1/5 Procedimiento nº.: PS/00547/2015 ASUNTO: Recurso de Reposición Nº RR/00155/2016 Examinado el recurso de reposición interpuesto por D. C.C.C. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00547/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 29 de enero de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00547/2015 , en virtud de la cual se imponía a la entidad PLANET SWAPSEE, S.A. una sanción de 2.000 euros (dos mil euros), por la vulneración de lo dispuesto en el artículo 37.1.
- f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.i), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 04/02/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00547/2015, quedó constancia de los siguientes: <<1. Con fecha 22/07/2015, el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a PLANET SWAPSEE con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con una denuncia por infracción del artículo 9 de la misma norma, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. 2. En el mismo acuerdo el Director resolvió requerir a PLANET SWAPSEE de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 9 de la LOPD: - En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos personales, que impidan el acceso indiscriminado y sin restricciones por parte de terceros a los datos personales registrados en sus sistemas de información y en los equipos de su responsabilidad, y sin el consentimiento de los afectados, evitando que resulten accesibles por parte de terceros, con el alcance expresado. Deberá solicitar a Google la eliminación de las direcciones A.A.A. de la cache de los motores de búsqueda y adoptar las medidas pertinentes para impedir la indexación de la web por motores de búsqueda. - INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 cumplimiento. En caso de no atender este requerimiento, se advirtió a PLANET SWAPSEE que se procedería a la apertura de un procedimiento sancionador. 3. Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación E/04738/2015. De la información contenida en estas actuaciones de investigación se desprende que no consta que se hubiesen adoptado las medidas correctoras solicitadas y no consta que se hubiesen atendido los requerimientos efectuados por el Director de la Agencia de Protección de Datos. 4. Con fecha 02/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PLANET SWAPSEE, por presunta infracción del artículo 37.1.
- a)de la LOPD, tipificada como grave en el artículo 44.3.
- i)de dicha norma. Durante la tramitación de este procedimiento sancionador, PLANET SWAPSEE no ha adoptado las medidas correctoras que le fueron solicitadas mediante lo requerimientos reseñados en los hechos probados anteriores>>. TERCERO: Con fecha 26/02/2016, dentro del plazo establecido, se ha interpuesto recurso de reposición por el denunciante, D. C.C.C. (en lo sucesivo el recurrente), recibido en esta Agencia en fecha 02/03/2016, en el que solicita se dicte nueva resolución en la que se imponga a la entidad denunciada una sanción en la cuantía correspondiente a la escala relativa a las infracciones graves, y se reclame a la misma el cumplimiento de los apercibimientos y requerimientos que le fueron formulados por la Agencia. Considera el recurrente que existe una manifiesta incoherencia entre los antecedentes, hechos y circunstancias expuestos en los Fundamentos de Derecho III y IV, según las cuales no consta que PLANET SWAPSEE, S.A. haya adoptado las medidas correctoras solicitadas y atendido los requerimientos efectuados en la resolución 22/07/20015 para garantizar la seguridad de los datos personales, ni solicitado a Google la eliminación de las direcciones A.A.A. de la cache de los motores de búsqueda; y las apreciaciones efectuadas en el Fundamento V, que determinaron la imposición de una multa por el importe establecido para las infracciones leves. Dada la incomparecencia de la denunciada, la ausencia de cualquier tipo de alegaciones por su parte y la comprobada persistencia en la comisión de la infracción que se sanciona, resulta cuestionable que hayan podido apreciarse circunstancias que suponen una disminución cualificada de la antijuridícidad”, o la concurrencia de cualquiera de los criterios enunciados en el artículo 45.4 de la LOPD, dándose la circunstancia de que dos de tales criterios (ej. volumen de tratamientos efectuados y el grado de intencionalidad) que son ponderados en sentido positivo, es decir, relativizando la importancia numérica de los afectados (que no ha sido el caso ni el objeto de la denuncia del dicente, limitada a su estricto ámbito personal) y deduciendo la ausencia de intencionalidad en la actuación de la entidad denunciada de manera infundada. De análoga manera, resulta asimismo discutible que no se hayan tomado en consideración otros criterios de los enunciados en el artículo 45.4 de la LOPD, como el carácter continuado de la infracción, la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal o la naturaleza de los perjuicios causados al denunciante, circunstancias que podrían suponer, precisamente, un incremento cualificado de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 antijuridicidad de la conducta del denunciado. Que, por otra parte, un principio general esencial del ejercicio de la potestad sancionadora por parte de las distintas Administraciones públicas no es otro que el restablecimiento de la legalidad, a través de la exigencia al infractor de la reposición a su estado originario de la situación alterada por la infracción. En este caso, el recurrente señala que su currículum vitae, con sus datos personales, permanece accesible al buscar en Google con su nombre y apellidos como criterio de búsqueda, en