1/12 Procedimiento nº.: PS/00691/2015 ASUNTO: Recurso de Reposición Nº RR/00495/2016 Examinado el recurso de reposición interpuesto por la entidad ASOCIACION 11-M AFECTADOS DE TERRORISMO contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00691/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 8 de junio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador señalado con el número PS/00691/2015, en virtud de la cual se imponía a la entidad Asociación Peones Negros de Madrid una sanción de 100.000 € (cien mil euros), por la vulneración de lo dispuesto en el artículo 7.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como muy grave en el artículo 44.4.
- b)de la misma norma, y de conformidad con lo establecido en el artículo 45.3, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada a la entidad ASOCIACION 11-M AFECTADOS DE TERRORISMO en fecha 8 de junio de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00691/2015, quedó constancia de los siguientes: <<1. La Asociación Peones Negros de Madrid figura inscrita en el Registro de Asociaciones de la Comunidad de Madrid, con fecha 15/01/2007, con el código correspondiente a “Actividades cívico-políticas”. Según consta en sus Estatutos, se constituye sin ánimo de lucro y con un período de duración a término, que se producirá cuando “quede esclarecida a satisfacción la autoría de los atentados que se produjeron el once de marzo de dos mil cuatro en los trenes del Corredor del Henares y los autores san sometidos a la acción de la justicia”. Entre los fines que persigue la Asociación, el artículo 3 de los Estatutos enumera los siguientes: “
- a)El estudio de todos los documentos judiciales, administrativos, científicos y de cualquier otra índole, que permitan analizar con rigor la investigación de los hechos y colaborar con la justicia.
- b)Divulgar el resultado de los estudios y análisis al resto de la ciudadanía.
- c)Acopiar los medios necesarios para una buena gestión de la documentación.
- d)Promover iniciativas para la divulgación de su actividad entre la ciudadanía.
- e)Colaborar en la medida y los aspectos en que se demande su apoyo con las víctimas del terrorismo”. 2. La entidad Asociación Peones Negros de Madrid es titular de los dominios de internet www.peonesnegros.info y www.peonesnegroslibres.com. 3. Con fecha de 21/01/2015, tuvo entrada en esta Agencia una denuncia contra la Asociación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Peones Negros de Madrid por la publicación a través de Internet de diversa documentación (libros de familia, informes médicos, informes de autopsias, informes de minusvalías, etc.) relacionada con personas implicadas en el atentado del 11 de marzo de 2004, en la URL A.A.A.. 4. Con fecha 30/01/2015, por los Servicios de Inspección de la AEPD, utilizando el buscador de Internet Google, se realizó una búsqueda utilizando como criterio el nombre y apellidos de la persona afectada reseñada en la denuncia, obteniendo como primer resultado un enlace a la página web www.peonesnegros.info con el siguiente texto: “(PDF) 203.tif – Peones Negros www.peonesnegros..........pdf F.F.F., SECRETARIO D UZGADOCETRAL DE… Documentación que acredita a… (nombre y apellidos del hijo de la afectada) como perjudicado”. Dicho enlace permitía el acceso a diversa documentación perteneciente al sumario de un procedimiento seguido en el Juzgado Central de Instrucción nº 6 de Madrid (año 2004), en el que intervienen la Asociación 11 M Afectados de Terrorismo y asociados a la misma, que contiene, entre otros documentos, un Listado de Perjudicados integrado por 113 personas, heridos directos o familiares de fallecidos y heridos víctimas de terrorismo, entre los que se encuentra el hijo de la afectada. Este listado consta como documento adjunto a un recurso de reforma y subsidiario de apelación, en el que las personas que se relacionan en el mismo solicitan intervenir en el procedimiento como acusación particular junto con la Asociación 11 M Afectados de Terrorismo. Asimismo, dicho Sumario contiene providencias o recursos en los que se cita el nombre y apellidos de alguno-s de los perjudicados, así como otros documentos