REPOSICION-PS-00500-2013

1/15 Procedimiento nº.: PS/00500/2013 ASUNTO: Recurso de Reposición Nº RR/00320/2014 Examinado el recurso de reposición interpuesto por la entidad MULTIGESTION IBERIA S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00500/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 13 de marzo de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00500/2013 , en virtud de la cual se imponía a la entidad MULTIGESTION IBERIA S.A.U., una sanción de 40.001 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 17 de marzo de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00500/2013, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha de 24/09/2012 tiene entrada en esta Agencia un escrito del denunciante en el que declara haber recibido una reclamación de deuda por parte de MULTIGESTION en nombre de FRONTERA, negando conocer al supuesto acreedor. MULTIGESTIÓN informa haber recabado la información del domicilio los ficheros inscritos en el RGPD con números ***COD.1, ***COD.2 y ***COD.3, sobre los que puede ejercer sus derechos de rectificación o de cancelación reconocido por la LOPD, llamando a los teléfonos ***TEL.1 o ***TEL.2, correspondientes al Departamento de Calidad. Desconoce cómo han podido llegar sus datos a dichos ficheros ((folios 1-2) SEGUNDO: En fecha 13/03/2000 el denunciante suscribió con Caja de Ahorros y Pensiones de Barcelona (actualmente CAIXABANK) un contrato de tarjeta de crédito Carnet RACC Master. Las operaciones efectuadas por el denunciante con dicha tarjeta de crédito generaron una deuda de 434,15 € (folios 67, 71-74) TERCERO: En fecha 22/12/2011 se elevó a escritura pública el documento privado de compraventa de derechos de crédito otorgada entre CAIXABANK y FRONTERA, por la cual CAIXABANK cedía a FRONTERA, una serie de créditos, entre ellos el correspondiente al denunciante por un importe de 434,15 €. Como consecuencia de la citada cesión de crédito, el nuevo acreedor frente al denunciante pasó a ser FRONTERA (folios 67-68, 75-76) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 CUARTO: Las entidades cedente (CAIXABANK) y cesionaria (FRONTERA) remitieron al denunciante a la c/(C/...............1), Barcelona (dirección que constaba en los ficheros de CAIXABANK), una carta fechada el 30/12/2012 comunicándole la cesión del crédito del que era deudor, su origen y importe, e informándole que sus datos personales pasaban a ser incorporados a un fichero titularidad de FRONTERA (folios 68, 76-78) QUINTO: En fecha 01/01/2012 FRONTERA había contratado con TDX los servicios de recobros de sus créditos. En los ficheros de TDX constaba como dirección del denunciante c/(C/...............1), Barcelona (folios 12-13, 55, 68, 78-126) SEXTO: En fecha 13/03/2012 TDX subcontrató con MULTIGESTION los servicios de recobro de sus clientes, y recibió carta de encargo de recobro de deudas titularidad de FRONTERA. Entre los servicios mínimos a prestar por MULTIGESTION dirigidos al recobro de impagados se encuentran la realización de llamadas y/o el envío de cartas y sms y el seguimiento de los planes de pago acordados con los clientes, así como la localización y búsqueda de información adicional en el caso de los expedientes ilocalizados de forma automática, añadiéndose que los nuevos datos de contacto se actualizarán y enviarán a TDX (folios 12, 15-54) SEPTIMO: En fecha 30/11/2009 MULTIGESTION suscribió un contrato con TRUMBIC, que fue resuelto en fecha 31/01/213, y que contenía, entre otras, las siguientes clausulas: “PRIMERA.- OBJETO El presente contrato tiene por objeto la prestación del servicio de suministro de información de modo unidireccional por parte de TRUMBIC CORPORATION SL a MULTIGESTION IBERIA, a través de la Red de Internet, en concreto a través de la página Web www.trumbic.com. ... TERCERA.- PROTECCION DE DATOS. Las bases de datos suministradas contienen datos de carácter personal, por lo que ambas partes, se obligan al cumplimiento de las obligaciones, que como cedente y cesionario de este tipo de datos le correspondan, según lo dispuesto en la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD). TRUMBIC CORPORATION SL es el DISTRIBUIDOR de las bases de datos que a continuación se indican y garantiza que la información suministrada por las mismas proviene de fuentes accesibles al público, reguladas en la LOPD, incluida la información sobre el propio sujeto del informe, dichas bases de datos de Domicilio Actual y Anterior estas inscritas en la Agencia Española de Protección de Datos con los números siguientes: Protección de Datos: Nº de Inscripción ***COD.2, el de la base de datos de Incidencias Jurídicas es el siguiente: Agencia de Protección de Datos: Nº de Inscripción ***COD.1, el de la base de datos de Autónomos es el siguiente: Agencia Protección de Datos: Nª de Inscripción ***COD.

