1/12 Procedimiento nº.: PS/00014/2017 ASUNTO: Recurso de Reposición Nº RR/00644/2017 Examinado el recurso de reposición interpuesto por D. I.I.I. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00014/2017, y en base a los siguientes, HECHOS PRIMERO: Con fecha 16 de junio de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00014/2017, en virtud de la cual se imponía a D. I.I.I., una sanción de 1.500 euros (mil quinientos euros), por la vulneración de lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 22/06/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00014/2017, quedó constancia de los siguientes: <<1. El denunciado es titular del sitio web J.J.J.. 2. De conformidad con lo establecido en el artículo 45.6 de la LOPD, mediante Resolución de fecha 28/04/2016, dictada en el procedimiento número A/00120/2016, se acordó apercibir al denunciado por una infracción de lo establecido en el artículo 6 de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.
- b)de la misma norma, como consecuencia de la divulgación a través de la web J.J.J., en la sección noticias, de una denuncia formulada contra la denunciante por un tercero ante el COLEGIO PROFESIONAL DE PSICÓLOGOS DE ARAGÓN y la resolución dictada al respecto por esta entidad, en las que consta el nombre y apellidos de la denunciante y su condición de K.K.K., además de las circunstancias del caso al que se refieren tales documentos. Estos documentos se encontraban accesibles en las URLs F.F.F. y E.E.E.. 3. Con fecha 25/09/2016, tuvo entrada en la Agencia una nueva denuncia contra el denunciado por difundir los mismos documentos reseñados en el Hecho Probado Segundo a través de la misma web citada, accesibles en las URLs “ A.A.A.” y “ B.B.B.”. 4. Con fecha 24/10/2016, por la Subdirección General de Inspección de Datos se realiza una búsqueda a través del buscador de internet Google, utilizando como criterio el nombre y apellido de la denunciante vinculados a los sitios web J.J.J., obteniendo en la página de resultados dos enlaces a las URLs reseñadas en el Hecho Probado Tercero que conducen a los documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 objeto de la denuncia. 5. Conocida la apertura del presente procedimiento sancionador, el denunciado contactó con los técnicos encargados del mantenimiento de la web J.J.J., remitiendo y recibiendo diversos correos electrónicos desde el día 06/02/2017, a las 11:53 horas, en que comunicó la existencia de los dos enlaces/documentos, hasta el día 10/02/2017, a las 14:35 horas, en que le comunicaron que dichos documentos habían sido retirados. De lo manifestado en dichos correos, cabe destacar lo siguiente: . Correo electrónico remitido por el denunciado a “emedia” (***EMAIL.1) en fecha 06/02/2017: “Acabo de llamar para haceros una consulta… El caso es el siguiente: hace tiempo publiqué una noticia en mi web que llevaba dos documentos, después retiré la noticia pero los documentos siguen saliendo en internet, los enlaces son los siguientes… ¿Qué puedo hacer para retirar esos enlaces y que esos documentos desaparezcan de la red?”. . Correo electrónico remitido por “emedia” al denunciado en fecha 06/02/2017: “Hemos revisado lo que nos comentas y primero hay que dar de baja los enlaces desde Webmastertools. Posteriormente desde la galería de archivos borrar los dos pdf. De esta manera quedarán desactivados los enlaces. No sé si con esta información es suficiente. Si no lo es necesitaríamos las datos actuales de tu webmastertools para desactivarlos”. . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “… no tengo ni idea de lo que es Webmastertools. Ya me dirás lo que es eso y qué tengo que hacer. En cuanto a la galería de imágenes lo buscaré y lo borraré”. . Correo electrónico remitido por “emedia” al denunciado en fecha 06/02/2017: “Ok lo quitamos nosotros desde ftp (es otra opción). Lo que si necesitamos por favor es que me confirmes desde qué zona de la web exactamente se accede a estos pdfs”. . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “En primer lugar muchas gracias por hacerlo vosotros porque yo no tengo ni idea… Si entras en la página a través de word press verás que en el apartado “todas las entradas” aparece una pestaña que es “Pnedientes” en la que aparecen dos publicaciones que no están publicadas, una se titula “ D.D.D.”, pues es la noticia donde están los documentos a eliminar”. . Correo electrónico remitido por “emedia” al denunciado en fecha 07/02/2017: “Hemos eliminado los enlaces, pero al clikear sobre ellos aparece “error 404”. Esto es temporal ya que deben borrarse del caché desde webmastertools. No es algo automático sino que se va “refrescando” progresivamente”. . Correo electrónico remitido por “emedia” al denunciado en fecha 10/02/2017: “He revisado los enlaces y sigue saliendo error 404. Tendremos que seguir esperando a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Google de nuevo cachee la web y vea que ya hemos quitado esos enlaces para que deje de indexarlos…”. 