← España

REPOSICION-PS-00663-2009

1/12 Procedimiento nº: PS/00663/2009 ASUNTO: Recurso de Reposición Nº RR/00686/2016 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00663/2009, y en base a los siguientes, HECHOS PRIMERO: Con fecha 26 de agosto de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00663/2009, en virtud de la cual se imponía a D. A.A.A., una sanción de 1000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al mismo en fecha 7/09/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00663/2009, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha de 8 de junio de 2009 tiene entrada en esta Agencia un escrito de la Secretaria General de la UNIVERSITAT XXXXX, en el que manifiesta haber tenido conocimiento de que en la red social FACEBOOK se estaba publicando un test con el título "¿XXXXXXXXXXXXX?", el cual era accesible a través del enlace http://................. Según se refiere en el escrito, el test consiste en nueve preguntas, tras cuya cumplimentación se genera como resultado “una descripción personal, en algunos casos de contenido injurioso, asociada al nombre de ................ de la Universidad XXXXX, con su fotografía, o junto a alguna otra imagen”. Se acompaña copia de las páginas que muestran el test, así como de las que muestran los ocho distintos resultados, cada uno de los cuales se corresponde con un ........., el cual se identifica a través de su nombre y apellido o simplemente su apellido y en algún caso de una fotografía. Así mismo con fecha 19 de junio de 2009 tienen entrada cuatro denuncias, sobre los mismos hechos suscritas por las personas denunciantes relacionadas del 1 al 4 en el Anexo 1. En estas denuncias se presenta al denunciado como presunto autor del test (folios 1 a 24 y 46 a 57). SEGUNDO: En fecha 19 de junio de 2009 desde la Inspección de Datos se accedió a la red social FACEBOOK utilizando para ello un identificador de usuario previamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 registrado, verificándose que en dicha red se encontraba disponible con carácter general la aplicación http://................, consistente en un test denominado “¿XXXXXXXXXXXXX?” y constituido por 9 preguntas, encabezadas por el siguiente texto: “¿............................?, ...........”. Las 9 preguntas eran las siguientes: 1 [***PREGUNTAS.1] Se verificó así mismo que tras contestar el test se obtenían hasta 8 posibles resultados, que se reproducen a continuación:  [***RESULTADOS.1] TERCERO: De la documentación aportada por FACEBOOK INC. a esta Agencia se desprende lo siguiente:  El usuario que creó la aplicación http://................ se dio de alta en la red social FACEBOOK el 2 de septiembre de 2008 (a las 13:27:30 horas, Pacific time), desde un equipo con dirección IP ***IP.1, asignándosele el identificador de usuario ***USUARIO.1.  La cuenta de usuario fue cancelada el 10 de junio de 2009.  La citada aplicación fue creada el 12 de mayo de 2009 desde un equipo con dirección IP ***IP.2 (folios 64 a 67). CUARTO: De la documentación aportada a la Agencia por TELEFÓNICA DE ESPAÑA, S.A.U. se desprende que la dirección IP ***IP.1 había sido asignada el 2 de septiembre de 2008 (a las 13:27:30 horas, Pacific time), de forma dinámica, a un equipo conectado a través de la línea telefónica ***TEL.1, de la que era titular el denunciado (folio 78). QUINTO: El denunciado ha comunicado durante la tramitación del procedimiento sancionador que: <<…La comunicación a Facebook se realiza vía mail el día 3 de Junio de 2009 indicándoles que eliminaran, bloquearan y paralizaran el funcionamiento de la aplicación. Para sorpresa de esta parte, Facebook hace caso omiso de esta petición, y no es hasta el día 30 de Junio de 2009, cuando Facebook decide eliminar la aplicación y notificar dicha situación vía mail…>> (folio 136). TERCERO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado a través de la sede electrónica con fecha 3 de octubre de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición. Con fecha 10/10/2016 se recibe en esta Agencia copia del citado recurso de reposición presentado en la Subdelegación del Gobierno de Castellón. Dicho recurso lo fundamenta básicamente en: <<…PRIMERO.