la misma carpeta B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En primer término, conviene delimitar si el denunciante está legitimado para interponer recurso de reposición con el propósito de que la resolución impugnada se revise “in peius” para el denunciado, si existe interés suficiente y legítimo para la impugnación de la resolución por parte del recurrente, al objeto de que se imponga una sanción superior. Se tiene en cuenta, al respecto, que la condición de denunciante no otorga por sí la de interesado, y que la LOPD y el Reglamento de desarrollo no se refieren a interesado sino a afectado, señalando que se le comunique la resolución final. Además, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 6/10/2009 determina que “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. Aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso-administrativo. Por tanto, el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Por otro lado, la sentencia del Tribunal Supremo, Sala de lo Contencioso, sección: 7, nº de Recurso: 234 / 1995, de 12/09/1997 refiere que el concepto de legitimación y su atribución a un sujeto determinado responden a una misma idea en la vía administrativa y en la contenciosoadministrativa: la titularidad por parte del legitimado de un derecho o de un interés legítimo en que prospere su pretensión, como se desprende fundamentalmente del artículo 24.1 de la Constitución y se recoge en el artículo 31 de la LRJPAC. El interés legítimo equivale a una titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta. Es decir, la relación entre el sujeto y el objeto de la pretensión, con la que se define la legitimación activa, comporta el que la anulación del acto que se recurre, para imponer una cuantía superior, sea en vía administrativa o jurisdiccional, produzca de modo inmediato un efecto positivo (beneficio) o negativo (perjuicio) actual o futuro para el legitimado, pero cierto. Por decirlo con palabras del Tribunal Constitucional (S.T.C. 143/1987, F.D. 3º) el interés legítimo, al que se refiere el art. 24.1 (en el que debe disolverse el concepto más restrictivo del art. 28.1.a L.J.C.A.), "equivale a titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta" (SS.T.C. 60/1982, 62/1983, 257/1988 y 97/1991, entre otras)". No existiendo en el supuesto examinado la titularidad de un derecho subjetivo, que en ningún caso puede atribuirse a los denunciantes de una infracción de protección de datos en relación con la sanción de la misma, no se advierte que el recurrente tenga un interés legítimo en la impugnación ante esta Agencia de la resolución dictada en lo que respecta a la imposición de una multa a la denunciada y su cuantía, porque la situación jurídica del denunciante-recurrente no experimenta ventaja alguna por el hecho de que se sancione a la denunciada con una multa por importe superior. Por lo tanto, en el presente recurso de reposición, el recurrente no se halla legitimado para que la resolución dictada sea modificada elevando la cuantía de la multa impuesta, procediendo la desestimación del mismo. III En este caso, la Agencia Española de Protección de Datos ha seguido las actuaciones pertinentes para perseguir la infracción denunciada por el recurrente. No obstante, en el escrito de recurso interpuesto, el mismo advierte que su currículum vitae, con sus datos personales, permanece accesible al buscar en Google con su nombre y apellidos como criterio de búsqueda, en la misma carpeta B.B.B.. A este respecto, de la documentación presentada con la denuncia formulada o mediante el recurso, se deduce que el recurrente no ha ejercitado el derecho de cancelación reconocido en el apartado 2 del artículo 16 de la LOPD, que dispone que “Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos”. Este derecho de cancelación es personalísimo y debe, por tanto, ser ejercitado directamente por los interesados ante cada uno de los responsables de los ficheros o tratamientos de datos de carácter personal. Así, podrá dirigirse directamente ante la entidad responsable del fichero a través de un medio que acredite tanto el envío como la recepción de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 solicitud, y acompañando copia de su D.N.I. o de cualquier otra documentación acreditativa de la identidad del solicitante. Puede ejercitar el citado derecho usando los modelos que figuran en el siguiente enlace: https://www.agpd.es. De este modo, el responsable de los ficheros o tratamientos ante los que se ha ejercitado el derecho de cancelación, deberá resolver sobre la solicitud en el plazo de diez días, a contar desde la recepción de la misma, pudiendo denegarla en los casos establecidos en los artículos 33 y 30, ambos del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Asimismo, podrá dirigirse al portal Google, a través del sitio habilitado al efecto en el mismo, para requerir la eliminación de los resultados de búsqueda de la URL que conduce, a través de la web de PLANET SWAPSEE, S.A., al CV aportado a esta última entidad, que motivó la denuncia del recurrente. En el caso de que estas solicitudes no fueran convenientemente atendidas por los responsables del fichero o tratamiento, podrá dirigirse a esta Agencia, acompañando copia de la solicitud cursada y de la contestación recibida, en su caso, para que la Agencia analice la procedencia de tutelar el ejercicio de sus derechos reconocidos en la citada LOPD y normativa que la desarrolla. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. C.C.C. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de enero de 2016, en el procedimiento sancionador PS/00547/2015. SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es