← España

REPOSICION-PS-00545-2014

1/7 Procedimiento nº.: PS/00545/2014 ASUNTO: Recurso de Reposición Nº RR/00087/2015 Examinado el recurso de reposición interpuesto por la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00545/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 12 de diciembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00545/2014 , en virtud de la cual se imponía a la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, una sanción de 1000 €, por la vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 d), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 18/12/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento PS/00545/2014, quedó constancia de los siguientes hechos probados: sancionador, UNO.- En fecha de 15/10/2012 se envía un correo electrónico desde la cuenta ....@.... al destinatario .....@gmail.com que contiene información de una reclamación de un expediente de seguro de daños a MUTUAMADRILEÑA. Donde constan nombre y apellidos, y dirección de correo de un tercero. DOS.- La dirección de correo remitente del envío antes señalado es de un empleado de MUTUA MADRILEÑA, y el destinatario es el denunciante, que es cliente de la entidad y que como consecuencia del citado envío es conocedor de los nombre, apellidos y dirección de correo de otro cliente de la entidad. TRES.- Según manifestaciones de los representantes de MUTUAMADRILEÑA, el envío del correo se produce por error humano debido a que el gestor de correo NOTES, con la pulsación de la primera letra del nombre del destinatario sugiere direcciones de correo almacenadas en su archivo, y en el caso analizado, apareció con carácter prioritario la del denunciante, que comparte nombre con otro empleado de la entidad quien era potencialmente el destinatario, sin que fuera advertida tal circunstancia por el titular de la cuenta ....@.... C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 TERCERO: MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA ha presentado en fecha 17 de enero de 2015, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones anteriormente formuladas, invocando la vulneración del principio de tipicidad en la medida de que en otras ocasiones se ha aplicado por similares hechos el procedimiento de apercibimiento previsto en el art 45.6 LOPD. Estamos ante el acaecimiento de un error y se desplegaron todas las medidas necesarias para que se mantenga la confidencialidad y secreto de todos los daos personales de los que resulta responsable. Asimismo agradece que en la resolución se haya aplicado la facultad moderadora de la sanción por la existencia de las circunstancias previstas en el art. 45.4 lo que demuestra la excepcionalidad de los hechos acaecidos. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del IV al VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<IV El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez mas complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. En el presente caso se ha acreditado la vulneración del deber de secreto que incumbe a todo aquel que intervenga en el tratamiento, como el denunciado, pues de la comunicación electrónica enviada por éste y analizada se desprende que el denunciante y destinatario del mismo conoció los datos personales de un tercero, consistentes en nombre y apellidos. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Señala el art. 44.3

