REPOSICION-PS-00391-2016B

1/16 Procedimiento nº.: PS/00391/2016 ASUNTO: Recurso de Reposición Nº RR/00327/2017 Examinado el recurso de reposición interpuesto por la entidad ASSEMBLEA NACIONAL CATALANA contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00391/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28/02/2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00391/2016, en virtud de la cual se imponía a la entidad ASSEMBLEA NACIONAL CATALANA, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4

1. d)de la LOPD, de 90.000 € (noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 28/02/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00391/2016, quedó constancia de los siguientes: <<HECHOS PROBADOS UNO.- En fecha de 10/07/2014 OC y ANC firmaron un contrato con BSD, en calidad de responsables del fichero, cuya ejecución material suponía que un fichero – AHORA ES LA HORA- del que son responsables las citadas entidades, estuviera alojado en los servidores de BSD sitos en Estados Unidos. DOS.- En el Registro General de Protección de Datos, por parte de ANC y OC se inscribió el fichero AHORA ES LA HORA sin que conste marcado el campo relativo a transferencias internacionales de datos. TRES.- La Sentencia del Tribunal de Justicia Europeo número C-362/14 de 6/10/2015, invalida la Decisión de la Comisión 2000/520/CE que considera que las transferencias internacionales de datos a Estados Unidos tenían un nivel adecuado de protección. CUATRO.- En fechas de 19/10/2015 se pública en la página web de la Agencia Española de Protección de Datos un comunicado donde se informa que, en relación con las transferencias internacionales de datos realizadas al amparo de la Decisión de la Comisión 2000/520/CE, las Autoridades de Protección de datos investigaran aquellos casos de los que tengan conocimiento a partir de denuncias para ejercer sus poderes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 con el fin de proteger a las personas, teniendo entrada en esta Agencia dos denuncias de fecha 21/04/2016. CINCO.- OC remitió comunicaciones por correo electrónico a BSD donde informa de su voluntad de rescindir el contrato de fecha 10/07/2014, al no ser posible la adhesión de BSD al acuerdo de privacidad – Privacy Shield- siendo la última de fecha 22/08/2016. SEIS.- En una comunicación de BSD a OC de fecha 22/08/2016 en contestación a la anterior, se pone de manifiesto que aquella supone la comunicación previa a la rescisión del contrato que surte efecto transcurrido un mes de la misma, por lo que en a finales del mes de septiembre de 2016 los datos alojados en los servidores de BSD serian eliminados.>> TERCERO: ASSEMBLEA NACIONAL CATALANA (ANC en adelante) ha presentado en fecha 28/03/2017, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, en las siguientes alegaciones: Primera. En los hechos declarados probados, se han obviado los siguientes que son relevantes para la resolución: 2.1 vinculado al hecho probado DOS, la AEPD tuvo constancia del contiendo de la notificación de la inscripción de fichero ARA ES LA HORA en el seno del PS/0235/2015 sin realizar actuación al respecto. 2.2 el contexto jurídico y social permitía confiar en la legalidad de su actuación. (Reiteración de las alegaciones formuladas a la propuesta de resolución) Segunda. Infracción del principio de confianza legítima, culpabilidad y seguridad jurídica. La actuación de la sancionada no puede considerarse culposa, motivo por el cual no puede atribuirla la responsabilidad de la infracción, todo ello derivado de la confianza legítima que la recurrente tenía en que la AEPD no instruiría ningún procedimiento sancionador durante el proceso de negociación entre las instituciones europeas y las estadounidenses. Tercera. Infracción del derecho a un procedimiento con garantías y de defensa art. 24.2 CE. Relativo al derecho de defensa y a lo dispuesto en el art. 80.3 LRJPAC respecto a la resolución motivada de denegación de pruebas propuestas por improcedentes o innecesarias, en concreto la petición de un certificado con número de procedimientos sancionadores iniciados por la AEPD entre el 6/10/2015 y el 1/08/2016 (Reiteración de las alegaciones formuladas a la propuesta de resolución). La solicitud tenía como fundamento acreditar que la AEPD no ha llevado actuación sancionadora por incumplimiento del art. 33 LOPD en dicho periodo, para así sostener la actuación de OC en la confianza legítima. Cuarta. Infracción del principio de responsabilidad. (Reiteración de las alegaciones formuladas a la propuesta de resolución) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 Quinta. Infracción del principio de proporcionalidad. (Reiteración de las alegaciones formuladas a la propuesta de resolución). No se comparte el rechazo de la aplicación del art. 45.5