6. Con fecha 10/04/2017, por el instructor, mediante el buscador de Internet Google, se realizan las búsquedas siguientes: . “ D.D.D.”: la primera página de resultados no ofrece ningún enlace a la web “ J.J.J.”. . “ H.H.H.”: no se obtiene ningún resultado. . “ C.C.C.”: no se obtiene ningún resultado. 7. Con fecha 10/04/2017, por el instructor se intenta acceder a las URLs siguientes, obteniendo en los tres casos la respuesta “Error 404 no encontrado”: .“ A.A.A.”. . “ B.B.B.”. . F.F.F.>>. TERCERO: Con fecha 22/07/2017, dentro del plazo establecido, se ha interpuesto recurso de reposición por D. I.I.I. (en lo sucesivo el denunciado o recurrente), recibido en esta Agencia Española de Protección de Datos en fecha 07/08/2017, en el que solicita que se revoque la sanción impuesta, dejándola sin efecto, en base a los mismos argumentos que fueron expuestos durante la tramitación del procedimiento sancionador que dio lugar a la resolución impugnada. En dicho recurso describe, en primer término, el procedimiento seguido para la publicación de un texto con archivos adjuntos en el sitio web de su titularidad, que se realiza a través de un programa denominado “Wordpress”, señalando que dicha publicación pasa a tener su propia URL o link “principal” y que, cuando se añade un documento al texto publicado, el citado programa crea automáticamente una URL o link “secundario”, circunstancia que le era desconocida. Así, cuando se quiere retirar una noticia, aunque se elimine la URL o link “principal”, la secundaria no desaparece al haberla indexado Google, de forma que estos archivos pueden seguir en Internet, lo que escapaba a su control e influencia. Por otra parte, manifiesta que existe un error en la valoración de los hechos probados cuando se indica que en el procedimiento A/00120/2016 se acordó apercibir al denunciado por una infracción del artículo 6 de la LOPD, por cuanto en la resolución dictada en el mismo se acordó su archivo, el cual se reitera en los fundamentos de derecho y se tiene en cuenta a la hora de graduar la sanción introduciendo la agravante de reiteración en la conducta. Asimismo, considera errónea la indicación contenida en la resolución recurrida cuando señala que los documentos a los que se refiere la denuncia se encontraban nuevamente alojados en la página web. Según el recurrente, tales documentos siempre estuvieron en el mismo sitio, en la “galería de archivos”, es decir, después de dictársela resolución del A/00120/2016, simplemente siguieron donde siempre había estado, porque ni la denunciante, ni la Agencia ni el recurrente se percataron de su existencia ni de que además de la URL o link principal había que eliminar el link secundario. Tampoco comparte el recurrente la valoración realizada en la resolución sobre el contenido de los correos electrónicos remitidos por el mismo a la empresa encargada del mantenimiento de la web al conocer la nueva incidencia denunciada y de las respuestas de esa empresa. En estos correos no se dice que se hubiesen vuelto a colgar los archivos, sino que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 éstos estaban en la “Galería” y había que quitarlos “desde allí”. En relación con el Hecho Probado Tercero, que reseña las URLs mediante las que se accede a los documentos objeto de la denuncia, reitera que se trata de los link secundarios, los cuales no fueron comprobados en el procedimiento de apercibimiento citado, y que no es cierto que publicara nuevamente aquellos documentos, como parece inferirse de la resolución recurrida. No se trata de una nueva publicación sino la misma publicación, la cual, por causas técnicas que escapan a su control e influencia, pasó desapercibida para todos. Finalmente, una vez acreditado que no existió apercibimiento previo y que aquellos documentos no se volvieron a publicar en la web, concluye que los hechos objeto de sanción han sido denunciados dos veces, lo cual vulnera el principio non bis in ídem, dado que por un mismo hecho se han incoado dos procedimientos, dictándose dos resoluciones contradictorias, una de archivo y otra de sanción. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho III a VI de la Resolución recurrida, R/01711/2017, de 16/06/2017, en la que se considera que el mismo incumplió lo dispuesto en el artículo 6 de la LOPD y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo. En dichos Fundamentos de Derecho se indica lo siguiente: <<III El tratamiento que realiza el denunciado de los datos personales de la denunciante, incorporando a su web una denuncia formulada contra la misma por un tercero ante el COLEGIO PROFESIONAL DE PSICÓLOGOS DE ARAGÓN y la resolución dictada al respecto por esta entidad, constituye un tratamiento de datos de carácter personal que ha de contar con el consentimiento expreso de la afectada. Por ello, procede analizar el marco normativo aplicable al tratamiento de los datos de carácter personal, considerando la naturaleza de los datos sometidos a tratamiento. En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la LOPD, referido a todo tipo de datos personales, cuyo apartado 1 dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que el denunciado es responsable de la web J.J.J. y responsable, asimismo, de haber incorporado a la misma dos archivos con datos personales de la denunciante, según el detalle reseñado en los Hechos Probados, los cuales resultaron accesibles a terceros sin restricción alguna durante todo el tiempo en el que permanecieron en dicha web, en las URLs reseñadas en el Hecho Probado Tercero. En concreto, se trata de una denuncia formulada contra la denunciante por un tercero ante el COLEGIO PROFESIONAL DE PSICÓLOGOS DE ARAGÓN y la resolución dictada al respecto por esta entidad, en las que, según se ha reseñado anteriormente, consta el nombre y apellidos de la misma y su condición de K.K.K., además de las circunstancias del caso al que se refieren tales documentos. Además, el denunciado no estableció ningún protocolo que evitara la indexación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 dichos documentos por motores de búsqueda en Internet, lo que posibilitó que, utilizando como criterio para esas búsquedas el nombre y apellidos de la denunciante, se obtuvieran enlaces a la web citada y, consecuentemente, a la documentación e información reseñada. En concreto, la Subdirección General de Inspección de Datos, mediante el buscador de Internet Google, se realizó una búsqueda utilizando como criterio el nombre y apellido de la denunciante, vinculadas al sitio web J.J.J., obteniendo en la primera página de resultados dos enlaces que conducían a la documentación que ha motivado la denuncia. El denunciado no ha acreditado que la denunciante hubiera consentido con anterioridad la publicación de estos documentos en formato pdf accesible a cualquier tercero no interesado. Por tanto, resulta que el denunciado no disponía del consentimiento de la misma para los tratamientos de datos realizados, resultando, por tanto, evidente la existencia de responsabilidad en los hechos analizados plenamente imputable a aquel, que trató los datos personales de ésta sin su consentimiento. En el presente procedimiento, por tanto, no hay ninguna constancia de consentimiento para el tratamiento de datos personales realizado y, en cambio, si constan acreditados los tratamientos de datos realizados. Por tanto, se concluye que por parte del denunciado se han realizado tratamientos de datos personales que no respetan lo previsto en el artículo 6 de la LOPD, que ha resultado infringido por el mismo. Estas conclusiones coinciden con las expresadas por el Tribunal de Justicia de las Comunidades Europeas en sentencia de 6 de noviembre de 2003, dictada en el asunto C-101/01, Caso Lindqvist, en el que se examina la aplicación de la Directiva 95/46/CE a un tratamiento consistente en publicar datos personales en Internet. Esta Sentencia, en sus apartados 24 y siguientes, señala: “24. El concepto de “datos personales” que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva “toda información sobre una persona física identificada o identificable”. Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. 25. En cuanto al concepto de “tratamiento” de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, “cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales”. Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. 26. Queda por determinar si dicho tratamiento está “parcial o totalmente automatizado”. A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. 27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46”. Y la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004, señala en su Fundamento de Derecho Cuarto lo siguiente: “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, antes reseñada. IV El artículo 44.3.