1. CUARTA.- RESPONSABILIDAD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 La información contenida en las bases de datos distribuida por TRUMBIC CORPORATION SL, obtenida de fuentes accesibles al público, puede no coincidir con la obtenida por MULTIGESTION IBERIA, a través de otros conductos. Por ello, no podrá exigir daños y perjuicios a TRUMBIC CORPORATION SL derivados de errores en la información que no corresponda con la de origen suministrada. TRUMBIC CORPORATION SL actuará con la diligencia debida, y ateniéndose en todo caso a los principios establecidos en la LOPD, para garantizar la calidad, exactitud, finalidad y actualidad de los datos contenidos en la base de datos suministrada. ... OCTAVA.- PRECIO El coste de dicho contrato asciende a la cantidad de 9.600 € (NUEVE MIL SEISCIENTOS EUROS) Anual más el 16% IVA, que se abonará mediante transferencia bancaria, previa entrega por parte de TRUMBIC CORPORATION SL de la factura correspondiente con antelación suficiente a la fecha de abono, que deberá cumplir con todos los requisitos exigidos por la normativa fiscal correspondiente. El pago de tal importe dará derecho a utilizar los citados servicio On Line por el plazo pactado a 50 usuarios, no obstante a petición de MULTIGESTION IBERIA podrá modificarse en cualquier momento el número de usuarios con acceso y por tanto el precio acordado” (folios 13, 57-61, 187-188) OCTAVO: MULTIGESTION aportó impresión de pantalla de acceso al fichero “Domicilios” de la web www.trumbic.com en donde figuran los siguientes datos - en el apartado “Datos Personales” figura el nombre y apellidos del denunciante, DNI, lugar y fecha de nacimiento. en el apartado “Domicilio Actual” figura “CALLE (C/...............2) BARCELONA. en el apartado “Domicilio Anterior” figura “CALLE (C/...............3) BARCELONA (folios 13, 56) NOVENO: El denunciante recibió carta de MULTIGESTION fechada el 27/08/2012 requiriéndole, en nombre de FRONTERA, el pago de una deuda por importe de 434,15 €. Dicha carta que se dirigió y fue recibida por el denunciante en la dirección C/ (C/...............2) Barcelona, contenía la siguiente leyenda informativa “La información del domicilio ha sido consultada en la Base de Datos cuyos números de Registro en la Agencia de Protección de Datos son ***COD.1, ***COD.2 y ***COD.
2. Puede usted ejercer el derecho de rectificación o de cancelación reconocido por la Ley 15/1999 LOPD, llamando a los teléfonos ***TEL.1 o ***TEL.2, correspondientes al Departamento de Calidad...” (folio 3) DECIMO: En fecha 14/02/2013 figuraban inscritos en el Registro General de Protección de Datos de esta Agencia los ficheros con códigos ***COD.1 (INCIDENCIAS JURIDICAS), ***COD.2 (DOMICILIOS) y ***COD.3 (AUTONOMOS) constando como responsable de los mismos la entidad SABERLOTODO INTERNET S.L. y como encargado del tratamiento B.B.B. (folios 6-9) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 UNDECIMO: En fecha 21/09/2011 el Director de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00146/2011, imponiendo sendas multas de 600.000 €, tanto a SABERLOTODO, como a TRUMBIC. Dicha resolución, que se encuentra publicada en la página web de la Agencia www.agpd.es , en el apartado de resoluciones y documentos, contiene, entre otros los siguientes hechos probados: <<TERCERO: Finalizado el mencionado plazo de diez días hábiles concedido a SABERLOTODO en la Resolución de fecha 08/01/2009, se recibió escrito de dicha entidad en el que no hacía referencia a medida alguna adoptada para la cesación en la utilización y cesión de datos acordada por el Director de la Agencia Española de Protección de Datos. En consecuencia, con fecha 23/02/2009, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00629/2008, en virtud de la cual se acordó la inmovilización del fichero “DOMICILIOS”, del que es responsable la entidad SABERLOTODO, obligándose a la misma a cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Asimismo, en la citada Resolución se establecía que aquella inmovilización del fichero debe mantenerse hasta que por parte de SABERLOTODO se acredite debidamente ante la Agencia Española de Protección de Datos la cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados en el ejercicio de una actividad privada por el propio representante de la entidad imputada, D. B.B.B.. En la mencionada Resolución de fecha 23/02/2009, que se declara reproducida a los efectos oportunos, se consideró determinante, según el detalle que consta reseñado en el Antecedente Tercero de dicha Resolución, que este fichero contiene datos personales relativos a más de treinta y seis millones de afectados, y que asociados