2. b)LOPD que prevé la regularización diligente. Adicionalmente, hay que señalar que el periodo de tiempo que computa la AEPD como infracción, es erróneo, puesto que no se ha tenido en cuenta que ANC dejo de ser corresponsable del fichero ARA ES L´HORA el 20/05/2016 cuando suprimió el fichero. Dadas las circunstancias políticas y jurídicas, el periodo de incumplimiento, si existiere, seria desde el 30/01/2016 puesto que se emplazó a los responsables de los ficheros con TI previstas que informaran sobre las transferencias antes del 29/01/2016. No se tiene en cuenta que se suscribió un contrato con un nuevo proveedor ubicado en la Unión Europea. Una vez ya en el los criterios de graduación el art. 45.4 LOPD, no son tenidos en cuenta los aplicados en virtud del art. 45.5
3. a)LOPD (concurrencia significativa de varios criterios del apartado 4, en este caso d y e). Resulta sorprendente que en el supuesto previsto en el apartado
4. j)sea donde la AEPD, se aparte de la propuesta de resolución (pues el instructor los determino en otros apartados). Tampoco se comparte la valoración de cada uno de los criterios del art. 45.4 LOPD: Respecto al carácter continuado de la infracción, y la falta de notificación de la TI, queda patente que se actuó en consonancia con las comunicaciones realizadas por la AEPD y las manifestaciones del GT art. 29. La propia AEPD conocía la falta de notificación derivado del PS/235/2015 y no inicio ninguna actuación. El grado de intencionalidad derivado de las inspecciones realizadas no puede compartirse, pues en éstas no se indica el motivo y no tienen por qué llevar aparejado la apertura de un procedimiento sancionador. Por todo ello únicamente existe falta de intencionalidad. Tampoco pueden calificase como datos de ideología pues precisamente esa categoría se está discutiendo en el recurso planteado ante la Audiencia Nacional y es un hecho controvertido. Por lo expuesto debería haberse aplicado el art 45. 5
5. b)LOPD y no el art. 45.5
6. a)que hubiera hecho que se tuvieran en cuenta otros criterios atenuantes que tuvo en cuenta la AEPD (apartados d y
7. e)a lo que habría que añadirse la falta de intencionalidad (f), no vinculación de la actividad con datos personales (
8. c)el contexto jurídico y la confianza legítima (
9. j)así como la no existencia de reincidencia. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Dispone el artículo 109.2 de la LPACAP: Las Administraciones Públicas podrán, asimismo, rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritméticos existentes en sus actos. En la resolución ahora recurrida se hacía constar en la parte dispositiva: (…)PRIMERO: IMPONER a la entidad ASSEMBLEA NACIONAL CATALANA, OMNIUM CULTURAL, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4
10. d)de la LOPD, una multa de 90.000 € ( noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD. SEGUNDO: IMPONER a la entidad OMNIUM CULTURAL, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4
11. d)de la LOPD, de 90.000 € ( noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD.(…) Advertido el error material en la Resolución del Recurso de Reposición RR/326/2016 interpuesto por OMNICUM CULTURAL, se ha procedido a la rectificación, constando en la parte dispositiva lo siguiente: (…)PRIMERO: RECTIFICAR la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de febrero de 2017, en el procedimiento sancionador PS/00391/2016 de acuerdo con lo dispuesto en el artículo 109.2 de la LPACAP. Dónde dice: PRIMERO: IMPONER a la entidad ASSEMBLEA NACIONAL CATALANA, OMNIUM CULTURAL, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4
12. d)de la LOPD, una multa de 90.000 € ( noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD.(…) Debe decir: PRIMERO: IMPONER a la entidad ASSEMBLEA NACIONAL CATALANA, por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4
13. d)de la LOPD, una multa de 90.000 € ( noventa mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada LOPD.(…) III A. En cuanto a los hechos obviados que, entiende ANC, que no se tienen en cuenta en el soporte fáctico de la resolución debe indicarse lo siguiente: En primer lugar debe indicarse que el conocimiento por parte de la AEPD de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 existencia de inscripción del fichero AHORA ES LA HORA derivado del Procedimiento Sancionador PS/235/2015, no modifica las circunstancias relativas a su correcta inscripción, es decir, la cumplimentación de los campos del formulario de inscripción que ofrece el Registro General de Ficheros de la AEPD y en concreto el relativo a la existencia de Transferencia Internacional. Siendo ésta una obligación que incumbe al responsable de la inscripción. Admitiendo tales argumentaciones se llegaría a la situación de traslado a la AEPD de una suerte de subsanaciones de cuestiones que no tiene por qué conocer, pues precisamente las características de los ficheros a inscribir y su determinación corresponden a los citados responsables. En segundo lugar, respecto de los hechos relativos al contexto jurídico y social producido tras la STJE C-362/14 de 6/10/2015 y que ANC también utiliza en sus alegaciones referentes a la confianza legítima, ausencia de intencionalidad y plazo durante el tiempo en que se produce la infracción, debe indicarse que ya fueron analizadas en la resolución recurrida y como se señaló, en modo alguno puede hablarse ni de periodo de gracia, ni de posición o criterio de esta Agencia que no se conociera al respecto o diera lugar a diversas interpretaciones, en concreto se indicaba en la citada resolución en los fundamentos de derecho V y VI lo siguiente: (…)Las entidades denunciadas manifiestan en sus alegaciones a la propuesta de resolución que no se han tenido en cuenta en el relato de hechos probados determinadas circunstancias que son esenciales para determinar la culpabilidad de la entidad. Frente a ello debe señalarse en primer lugar, que los comunicados realizados desde el Grupo de Trabajo del art. 29, y las notas de prensa o publicaciones realizadas desde la Agencia Española de Protección de datos, en nada modifican el análisis del elemento de culpabilidad que se atribuye a ANC y OC, y la vigencia del principio de confianza legítima, pues claramente se advierte en la publicación de 19/10/2015 que las autoridades de protección de datos investigaran y ejercerán sus potestades en caso de denuncias con el fin de proteger a las personas, es decir, tal como ha sucedido en el presente caso.(…) (…)No existe justificación, con las circunstancias expuestas, para mantener la situación al menos hasta el mes de septiembre de 2016. Desde la Agencia nunca se ha informado de la existencia de un período de gracia que pudiera dar lugar a interpretaciones erróneas. (…) B. ANC alega en el presente recurso, al igual que durante el procedimiento sancionador de referencia, que se ha producido una Infracción del derecho a un procedimiento con garantías y derecho de defensa art. 24.2 CE. Cuestión que ya fue analizada y desestimada en el Fundamento de Derecho III que se transcribe a continuación: (…)Las entidades denunciadas sostienen que se solicitó la prueba consistente en la incorporación de un certificado que constara el número de procedimientos sancionadores iniciados por la AEPD entre el 6 de octubre de 2015 y el 1/08/2016 por la vulneración del art. 33 de la LOPD, y ni en la propuesta de resolución ni en la diligencia correspondiente consta nada al respecto, entiende que estamos ante una denegación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 de la prueba sin motivación lo que supone una doble vulneración, la primera la correcta tramitación del procedimiento establecido y la segunda la vulneración del derecho a la defensa previsto en el art. 24 de la Constitución Española. Por ello ambas cuestiones son constitutivas de nulidad de pleno derecho de acuerdo con el art. 62 de la LRJPAC. Frente a ello hay que poner de manifiesto que no se ha vulnerado derecho constitucionalmente protegido alguno a las entidades denunciadas, en la medida en que las irregularidades formales únicamente pueden ser invalidantes y por tantos susceptibles de declararon de nulidad si generan indefensión STS 25/03/2011 Rec. Casación nº 5434/2006, a saber: Por la entidad denunciada se solicitó el certificado arriba citado, sin razonar la finalidad de dicha prueba, en definitiva no se justifica qué se pretendía probar. La existencia o no de procedimientos sancionadores por vulneración del art. 33 LOPD, no elimina ni modula la conducta típica, culpable y antijurídica que se considera que han cometido las entidades denunciadas. Es decir, con independencia del número de eventuales procedimientos sancionadores iniciados por la vulneración de dicho precepto, los hechos y calificación jurídica de la propuesta de resolución permanecerían inalterables. ANC y OC no explican en qué medida se ha producido una verdadera indefensión material, tal como señala la Sentencia del Tribunal Supremo antes referenciada, que (…) para que la indefensión tenga la eficacia invalidante que se pretende, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que la misma haya originado al recurrente un menoscabo real de su derecho de defensa causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio ;212/1994, de 13 de julio ,;137/1996, de 16 de septiembre ;89/1997, de 5 de mayo ; 78/1999, de 26 de abril , entre otras). Circunstancia que no concurre en el caso examinado pues la parte recurrente no concreta ni explica de qué forma se le ha privado, o ha resultado menoscabado, su derecho de defensa (…) El pronunciamiento a cerca de la admisión o inadmisión de una prueba, -o el silencio respecto de procedencia de la misma- es un acto de trámite cualificado que no basta con invocar su omisión o falta de motivación, sino que es preciso que se haya traducido en una efectiva indefensión, tal como nos recuerda la Sentencia del Tribunal Constitucional de la Sala Primera, núm. 79/2002 de 8 abril, en su Fundamento de Derecho 2 (…)En efecto, para apreciar la vulneración del derecho a la utilización de medios de prueba, inseparable del derecho mismo de defensa ( SSTC 169/1996, de 15 de enero [ RTC 1996, 169] , F. 3 y 73/2000, de 26 de marzo [ RTC 2000, 73] , F. 2, por todas), no basta con constatar que la decisión judicial de inadmisión de las pruebas propuestas adolece de falta de motivación o incurre en una interpretación de la legalidad arbitraria o irrazonable, sino que es necesario asimismo que la falta de actividad probatoria se haya traducido en una efectiva indefensión del recurrente, o lo que es lo mismo, que sea «decisiva en términos de defensa» ( SSTC 1/1996, de 15 de enero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 [ RTC 1996, 1] , F. 2; 219/1998, de 17 de diciembre [ RTC 1998, 219] , F. 3; 101/1999, de 31 de mayo [ RTC 1999, 101] , F. 5; 26/2000, de 31 de enero [ RTC 2000, 26] , F. 2; 45/2000, de 14 de febrero [ RTC 2000, 45] , F. 2). A tal efecto, hemos señalado que la tarea de verificar si la prueba es decisiva en términos de defensa y, por tanto, constitucionalmente relevante, lejos de poder ser emprendida por este Tribunal mediante un examen de oficio de las circunstancias concurrentes en cada caso concreto, exige que el recurrente haya alegado y fundamentado adecuadamente dicha indefensión material en la demanda, habida cuenta de que, como es notorio, la carga de la argumentación recae sobre los solicitantes de amparo ( SSTC 1/1996, de 15 de enero [ RTC 1996, 1] ; 164/1996, de 28 de octubre [ RTC 1996, 164] ; 218/1997, de 4 de diciembre [ RTC 1997, 218] ; 45/2000, de 14 de febrero [ RTC 2000, 45] , F. 2). Esta exigencia se proyecta en un doble plano: de una parte, el recurrente ha de razonar en esta sede la relación entre los hechos que se quisieron y no se pudieron probar y las pruebas inadmitidas ( SSTC 149/1987, de 30 de septiembre [ RTC 1987, 149] , F. 3; 131/1995, de 11 de septiembre [ RTC 1995, 131] , F. 2); y de otra, quien en la vía de amparo invoque la vulneración del derecho a utilizar los medios de prueba pertinentes deberá, además, argumentar de modo convincente que la resolución final del proceso «a quo» podría haberle sido favorable, de haberse aceptado y practicado la prueba objeto de controversia ( SSTC 116/1983, de 7 de diciembre [ RTC 1983, 116] , F. 3; 147/1987, de 25 de septiembre [ RTC 1987, 147] , F. 2; 50/1998, de 2 de marzo [ RTC 1998, 50] , F. 3; 357/1993, de 29 de noviembre [ RTC 1993, 357] , F. 2), ya que sólo en tal caso, comprobado que el fallo pudo, acaso, haber sido otro si la prueba se hubiera admitido, podrá apreciarse también el menoscabo efectivo del derecho de quien por este motivo busca amparo ( SSTC 30/1986, de 20 de febrero [ RTC 1986, 30] , F. 8; 1/1996, de 15 de enero [ RTC 1996, 1] , F. 3; 170/1998, de 21 de julio [ RTC 1998, 170] , F. 2; 45/2000, de 14 de febrero [ RTC 2000, 45] , F. 2; 165/2001, de 16 de julio [ RTC 2001, 165] , F. 2, entre otras muchas). No habiendo cumplido los demandantes de amparo esta carga, debe ser rechazada su queja.(…) En definitiva, deben desestimarse las alegaciones relativas a la nulidad por vulneración de derechos fundamentales, puesto que ANC y OC ni han razonado en qué medida podía alterar el fondo del asunto la práctica de la prueba solicitada ( la expedición de un certificado) , ni al margen de dicha ausencia, puede determinarse en qué se hubiera modificado el sentido de la resolución -en cuanto a la producción de los hechos, la identificación de los responsables y las consecuencias derivadas de la comisión de la infracción-, si existen otros procedimientos incoados a tal fin.(…) Por otra parte, la inexistencia de otros procedimientos no puede dar abrigo a una conducta que vulnere la ley ni pretender la inaplicación del régimen sancionador de que se trate. En este sentido ha señalado el Tribunal Constitucional en reiteradas ocasiones ( STC de 19 de junio de 2006, por todas): "El principio de igualdad ante la Ley no da cobertura a un imposible derecho a la igualdad en la ilegalidad, o igualdad contra Ley, de modo que aquel a quien se aplica la Ley no puede considerar violado el citado principio constitucional por el hecho de que la Ley no se aplique a otros que asimismo la han incumplido, ni puede pretender específicamente su impunidad por el hecho de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 otros hayan resultado impunes. La no imposición de sanciones en otros casos en nada afecta a la corrección de las sanciones efectivamente impuestas, pues, a estos efectos sólo importa si la conducta sancionada era o no merecedora de dicha sanción." C. Respecto a la infracción del principio de responsabilidad que ya manifestó ANC durante el procedimiento sancionador, debe indicarse que dicha circunstancia ya fue analizada y resuelta en el Fundamento de Derecho IV que se transcribe a continuación: (…)Teniendo en cuenta el contexto normativo antes señalado, procede abordar el análisis del estatus de ambas entidades en orden a establecer su responsabilidad. ANC y OC realizaron cada una, inscripciones relativas al fichero AHORA ES LA HORA, que es el objeto de la transferencia internacional de datos. En el Anexo de Privacidad del contrato de servicio de alojamiento con la empresa estadounidense Blue State Digital, figuran ambas entidades como firmantes y en calidad de DATA CONTROLLER, es decir, responsables del tratamiento. Asimismo, no