1/11 Procedimiento nº.: PS/00369/2014 ASUNTO: Recurso de Reposición Nº RR/00095/2015 Examinado el recurso de reposición interpuesto por la entidad GUIAS AMARILLAS, S.L.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00369/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de diciembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00369/2014, en virtud de la cual se imponía a la entidad GUIAS AMARILLAS, S.L.U., una sanción de 40.001 euros (cuarenta mil un euros), por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 15/12/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00369/2014, en relación con la entidad GUIAS AMARILLAS, S.L.U. quedó constancia de los siguientes: 1. El denunciante es titular de la línea de telefonía fija C.C.C., al menos desde el 19/11/2007, contratada con el operador Telefónica de España, S.A. 2. Con fecha 03/04/2012, los datos personales del denunciante fueron registrados en el Servicio de Lista Robinson, incluido el relativo a su línea de telefonía fija C.C.C., con la finalidad de no recibir llamadas publicitarias de terceros. 3. Con fecha 21/06/2013, el denunciante presentó denuncia ante la AEPD por la recepción en su línea de telefonía fija C.C.C. de llamadas telefónicas comerciales realizadas por la entidad EUROLOTO 24. En su denuncia se refiere a 4 llamadas realizadas durante el período comprendido entre las fechas 01/07/2013 y 19/07/2013. Según los detalles aportados con la denuncia, las llamadas recibidas por el denunciante fueron realizadas desde los números ***TEL.1 y ***TEL.2. (…) 8. Con fecha 30/05/2014, los Servicios de Inspección de la AEPD comunicaron a la entidad GUIAS AMARILLAS que en su web www.guiasamarillas.es figuraban la siguiente información: D. A.A.A., calle B.B.B., Madrid, tel. C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 9. GUIAS AMARILLAS aportó a los Servicios de Inspección de la AEPD impresión de pantalla relativa a los datos registrados en su sistema de información asociados a la línea de telefonía fija C.C.C., figurando los siguientes: D. A.A.A., titular de una librería en la calle B.B.B., de Madrid. 10. GUIAS AMARILLAS ha manifestado a los Servicios de Inspección de la AEPD que los datos personales reseñados en el Hecho Probado Octavo figuraban incluidos en el “Repertorio Telefónico” adquirido a Infobel en soporte CD-ROM en el año 2003. Según la información aportada por Infobel con la base de datos transmitida, la misma contiene “15.000.000 de direcciones y números de teléfono de personas y empresas en España”. TERCERO: Con fecha 14/01/2015, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad GUIAS AMARILLAS, S.L.U. (en lo sucesivo GUIAS AMARILLAS), recibido en esta Agencia Española de Protección de Datos en fecha 21/01/2015, en el que solicita el archivo del procedimiento o, subsidiariamente, se acuerde el apercibimiento, en aplicación del art. 45.6 de la LOPD, y para el caso de no ser estimado, la aplicación de lo dispuesto en el art. 45.5 de la misma norma con la imposición de una multa por el importe mínimo establecido para la infracción leve. Todo ello conforme a las siguientes consideraciones: 1. Alega indefensión por vulneración del Principio Acusatorio, considerando que los hechos puestos de manifiesto en la denuncia no estaban referidos a actuación alguna directa o indirecta de GUIAS AMARILLAS, sino a otras entidades que realizaron diversas llamadas telefónicas al número del afectado, a pesar de la inclusión de los datos en ficheros comunes de exclusión. Guías Amarillas no desarrolla actividad alguna de publicidad, por lo que la responsabilidad corresponderá a las empresas que han realizado de forma efectiva dichas actividades; e incluso, en su caso, a la entidad “Infobel” que suministró a GUIAS AMARILLAS los datos aludidos en el año 2003. 