- b)de la LOPD considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se imputa al denunciado, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, el denunciado ha incurrido en la infracción descrita ya que ha vulnerado el principio citado, consagrado en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
- b)de la citada Ley Orgánica. V El denunciado fue apercibido mediante Resolución de fecha 28/04/2016, dictada en el procedimiento número A/00120/2016, por una infracción de lo establecido en el artículo 6 de la LOPD por la divulgación de los mismos documentos que ha determinado el presente procedimiento, también a través de la web J.J.J., en la sección noticias, los cuales se encontraban accesibles en las URLs F.F.F. y E.E.E.. Considerando esta circunstancia, el denunciado ha invocado el principio nom bis in idem, señalando, tanto en el escrito de alegaciones a la apertura del procedimiento como en el presentado con motivo de la propuesta de resolución elaborada por el instructor, que no se trata de una nueva publicación de aquellos documentos y que éstos seguían apareciendo en la red al haber sido indexados por el buscador de Internet Google. Sin embargo, las evidencias obtenidas no se corresponden con esta justificación. En estas nuevas actuaciones se ha comprobado que los documentos en cuestión no resultaron accesibles a través de Internet únicamente por la indexación llevada a cabo por el citado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 buscador, sino que los mismos se encontraban nuevamente alojados en la página web J.J.J., en una sección o directorio distinto de la misma, según se comprueba comparando las URLs en ambos casos. Al realizar la búsqueda con el nombre y apellido de la denunciante como criterio se obtuvieron enlaces que conducían a dicho sitio web y en las que dieron lugar al procedimiento de apercibimiento no aparecían los enlaces que han servido de base a las presentes actuaciones. El propio denunciante y la entidad que realiza el mantenimiento de la web, en los correos electrónicos que se remitieron en febrero de 2017 al conocer la incidencia, así lo expresan cuando manifiestan que, para corregir la situación, es necesario borrar los dos pdf desde “la galería de archivos”. Interesa detallar nuevamente el contenido de algunos de estos correos: . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “… En cuanto a la galería de imágenes lo buscaré y lo borraré”. . Correo electrónico remitido por “emedia” al denunciado en fecha 06/02/2017: “Ok lo quitamos nosotros desde ftp (es otra opción). Lo que si necesitamos por favor es que me confirmes desde qué zona de la web exactamente se accede a estos pdfs”. . Correo electrónico remitido por el denunciado a “emedia” en fecha 06/02/2017: “Si entras en la página a través de word press verás que en el apartado “todas las entradas” aparece una pestaña que es “Pendientes” en la que aparecen dos publicaciones que no están publicadas, una se titula “Dª D.D.D.”, pues es la noticia donde están los documentos a eliminar”. . Correo electrónico remitido por “emedia” al denunciado en fecha 10/02/2017: “... Tendremos que seguir esperando a que Google de nuevo cachee la web y vea que ya hemos quitado esos enlaces para que deje de indexarlos…”. Debe añadirse, finalmente, que corresponde al responsable de la web establecer las medidas de seguridad que impidan el acceso a la información por parte de terceros no autorizados, y entre ellas debe incluirse el establecimiento de protocoles que eviten la indexación por buscadores de Internet. VI El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. A juicio de esta Agencia, de conformidad con el art. 45.5 LOPD, se estima aplicable la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
- a)del citado artículo, que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
- b)y
- c)del artículo 45.4 de la LOPD: el volumen de los tratamientos no consentidos objeto del procedimiento afecta únicamente a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 datos de carácter personal de la denunciante (criterio b); y la escasa vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal (criterio c). Motivos por los cuales cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. En cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta el el volumen de negocio o actividad del infractor (criterio d); y la ausencia de beneficios obtenidos por la comisión de los hechos (criterio e). Por otra parte, se tienen en cuenta la reiteración en la conducta, que se pone de manifiesto por la existencia de un procedimiento seguido contra el denunciado por hechos similares (criterio j); y el carácter continuado de la infracción (criterio a). Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 1.500 euros por la infracción cometida>>. III En su escrito de recurso, el interesado se limita a reproducir los argumentos puestos de manifiesto en los escritos de alegaciones presentados por el mismo durante la tramitación del procedimiento que dio lugar a la resolución impugnada, sin considerar los hechos constatados y los fundamentos que determinaron el acuerdo adoptado. Así, el recurrente reitera que los archivos en cuestión no habían sido nuevamente publicados en su web, sino que siempre estuvieron alojados en la misma, desde la que fueron indexados por Google. Considera por ello que se han sancionado dos veces unos mismos hechos. Sin embargo, en contra de lo indicado por el recurrente, cabe señalar que durante la tramitación del expediente número A/00120/2016 se realizaron búsquedas de los citados archivos empleando el buscador Google, las cuales no ofrecieron resultado alguno, lo que llevó a concluir que los mismos habían sido retirados de la web. Esta conclusión motivó el archivo del citado procedimiento de apercibimiento, lo que no significa que no se declarase consumada la infracción analizada en el procedimiento de apercibimiento reseñado, sino únicamente que no procedía requerir medidas para regularizar la situación infractora, que consistía, precisamente, en poner documentos que contenían información relativa a la denunciante a disposición de terceros a través de una web. Posteriormente, las búsquedas realizadas una vez presentada la denuncia que ha dado lugar al procedimiento sancionador PS/00014/2014, demuestran que los archivos se alojaron nuevamente en la web. Como ya se indicara en la resolución recurrida, “...Al realizar la búsqueda con el nombre y apellido de la denunciante como criterio se obtuvieron enlaces que conducían a dicho sitio web y en las que dieron lugar al procedimiento de apercibimiento no aparecían los enlaces que han servido de base a las presentes actuaciones”. Tampoco comparte esta Agencia la afirmación realizada por el recurrente cuando señala que la indexación que realiza un buscador de internet escapa a su control e influencia. Es obvio que corresponde al responsable de una web establecer los protocolos necesarios para evitar dicha indexación e impidan, en definitiva, el acceso a la información por terceros no autorizados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 No concurren, por tanto, los requisitos que posibilitan tener en consideración el principio “non bis in ídem”, invocado por el recurrente al considerar que los dos procedimientos reseñados (A/00120/2016 y PS/00014/2017) pretende imponer una sanción por la infracción del artículo 6 de la LOPD por la publicación de los archivos a los que se refieren las actuaciones. Cabe señalar al respecto que el citado principio no resulta vulnerado cuando se imponen dos sanciones por hechos distintos, aunque estos sean de naturaleza similar y por el mismo infractor. El artículo 31 “Concurrencia de sanciones” de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los caso en que se aprecie identidad del sujeto, hecho y fundamento”; que coincide con lo que dispuesto en el artículo 133 “Concurrencia de sanciones” de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en vigor hasta el 30/09/2016. Estos preceptos consagran la imposibilidad de que la potestad sancionadora de la Administración pueda desplegarse sobre aquellos ilícitos que con anterioridad hubieran sido objeto de una sanción irrogada por los órganos administrativos. Tal imposibilidad, englobada tradicionalmente en el axioma “non bis in idem”, sucederá cuando entre los hechos ilícitos imputados en un procedimiento administrativos sancionador y los reprimidos con carácter previo se aprecie una triple identidad objetiva o fáctica (iguales hechos), subjetiva (mismo infractor) y causal (identidad de fundamento punitivo) o, como dice la STS 2ª 3 de diciembre de 1991, identidad subjetiva, identidad de objeto e identidad de acción. En el presente caso, no puede ser tenida en cuenta la alegación citada en relación con el citado principio, porque no se aprecian las identidades requerida en los artículos citados, ya que en los procedimientos señalados se analizan distintos tratamientos de datos personales realizados. Aunque de similar naturaleza, se trata de hechos distintos. A este respecto, ha de tenerse en cuenta que la efectiva punición de un hecho antijurídico determinado no exonera a su autor, al amparo del “non bis in idem”, de nueva responsabilidades si vuelve a incurrir con posterioridad en la misma conducta. Es, en último término, el supuesto de la “reincidencia penal” solventada de forma adecuada por la jurisprudencia. Así la STS 3ª 7ª 14 de diciembre de 1992 o la STS 3ª 4 de noviembre de 1980: “la permanencia de una infracción observada y sancionada no puede constituir una causa de impunidad que ponga a cubierto al infractor de posibles y sucesivas sanciones si no se corrigen aquéllas.” En consecuencia, en este caso, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución de 16/06/2017, en la que se acordó imponer al mismo una sanción por la infracción de lo establecido en el artículo 6 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. I.I.I. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16 de junio de 2017, en el procedimiento sancionador PS/00014/2017. SEGUNDO: NOTIFICAR la presente resolución a D. I.I.I.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es