1/5 Procedimiento nº: PS/00195/2018 ASUNTO: Recurso de Reposición Nº RR/00555/2018 Examinado el recurso de reposición interpuesto por la entidad COMUNICACIONES TORRENT, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00195/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de junio de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00195/2018, en virtud de la cual se imponía a COMUNICACIONES TORRENT, S.L., una sanción de 4.000 € (cuatro mil euros), por la vulneración de lo dispuesto en el artículo 9.1 de la LOPD, en relación con los artículos 93 y 94 del RLOPD, infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 28/06/2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00195/2018, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. En fecha 15/01/2017, tiene entrada en esta AEPD escrito de la Policia manifestando que tras una denuncia de 20/07/2017 por cargos fraudulentos efectuados en tarjeta y varias tentativas con el concepto “HERMIONE LTD”, e investigar los hechos se contactó con la entidad GRATORAMA, gestora de dichos cargos, que remitió información donde constaba el operador web de juegos Twino Trading N.V., con registros de actividad desde la dirección IP ****IP.
- Esta IP, propiedad de AIRE NETWORKS, estaba gestionada por COMUNICACIONES TORRENT. Al solicitar los datos sobre la IP citada a esta entidad, alegaron la indisponibilidad de dichos datos por haber perdido multitud de documentación física y en soporte informático tras una mudanza de local a la dirección actual, relativa a usuarios que realizaron la contratación de IP, líneas de teléfono y servicios. SEGUNDO. Los Servicios de Inspección de este organismo solicitaron a COMUNICACIONES TORRENT documentación que acreditara la titularidad de la contratación de la IP anterior que estuvo de servicio entre el 1 y 10/07/2017 y las medidas adoptadas para la protección de los datos personales de sus clientes; COMUNICACIONES TORRENT, en escrito de 02/04/2018, ha señalado que: “No es posible aportar los datos solicitados al no conservar las copias de los mismos, fueron eliminados por error durante el proceso de cambio del CPD llevado en la empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Junto al cambio de domicilio de la empresa, se realizó un cambio tecnológico que propicio su destrucción accidental, ya que no eran compatibles con los nuevos sistemas”. TERCERO: COMUNICACIONES TORRENT, S.L. (en lo sucesivo el recurrente) ha presentado en fecha 31/07/2018, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en una única alegación considerando que de conformidad con el artículo 45.6 de la LOPD la sanción impuesta debería ser sustituida por la de apercibimiento contemplada en el citado artículo con la adopción de las medidas correctoras pertinentes y subsidiariamente la sustitución de la sanción por multa en grado mínimo por importe de 900 euros. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente en su escrito de recurso, hay que señalar que la sustitución de un procedimiento sancionador y la sanción que en el mismo se determinara al sujeto responsable por la comisión de una infracción, por la adopción de medidas correctoras de cesación de la actividad constitutiva de la infracción y la reparación de las consecuencias derivadas de la misma, requiere entre otros que la naturaleza de los hechos así lo justifique y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo
- Es decir, nos encontramos ante una habilitación legal y expresa a la Agencia Española de Protección de Datos para sustituir la sanción que correspondería a la conducta infractora apreciada por un requerimiento para la adopción de determinadas medidas correctoras, al que se denomina "apercibimiento", que carece de naturaleza sancionadora y solo podrá ser aplicado en concurrencia de los requisitos que exige el precepto. El artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. A ello debe añadirse que el fundamento de la atribución de tal potestad administrativa no puede ser otra más que la constatación de que bajo ciertas circunstancias que contempla el precepto, la cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de hecho resulta tan extraordinaria que la conducta no merece la imposición de sanción ni, por ende, es objeto del reproche social que acompaña a esta medida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Además, hay que señalar que la utilización del adverbio excepcionalmente al comienzo de la redacción del precepto pone de relieve el rigor con que ha de apreciarse la concurrencia de los expresados requisitos para estimar procedente su aplicación. Pues bien, debe indicarse que en el presente supuesto la iniciación de procedimiento sancionador frente al recurrente, acordada tras las actuaciones previas de investigación realizada, suponía la exclusión de la aplicación del artículo 45.6 LOPD que tiene lugar en sustitución del procedimiento sancionador. Decisión que resultaba razonable y ajustada a Derecho, a la vista de los hechos puestos de manifiesto en el procedimiento habiendo quedado acreditado que el recurrente vulneró el artículo 9.1 de la LOPD, en relación con los artículos 93 y 94 del RLOPD, al no adoptar las medidas técnicas y organizativas necesarias previstas, entre ellas, la adopción de medidas que garantizasen la correcta identificación de los usuarios y las dirigidas al establecimiento de copias de seguridad y procedimientos para la recuperación de los datos que hubieran garantizado su reconstrucción al tiempo de producirse su pérdida o destrucción. Y aunque en la resolución sancionadora se acogió la atenuante privilegiada prevista en el artículo 45.5.a), no puede pretenderse eludir la infracción producida máxime cuando se trata de una empresa que por su actividad se encuentra vinculada a la realización de tratamientos de datos de carácter personal y quien tenía la obligación de asegurarse que contaba con las medidas técnicas y organizativas necesarias, adoptando medidas de control y verificación correspondientes para la recuperación de los datos como consecuencia de su pérdida o destrucción. Su condición de responsable del fichero le imponía un deber especial de diligencia en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos. III En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por COMUNICACIONES TORRENT, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de junio de 2018, en el procedimiento sancionador PS/00195/
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 SEGUNDO: NOTIFICAR la presente resolución a la entidad COMUNICACIONES TORRENT, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es