puede obviarse que en el procedimiento sancionador PS/235/2015, las citadas entidades son responsables del fichero -de acuerdo con la definición prevista en el art. 3 de la LOPD y su régimen de responsabilidad previsto en el art. 43 de la citada norma- y en el presente caso se analiza la adecuación a la normativa aplicable de la trasferencia internacional de los datos del mismo fichero, por lo que nada ha cambiado respecto de dicha condición. Es decir, la condición de responsables del fichero se mantiene intacta respecto del citado procedimiento y por tanto ambas entidades ostentan una posición susceptible de generar responsabilidad por el incumplimiento de los preceptos de la LOPD de acuerdo con su art. 43 que establece que: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. En las alegaciones formuladas a la propuesta de resolución, manifiestan las entidades que en aquellos casos en los que exista una corresponsabilidad de un fichero estaremos ante una responsabilidad solidaria, siendo la consecuencia de que los hechos imputados solo serían constitutivos de una única infracción y que ambos deben responder del pago de la misma solidariamente pues así lo determinan las SSTS de 13 de julio de 1987 y de 2 de enero de 1992. Frente a ello, debe señalarse en primer lugar que la jurisprudencia en la que se pretende apoyar su argumentación y aplicarla al presente caso, versa sobre responsabilidad en el ámbito de la normativa de ordenación urbana y régimen del suelo, con espacios singulares de actividad en la que intervienen diferentes actores – promotores, constructores, facultativos, dirección de obra, etc.,..- . La Sentencia citada dirime el régimen de responsabilidad de los intervinientes y viene a concluir que el expediente sancionador en aquel caso, debió seguirse frente a todos los que la norma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 señala como obligados a un determinado cumplimiento o deber, pudiendo extrapolar de ella, en este caso, únicamente el régimen de responsabilidad, sin que nada se diga del modo de pago de una sanción. La Sentencia del Alto Tribunal anula la sanción a un interviniente y mantiene la corresponsabilidad derivada de la normativa aplicable, pero en ningún caso analiza el posible pago solidario de una única sanción que es lo propuesto aquí por las entidades denunciadas. En segundo lugar, la propuesta de resolución determina la comisión de una única infracción, - tal como aducen las denunciadas -, y la imposición de sanción a cada entidad deriva precisamente de su condición de responsable del fichero y de las obligaciones que el ordenamiento jurídico les atribuye derivadas de dicha condición. El principio de personalidad y de responsabilidad solidaria que establece la LRJPAC, determina que para el caso de que se haya incumplido una obligación que corresponda a varias personas conjuntamente (art. 130.3), todos los infractores pueden ser sancionados por una única infracción – siendo esa posibilidad la que puede revestirse de “solidaria”-. Por lo que debe confirmarse la Propuesta de Resolución en el sentido de determinar la imposición de una sanción a cada entidad por la infracción del art. 33 de la LOPD, en su calidad de responsables del fichero. D. En cuanto a los criterios de graduación aplicados, art. 45.4 y 5 de la LOPD, y su disconformidad por parte de ANC que plantea en el presente recurso: En primer lugar, debe indicarse que no existe precepto legal ni criterio jurisprudencial que impida al órgano que tiene la competencia para resolver el procedimiento sancionador, apreciar de modo distinto los criterios culpabilísticos tenidos en cuenta para graduar la antijuridicidad de la conducta del infractor que fueron recogidos en la propuesta de resolución, pues como su propio nombre indica se trata de una “propuesta” que podrá confirmarse o no, total o parcialmente por dicho órgano. Únicamente debe darse un nuevo plazo de alegaciones (art. 20.3 RPS) si se estimara que la resolución final prevé una mayor gravedad en la tipificación de la conducta que se trate. Circunstancia esta que no ocurre en el presente caso, sino que en la resolución final del procedimiento, se incluyeron en el apartado
14. j)del art. 45.4 LOPD elementos ya existentes y tenidos en cuenta por el Instructor en la citada Propuesta de Resolución y respecto de los cuales, ANC eran plenamente conocedora al ser destinataria de la correspondiente notificación y respecto de la que planteo alegaciones, por lo que en nada afecta a sus derechos procedimentales ni de defensa. En segundo lugar, y respecto de la aplicación del art. 45.5
15. a)y no del art. 45.5
16. b)debe tenerse en cuenta que dicha circunstancia ya fue analizada en el Fundamento de Derecho VII que se transcribe a continuación: (…)En el presente caso procede aplicar la degradación prevista en el apartado 5
17. a)del art. 45 de la LOPD por la concurrencia significativa de varios criterios del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 apartado 4 y no por el apartado b dicho art. 45.5 como pretenden ANC y OC. En concreto, concurre el apartado
18. d)por el volumen de negocio o actividad de las entidades infractoras, dado que si bien trataron datos de carácter personal, no tienen entre su objeto como actividad principal la explotación de bases de datos ni otra actividad focalizada principalmente en el tratamiento de datos personales. Asimismo concurre el apartado
19. e)dados los beneficios obtenidos como consecuencia de la comisión de la infracción, que no han sido acreditados, ni económicos ni de ninguna otra clase. Estas circunstancias que han sido tenidas en cuenta para aplicar el art. 45.5
20. a)de la LOPD, al contrario de lo que manifiestan las entidades denunciadas, en sus alegaciones formuladas a la propuesta de resolución, no deben ser son observadas una vez aplicada la degradación a la escala inferior en gravedad puesto que ello implicaría una doble valoración y por ende aplicación. Tampoco puede estimarse, la regularización de la situación irregular de forma diligente como pretenden ANC y OC (ex art. 45.5
21. b)LOPD), puesto que precisamente la valoración del espacio temporal en el que se comete la infracción, no puede analizarse desde una perspectiva que atenué el reproche sancionador, sino todo lo contrario, tal como se analiza en el apartado relativo al carácter continuado de la infracción. Ni valorar la ausencia de reincidencia como circunstancia atenuante, dado que dicha circunstancia –la reincidencia- aumentaría la gravedad de la antijuridicidad de la conducta imputable a los infractores de la LOPD, pero su ausencia no está contemplada en el precepto. Por ello procede aplicar el art. 45.5
22. a)para situarse en la escala inferior en gravedad, y por tanto establecer la cuantía de la sanción en la horquilla de 40.001 € a 300.000 €.(…) En tercer y último lugar, respecto de la aplicación de los criterios recogidos en el apartado 4 del citado artículo 45, y que ANC reitera lo manifestado durante el procedimiento sancionador, debe tenerse en cuenta que ya fue analizado en la citada resolución en el Fundamento de Derecho VII que se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 (…)Ahora bien, en cuanto a la determinación de la sanción a imponer dentro del intervalo de las infracciones graves, debe tenerse en cuenta la concurrencia de circunstancias que agravan el reproche sancionador y el desvalor de la acción y del resultado- esto es, el modo en que se realiza la acción y la afectación al bien jurídico protegido-, que se concretan en: El carácter continuado de la infracción. Apartado a). La conducta se inicia en fecha de 6/10/2015 hasta que en fecha de 22/08/2016 se inicia el periodo de preaviso de un mes para resolver el contrato, por lo que se puede deducir que hasta finales del mes de septiembre los datos estarían en los servidores de BSD. Es decir, casi se cumple un año desde la Sentencia y se mantienen los datos en un servidor ubicado en un país cuyas transferencias requieren la autorización prevista en el art. 33 LOPD. También debe tenerse en cuenta que el art. 66.3 RDLOPD señala En todo caso, la transferencia internacional de datos deberá ser notificada a fin de proceder a su inscripción en el Registro General de Protección de Datos, conforme al procedimiento establecido en la sección primera del capítulo IV del título IX del presente reglamento.Notificación ésta que no se llevó a cabo ni al inicio: ya que en la solicitud de inscripción no se marcó dicha opción, ni en un estadio posterior: desde que se tuvo conocimiento de que se puede llevar a cabo dicho tratamiento - la transferencia internacional- ; siempre y en todo caso, con carácter previo a la realización material de la citada trasferencia. Por dicha ausencia de comunicación, ni ANC ni OC, pudieron ser destinatarios de la comunicación que la AEPD remitió al respecto. Es decir, por la inobservancia del cumplimiento del citado precepto, las entidades denunciadas se colocaron en una zona de ignorancia culposa de la comunicación de esta Agencia, o dicho de otro modo, de haber cumplido el art. 66.3 RDLOPD hubieran tenido elementos adicionales para regularizar la situación. Asimismo y en relación con el apartado
23. f)el grado de intencionalidad como elemento subjetivo en la comisión de la infracción y la capacidad del sujeto de actuar de otro modo, debe tenerse en cuenta que se realizaron dos inspecciones con anterioridad al inicio del procedimiento sancionador, respecto de las que podían deducir, sin arduos ejercicios intelectuales, lo irregular de la situación y solucionarlo de inmediato. No existe justificación, con las circunstancias expuestas, para mantener la situación al menos hasta el mes de septiembre de 2016. Desde la Agencia nunca se ha informado de la existencia de un período de gracia que pudiera dar lugar a interpretaciones erróneas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Siendo el transcurso de tiempo una circunstancia que ha de interpretarse en relación con las oportunidades que tanto OC como ANC han tenido para regularizar su situación.