con datos de carácter personal (nombres, apellidos, DNI, domicilio, parentesco, fecha y lugar de nacimiento, número de tarjeta sanitaria, número de afiliación a la Seguridad Social, teléfono, etc.), tales como fotocopias de Libro de Familia, informes médicos, certificados del Ministerio del Interior sobre la condición de víctima de acto terrorista, notas simples del Registro de la Propiedad, certificados de registro municipales de parejas de hecho, volantes de empadronamiento, partes médicos de incapacidad temporal, alta, baja o confirmación, tanto el ejemplar del trabajador, en el que figura el diagnóstico, como el ejemplar para la empresa, según los casos, etc. 5. Con fecha 09/12/2015, por la Subdirección General de Inspección, utilizando el buscador de Internet Google, se realizó una búsqueda utilizando como criterio el nombre y apellidos de la persona afectada reseñada en la denuncia, el mismo utilizado en la búsqueda reseñada en el Hecho Probado Cuarto, no obteniendo en la primera página de resultados ningún enlace a la página web www.peonesnegros.info. Asimismo, se realizó una búsqueda con la URL B.B.B. como criterio, que no obtuvo ningún resultado. 6. Con fecha 28/04/2016, los Servicios de Inspección de la AEPD comprobaron que a través de las URLs A.A.A. y C.C.C. se obtiene un página de error (recurso no encontrado). Asimismo, se constata que el acceso a través de la URL D.D.D. muestra un directorio con una estructura de subdirectorios numerados del 1 al 6, estando ausente el numerado como 5: 1 Instrucción 2 Juicio oral 3 Sentencia Audiencia Nacional 4 Sentencia Tribunal Supremo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 6 Ley de Enjuiciamiento Criminal 7. Con fecha 28/04/2016, los Servicios de Inspección de la AEPD, utilizando el buscador de Internet Google, realizaron una búsqueda utilizando como criterio el nombre y apellidos “ J.J.J.”, que no obtuvo resultados en el conjunto de las páginas del dominio peonesnegros.info. Por otra parte, se realiza una búsqueda con el nombre y apellidos de tres afectados seleccionados aleatoriamente entre las personas que figuran en los documentos incorporados a las actuaciones. En dos de los casos se obtuvieron cuatro enlaces al conjunto de las páginas del dominio peonesnegros.info, que permitían acceder a documentos del Sumario ***/2004, entre los que figuran un Auto de DD/MM/AA, que contiene una relación de fallecidos y heridos a consecuencia de los atentados terroristas del 11 de marzo de 2004 en Madrid, con detalle del nombre, apellidos y lugar; el documento Conclusiones de la Fiscalía”, que incluye datos de personales de afectados con detalle de su nacionalidad, fecha de nacimiento y profesión; un listado de heridos, que contiene una relación de personas con detalle del nombre, apellidos y hospital; y copia parcial de la Sentencia dictada por la Audiencia Nacional 65/2007, que incluye un listado de lesionados. 8. Con fecha 03 y 09/05/2016, los Servicios de Inspección de la AEPD comprueban que el sitio web H.H.H. facilita un acceso “en abierto” al fondo documental. Para ello se proporciona un enlace, un usuario y una clave de acceso. La parte final de la publicación indica: “Pinchad aquí: Usuario: peon Contraseña: negro “CON FECHA DE 19 de MARZO de 2015, HEMOS TENIDO QUE QUITAR EL SUMARIO POR CUESTIONES RELACIONADAS CON LA LOPD. Si alguien quiere tener acceso al Sumario, le podemos ayudar a localizarlo”. Asimismo, se verifica que, con el nombre de usuario y clave proporcionados, a través del sitio web E.E.E. se accede a un gestor de ficheros y carpetas web en el que se encuentra el fondo documental citado. El gestor permite la navegación en la estructura de directorios y la visualización y descarga de los documentos contenidos en la estructura (incluye archivos de texto, imagen, video y audio). La estructura tiene, en su primer nivel, las siguientes carpetas: 1 Comisión de investigación parlamentaria 2 Juicio 11-M de 2007 3 Otros juicios relacionados 4 Registros de medios de comunicación 5 Investigación 6 Material de divulgación A) La segunda de las carpetas, denominada “2 Juicio 11-M de 2007”, contiene a su vez el directorio de carpetas