- CADUCIDAD DEL EXPEDIENTE SANCIONADOR al haber transcurrido más de seis meses desde que se dictó en acuerdo de iniciación del mismo sin recaer resolución (…) el plazo de caducidad en los procedimientos sancionadores ante la AEPD es de seis meses. Plazo que debe computarse, conforme la Sala de la Audiencia-Nacional ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 declarado con reiteración (SSAN 12-3-2008 Rec. 378/2006 y 2-12-2010, Rec. 759/2009), no desde la fecha en que se notifica el Acuerdo de inicio del procedimiento sancionador, sino desde la fecha en que se dicta dicho Acuerdo (dies a quo) y hasta la fecha que se notifica la resolución sancionadora (dies ad quem) (…) los plazos para emitir resolución expresa en los expedientes sancionadores lo son tanto para dictar la resolución como para que la misma sea notificada. La citada jurisprudencia ha declarado igualmente con reiteración que a efectos del cómputo de tal caducidad, ha de tomarse como plazo máximo el asignado por la Ley (seis meses en el presente caso) plazo dentro del cual ha de llevarse a cabo, o bien la notificación de la resolución o bien el intento de notificación debidamente acreditado en los términos expuestos en la sentencia del Tribunal Supremo de 17-11-2003 (RJ 2004\597) (…) el artículo 128 del RD 1720/2007, que aprueba el Reglamento de desarrollo de la LOPD establece en su apartado 1 que: el plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador, y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora o se acredite debidamente el intento de notificación; y añade en el ordinal 2 que: el vencimiento del citado plazo máximo, sin que se haya dictado y notificado resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones. Aplicando la anterior doctrina al presente caso, de conformidad con las actuaciones practicadas, tal y como se observa del propio expediente administrativo sancionador:

  1. a)el Acuerdo de inicio del expediente sancionador es de fecha 14/12/2009 (…) b)En fecha 4/2/2010 se acuerda la suspensión del procedimiento por prejudicialidad penal hasta que queda resuelto el mismo, al haber interpuesto una denuncia por injurias y calumnias unos de los denunciantes por los mismos hechos. Por lo tanto, desde que se inicia el expediente hasta que se suspende han transcurrido 1 mes y 21 dias.
  2. e)En fecha 17/3/2016, se dicta Resolución por la Agencia por la que se levanta la suspensión del presente procedimiento sancionador. Como se razonará a continuación, con independencia que se tome el 17-3-2016 como fecha referencia para entender levantada la suspensión, el expediente también consta caducado
  3. f)En fecha 7/9/2016 se notifica al interesado la Resolución R/01608/2016 que por la presente se combate. Por lo tanto, tomando la fecha de 29/2/2016, de acuerdo con la doctrina ya mentada de la AN, desde esa fecha hasta que se notifica la resolución al interesado el 7/9/2016, solo durante ese periodo, ya han transcurrido los seis meses. Pero es que además hay que contar el mes y 21 días transcurridos con anterioridad, por lo que en total la AEPD ha empleado 7 meses y 28 días para incoar, tramitar y resolver el expediente por lo que se ha excedido en 1 mes y 28 días. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Incluso en el caso de que la AEPD entendiera que la fecha que debe tomarse en consideración para entender por levantada la suspensión del procedimiento por prejudicialidad penal debe ser el 17/3/2016, por ser cuando se dicta la Resolución, aun así el plazo estaría excedido en 1 mes y 12 días (1 mes y 21 días de 14/12/2009 a 4/2/2010 y otros 5 meses y 21 días desde el 17/3/2016 hasta el 7/9/2016) (…) SEGUNDO.- NULIDAD DE PLENO DERECHO por infracción del artículo 62 letra
  4. b)Ley 30/92. Consta en el expediente la abstención del Director de la AEPD a favor del Subdirector. Debió ser este último quien dictara Resolución. TERCERO.- NULIDAD DE PLENO DERECHO por infracción del artículo 62 letra
  5. e)Ley 30/92. Constan solicitados medios de prueba por esta parte, sin que ni el Instructor ni la Directora se hayan pronunciado sobre la admisión o inadmisión de los mismos. En fecha 10/6/2016 esta parte presenta escrito de alegaciones y medios de prueba ante la Agencia. Entre otros medios de prueba interesados, se solicita requerimiento a los denunciantes para que ratifiquen la denuncia presentada en su día así como si es de su interés la prosecución del expediente, así como requerimiento a la Universidad denunciante para que remitiera el expediente disciplinario que en su día se aperturó contra el interesado. Dicho medios de prueba tenían como finalidad apuntada en el mismo escrito, de corroborar si, a la vista de los más de 6 AÑOS transcurridos desde que se inició el expediente, los denunciantes todavía manifestaban su deseo de ver crucificado al interesado que en su día fue su estudiante. En ese sentido, de