← España

REPOSICION-PS-00386-2015

1/11 Procedimiento nº.: PS/00386/2015 ASUNTO: Recurso de Reposición Nº RR/00494/2016 Examinado el recurso de reposición interpuesto por la entidad D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00386/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 17 de junio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00386/2015, en virtud de la cual se imponía a A.A.A., una sanción de 6.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 20 de junio de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00386/2015, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha de 14 de agosto de 2014 tiene entrada en esta Agencia un escrito de PARTNERS ENTERTAINMENT, S.L., propietaria de la revista online especializada en videojuegos ***WEB.1, en el que se denuncia una intrusión en su base de datos de usuarios, consecuencia de una vulnerabilidad en sus sistemas, la cual fue atacada mediante una técnica de inyección de código SQL. SEGUNDO: En fecha 09/08/2014 PARTNERS ENTERTAINMENT, S.L., presentó ante la Guardia Civil de ***LOC.1 (Madrid) denuncia dirigida al Grupo de Delitos Telemáticos (GDT) de la Guardia Civil. En la denuncia se reflejaba que la empresa tuvo conocimiento de la intrusión en fecha 8 de agosto de 2014, a través de los mensajes que empezaron a recibir los usuarios, instándoles a cambiar su contraseña de acceso, los cuales fueron enviados por una web estadounidense especializada en alertar a los internautas sobre la exposición pública de sus datos (***WEB.2). A través de Twitter, esta web identificó al usuario ***USUARIO.1 como autor de la difusión pública de los datos. Este usuario había publicado tuits exponiendo la vulnerabilidad y difundiendo un enlace al sitio web ***WEB.3, tras reconocer que habían intentado “negociar” con la compañía. De la documentación aportada se desprende que los datos fueron expuestos en la web ***WEB.4, aunque fueron eliminados tras la solicitud de la compañía. Con ocasión de la citada denuncia se tramitaron diligencias previas por el Juzgado de primera instancia e instrucción número X.1 de ***LOC.2 que en fecha 19/08/2014 acordó su sobreseimiento y archivo provisional por no conocerse la identidad de los autores de los hechos denunciados por PARTNERS ENTERTAINMENT, S.L., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 TERCERO: DINAHOSTING, S.L., compañía que gestiona el alojamiento del sitio web ***WEB.1, certifica que los días 3 y 5 de julio de 2014 se produjeron accesos al sitio web mediante código SQL accediéndose a la base de datos de usuarios de Alfabetajuega. Concretamente, el día 3 se detallan accesos producidos entre las 21:59 y las 22:27 horas, desde equipos que tenían asignadas tres direcciones IP diferentes (***IP.1, - ***IP.2 - ***IP.3). Una de estas 3 direcciones IP (***IP.2) figura también asociada a accesos producidos el día 5, en dos franjas horarias: en torno a la 1:27 y en torno a las 22:46. CUARTO: VODAFONE ESPAÑA, S.A.U., operador de telecomunicaciones que tenía asignado el uso de las tres direcciones IP (***IP.1, - ***IP.2 - ***IP.3) informa que en los días 3 y 5 de julio de 2014 en las franjas horarias señaladas en el hecho anterior, la dirección IP ***IP.2 se encontraba asignada a la empresa B.B.B., S.L. con domicilio en (C/...1) (Castellón) QUINTO: En el Registro Mercantil Central consta que la mercantil B.B.B., S.L. tiene su domicilio social en (C/...1) (Castellón), siendo sus administradores C.C.C. y D.D.D.). SEXTO: El denunciado tiene domicilio en (C/...1) (Castellón) según informa la Dirección General de la Policía, y manifiesta el propio denunciado en su escrito de alegaciones al acuerdo de inicio del procedimiento. SEPTIMO: Consta en el expediente copia impresa, certificada por EGARANTE, S.L., de varios mensajes publicados en Twitter por los usuarios participantes en la intrusión y/o en la publicación de los datos extraídos de la base de datos de usuarios de Alfabetajuega: ***USUARIO.1, ***USUARIO.2, ***USUARIO.3, ***USUARIO.4. El usuario ***USUARIO.4 publicó un tuit en fecha 07/08/2014 (8:59

  1. h)con el texto: “***TUIT.1” es decir la URL de descarga con el contenido de la base de datos de usuarios de Alfabetajuega. El mismo usuario publicó otro tuit en fecha 08/08/2014 (16
  2. h)con el siguiente texto: “(.......)”. OCTAVO: El usuario de Twitter ***USUARIO.4, que reconoció en ese medio la publicación de los datos de los usuarios de ***WEB.1, se presenta en su perfil público como “E.E.E.”, incluyendo su fecha de nacimiento, DD/MM/AA.1 (20 años), domicilio en ***LOC.1, diseñador web y “E.E.E.”. Similar descripción se incluye en otros perfiles con idéntica denominación en Ask.fm y en Instagram, donde tiene como lema: “***LEMA.1”. NOVENO: En el sitio web ***WEB.3. figura un perfil con el nombre A.A.A., que presenta idéntica fecha de nacimiento DD/MM/AA.1) y localidad de residencia (***LOC.1) que las consignadas en Twitter por el usuario ***USUARIO.4. DECIMO: El denunciado manifiesta que no es el autor de los tuits citados en punto 7 y que su identidad pudo ser suplantada.>> TERCERO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en fecha 7 de julio de 2016 en el servicio de correos, con entrada en esta Agencia Española de Protección de Datos en fecha 12/07/2016, recurso de reposición fundamentándolo en alegaciones ya formuladas en el procedimiento sancionador cuya resolución es objeto del presente recurso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. III En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  3. c)y 3,
  4. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. En consecuencia el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, - entre otros supuestos previstos en la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). En este punto cabe recordar que en su artículo 3.