2. Que existe, por esta parte, una ausencia total de culpabilidad, por cuanto no ha realizado acción u omisión alguna prescrita por el aludido art. 4.3 de la LOPD, ni existe la falta de diligencia que fundamenta el elemento de culpabilidad de la sanción, en cuanto que la aludida omisión de actualización de los datos inexactos debe ser contextualizada en el marco de las circunstancias fácticas del caso. Guías Amarillas no gestiona un fichero cuyo contenido tenga por objeto la difusión de datos de personas físicas, sino que su labor comercial, en este sentido, está destinada a la creación de listas de profesionales, autónomos y empresas. No es exigible la aplicación de la mencionada diligencia de actualización, por cuanto ésta, siguiendo los parámetros de los artículos 2.2 y 2.3 del Reglamento, queda fuera del ámbito objetivo de aplicación de la norma. Por cuanto excluyen de dicho ámbito los tratamientos de datos referidos a personas jurídicas e incluso los que incorporen datos de personas físicas que presten sus servicios en aquéllas. Menos aún, cabe exigirle que la citada actualización se desarrolle con una intensidad tal que requiere un esfuerzo imposible, al no mediar denuncia previa del denunciante ni solicitud alguna de rectificación de error o cancelación de datos. Lo que unido al hecho de que en los ficheros de GUIAS AMARILLAS no figurase ningún dato relativo al denunciante, implica la imposibilidad de realización de una comprobación consciente del aludido error. 3. Que en todo caso, el dato telefónico en su momento incluido en la web de “Guías Amarillas” no constituye un dato de carácter personal suficiente, sino que al estar el mismo no relacionado con los datos nominativos de su entonces actual titular, recibiría la consideración a efectos de la Ley de Protección de Datos de “Dato disociado” y, por ende, no le sería de aplicación lo dispuesto por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 el Principio de Protección de Calidad de los Datos; desvaneciéndose legalmente cualquier posibilidad de imputación de infracción y consecuencia sancionadora. La resolución frente a la que se presentan recurso de reposición, está fundamentada en la inclusión de un teléfono en la web de Guías Amarillas, sin que dicho teléfono se asocie al nombre, apellidos, dirección u otro dato cualquiera de su titular. Probado este hecho, cabe destacar que las distintas resoluciones de la agencia española de protección de datos (E/02845/2011), así como la reciente jurisprudencia al respecto (SAN de 16/11/2005), han delimitado cuándo hablamos de dato de carácter personal y cuándo, como es el caso que nos ocupa, de un mero dato disociado. En este sentido, el art. 2.a de la Directiva 95146/CE del Parlamento y del Consejo Europeo de 24 de Octubre de 1995, relativa a la Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación. Se entiende por dato personal “toda información sobre una persona identificada o identificable”. Se considerará identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. . Subsidiariamente, manifiesta que existe un trato discriminatorio hacia GUIAS AMARILLAS, por cuanto la misma es sancionada duramente y las mercantiles que sí incurrieron en llamadas al titular de los datos y se saltó conscientemente la regulación legal le es aplicada una disminución de la sanción por motivos espurios y que esta parte no alcanza a comprender que no sea por una pura arbitrariedad. Así, sería aplicable en el caso que nos ocupa lo dispuesto por el artículo 45.6 de la LOPD; y de forma subsidiaria, el artículo 45.5 de la citada ley por la concurrencia de varios de los presupuestos previstos: falta de beneficios, inexistencia total de reincidencia en el mencionado ámbito, la inexistencia de perjuicios para interesados o terceros, la constante y permanente disposición de GUIAS AMARILLAS a colaborar y resolver el problema, así como su predisposición, buena fe y voluntad de cumplimiento legal; todo ello unido a la falta de vinculación de la actividad de GUIAS AMARILLAS con la realización de tratamientos de datos de carácter personal; por cuanto a que la mencionada entidad desarrolla una labor de difusión de datos públicos relativos empresas, profesionales y autónomos; por lo que todos ellos, en el ámbito de la protección de datos, quedan fuera del marco jurídico de aplicación de la Ley. Así mismo, ha reforzado sus controles de forma diligente, estableciendo incluso nuevos mecanismos y medios (como consta en el documento n° 3 aportado en las Alegaciones a la Propuesta de Resolución del presente procedimiento) para la detección temprana y aviso de cualquier error en tal sentido. La adquisición anual del dispositivo CD a la entidad Infobel implica la apreciación de que la conducta de GUIAS AMARILLAS ha solventado la que pudo ser causa de la presente problemática. Invoca el principio de proporcionalidad, señalando que el mismo no se respeta al no haberse tenido en cuenta la absoluta ausencia de perjuicios y daños hacia el interesado, fruto de la inexistente acción publicitaria. Por ello, considera más objetivo y razonable la imposición de una multa por el importe previsto para las infracciones leves. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho IV a VII de la Resolución recurrida, R/02868/2014, de 11/12/2014, en la que se considera que la entidad GUIAS AMARILLAS incumplió lo dispuesto en el artículo 4.3 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indicó lo siguiente: <<IV Se imputa en el presente procedimiento a la entidad GUIAS AMARILLAS una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en el momento en que tuvo lugar la incidencia reseñada en la denuncia que ha motivado las actuaciones, la entidad GUIAS AMARILLAS era la responsable del sitio web www.guiasamarillas.es, habiéndose constatado que a través de dicha web era accesible el dato personal relativo a la línea de telefonía fija del denunciante, que figuraba en la misma asociada a los datos personales de un tercero y que ello es consecuencia de que tales datos inexactos figuraban así en el sistema de información de la entidad. En concreto, se comprobó, y así lo reconoció la propia entidad imputada, que en los ficheros de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 GUIAS AMARILLAS figuraban los siguientes datos asociados a la línea de telefonía fija del denunciante ( C.C.C.): D. A.A.A., titular de una librería en la calle B.B.B., de Madrid. Por tanto, el número de teléfono del denunciante, cuya titularidad le corresponde desde el año 2007, figuró en los ficheros de GUIAS AMARILLAS asociado al nombre, apellidos y dirección de una tercera persona, hasta su eliminación en el año 2014, como resultado de las actuaciones llevadas a cabo por esta Agencia Española de Protección de Datos. En consecuencia, los datos personales del denunciante fueron indebidamente asociados a los datos de un tercero, lo que constituye una vulneración del principio de calidad de datos plenamente imputable a la entidad GUIAS AMARILLAS. GUIAS AMARILLAS conocía que el origen de los datos registrados en sus ficheros fue el repertorio telefónico Infobel adquirido por la misma en el año 2003 en soporte CD-ROM y que dicho repertorio contenía información de personas. Asimismo, considerando la actividad que desarrolla, GUIAS AMARILLAS está obligada a actualizar sus ficheros de datos, a su propia iniciativa, es decir, sin necesidad de que los afectados ejerciten su derecho de rectificación, teniendo en cuenta que los citados repertorios pierden su naturaleza de fuente accesible al público por el transcurso del plazo de un año establecido en el artículo 28 de la LOPD, citado en los Fundamentos de Derecho anteriores, cuyo contenido se reproduce nuevamente a continuación: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención. 4. Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica…”. De haber tenido en cuenta lo establecido en esta norma, GUIAS AMARILLAS hubiese establecido los mecanismos adecuados y necesarios para evitar la inexactitud de la información ofrecida por la misma, en la que figuraba un número de teléfono que se asignó al denunciante años antes asociado a otra persona. Prueba de ello puede considerarse el hecho de que la base de datos adquirida por EUROLOTO 24 contenía los datos personales del denunciante correctos, con detalle de su nombre, apellidos, calle, número, código postal, población y el número de teléfono C.C.C.. GUIAS AMARILLAS actuó con total falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, GUIAS AMARILLAS incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder la entidad GUIAS AMARILLAS conforme a las circunstancias expresadas. GUIAS AMARILLAS, en su escrito de alegaciones, ha indicado que la misma información inexacta resulta accesible a través de otras webs. Debe señalarse que estas circunstancias no se pusieron de manifiesto durante las actuaciones que han determinado la apertura del procedimiento ni restan responsabilidad a la actuación de aquella entidad. V La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.