las propias actuaciones en los folios 132 a 134 de la misma, consta escrito de uno de los denunciantes solicitando retirar la denuncia. Sin embargo, parece que la Agencia no ha tenido a bien valorar tal circunstancia pues los denunciantes que constan en el expediente son los mismos que en su día formalizaron la denuncia. Parece que por parte de esta Agencia, existe un ánimo de sancionar y reprender al interesado, que está por encima incluso de los deseos de alguno de los denunciantes, pues no solo no practican la prueba solicitada por el interesado, sino que hacen caso omiso incluso a las manifestaciones o escritos que ha formulado al menos uno de los denunciantes. CUARTO.- FALTA DE MOTIVACIÓN. RESOLUCIÓN INCONGRUENTE (…) La presente Resolución viene precedida por la propuesta de archivo del expediente por parte de la Instructora en base al 45.6 de la Ley 15/1999. Asimismo, añade en el FD 4º de la propuesta (…) Sin embargo, para la Directora de la Agencia, desestima de forma discrecional su aplicación considerando "la gravedad de las descalificaciones vertidas en la web frente a los denunciantes, profesores universitarios, y el perjuicio causado en su honor e imagen personal en su ámbito profesional". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 No existiendo ningún otro fundamento que justifique el por qué la Directora de la Agencia decide sancionar en contra de la opinión de la instructora del procedimiento, vamos a centrar el debate en torno a este desafortunado párrafo…>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II El artículo 6.1 de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...) (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El Grupo de Autoridades Europeas de Protección de Datos (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE, adoptó el 12 de junio de 2009 el Dictamen 5/2009, sobre las redes sociales en línea. Este documento se centra en cómo el funcionamiento de los servicios de redes sociales (SRS) puede satisfacer los requisitos de la legislación sobre protección de datos de la Unión Europea. En particular, en el documento se destaca cómo muchos usuarios de las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales, familiares o domésticos. Según destaca el GT29, la citada Directiva no impone las obligaciones de un responsable de datos a un individuo que procesa datos personales "en el transcurso de actividades estrictamente personales o domésticas". Siguiendo este precepto, el GT29 estima que, con carácter general, en la mayor parte de las actividades realizadas por los usuarios de un SRS debe aplicarse lo que denomina "exención doméstica", en lugar de la normativa de protección de datos. Ahora bien, en el Dictamen se especifican así mismo tres supuestos en los que tales actividades no estarían cubiertas por la "exención doméstica". El primer supuesto se refiere a los casos en los que se utiliza el SRS como plataforma de colaboración para una asociación o una empresa. Si un usuario de SRS actúa en nombre de una sociedad o asociación, o utiliza el SRS principalmente como una plataforma para conseguir objetivos comerciales, políticos o benéficos, la exención no se aplica. En este caso, el usuario asume todas las obligaciones de un responsable de datos que está revelando datos personales a otro responsable de datos (el SRS) y a terceros (otros usuarios del SRS o, potencialmente, otros responsables de datos con acceso a los mismos). En estas circunstancias, el usuario necesita el consentimiento de las personas concernidas o algún otro fundamento legítimo dispuesto en la Directiva de Protección de Datos. El GT29 expone que los prestadores del SRS deben garantizar la instauración de configuraciones por defecto gratuitas y que respeten la privacidad, restringiendo el acceso a los contactos seleccionados. En estas condiciones, cuando el acceso a la información del perfil se amplía hasta más allá de los contactos seleccionados, como cuando se facilita el acceso al perfil a todos los miembros del SRS o cuando los datos son indexables por motores de búsqueda, el acceso se sale de la esfera personal o doméstica. De igual manera, si un usuario toma una decisión informada de ampliar el acceso más allá de los "amigos" seleccionados, las responsabilidades inherentes a un responsable de datos se activan. Efectivamente, se aplicará el mismo régimen legal que cuando cualquier persona utiliza otras plataformas tecnológicas para divulgar datos personales en Internet. En varios Estados Miembros, la falta de restricciones de acceso (y así el carácter público) significa que la Directiva de Protección de Datos se aplica en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 el sentido de que el usuario de Internet adquiere responsabilidades de un responsable de datos. No obstante, el GT29 hace constar que, aunque la exención doméstica no se aplique, el usuario de SRS puede beneficiarse de otras exenciones como la exención con fines periodísticos o de expresión literaria o artística. En dichos casos, se ha de llegar a un equilibrio entre la libertad de expresión y el derecho a la privacidad. Finalmente, el GT29 aborda un tercer escenario en que la “exención doméstica” no sería aplicable. Se trata de aquellos supuestos en los que es preciso garantizar los derechos de terceros, particularmente en relación con datos sensibles. No obstante, se hace constar que, aun cuando se aplique la “exención doméstica”, un usuario podría ser responsable de acuerdo con las disposiciones generales de la legislación civil o penal nacional en cuestión (por ejemplo, por difamación, responsabilidad civil extracontractual por suplantación de personalidad, responsabilidad penal). En el Dictamen se aclara el concepto de “datos sensibles”. Así, los datos que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, la pertenencia a un sindicato o datos relativos a la salud o a la vida sexual se consideran sensibles. Los datos personales sensibles solo se pueden publicar en Internet con el consentimiento explícito del sujeto de datos o si el sujeto de datos ha hecho que los datos sean manifiestamente públicos él mismo. En consecuencia, de conformidad con el criterio interpretativo mantenido por el GT29, es preciso que concurra alguno de los escenarios expuestos, en los que la “exención doméstica” no resulta de aplicación, para que sean aplicables los requisitos previstos en la LOPD. En el presente caso no concurre ninguna de las excepciones expuestas, siendo por tanto plenamente aplicable la normativa de protección datos a la publicación de datos personales en Facebook sin restricciones de acceso para el resto de usuarios de la red social. En este sentido, a partir de las actuaciones de inspección practicadas, ha quedado acreditado el tratamiento sin consentimiento de los datos personales de los denunciantes. III El artículo 44.3.
  6. b)de la LOPD, en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La Audiencia Nacional ha manifestado en su Sentencia de 22 de octubre de 2003 que <<la descripción de conductas que establece el artículo 44.3.
  7. d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos…>> En el caso analizado, debe considerarse incumplido el principio de consentimiento regulado en el artículo 6 de la LOPD, lo que, en consecuencia, supone la comisión de una infracción tipificada como grave, actualmente en el trascrito artículo 44.3.
  8. b)de la citada Ley Orgánica. IV El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  24. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  25. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Por otro lado, la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en su artículo 128. 1 establece: “1. Serán de aplicación las disposiciones sancionadoras vigentes en el momento de producirse los hechos que constituyan infracción administrativa.” No obstante, dicha ley que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable, estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 presunto infractor”. En el presente supuesto, aunque se cumplen los requisitos recogidos en los incisos
  26. a)y
  27. b)del citado apartado 6 y teniendo en cuenta la aplicación excepcional del citado apartado por el órgano sancionador, no procede su aplicación, considerando la gravedad de las descalificaciones vertidas en la web frente a los denunciantes, profesores universitarios, y el perjuicio causado a su honor e imagen personal en su ámbito profesional. No obstante, teniendo en cuenta la cualificada disminución de la culpabilidad del imputado, pues no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción, así como haber solicitado en junio de 2009 a Facebook que eliminara, bloqueara y paralizara el funcionamiento de la aplicación en que se trataban los datos personales de los denunciantes, por todo ello procede imponer una sanción de 1.000 euros…>> III En relación con la alegación de caducidad del procedimiento sancionador PS/663/2009, y teniendo en cuenta que: - El acuerdo de inicio se dictó el 14/12/2009 y el 4/02/2010 se acordó la suspensión del mismo, recogiéndose en este último acuerdo “D. A.A.A. comunica mediante escrito que tiene entrada en esta Agencia Española de Protección de Datos el 22/01/10, que en el Juzgado de Instrucción nº 2 de Castellón, se están llevando a cabo las Diligencias Previas Procedimiento 4390/2009, en virtud de denuncia presentada.” - El acuerdo de levantamiento de suspensión se dictó el 17/03/2016 recogiéndose en el mismo: “Con fecha 16/02/2010 se recibe escrito del citado Juzgado de Instrucción. Solicitada información el 14/10/2010, el 17/05/2011 y el 14/11/2011, con fecha 16/12/2011 se recibe escrito comunicando el traslado del procedimiento al Juzgado ............... Con fechas 29/12/2011, 10/05/2012, 11/12/2012, 17/06/2013, 12/12/2013, 25/02/2015, 26/08/2015 y 16/02/2016 se solicitó al citado Juzgado .............. información sobre el Juicio Oral que tramita. SEXTO: En fecha 29/02/2016, se recibe escrito del citado Juzgado en el que se comunica: “…En virtud de lo acordado en el procedimiento arriba indicado, dirijo a Vd. El presente a fin de informarle del estado del presente procedimiento remitiéndoles copia del auto de archivo. En ***CIUDAD.1, a veintidós de febrero de dos mil dieciséis...” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Es decir el recurrente no informó a esta Agencia de la existencia del citado Auto de 11/07/2014 por que se declara extinguida por prescripción de la responsabilidad penal al recurrente, ni comunicó tampoco su cambio de domicilio. - Con fecha 21/03/2016 se produjo el intento de notificación del citado acuerdo de levantamiento de suspensión dictado el 17/03/2016. Dicho acuerdo le tuvo que ser notificado mediante su publicación en el BOE. Remitida notificación de inicio del periodo de práctica de pruebas el 25/04/2016 fue devuelta por el servicio de correos con la anotación de desconocido. Teniendo en cuenta que los datos del recurrente figuran como profesional del derecho en Internet, la Instructora le comunicó telefónicamente la fecha del BOE en el que figuraba la notificación del levantamiento. - Con fecha 11/05/2016 se recibe correo electrónico del denunciado informando de su nueva dirección postal y solicitando copia de diversos documentos del procedimiento, que le fueron remitidos mediante escrito de 17/05/2016. En el mismo se comunicaba: “ Acusamos recibo de su correo electrónico de 11/05/2016 por el que comunica una nueva dirección postal. Por la presente se le remite copia del Acuerdo de Levantamiento de suspensión del procedimiento sancionador que le fue notificado a través del BOE de 13/04/2016 y del escrito de notificación de apertura del periodo de práctica de pruebas. Así mismo, se acuerda otorgarle un plazo de diez días hábiles a la recepción del presente escrito, para que formule alegaciones y presente las pruebas que considere convenientes.” - Con fecha 26/08/2016 se dictó la Resolución sancionadora - Con fecha 31/08/2016 se produjo el primer intento de notificación de la Resolución sancionadora dictada el 26/08/2016. Dicho acuerdo se notificó finalmente el 7/09/2016 tras permanecer en la estafeta de correos. A pesar de que el artículo 44 de la ley 30/1992, establece: “Falta de resolución expresa en procedimientos iniciados de oficio. En los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver, produciendo los siguientes efectos: 1. En el caso de procedimientos de los que pudiera derivarse el reconocimiento o, en su caso, la constitución de derechos u otras situaciones jurídicas individualizadas, los interesados que hubieren comparecido podrán entender desestimadas sus pretensiones por silencio administrativo. 2. En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 92. En los supuestos en los que el procedimiento se hubiera paralizado por causa imputable al interesado, se interrumpirá el cómputo del plazo para resolver y notificar la resolución.” Por todo ello el periodo de tramitación del citado procedimiento fue desde el 14/12/09 al 04/02/10, desde el 17/03/16 al 26/08/16, por lo que se ha producido la caducidad del expediente sancionador. Hay que indicar que el 31/08/2016 es la fecha para computar el plazo de tramitación del procedimiento, con independencia de que el periodo de presentación del recurso de reposición, se inicie a partir del 7/09/2016, fecha en la que recogió de la estafeta de correos la notificación de la resolución. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 26 de agosto de 2016, en el procedimiento sancionador PS/00663/2009, anulando la sanción impuesta. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.