a la mayoría de los afectados figuran datos que no constan en fuentes accesibles al público, como son la fecha de nacimiento, el número de DNI y la indicación de piso y puerta de los domicilios respectivos, figurando, además, en muchos casos, un domicilio actual y uno anterior. En la descripción de dicho fichero recabada de SABERLOTODO, que figura actualizada a fecha 30/06/2008, consta que el número total de registros es de 36.812.617, disponiendo todos ellos de fecha de nacimiento, y de los que 3.442.902 de registros disponen del dato relativo al DNI. ... CUARTO: Durante el período comprendido entre el 04/12/2007 y el 01/06/2009, el Director de la Agencia Española de Protección de Datos ha dictado resolución sancionadora contra la entidad Saberlotodo Internet, S.L. en siete procedimientos, señalados con los números PS/00178/2007, PS/00387/2007, PS/00003/2008, PS/00034/2008, PS/00086/2008, PS/00387/2008 y PS/00629/2008, en los que se sanciona a dicha entidad por el tratamiento de datos de carácter personal sin consentimiento de los afectados o/y por comunicación de tales datos a terceros. En dichas actuaciones se constató que la citada entidad es responsable del tratamiento de datos de carácter personal sin el consentimiento de los afectados y de facilitar dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 información a terceros. En definitiva, es responsable de la explotación con fines lucrativos del fichero denominado “Domicilios”, que contiene información correspondiente a más de treinta y seis millones de afectados, con indicación de fecha de nacimiento, nombre, apellidos y domicilio (con indicación en numerosos registros del piso y puerta del mismo), además de la indicación relativa a DNI, domicilio anterior y teléfono en numerosos registros, siendo ilícito el origen de esta información. Las circunstancias de hecho puestas de manifiesto en estas actuaciones, que coinciden con las expresadas anteriormente, determinaron la imposición de seis sanciones por incumplimiento de lo dispuesto en el artículo 6 de la LOPD, por un importe de 60.101,21 euros cada una, y seis sanciones más por incumplimiento del artículo 11 de la citada norma, por importes de 100.000 euros, en un caso, y 300.506.05 euros en los cinco casos restantes. Contra las resoluciones dictadas por el Director de la Agencia Española de Protección de Datos en los procedimiento mencionados, la entidad Saberlotodo Internet, S.L. interpuso recurso contencioso-administrativo ante la Audiencia Nacional, que ha dictado sentencia desestimatoria en los seis primeros procedimientos, no habiéndose resuelto el correspondiente a la sanción impuesta en el PS/00629/
3. Las Sentencias desestimatorias correspondientes a los procedimientos PS/00387/2007, PS/00003/2008, y PS/00387/2008 han sido recurridas en casación ante el Tribunal Supremo, que ha dictado auto de inadmisión parcial en los dos últimos casos citados, no habiendo recaído Sentencia en ninguno de ellos. QUINTO: Con fecha 23/02/2009, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00629/2008, en virtud de la cual se acordó la inmovilización del fichero “Domicilios”, del que es responsable la entidad Saberlotodo Internet, S.L., obligándose a la misma a cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Asimismo, en la citada Resolución se establecía que aquella inmovilización del fichero ha de mantenerse hasta que por parte de Saberlotodo Internet, S.L. se acredite debidamente ante la Agencia Española de Protección de Datos la cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados en el ejercicio de una actividad privada por el propio representante de la entidad imputada, D. B.B.B.. En la mencionada Resolución, se consideró determinante que el fichero citado contiene datos personales relativos a más de treinta y seis millones de afectados, y que asociados a la mayoría de los afectados figuran datos que no constan en fuentes accesibles al público, como son la fecha de nacimiento, el número de DNI y la indicación de piso y puerta de los domicilios respectivos, figurando, además, en muchos casos, un domicilio actual y uno anterior. En la descripción de dicho fichero recabada de Saberlotodo Internet, S.L., actualizada a fecha 30/06/2008, consta que el número total de registros es de 36.812.617, disponiendo todos ellos de fecha de nacimiento, y de los que 3.442.902 de registros disponen del dato relativo al DNI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Asimismo, consta acreditado, y así fue reconocido por D. B.B.B., representante de la entidad, que los datos personales registrados no se recaban directamente de los propios