  1. d)que son infracciones graves “ La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 2 y 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  2. a)El carácter continuado de la infracción.
  3. b)El volumen de los tratamientos efectuados.
  4. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  5. d)El volumen de negocio o actividad del infractor.
  6. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  7. f)El grado de intencionalidad.
  8. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  9. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  10. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  11. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  12. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  13. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  14. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  15. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  16. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso el deber de diligencia que se deriva del propio articulo 10, al señalar que su mandato subsistirá aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo se configura como una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 comporta que los datos tratados automatizada mente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso, concurren las circunstancias previstas en el art. 45.5 1
  17. a)por aplicación de los apartados d), e), f), g), y
  18. h)el art. 45.4 LOPD. Aplicándose la escala inferior en gravedad, es decir, de las infracciones leves, para determinar la cuantía de la sanción propuesta, en relación con los criterios de graduación recogidos en el apartado 4 del tan citado artículo 45, y en especial los apartados e), f),
  19. g)y h), procede imponer una sanción por incumplimiento del art. 10 de la LOPD, en la cuantía de 1000 €.>> III En relación con la solicitud de apercibimiento de acuerdo con lo dispuesto en el art. 45.6 LOPD, debe señalarse que es una facultad excepcional y potestativa, que la norma otorga al órgano competente para iniciar y resolver el procedimiento, atendiendo a la concurrencia de los supuestos previstos en el art. 45.4 de la LOPD, sin que la circunstancia de que no existe sanción con anterioridad opere ipso iure, sino que se han de valorar otros elementos concurrentes al caso concreto. Los criterios previstos en el citado apartado 4 del art. 45 LOPD, sirven de parámetro de la antijuricidad y culpabilidad de la conducta analizada, pero no debe olvidarse que pueden tener un efecto atenuante o un efecto agravante. Es decir, pueden ser considerados para aplicar el procedimiento de apercibimiento o la aplicación de la escala inferior en gravedad a la infracción que corresponda o pueden impedir dicha aplicación, incluso pueden hacer que se determine la cuantía de la sanción que pudiera corresponder un tramo o en otro. En el caso analizado se tuvieron en cuenta las circunstancias como la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal y el grado de intencionalidad como parámetro de la diligencia prestada, en la medida en que dada su profesionalidad, no puede serle ajena los mandatos de la LOPD y en concreto el deber de secreto que le incumbe como responsable del fichero y tratamiento de los datos de sus clientes. MUTUA MADRILEÑA ha de mostrar un celo y exquisito rigor en el tratamiento de datos personales en la medida en que de su modelo de negocio se deriva un continuo tratamiento de datos personales, ya sea éstos tratados como tomadores, asegurados o beneficiarios de sus productos, debiendo traerse a colación lo recogido por la de acuerdo con la Sentencia de la Audiencia Nacional Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentales- art. 18.4 CE-. De lo expuesto se concluye que en el caso analizado se dan las siguientes circunstancias: la vinculación de la actividad del infractor con el tratamiento de datos personales, que no es accidental o excepcional sino que constituye buena parte del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 objeto de su negocio ;por la intencionalidad en cuanto a elemento subjetivo del tipo infractor, recuérdese que la diligencia prestada ha de ser exquisita atendiendo a las obligaciones que impone a la LOPD a una compañía aseguradora de la que se deriva especial vinculación. Es decir, existen elementos en el procedimiento que impiden que se considere a MUTUA MADRILEÑA sujeta al procedimiento de apercibimiento, sin perjuicio de que dada la excepcionalidad de la conducta antijurídica y lesión al bien jurídico protegido, se haya aplicado el art. 45.5 de la LOPD por concurrencia de circunstancias que le hacen merecedora de la degradación prevista en el citado apartado. IV En relación a la vulneración del principio de tipicidad y el acaecimiento del error, hay que señalar que sin perjuicio de la acreditación de la conducta típica prevista en el art. 44.3
  20. d)de la LOPD, citada ut en la transcripción de la resolución recurrida, y en relación con el error, debe traerse a colación el análisis que realiza la Sentencia de la Audiencia Nacional de fecha 26/03/2015 (Rec. 178/2013) en la que si bien analiza el incumplimiento de la LSSI derivado de un error informático en la marcación de un registro, resulte especialmente ilustrativo a los efectos de los hechos acaecidos en el PS/000545/2014 cuya resolución se valora en esta instancia, en la medida que la vulneración del deber de secreto tiene su origen en la manipulación por parte de un empleado de la mercantil del gestor de correo electrónico, en concreto señala que: “”La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012.La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos como, en el caso presente, es el derecho a no recibIr comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012).”” Según lo expuesto y de acuerdo con el deber de diligencia exigible analizado en el Fundamento de Derecho VI de la resolución, el acaecimiento del citado error no elimina la antijuricidad ni culpabilidad de la conducta infractora, sin perjuicio de que haya sido tenido en cuenta en la aplicación de los criterios previstos en el art. 45.4 y 5 de la LOPD. Por lo tanto, en el presente recurso de reposición, MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 12 de diciembre de 2014, en el procedimiento sancionador PS/00545/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS A PRIMA FIJA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.