reseñadas en el Hecho Probado Sexto. Los Servicios de Inspección accedieron a diversos documentos, de los que incorporan copia total o parcial a las actuaciones: . El documento denominado “Declar........”, que contiene parte de la declaración de un testigo prestada en el procedimiento seguido en el Juzgado Central de Instrucción nº 6 de Madrid señalado con el número ***/04. . Auto de DD/MM/AA, citado en el Hecho Probado Séptimo. Contiene una lista con los nombres y apellidos de fallecidos y otra con los de heridos/perjudicados, entre los que figura la afectada Dña. I.I.I., así como el nombre y apellidos de algunos de los procesados a los que se cita para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 toma de declaración indagatoria. . Sentencia dictada por la Audiencia Nacional en el procedimiento ***/04. Contiene nombre y apellidos de los fiscales y letrados participantes, de intérpretes, acusados (nombre y apellidos, NIF o NIE, lugar y fecha de nacimiento, nombre de sus padres y delitos de los que se le acusa), personas con las que éstos mantuvieron contacto durante el atentado, policías heridos, lista de lesionados en los atentados. Los listados de lesionados incluyen los datos personales de los afectaos relativos a nombre y apellidos, tiempo de curación o estabilización (se indica el tiempo requerido para la curación o estabilización expresado en días, los días de hospitalización, días impeditivos totales o parciales) y secuelas (disminución e agudeza auditiva, persistencia de cuerpos extraños, artrosis postraumática, trastorno por estrés postraumático, pérdidas de piezas dentales, parestasias de partes acras, disestasias en tórax, perjuicio estético, trastorno depresivo, etc.). Entre los lesionados figura la afectada Dña. I.I.I.. . 2006-...........pdf. Documento de 3 páginas que contiene la declaración perteneciente a las Diligencias Previas 147/2006 de una Inspectora de la Unidad Central de Desactivación de Explosivos y NRBQ que se identifica mediante número profesional. . 2006-07-05 Auto procesamiento.pdf. Auto del sumario ***/2004 (197 páginas). Contiene la lista de los 29 procesados con nombre, apellidos y delitos que se les imputan. Contiene varias listas con los nombres y apellidos de 56 personas que deben de ser incluidas entre los lesionados y que no constan en las listas anteriores. . M.M.M..doc. Auto de 25 de septiembre de 2006 del sumario ***/2004 (11 páginas) por el que se rechaza el recurso interpuesto por uno de los imputados. . p*****.doc. Documento de una página que contiene la declaración de un policía nacional que se identifica mediante número profesional. . Pericial de explosivos.pdf. Informe pericial de 222 páginas sobre los explosivos utilizados en el atentado. Incluye los DNI de los peritos actuantes y los números profesionales de los policías y guardias que intervinieron en las actuaciones. . resumen.........htm. Documento resumen de lo acontecido en el juicio del sumario ***/2004 el 29 de junio de 2007. . S05-D01.pdf. Documento de 55 páginas con la declaración del imputado L.L.L.. . DMOTOS.asf. Video de la declaración de la testigo número 374 a quien se identifica con nombre y primer apellido. Las imágenes muestran de espaldas a la testigo. . Sentencia Tribunal Supremo.pdf. Documento de 928 páginas que contiene la sentencia ****/2008 de 17 de julio de 2008. El tipo de datos personales hallados es idéntico al de la Sentencia de la Audiencia Nacional antes reseñada. . Se incorpora a las actuaciones impresiones de pantalla de otras carpetas accesibles bajo la carpeta “2 Juicio 11-M de 2007” con una muestra de los cientos de documentos accesibles. Incluye archivos en formato texto, imagen, audio o video sobre declaraciones, juicio oral (audios y videos, resúmenes, transcripciones), etc. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 B) De la carpeta “3 Otros juicios relacionados”, los Servicios de Inspección de la AEPD accedieron a los siguientes ficheros: . G.G.G.. Documento de 15 páginas que contiene el auto de 10/10/2005 del S. Ordinario 9/03-P. Contiene los nombres y apellidos de las personas llamadas a declarar como testigos . K.K.K.. Documento de 41 páginas que contiene la querella criminal presentada contra varios policías nacionales, un comisario de la policía nacional y un perito. C) De la carpeta “5 Investigación”, los Servicios de Inspección de la AEPD accedieron a los siguientes ficheros: . Sumario Asturias.pdf. Documento de 31 páginas que contiene copia del archivo de las Diligencias de Investigación 191/2004 remitido por una letrada de la Comisión de Investigación del 11 M al Fiscal General del Estado. El documento contiene los nombres y apellidos de personas relacionadas con los explosivos que podrían haberse utilizado en los atentados. . Informe Tedax. Informe de una página sobre los explosivos hallados en un vehículo donde constan el nombre y los apellidos del Comisario Jefe que lo firma. . Informe CGI.pdf. Documento de 147 páginas que contiene un informe de las “Operaciones de la Comisaría General de Información contra el terrorismo integrista islámico entre 1996/2004”. En el documento constan los nombres, apellidos, nacionalidad y números de documentos identificativos de los detenidos en investigaciones relacionadas con el terrorismo integrista islámico. . Retratos Robot.pdf. Documento de 15 páginas que contiene los retratos robot y las descripciones físicas de sospechosos de los atentados. . heridos.txt. Listado provisional de heridos proporcionado por el 112, Policía y los hospitales (23:45). . heridos.........txt. Lista de los heridos que contiene nombre y apellido de los afectados junto con el centro hospitalario en el que fueron atendidos. 9. En su respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección de la AEPD, la Asociación Peones Negros de Madrid manifestó que “los documentos del sumario del juicio del 11-M que se encuentra publicado en la página web http://peonesnegros.info, es el propio sumario ***/04”, que no dispone de “autorización alguna para la publicación en la página mencionada, del contenido del sumario en cuestión” y que ha procedido a “eliminar de la web el sumario ***/04, impidiendo así su acceso”>>. TERCERO: Con fecha 7 de julio de 2016, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad denunciante, ASOCIACION 11-M AFECTADOS DE TERRORISMO (en lo sucesivo ASOCIACION 11-M o la recurrente), recibido en esta Agencia en fecha 12 de julio de 2016. Solicita que se dicte nueva resolución en la que se imponga a la entidad denunciada las sanciones correspondientes a las infracciones de los artículos 7.3 y 10 de la LOPD, entendiendo que no concurren los presupuestos necesarios para la aplicación del concurso medial de infracciones entre el tratamiento de datos y el deber de secreto; o, subsidiariamente, que se imponga una sanción por la infracción del artículo 7.3 citado según la escala establecida para las infracciones muy graves en grado máximo. Ello conforme a las consideraciones siguientes: . No se aprecia base que justifique la aplicación del concurso medial de infracciones. Recabar y tratar los datos son conductas que no implican per sé la infracción del deber de secreto, según se recoge en la resolución impugnada cuando declara “que la infracción se consuma con la recogida y conservación de los datos personales sin el consentimiento de sus titulares, con independencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 de que los mismos se ofrezcan al público en general o se mantuvieran en una zona efectivamente restringida a disposición únicamente de usuarios registrados”, o cuando señala que “cabe reiterar que la recogida y conservación de documentos en los que se contienen datos de carácter personal, así como su incorporación a una página web, constituyen un tratamiento de datos de carácter personal”. Así se desprende también del artículo 4.4 de la LOPD, que tipifica como infracción grave tratar o ceder los datos, y es doctrina de la propia Agencia recogida en la resolución dictada en el PS/00448/2013. La infracción del deber de secreto podría no haberse producido y el tratamiento de datos sería sancionable de todas formas. Se trata, por tanto, de dos conductas distintas que dan lugar a dos infracciones autónomas. El concurso medial tiene su origen en el artículo 77 del Código Penal (“Lo dispuesto en los dos artículos anteriores no es aplicable en el caso de que un solo hecho constituya dos o más delitos, o cuando uno de ellos sea medio necesario para cometer otro…”), según el cual la pena se aplicará, bien en su mitad superior la prevista para la infracción más grave, o bien una superior a la que hubiese correspondido por la infracción más grave. Esta previsión, cuya aplicación es incompatible con la reducción de la sanción a la escala que precede en gravedad, no ha sido observada por la resolución de la AEPD. . En cuanto a la aplicación de lo establecido en el artículo 45.5 de la LOPD, apreciada por la Agencia considerando la retirada del sumario “tal y como aparecía en la web durante la fase previa de investigación, eliminando el acceso por parte de terceros a documentos personales que integraban el cuerpo de dicho sumario” antes de tener conocimiento de la investigación, señala la recurrente que dicha retirada se produjo el 19/03/2015, según confesión de la imputada, casi dos meses después de formulada la denuncia y un mes antes de responder al requerimiento de información de la AEPD, cuya fecha no se indica. Más bien parece que la retirada se produce por el procedimiento en curso, como se deduce de la justificación ofrecida por la denunciada: “Hemos tenido que quitar el sumario por cuestiones relacionadas con la LOPD”. Además, no cabe apreciar la cualificada disminución de la culpabilidad o de la antijuridicidad cuando la Asociación Peones Negros de Madrid informa en su web que “si alguien quiere tener acceso al Sumario, le podemos ayudar”, lo que demuestra que no se ha deshecho de dicho sumario y sigue tratando los datos protegidos que se incluyen en el mismo, e invita a ver, descargar y ampliar el fondo documental, así como a copiarlo y difundirlo. Aún a día de hoy siguen publicadas íntegras en el fondo documental las sentencias que contienen los nombres, apellidos, secuelas, datos sobre el tiempo de hospitalización y/o curación de todas las personas heridas. La propia resolución considera acreditado que continúa accesible sin restricción el fondo documental a través de la web de la asociación y que los documentos que lo integran son indexados por buscadores de internet. Esos documentos y esa información continúan publicados en la web a día 27/06/2016, según consta en las impresiones de pantalla que aporta, ya instruido el procedimiento sancionador y notificada la resolución semanas antes. Cualquiera puede acceder a datos personales de los afectados (basta con introducir el nombre de usuario y contraseña que la misma web proporciona), incluidos los relativos a la persona que advirtió dicha publicación y dio origen a la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Estos hechos, mantenidos durante años (imposible determinar cuántas descargas se han realizado y cuántas puede seguir habiendo), y reconocidos en la resolución, deberían operar como circunstancias agravantes de la responsabilidad. Tratarlos como causas de reducción de la sanción resulta contrario a toda lógica técnico-jurídica. Además, la conducta es intencionada y afecta a víctimas de terrorismo, a cuya memoria, dignidad y justicia debe procurarse una especial protección a tenor de lo dispuesto en la Ley 29/2011, de 22 de septiembre, de Reconocimiento y Protección Integral a las Víctimas del Terrorismo. . En cuanto a la graduación de la sanción, la Asociación recurrente señala que la resolución no concreta los motivos por los que en el concurso de dos circunstancias agravantes y dos atenuantes, pesan más éstas que las primeras de modo que la sanción se imponga en la mitad inferior de la escala. No se justifica que el “volumen de negocio o actividad del infractor” sea tan limitado como para ser causa de reducción de la sanción, y no parece que esta circunstancia junto con la “vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” puedan tener más peso que el “carácter continuado de la infracción” y “el alto volumen de tratamientos efectuados”. Por otra parte, considera que debió apreciarse “el grado de intencionalidad”, que parece indiscutible, según los hechos antes expuestos. No se trata de un acto fortuito o involuntario, ni una actuación negligente o aislada de un miembro de la asociación, sino una actividad consciente, deliberada y dirigida a un objetivo que se determina en la propia web. Asimismo, la circunstancia agravante a la que se refiere la letra