  5. c)la LOPD define: “Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso ha quedado acreditado que en fechas 3 de julio (entre las 21:59 y las 22:27 horas) y 5 de julio (en torno a la 1:27 y en torno a las 22:46) de 2014 se produjeron accesos al sitio web ***WEB.1 accediéndose a la base de datos de usuarios de Alfabetajuega. Dichos accesos (la instrucción GET, que implica el acceso y obtención de copia) se produjeron, entre otros, desde un equipo que tenía asignada la dirección IP ***IP.2 que se encontraba asignada a la empresa B.B.B., S.L. con domicilio en (C/...1) (Castellón), mismo domicilio que el del denunciado según acredita la Dirección general de la Policía y el propio denunciante reconoce. Por otra parte en el sitio web ***WEB.3. figura un perfil con el nombre A.A.A., con fecha de nacimiento DD/MM/AA.1 y localidad de residencia (***LOC.1), datos que coinciden con el usuario de Twitter ***USUARIO.4, se presenta en su perfil público como “E.E.E.”, incluyendo su fecha de nacimiento, DD/MM/AA.1 (20 años), domicilio en ***LOC.1, diseñador web y “E.E.E.”. Similar descripción se incluye en otros perfiles con idéntica denominación en Ask.fm y en Instagram, donde tiene como lema: “***LEMA.1”. El usuario ***USUARIO.4, publicó un tuit en fecha 07/08/2014 (8:59
  6. h)con el texto: “***TUIT.1” es decir la URL de descarga con el contenido de la base de datos de usuarios de Alfabetajuega. El mismo usuario publicó otro tuit en fecha 08/08/2014 (16
  7. h)con el siguiente texto: “(.......)”. Alega el denunciado que no fue el autor de los citados tuits y que su identidad pudo ser suplantada al producirse un ataque en su red WiFi de lo cual no aporta prueba alguna En este sentido la sentencia de la Audiencia Nacional de fecha 20/10/2014 señala: “La citada dirección IP según la información proporcionada por Telefónica –folio 79- figuró asignada de forma dinámica el día 29 de octubre de 2007 desde las 18:39 h del día 29 de octubre de 2007 al número … cuyo titular es el recurrente con domicilio en ***LOC.4 (Madrid). Cuestiona la parte actora la eficacia como prueba de cargo, de esa información facilitada por Telefónica sobre la asignación al recurrente de la IP desde la que se creó la cuenta de usuario fshm en YouTube, argumentando que la IP se podría haber manipulado o suplantado, ya que las direcciones IP son fácilmente manipulables por terceros ajenos a la misma. Sin embargo, como acertadamente argumenta el Abogado del Estado en el escrito de contestación a la demanda, no basta con efectuar un alegato genérico sobre la posibilidad de suplantación o manipulación de las direcciones IP, sino que, una vez acreditado por la Administración que la citada dirección IP estaba asignada al recurrente, es éste el que debe aportar algún indicio plausible de que se ha producido dicha manipulación y no una mera argumentación genérica, pues a él le corresponde, en su descargo, aportar una mínima prueba de los hechos impeditivos de la responsabilidad, frente a la prueba previamente aportada por la AEPD, sin que nada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 haya acreditado sobre el particular (ni en vía administrativa ni jurisdiccional), lo que explica el silencio de la resolución recurrida en este punto. En este sentido y sobre las reglas de la carga de la prueba en el ámbito administrativo sancionador, interesa traer a colación lo señalado en la STC 14/1997, “(….) Por idénticas razones, tampoco se le ha causado indefensión porque la Administración no haya desvirtuado sus afirmaciones de descargo. El ente que impone la sanción tiene la carga de ofrecer al Juez las pruebas de cargo que justifican el acto sancionador; pero no le incumbe a la Administración, sino al sancionado acreditar la verdad de los hechos ofrecidos como descargo”. El denunciado alude a la vulnerabilidad que presentaba el fichero de usuarios del sitio web atacado y a la facilidad con la que el autor de la intrusión pudo detectarla. Expone: asimismo que “Se avisó de la vulnerabilidad SQLi en tres ocasiones sin obtener respuesta de AlfaBetaJuega”, quizá para justificar la intrusión, lo que no hace sino confirmar su participación en los hechos. Respecto del hecho de que solo se le haya imputado a él como responsable del acceso indebido y de las manifestaciones realizadas por el denunciado respecto a que en las actuaciones de inspección practicadas solo se hubiera analizado el tráfico de red referido a tres direcciones IP involucradas en el ataque, procede aclarar lo siguiente. En el informe de actuaciones de inspección (apartado 10) se concluye que de las informaciones aportadas a