24. b)El volumen de los tratamientos efectuados. Habiéndose acreditado un volumen de 684.952 registros.
25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En este sentido debe tenerse en cuenta, en primer lugar, (i)la diligencia exigible en atención a las circunstancias puestas de manifiesto, pues estamos ante la comisión de la infracción, al menos, a título de negligencia culposa, ya que: • ANC y OC debieron haber notificado al registro la previsión relativa la transferencia Internacional que pudiera hacerse, notificación que no se llevó a cabo y que de haberse realizado hubieran sido destinatarios de la comunicación y estar en condiciones de haber solucionado antes la situación y por tanto disminuir el riesgo que supone mantener ese fichero en BSD. • En el comunicado de la AEPD se advertía la posibilidad de iniciar actuaciones en caso de denuncia, en ningún caso este organismo puede hacer dejación de sus funciones. En segundo lugar, (
26. ii)el riesgo al que han sido sometidos los datos contenidos en ese fichero en un Estado que no tiene un nivel adecuado de protección, que de haber solicitado la autorización que requiere el art. 33 de la LOPD, se hubieran observado las consideraciones de la Sentencia C-362/2014 que invalida la decisión 2000/520/CE sobre la adecuación del tratamiento de datos basado en SH, en la medida en que el nivel adecuado de protección que ofrecía SH únicamente era aplicable a las entidades adheridas a él, de modo que las autoridades públicas estadounidenses no están sometidas a dicho régimen; las exigencias de seguridad nacional, interés público y cumplimiento de la ley de EEUU prevalecen en ese caso, sobre el régimen de puerto seguro, de modo que las entidades estadounidenses están obligadas a dejar de aplicar, sin limitación, la reglas de protección previstas por ese régimen cuando entren en conflicto con las citadas exigencias; posibilitando, por tanto, injerencias por parte de las autoridades públicas estadounidenses en los derechos fundamentales de las personas, sin que conste que haya reglas destinadas a limitar esas posibles injerencias ni que exista una protección jurídica eficaz contra estas. En concreto se hace constar lo siguiente en la STJUE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Señala en su apartado 90 (…)la Comisión constató que las autoridades estadounidenses podían acceder a los datos personales transferidos a partir de los Estados miembros a Estados Unidos y tratarlos de manera incompatible con las finalidades de esa transferencia, que va más allá de lo que era estrictamente necesario y proporcionado para la protección de la seguridad nacional. De igual modo, la Comisión apreció que las personas afectadas no disponían de vías jurídicas administrativas o judiciales que les permitieran acceder a los datos que les concernían y obtener, en su caso, su rectificación o supresión. Señala en su apartado 91(…)una normativa de ésta que haga posible una injerencia en los derechos fundamentales garantizados por los artículos 7 y 8 de la Carta debe contener reglas claras y precisas que regulen el alcance y la aplicación de una medida e impongan unas exigencias mínimas, de modo que las personas cuyos datos personales resulten afectados dispongan de garantías suficientes que permitan proteger eficazmente sus datos personales contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos de éstos. La necesidad de disponer de esas garantías es aún más importante cuando los datos personales se someten a un tratamiento automático y existe un riesgo elevado de acceso ilícito a ellos (sentencia Digital Rights Ireland y otros, C-293/12 y C-594/12, EU:C:2014:238, apartados 54 y 55 y la jurisprudencia citada). Señala en el apartado 93 (…) no se limita a lo estrictamente necesario una normativa que autoriza de forma generalizada la conservación de la totalidad de los datos personales de todas las personas cuyos datos se hayan transferido desde la Unión a Estados Unidos, sin establecer ninguna diferenciación, limitación o excepción en función del objetivo perseguido y sin prever ningún criterio objetivo que permita circunscribir el acceso de las autoridades públicas a los datos y su utilización posterior a fines específicos, estrictamente limitados y propios para justificar la injerencia que constituyen tanto el acceso a esos datos como su utilización En conclusión, el riesgo acontecido y que agrava la conducta de las entidades denunciadas, se concreta en que la mera tenencia de los datos en un Estado donde, se puede tener acceso al fichero sin restricciones constituye en sí mismo un riesgo que, como indica el apartado 91 parcialmente transcrito, impide que los afectados dispongan de garantías suficientes que permitan proteger eficazmente sus datos personales contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos de éstos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 En tercer lugar, (iii) la situación en la que se encuentra el fichero, debe tenerse en cuenta que según manifiestan ANC y OC, el acceso al fichero estaba bloqueado lo que conlleva que cualquier ciudadano que quisiera ejercer los derechos previstos en la LOPD, difícilmente podría llevarlo a cabo, pues ni ANC ni OC controlaban materialmente el citado fichero. Dándose por tanto la situación de que los responsables no estaban en condiciones de gestionar materialmente el fichero con celeridad, eficacia e inmediatez y sin embargo, si lo estaban – dadas las circunstancias expuestas en la Sentencia C362/2014- autoridades gubernativas del tercer estado sin limitación o restricción alguna, tal como se ha hecho referencia en el párrafo anterior. Y en cuarto y último lugar, en cuanto a (
27. iv)la naturaleza de los datos objeto de tratamiento, pues estamos ante datos sensibles de ideología, es decir, la mera constancia de un dato personal, en un fichero obtenido a raíz de participación en encuesta o consulta sobre cuestiones relativas a la integridad e identidad territorial de una parte del territorio nacional, hace que dicho dato adquiera la naturaleza de dato ideológico, tal como se resolvió en el Procedimiento Sancionador PS/235/2015 que analiza la naturaleza del citado fichero y cuya resolución ha sido notificada a las partes y a la que por razones de brevedad debe hacerse la oportuna remisión. Al concurrir las mencionadas circunstancias agravantes (apartados a), b), f), y j)), especialmente cualificadas por su trascendencia, procede determinar la cuantía de la sanción a imponer, a cada entidad, en 90.000 euros estimándose acorde con el principio de proporcionalidad dada la calificación de muy grave que recoge el art. 44.4
28. d)de la LOPD en relación con las circunstancias apreciadas en la determinación de la cuantía de la sanción a imponer dentro de la escala de las infracciones graves.(…) Por lo expuesto ANC no ha presentado en este recurso argumentos jurídicos que permitan modificar la aplicación de los criterios relativas al carácter continuado de la infracción, pues la circunstancia relativa a la notificación de la supresión de la inscripción del fichero por parte de ANC en fecha de 20/05/2016, supone únicamente un elemento formal, dada la naturaleza propia del Registro General de Ficheros de la AEPD, que no es constitutiva sino declarativa y que de estimarse, modificaría el espacio temporal hasta finales del mes de mayo, en lugar de la fecha de 22/08/2016 que consta en la Resolución recurrida. Es decir, un periodo de tres meses menos, cuyo resultado sería siete meses de vigencia de la infracción, mostrándose insuficiente para enervar la cualidad de la infracción como “continuada”. Asimismo y sin perjuicio de la naturaleza declarativa de la inscripción en el RGPD antes señalada, no puede obviarse que la fecha a la que hay que atenerse no puede minorarse al margen del umbral del día 22 de agosto de 2016, pues la existencia del contrato y su vigencia y la consideración como parte del mismo a ANC, es junto con otros elementos, de la que se deduce su responsabilidad en la situación y no de la supresión de la citada inscripción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Tampoco ANC aporta argumentos que permitan modificar la aplicación del criterio relativo al grado de intencionalidad, que ya ha sido analizado, pues si bien en las inspecciones realizadas en las entidades sancionadas no se concreta respecto de qué precepto normativo se está analizando su cumplimiento, es conocido que entre las atribuciones de la AEPD figura velar por el cumplimiento por parte de los responsables de los ficheros de la LOPD, en la que se incluye también, las obligaciones derivadas de su artículo 33. Por último, en cuanto a la ausencia de reincidencia alegada por ANC, debe hacerse una remisión a lo indicado en la resolución (…) dado que dicha circunstancia – la reincidencia- aumentaría la gravedad de la antijuridicidad de la conducta imputable a los infractores de la LOPD, pero su ausencia no está contemplada en el precepto. (…) por lo que no puede interpretarse como atenuante. III Por lo tanto, en el presente recurso de reposición, ANC no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ASSEMBLEA NACIONAL CATALANA contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de febrero de 2017, en el procedimiento sancionador PS/00391/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad ASSEMBLEA NACIONAL CATALANA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es