción no puede determinarse como grave, sino como muy grave, sin considerar que la infracción está tipificada en el artículo 44.3 de la LOPD, referido a las infracciones graves. Tampoco ninguna de las otras infracciones que el recurrente considera cometidas por BETPARTNER se tipifican en la norma como muy graves. Por otra parte, en contra de lo manifestado por el recurrente, entre dichos presupuestos no se exige que el infractor haya regularizado la situación de forma diligente. De hecho, el artículo 45.6 de la LOPD permite que no se inicie expediente sancionador y, en su lugar, se aperciba al sujeto responsable a fin de que, en el plazo que se determine, acredite la adopción de las medidas correctoras que resulten pertinentes. IV Por otra parte, el recurrente indica en su recurso que los hechos denunciados son constitutivos de infracción por incumplimiento de los artículos 5, 26, 9, 6 y 11 de la LOPD. Sobre esta cuestión ya se advirtió en la resolución recurrida que “… durante la tramitación del procedimiento no es procedente modificar el planteamiento inicial añadiendo nuevas pretensiones ajenas al objeto propio del procedimiento iniciado en razón a unos hechos concretos y su posible calificación”. Del mismo modo, tampoco en vía de recurso cabe plantear nuevas pretensiones que no hubiesen sido objeto del procedimiento impugnado, conforme a lo dispuesto en el segundo párrafo del artículo 112.1 de la LRJPAC, en el que se dispone lo siguiente: “No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho”. En todo caso, se estima oportuno señalar al recurrente que el acceso a los datos del denunciante por parte de un tercero es una consecuencia de la vulneración de lo dispuesto en el artículo 9, que constituye el objeto de las actuaciones y ya fue declarada en la resolución por la falta de medidas de seguridad apreciada, resultado de la comercialización de un producto sin previamente haber suprimido los datos que contenía. Por otra parte, el tratamiento de los datos del denunciante por parte de la entidad BETPARTNER no requiere del consentimiento del mismo, al tratarse de uno de los supuestos previstos en el artículo 6.2 de la LOPD, que exime de la obligación de recabar el consentimiento del afectado cuando los datos de carácter personal se refieran a las partes de un contrato y sean necesarios para el cumplimiento de una relación negocial. V El recurrente alega incongruencia por la falta de valoración del derecho a indemnización del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Con respecto a la reposición de los perjuicios que solicita el recurrente, ya se advirtió en la resolución de 27/05/2014, que deberá dirigirse a los órganos de la jurisdicción ordinaria, de conformidad con lo dispuesto en el artículo 19 de la LOPD, según el cual: “1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.” VI Por lo tanto, en el presente recurso de reposición, el denunciante no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución de 27/05/2014. Finalmente, cabe añadir que en las actuaciones consta que el representante de BETPARTNER declaró ante la Comisaría de Policía de Cartagena que la tablet adquirida por el mismo y posteriormente devuelta al establecimiento fue entregada al fabricante en fecha 30/01/2013. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de mayo de 2014, en el procedimiento A/00242/2013. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.