- h)del artículo 44.4 de la LOPD tiene fundamento en la especial tutela y amparo que dispensa la legislación española a las víctimas del terrorismo, que encomienda a los poderes públicos garantizar que sean tratadas con respeto a sus derechos y asegurar la tutela efectiva de su dignidad. La acertada aplicación de estos criterios hubiera servido también como fundamento de la no aplicación del artículo 45.5 de la LOPD, que no puede operar cuando la concurrencia significativa de varios de los criterios enunciados en al apartado 4 son mayoritariamente agravantes. Entiende que tampoco se cumple el supuesto ni siquiera en los términos de la resolución recurrida, ya que no se verifica esa concurrencia significativa de varios de los criterios por el concurso de dos agravantes de más relevancia que las atenuantes consideradas. Finalmente, señala que el incumplimiento por la entidad infractora del deber de adoptar las medidas necesarias para poner fin a la vulneración del artículo 7.3 de la LOPD en el plazo de un mes, debería significar automáticamente la concurrencia de otra circunstancia agravante a la hora de resolver el presente recurso. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 II En primer término, conviene delimitar si la Asociación denunciante está legitimada para interponer recurso de reposición con el propósito de que la resolución impugnada se revise “in peius” para la denunciada, si existe interés suficiente y legítimo para la impugnación de la resolución por parte de la recurrente, al objeto de que se imponga una sanción superior. Se tiene en cuenta, al respecto, que la condición de denunciante no otorga por sí la de interesado, y que la LOPD y el Reglamento de desarrollo no se refieren a interesado sino a afectado, señalando que se le comunique la resolución final. Además, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 6/10/2009 determina que “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. Aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso-administrativo. Por tanto, el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.). Por otro lado, la sentencia del Tribunal Supremo, Sala de lo Contencioso, sección: 7, nº de Recurso: 234 / 1995, de 12/09/1997 refiere que el concepto de legitimación y su atribución a un sujeto determinado responden a una misma idea en la vía administrativa y en la contenciosoadministrativa: la titularidad por parte del legitimado de un derecho o de un interés legítimo en que prospere su pretensión, como se desprende fundamentalmente del artículo 24.1 de la Constitución y se recoge en el artículo 31 de la LRJPAC. El interés legítimo equivale a una titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta. Es decir, la relación entre el sujeto y el objeto de la pretensión, con la que se define la legitimación activa, comporta el que la anulación del acto que se recurre, para imponer una cuantía superior, sea en vía administrativa o jurisdiccional, produzca de modo inmediato un efecto positivo (beneficio) o negativo (perjuicio) actual o futuro para el legitimado, pero cierto. Por decirlo con palabras del Tribunal Constitucional (S.T.C. 143/1987, F.D. 3º) el interés legítimo, al que se refiere el art. 24.1 (en el que debe disolverse el concepto más restrictivo del art. 28.1.a L.J.C.A.), "equivale a titularidad potencial de una posición de ventaja o de una utilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta" (SS.T.C. 60/1982, 62/1983, 257/1988 y 97/1991, entre otras)". No existiendo en el supuesto examinado la titularidad de un derecho subjetivo, que en ningún caso puede atribuirse a los denunciantes de una infracción de protección de datos en relación con la sanción de la misma, no se advierte que la recurrente tenga un interés legítimo en la impugnación ante esta Agencia de la resolución dictada en lo que respecta a la imposición de una multa a la denunciada y su cuantía, porque la situación jurídica de la denunciante-recurrente no experimenta ventaja alguna por el hecho de que se sancione a la denunciada con una multa por importe superior. Por lo tanto, en el presente recurso de reposición, el recurrente no se halla legitimado para que la resolución dictada sea modificada elevando la cuantía de la multa impuesta, procediendo la desestimación del mismo. No obstante, se estima oportuno efectuar algunas precisiones en relación con lo manifestado por la ASOCIACION 11-M en su escrito de recurso sobre la graduación de la sanción impuesta. En este caso, se denunció la publicación en una página web de documentación relacionada con personas implicadas en el atentado del 11 de marzo de 2004, haciendo referencia expresa en la denuncia a documentos como libros de familia, informes médicos de amputaciones y minusvalías o partes de baja. Las actuaciones de investigación desarrolladas por los Servicios de Inspección de esta Agencia permitieron comprobar que la página web www.peonesnegros.info permitía el acceso al sumario de un procedimiento seguido en el Juzgado Central de Instrucción nº 6 de Madrid (año 2004), integrado por documentos personales de heridos directos o familiares de fallecidos y heridos víctimas de terrorismo como los mencionados en la denuncia. En concreto, se comprobó que el Sumario incorporado a la web contenía, además de providencias o recursos, etc., documentos con datos de carácter personal (nombres, apellidos, DNI, domicilio, parentesco, fecha y lugar de nacimiento, número de tarjeta sanitaria, número de afiliación a la Seguridad Social, teléfono, etc.), tales como fotocopias de Libro de Familia, informes médicos, certificados del Ministerio del Interior sobre la condición de víctima de acto terrorista, notas simples del Registro de la Propiedad, certificados de registro municipales de parejas de hecho, volantes de empadronamiento, partes médicos de incapacidad temporal, alta, baja o confirmación, tanto el ejemplar del trabajador, en el que figura el diagnóstico, como el ejemplar para la empresa, según los casos, etc. Asimismo, en las actuaciones también quedó constancia de que el citado sumario había sido retirado de la web, tal y como aparecía en la misma durante la fase previa de investigación, eliminando el acceso por parte de terceros a documentos personales como los mencionados anteriormente, que integraban el cuerpo de dicho sumario. Por este motivo, y teniendo en cuenta que dicha eliminación se produjo a iniciativa propia de la entidad denunciada antes de que la misma tuviese conocimiento de la denuncia formulada y de la investigación que se estaba desarrollando, que le fue comunicada mediante el requerimiento efectuado por los Servicios de Inspección en fecha 14/04/2015, se estimó que concurrían circunstancias suficientes para la aplicación de lo establecido en el artículo 45.5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Por otra parte, el hecho de que numerosos documentos permanezcan en el fondo documental dispuesto por la asociación denunciada en su web, accesible a terceros, se tuvo en cuenta para graduar la sanción, ponderando al alza la cuantía impuesta. Del mismo modo, esta circunstancia determinó el acuerdo adoptado en la resolución impugnada, por el que se requiere a la Asociación Peones Negros de Madrid el cese en el tratamiento de los datos de carácter personal que constituyen el objeto del procedimiento. Asimismo, cabe señalar que el tipo de “actividad del infractor” y la escasa “vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, se consideran por esta Agencia, con carácter general, como criterios que gradúan el importe de la sanción a la baja en supuestos relativos a entidades sin ánimo de lucro. Por último, en relación con esta cuestión, cabe advertir que la determinación del importe de la multa ha de realizarse, obviamente, conforme a los criterios específicos establecidos en las normas aplicables, y no por aplicación analógica de los criterios regulados en otras normas sancionadoras o penales. III La entidad ASOCIACION 11-M alega en su recurso que no está justificada la aplicación del concurso medial de infracciones, por cuanto recabar y tratar los datos son conductas que no implican per sé la infracción del deber de secreto, que podría no haberse producido y, aun así, el tratamiento de datos sería sancionable. Se trata, a juicio de la recurrente, de dos conductas distintas que dan lugar a dos infracciones autónomas. Esta cuestión ha de analizarse teniendo en cuenta, principalmente, el objeto del procedimiento. Según ha quedado expuesto, en este caso, se denunció la publicación en una página web de documentación en la que constan datos de carácter personal de los afectados, dando lugar a la apertura de una fase previa de investigación con el concreto propósito de verificar tales hechos y determinar la identidad de los presuntos responsables. Del mismo modo, el acuerdo de iniciación del procedimiento sancionador PS/00691/2015 se formaliza con el objeto específico que se expresa en el mismo. En los Fundamentos de Derecho de este acuerdo se indica expresamente lo siguiente: <<PRIMERO: Sin perjuicio de lo que resulte de la instrucción, los hechos expuestos, en relación con la incorporación a la web www.peonesnegros.info del Sumario objeto de la denuncia con la indicación de los datos personales de los afectados, incluidos datos de salud, podrían suponer la comisión, por parte de la entidad Asociación Peones Negros de Madrid, de una infracción del artículo 7.3 de la LOPD… SEGUNDO: Los hechos expuestos, en relación con la divulgación del Sumario objeto de la denuncia con la indicación de los datos personales de los afectados, podría suponer la comisión, por parte de la entidad Asociación Peones Negros de Madrid, de una infracción del artículo 10 de la LOPD…>>. El procedimiento tramitado con este objeto, que dio lugar a la resolución impugnada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 permitió concluir en el Fundamento de Derecho IV que el tratamiento que realiza la Asociación Peones Negros de Madrid de los datos personales relativos a personas afectadas por el atentado ocurrido en Madrid el 11 de marzo de 2004 y que intervinieron de alguna forma en los procedimientos judiciales que se desarrollaron a consecuencia del mismo, incorporando a la web www.peonesnegros.info documentación perteneciente al sumario de un procedimiento seguido en el Juzgado Central de Instrucción nº 6 de Madrid (año 2004), constituye un tratamiento de datos de carácter personal que fue realizado por dicha asociación sin el consentimiento de los titulares de tales datos personales. Asimismo, se concluyó que la entidad Asociación Peones Negros de Madrid, con la incorporación de los archivos mencionados a aquella web, permitió el acceso por parte de terceros a datos personales relativos a los afectados, vulnerando el deber de secreto garantizado en el artículo 10 de la LOPD. Por tanto, según se declaró en la misma resolución, resulta que “los hechos constatados, consistentes en tratar los datos de los afectados, insertando los archivos que los contenían en una web accesible por terceros no interesados, constituyen una base fáctica para fundamentar la imputación a Asociación Peones Negros de Madrid de las infracciones de los artículos 7.3 y 10 de la LOPD”. Esta situación en la que un mismo hecho (incorporación de datos personales a una web) deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra (concurso medial), ha de resolverse conforme a lo establecido expresamente en el artículo 4.4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, procediendo subsumir ambas infracciones y declarando únicamente en consecuencia, la infracción originaria que ha implicado la comisión de la otra, en este caso, la infracción del artículo 6 por el tratamiento de datos personales reseñado. IV Por lo tanto, en el presente recurso de reposición, la entidad ASOCIACION 11 M AFECTADOS DE TERRORISMO no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad ASOCIACION 11-M AFECTADOS DE TERRORISMO contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 8 de junio de 2016, en el procedimiento sancionador PS/00691/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad ASOCIACION 11-M AFECTADOS DE TERRORISMO. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es