la Agencia por DINAHOSTING, S.L., compañía que gestiona el alojamiento del sitio web ***WEB.1, se desprende que los días 3 y 5 de julio de 2014 se produjeron accesos al sitio web mediante código SQL que explotaba la vulnerabilidad expuesta. Por la Inspección de Datos se analizaron todas las direcciones IP detalladas por dicha compañía, habiéndose identificado a los 3 titulares de las líneas de telecomunicaciones asociadas a las 3 direcciones IP involucradas en el ataque. De las actuaciones practicadas solo en el caso del denunciado se obtuvieron otras informaciones coadyuvantes que permitían concluir su participación en los hechos. Al no existir informaciones concluyentes en el caso de los titulares de las otras dos líneas de telecomunicaciones implicadas, por la Agencia no se inició procedimiento sancionador respecto de esos titulares. El denunciado alega también que el fichero accedido en la intrusión no fue publicado. A este respecto, que por la Inspección no pudo contrastarse la publicación en internet de los datos personales contenidos en el fichero. Sin embargo, como se recoge en los apartados 5 al 9 del informe de actuaciones de inspección, los afectados por la intrusión recibieron un correo electrónico de un tercero advirtiéndoles de que su dirección de correo electrónico había sido expuesta, confirmando así que a tales datos habían accedido otros terceros no autorizados. No obstante, conviene precisar que, como ya se ha indicado, la consulta y la transferencia de datos de carácter personal constituyen por sí solos tratamientos de datos, conforme a lo previsto en la LOPD, siendo preciso para esos tratamientos el consentimiento de los afectados. El denunciado alude a una supuesta falta de colaboración por parte de esta Administración con la autoridad judicial en relación con las actuaciones instruidas en el Juzgado de Primera Instancia e Instrucción nº X.1 de ***LOC.2. A este respecto, conviene precisar que, en fecha 8 de septiembre de 2015, por la Directora de la Agencia se acordó suspender el presente procedimiento, lo que se comunicó al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 Juzgado, solicitándose por el instructor que se indicara el estado de tramitación de las actuaciones judiciales practicadas y que se identificara a los sujetos que, en su caso, hubieran sido investigados como presuntos autores de la intrusión denunciada. Mediante escrito de 8 de septiembre de 2015 el Juzgado fue convenientemente informado de que el denunciado había sido identificado por la Inspección como presunto autor de la intrusión, sin que con posterioridad el Juzgado hubiera requerido a esta Agencia información más detallada al respecto. De todo ello no se desprende que esta Administración no hubiera colaborado con la Administración de Justicia. De la información proporcionada por el Juzgado se desprende que las actuaciones judiciales fueron sobreseídas el 19 de agosto de 2014, es decir, 9 días después de que la denuncia de PARTNERS ENTERTAINTMENT, S.L. fuera presentada en dependencias de la Guardia Civil, desconociéndose por esta Agencia el contenido de las investigaciones policiales practicadas para identificar a los autores de la intrusión. El denunciado alude a los fundamentos de la Sentencia del Tribunal Supremo 987/2012, de 3 de diciembre, que considera paradigmática en el contexto de la valoración de la prueba electrónica y que valora que la dirección IP no es prueba suficiente para atribuir la autoría de unos hechos. Así, el denunciado entiende que la IP proporcionada en el presente asunto no determina que sea él quien realizara ninguno de los actos imputados en el presente procedimiento, debiendo archivarse al no haber quedado acreditada la autoría de tales actos. A este respecto, procede destacar que, en el presente caso, el denunciado, que no niega ser titular de la cuenta ***USUARIO.4, rechaza haber accedido en los días señalados a los datos personales contenidos en el fichero del que es responsable la compañía denunciante y rechaza también haberlos hecho públicos en internet. Sin embargo, como se ha expuesto, en contra de lo manifestado por el denunciado, la documentación aportada junto a la denuncia incluía una copia certificada por un tercero de confianza (eGarante) de varios tuits publicados desde dicha cuenta, en los que el usuario correspondiente reconocía su participación en el acceso y copia del fichero (“……”) y en la posible difusión posterior de los datos, al publicar el enlace de descarga del sitio web ***WEB.3, donde al parecer se habían publicado los datos, cuestión esta última que, como se ha indicado, no ha sido contrastada por la Inspección. El denunciado alude a un fenómeno atmosférico, una tormenta eléctrica, que habría inutilizado el dispositivo de seguridad instalado. También alude a un ataque en su propia red wifi en los días en que se produjo la intrusión, para justificar que esta se hiciera desde, entre otras, la línea telefónica instalada en su domicilio, de la que no niega ser usuario. Sin embargo, el denunciado no ha aportado a la Agencia ninguna documentación que sustente sus afirmaciones, ni existe constancia de que hubiera denunciado en los órganos competentes el ataque informático al que alude o la suplantación de identidad en Twitter a la que alude, circunstancias estas que hacen poner en duda su veracidad. En el presente caso, el acceso indebido a los datos no se le atribuye al denunciado solo por su condición de usuario de una línea de telecomunicaciones, sino también por las manifestaciones realizadas en la plataforma social Twitter presumiendo de tales hechos, acto para el que esa plataforma requiere la conexión previa y la autenticación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Por otra parte, entre la documentación aportada por el denunciado figura una hoja de cálculo que, según manifiesta, relaciona el tráfico de su equipo informático en los citados días. Sin embargo, esta documentación, que no ha sido autenticada por ningún tercero de confianza y cuyo contenido es fácilmente editable, no reúne los requisitos necesarios para asegurar su autenticidad y exhaustividad. Así pues, ha quedado acreditado que el denunciado penetró en la base de datos de usuarios de Alfabetajuega teniendo acceso, en modo consulta y obtención de copia, a los datos personales comprometidos, no contando con el consentimiento de los usuarios afectados para la realización de estos tratamientos de datos. IV El artículo 44.3.
  8. b)de la LOPD, considera infracción grave: “
  9. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso el denunciado ha incurrido en la infracción descrita, ya que ha vulnerado el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, cuando a través de la web ***WEB.1 accedió a los datos personales contenidos en la base de datos de usuarios de la citada web, y ello sin contar con el consentimiento de los mismos, lo cual constituye un tratamiento de datos para el cual no estaba legitimado, encontrando dicha conducta su tipificación en el referido artículo 44.3.
  10. b)de la citada Ley Orgánica. V El artículo 45 de la LOPD, en sus apartados 2 a 5, establece, que: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, cabe aplicar lo dispuesto en el artículo 45.5.
  26. a)de la LOPD al confluir varios de los criterios establecidos en el artículo 45.4 de la citada norma como el hecho de que el denunciado es una persona física, (apartado
  27. j)y que no se han acreditado la existencia de perjuicios a terceros por cuanto no consta en esta Agencia denuncia formulada por los afectados (usuarios de Alfabetajuega). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 En consecuencia conforme al artículo 45.5 de la LOPD precede imponer una multa en cuantía de 900 € a 40.001 € al tener la infracción cometida la consideración de grave (art. 45.2 LOPD), pero sancionarse conforme al importe correspondiente a las infracciones leves (art. 45.1 LOPD) En relación a la graduación de la sanción a imponer, debe acudirse a los criterios establecidos en el artículo 45.4 de la LOPD, y en el caso concreto a sus apartados
  28. e)y
  29. g)que operarían como atenuantes por cuanto no se acredita beneficio obtenido por la comisión de la infracción, y no consta reincidencia del denunciando en la comisión de infracciones de la misma naturaleza que la imputada. Por el contrario debe considerarse como agravante el grado de intencionalidad (apartado
  30. f)pues el acceso indebido por el denunciado a la base de datos de usuarios de alfabetajuega no puede calificarse como un hecho fortuito sino como una acción ejecutada de manera plenamente consciente. Por último debe considerarse la relevancia de los datos personales objeto de tratamiento sin consentimiento: se circunscribe a las direcciones de correo e identificador de los usuarios registrados en la base de datos de ***WEB.1, revista de juegos on line. Por todo ello, teniendo en cuenta lo dispuesto en el artículo 45.4 y 5 de la LOPD procede imponer al denunciado de una sanción de 6.000 € por la infracción del artículo 6.1 de la LOPD.>> IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de junio de 2016, en el procedimiento sancionador PS/00386/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.