afectados, sino que proceden, entre otras fuentes, del censo de población y de padrones municipales de habitantes, o bien han sido facilitados a SABERLOTODO por la entidad Detectives Lucentum, S.L., o recabados por el propio representante de la entidad imputada con anterioridad a 1980, en el ejercicio de una actividad privada que no ha justificado. De hecho, la mayor parte de los registros consultados por la Inspección actuante corresponde a personas que no figuraban, en ese momento, en repertorios de abonados a servicios telefónicos. Con fecha 03/04/2009, por el Director de la Agencia Española de Protección de Datos se dictó Resolución en la que se acuerda la desestimación del recurso de reposición interpuesto por SABERLOTOD contra la citada Resolución de esta Agencia de fecha 23/02/2009, en virtud de la cual se acordó a inmovilización del fichero “DOMICILIOS”, confirmando la misma en todos sus extremos. La anterior Resolución del Director de la Agencia Española de Protección de Datos, de fecha 03/04/2009, fue impugnada por la entidad Saberlotodo Internet, S.L. en vía contencioso-administrativa, dando lugar a la Sentencia dictada por la Audiencia Nacional, de 30/04/2010, que desestima el recurso contencioso-administrativo interpuesto. Previamente, con fecha 22/07/2009, la Audiencia Nacional dictó Auto por el que acordó denegar la suspensión de la ejecutividad de la Resolución impugnada, que había sido solicitada por Saberlotodo Internet, S.L. Contra esta Sentencia de la Audiencia Nacional, la entidad SABERLOTODO interpuso recurso de casación, que ha sido inadmitido parcialmente mediante Auto del Tribunal Supremo de fecha 20/01/2011.>> (folios 192-261) DUODECIMO: El artículo 17.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, establece que el órgano instructor podrá rechazar, de forma motivada, aquellas pruebas cuya práctica no estime procedentes en los términos previstos en el artículo 137.4 de la LRJPAC. En razón de lo expuesto, se declaró la improcedencia de la prueba consistente en requerir a D. B.B.B. y a TRUMBIC que el nuevo y verdadero domicilio del denunciante proviene fuente accesible al público por cuanto el resultado de la misma no alteraría el sentido de la resolución a adoptar (folio 273)>> TERCERO: MULTIGESTION IBERIA S.A.U. ha presentado en fecha 16/04/2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas en el procedimiento sancionador cuya resolución es objeto del presente recurso, incidiendo en la aplicación del artículo 45.5 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por MULTIGESTION IBERIA S.A.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso ha quedado acreditado que MULTIGESTION IBERIA trató los datos personales del denunciante en su condición de subencargado del tratamiento para el recobro de una deuda titularidad de FRONTERA. Intentada sin éxito la localización del denunciante para poder llevar a efecto el cobro de la deuda, MULTIGESTION recabó un nuevo dato del denunciante (su nueva dirección) mediante la consulta efectuada en la web www.trumbic.com obteniendo del fichero “Domicilios” contenido en ella, el dato del nuevo domicilio del denunciante “CALLE (C/...............2) BARCELONA”, el cual utilizó para el envío del requerimiento de pago objeto de denuncia (folio 3). Corresponde por tanto examinar si el tratamiento del dato del nuevo domicilio efectuado por MULTIGESTION vulnera el principio del consentimiento consagrado en el artículo 6.1 de la LOPD. Hemos de señalar previamente que MULTIGESTION es una empresa de implantación nacional, líder en el sector de la adquisición y gestión integral de deuda, en concreto en la recuperación de deudas, actividad que desempeña desde 1992, y en la cual el tratamiento de datos de carácter personal constituye parte esencial de su actividad, estando por tanto familiarizada con la normativa en materia de protección de datos, en la cual el principio del consentimiento constituye piedra angular para preservar la privacidad de los ciudadanos frente a tratamientos (como en el caso que nos ocupa) vulneradores de tal principio y por tanto de lo dispuesto en el artículo 6.1 de la LOPD. En este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/
4. Y nada de esto ha sucedido”. Respecto a la culpabilidad de MULTIGESTION IBERIA debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/
5. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el articulo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el articulo 44.3.d) puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.d) de la Ley Orgánica 15/1999- requiere la existencia de culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN