1/9 Procedimiento PS/00202/2012 ASUNTO: Recurso de Reposición RR/00911/2012 Examinado el recurso de reposición interpuesto por la entidad SEGURIDAD EN LA GESTIÓN SL contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00202/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 7 de noviembre de 2012, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00202/2012 , en virtud de la cual se imponía a la entidad SEGURIDAD EN LA GESTIÓN SL, por una infracción del artículo 9.1 de la LOPD, en relación con el artículo 92 del Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.2. 5 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 09/11/12, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00202/2012, quedó constancia de los siguientes: 1. El denunciante reconoce y asume tener una deuda con la financiera Creditclose Finance SL, por un importe de 436,85 euros, que tiene previsto saldar, así se lo ha comunicado varias veces a la entidad mencionada. Creditclose Finance SL encarga la reclamación de dicha deuda a la empresa de recobros SEGURIDAD EN LA GESTIÓN SL 2. Con fecha 13 de abril de 2011, recibe la primera carta de la empresa de recobros, indicando el saldo deudor y ofreciéndose a una solución amistosa. Con fecha 25 de abril de 2011, la segunda, advirtiendo de que van a proceder de inmediato a reclamar la deuda por los cauces legales pertinentes. Con fecha 9 de mayo de 2011, recibe la tercera carta, indicado su poca seriedad y que van a proceder por la vía judicial. Esta carta va en un sobre donde está estampado “VIA JUDICIAL”, dejando claro ante cualquiera que pueda ver el sobre, cual es el contenido de la carta. 3. El 23 de mayo de 2011, recibe la cuarta carta, dejan la puerta abierta a cualquier acción de tipo coercitivo o intimidatorio. Va en un sobre donde en el anverso está estampado en rojo “COBRO DE MOROSOS”. El denunciante el 03/06/11 envía por fax a SEGURIDAD EN LA GESTIÓN SL escrito comunicándole que la deuda va a ser saldada en un plazo de 20 días. Recibe nueva carta de la empresa de recobro de iguales características. Reitera el anterior fax. 4. En fecha 28/06/11, recibe carta de Seguridad en la Gestión, S.L. advirtiendo de la interposición de una demanda judicial invitándome a solucionar el tema de forma amistosa. El sobre es normal. En fecha 11/07/11, recibe otra carta con un membrete impreso de GRUPO SEGESTION, DESDE 1984, COBRO DE MOROSOS, y por el anverso del sobre se puede leer con letra supergrandes y en tinta azul: “COBRO DE MOROSOS”. 5. En fecha 19/07/11, recibe otra carta con los mismos extremos que la anterior, y con un sobre de las mismas características. El 22/08/11 otra con sobre igual que los dos anteriores. El 01/09/11, otra carta como las anteriores; el 09/09/11 otra comunicándome que el expediente va a pasar al Departamento Jurídico para la oportuna reclamación judicial. En fecha 28/09/11 comunican el nombre de 5 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 abogados que van a llevar la reclamación de 436,85 euros con el sobre de los grandes letreros. 6. El denunciante aporta copia de su DNI B.B.B., en que consta el domicilio de residencia, coincidente con lo señalado en su escrito de denuncia. El mismo al que las cartas van dirigidas. También aporta copia de las cartas y los sobres recibidos de SEGURIDAD EN LA GESTIÓN SL. 7. SEGURIDAD EN LA GESTIÓN SL ha portado copia de la “Ficha de moroso para trámite en vía no judicial”. En ella figuran los datos personales del denunciante: nombre, apellidos, DNI. Domicilio, teléfono fijo y móvil, correo electrónico, deuda de 342,50 € y acreedor (Creditclose Finance SL). También aporta el contrato de servicios entre ambas entidades para las gestiones de recobro. TERCERO: Seguridad en la Gestión SL ha presentado el 23/11/12 en Correos, entrada el 29/11/12 en esta Agencia Española de Protección de Datos, recurso de reposición. Solicita se declare la inexistencia de infracción en el procedimiento de referencia, archivándose igualmente las actuaciones. Se basa en las siguientes alegaciones: “PRIMERA.- Segestión no ha negado nunca que algunos de los sobres utilizados en sus comunicaciones al denunciante, al ser sobres corporativos, contenían efectivamente descripciones de los servicios prestados por Segestión, como son “cobro de morosos” y “vía judicial”. No obstante, nunca se estimó como posible que tales expresiones, meramente descriptivas, tuvieran una consideración como datos de carácter personal asociables al destinatario; especialmente, cuando Segestión ha puesto siempre el máximo empeño en asegurar la confidencialidad de sus comunicaciones, dirigidas exclusivamente a sus destinatarios, en sobres debidamente cerrados y mediante el servicio de Correos, que garantiza igualmente la confidencialidad requerida. SEGUNDA.- En la resolución sancionadora objeto de esta reposición se argumenta que las menciones “cobro de morosos” y “vía judicial” aparecen en los sobres impresas “en caracteres muy superiores a lo normal’ y que ello “da lugar a que se relacionen con los datos de identidad y domicilio del denunciante que figuran en la ventanilla transparente”. En este sentido, atribución de la condición de datos personales a la descripción de los servicios de Segestión se fundamenta únicamente en su tamaño, que se juzga superior a lo normal (,a partir de qué tamaño se produce la conversión de la descripción de un servicio del remitente en dato personal del destinatario?) y en un juicio de valor, pues sólo puede responder al conocimiento del contenido del sobre y de las circunstancias de la relación entre remitente y destinatario. La resolución argumenta a continuación: “así conocidos por terceras personas, respecto de las que se debe mantener el secreto, impide salvaguardar la confidencialidad de la comunicación”. Con ello se asume también un acceso o conocimiento de los datos que figuran en los sobres por parte de terceros, lo que no ha quedado acreditado en modo alguno, y que, en cualquier caso, sorprende como argumento, en tanto que la calificación jurídica sobre los hechos mantenida por la Agencia Española de Protección de Datos es de infracción del artículo 9 (principio de seguridad, que es infracción de actividad) y no del artículo 10 (revelación de secreto, que es infracción de finalidad) de la LOPD.. TERCERA.- La interpretación que hace la resolución sancionadora sobre los hechos es absolutamente extensiva, injustificada y contraria a la seguridad jurídica, a pesar de que el derecho sancionador exige interpretaciones restrictivas para su aplicación. No se sanciona en base a un hecho claramente previsto en el articulado de la LOPD, sino que se aprecia una infracción del artículo 9.1 en base a una interpretación desproporcionada del concepto de dato personal, un juicio de valor (conocimiento del trasfondo de los hechos) y una mera conjetura o probabilidad (que un tercero tenga acceso visual al exterior del sobre y “deduzca” la condición del destinatario). Con todos esos elementos imprecisos se construye la infracción de un artículo, que, de un modo muy genérico, alude a un deber de adoptar “las medidas de índole técnica y organizativas necesarias” que “eviten su alteración, pérdida, tratamiento o acceso no autorizado”. Nótese que, incluso en el caso de considerar las expresiones del sobre “cobro de morosos” y “vía judicial’ como datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 carácter personal, tampoco se produciría la infracción del artículo, al no quedar acreditado que el sistema de envío de comunicaciones utilizado por Segestión pueda producir una “alteración, pérdida, tratamiento o acceso no autorizado”. CUARTA.- Por todo lo dicho, sin dejar de reiterar la total disposición de Segestión a colaborar con la Agencia Española de Protección de Datos y, en su caso, asumir las medidas correctivas correspondientes, conforme a las razones expuestas en las alegaciones precedentes, queda de manifiesto que Segestión no ha cometido infracción alguna en materia de protección de datos.” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por SEGURIDAD EN LA GESTIÓN SL, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<< II. Se imputa a SEGURIDAD EN LA GESTIÓN SL el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88.3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Igualmente el citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Así, SEGURIDAD EN LA GESTIÓN SL está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer un sistema de notificaciones de sus reclamaciones y requerimientos de deuda a sus clientes que no impidió de manera fidedigna que por parte de terceros se pudiera acceder a datos personales de los mismos, como es la situación de deudor moroso asociado a su nombre apellidos y domicilio completo. En este sentido se pronuncia la Audiencia Nacional, en Sentencia de 07/05/2009, en la que se declara lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
- g)es una infracción de resultado que exige que los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividad- pero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. III. SEGURIDAD EN LA GESTIÓN SL alega que en el presente caso las indicaciones de cobro de morosos y vía judicial que pueden aparecer en los sobres de la entidad, no pueden interpretarse como datos personales del destinatario que deban protegerse y sobre los que deban aplicarse medidas de seguridad y, que en el caso de los sobres personalizados, es práctica común su envío en todas las empresas. Sin embargo, tal alegato no puede ser aceptado. En primer lugar, es cierto, como manifiesta la denunciada que las citadas expresiones no pueden ser interpretadas, por si solas, como datos personales. No obstante, lo que es objeto de valoración en el presente caso es la vinculación de las expresiones que figuran en el sobre con los datos del denunciante. Los sobres utilizados por la empresa para realizar comunicaciones de recaudación al denunciante, cliente deudor de la empresa acreedora Creditclose Finance, S.L., con COBRO DE MOROSOS o VIA JUDICIAL impresos en caracteres muy superiores a lo normal, da lugar a que se relacionen con los datos de identidad y domicilio del denunciante que figuran en la ventanilla transparente. Así conocidos por terceras personas, respecto de las que debe mantenerse el secreto, impide salvaguardar la confidencialidad de la comunicación, pues permite su asociación entre las expresiones sobre su contenido y los datos personales. Esta valoración de la persona del destinatario es lo que debe tener previsto evitar el comunicante postal. En segundo lugar, se le informa a la imputada que la razón de ser del requerimiento de pago previo a la inclusión de los datos en los ficheros de morosidad, tiene como objeto que el deudor conozca la existencia de la deuda, se le otorgue plazo para saldarla y si no paga, transcurrido el plazo, se le advierte de la posibilidad de ser incluido fichero de morosos. Esa comunicación puede ser hecha sin necesidad de acudir a formulas tan discutibles como las que estamos analizando en el presente caso y que otras personas puedan deducir su contenido. IV. El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que SEGURIDAD EN LA GESTIÓN SL ha incurrido en la infracción grave descrita. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, ha quedado acreditado que SEGURIDAD EN LA GESTIÓN SL vulneró el artículo 9.1 de la LOPD, en relación con el artículo 92 del Reglamento de desarrollo de la LOPD, al enviar sobres con la indicación “COBRO DE MOROSOS” y “VIA JUDICIAL” en grandes caracteres que permitía su asociación con los datos personales del denunciante. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar motivos para la aplicación del artículo 45.5, apartado b), debido a la diligencia desplegada por la entidad, puesto que desde el momento en que dicha actuación fue puesta en cuestión, no ha vuelto a usar el empleo de tales expresiones en los sobres y manifestando su total disposición a colaborar en la AEPD para que este tipo de actuaciones no vuelvan a producirse, estableciendo una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los apartados
- a)y
- c)del artículo 45.4 de la LOPD:
- a)El carácter continuado de la infracción, ya que no hubo un solo envío sino varios y,
- c)la vinculación de su actividad con la realización de tratamientos de datos de carácter personal, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan se ven obligadas a un continuo tratamiento de datos personales tanto de los clientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 como de terceros. Valorados los criterios de graduación de las sanciones, establecidos en el artículo 45.4, en particular el carácter continuado de la infracción y la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal, se establece la imposición de multa de 6.000 € por la infracción del artículo 9.1 de la LOPD, en relación con el artículo 92 del Reglamento de la LOPD, de la que SEGURIDAD EN LA GESTIÓN SL es responsable. >>> III La entidad recurrente ha alegado que no ha negado nunca que los sobres corporativos contenían descripciones de los servicios prestados por la entidad; que la mención “cobro de morosos” que figura en los sobres se fundamenta únicamente en función de su tamaño y que la interpretación de los hechos es extensiva, injustificada y contraria a la seguridad jurídica. Sin embargo, tales manifestaciones no pueden ser admitidas. En el supuesto que nos ocupa es un hecho contrastado que la recurrente envió al denunciante requerimientos de pago acerca de una deuda y que en los sobres enviados se hacía constar tanto en el anverso como en el reverso el literal COBRO DE MOROSOS o VIA JUDICIAL, incumpliendo las pertinentes medidas de seguridad concernientes al ensobrado en la comunicación dirigida al deudor; obligación que recae en el responsable de ese tratamiento que debe adoptar las medidas de índole técnica y organizativas necesarias para garantizar la seguridad de los datos. Es evidente que el soporte utilizado para el traslado de la información debe incluir y contener necesariamente los datos relativos al denunciante para que la citada comunicación permita ser recibida por el mismo. Sin embargo, en el citato soporte se ha incorporado una expresión, tanto en el anverso como en el reverso, el literal COBRO DE MOROSOS o VIA JUDICIAL, que con independencia de su tamaño y de que se refiera a la descripción de la actividad de la recurrente, está ofreciendo una información que vulnera lo señalado en el artículo 9.1 de la LOPD, en relación con el artículo 92.3 del Reglamento de desarrollo de la LOPD, vinculándola y asociándola necesariamente con los datos de carácter personal que figuran en la ventanilla transparente, posibilitando deducir la calificación de solvencia de su destinatario, información que debería estar vedada a terceros, salvo en los casos previstos, para salvaguardar la confidencialidad del contenido de la comunicación. Está claro que la razón del requerimiento de pago previo a la inclusión de los datos en los ficheros de morosidad, tiene como objeto que el deudor conozca la existencia de la deuda y la posibilidad de ser incluido en un fichero de morosos en el supuesto de no hacerla efectiva, sin necesidad de acudir a formulas tan discutibles e intimidatorias como la que es analizada en el presente caso. La vulneración de las medidas de seguridad, acción típica, se halla previsto en el articulo 44.3.
- h)que considera infracción grave “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, por lo que contrariamente a lo alegado por el recurrente se ha respetado la legalidad no existiendo interpretación extensiva, ni injustificada, ni contraria a la seguridad jurídica. Por lo tanto, en el presente recurso de reposición, Seguridad en la Gestión, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SEGURIDAD EN LA GESTIÓN SL contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 7 de noviembre de 2012, en el procedimiento sancionador PS/00202/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad SEGURIDAD EN LA GESTIÓN SL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es