Sanción Ley Protección Datos personales.
PRIMERO.- El presente recurso contencioso administrativo tiene como objeto la resolución del Director de la Agencia Española de Protección de Datos(AEPD), de 21 de julio de 2004, por la que se le impone a la misma una sanción de 60.101,21 Euros, por una infracción de los artículos 4.2 y 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre , de Protección de Datos de Carácter Personal (LPOD) , tipificada como infracción grave en el artículo 44.3.d de dicha norma , de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica .
SEGUNDO.- La mencionada resolución administrativa impugnada se sustenta en los siguientes hechos:
PRIMERO .- En fecha 12/06/2003 queda acreditado que el personal de la entidad AUNA adscrito al Departamento de Atención al Cliente, tiene acceso al código de usuario y contraseña asociada del cliente DIRECCION000 figurando en forma legible.
SEGUNDO.- El hecho acreditado anterior también se constata en clientes nuevos tras registrar el alta de las claves de usuario y contraseñas personales de acceso.
TERCERO.- La entidad -----------------SA accedió al correo DIRECCION000 mediante claves de usuario y contraseña personal de acceso del afectado y titular de la cuenta, haciendo uso de las mismas para finalidades incompatibles con aquellas para las que fueron registradas en el sistema de información ---------------SA.
La presente resolución recurrida, con base a los citados hechos declarados probados, impuso dos sanciones de multa de 60.101,21 euros, una a -------------, por infracción del artículo 11 de la LOPD , y otra a la recurrente en este proceso, SA, por infracción, como ya se ha expuesto, del artículo 4.2 de esa misma Ley Orgánica .
Centrándonos en la conducta de la recurrente en este procedimiento, la resolución recurrida considera que la misma vulnera el artículo 4.2 de la LOPD , el cual establece que no podrán usarse los datos de carácter personal para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. En el supuesto de autos, los códigos del usuario y sus respectivas claves personales de acceso se mantenían en el sistema de información de-------------------, al objeto exclusivo de dar servicio de correo a los clientes y permitir el control técnico de las comunicaciones realizadas, así como para identificar inequívocamente al cliente a los efectos de tráfico y facturación del servicio prestado, de ahí, continua el acto recurrido, que esos datos no puedan se utilizados por el operador para uso discrecional, utilización que en el presente caso ha dado lugar a la suplantación de la personalidad del cliente por parte de un empleado de la operadora recurrente, lo que constituye una manifiesta incompatibilidad con la que justifica el mantenimiento en el sistema de información de esta entidad. Concluye la resolución recurrida señalando que ---------------ha tratado los datos personales del denunciante para una finalidad incompatible con aquella para la que fueron registrados, dado que a partir de las claves del cliente que figuraban legibles en el sistema de información, un empleado de la citada entidad ha generado correos suplantando la personalidad del afectado. En consecuencia, esa vulneración del principio de calidad de datos hace, termina la resolución recurrida, que la referida conducta sea incardinable en una infracción grave del artículo 44.3.d de la LOPD , imponiéndole a la recurrente, autora de la misma, la multa prevista para tal tipo en esa misma Ley en su grado mínimo.
TERCERO.- La entidad mercantil recurrente alega, en primer lugar, que la misma es una empresa dedicada prácticamente al telemarketing, contando entre sus clientes a ---------Telecomunicaciones-----------, con quien contrató el llamado "Servicio Técnico de la campaña -------------y cuyo objeto consistía en dar asistencia a aquellos usuarios que lo solicitasen como consecuencia de problemas que pudieran detectar o encontrar en el uso de su correo electrónico . Para prestar sus servicios, esa empresa contaba con una plantilla de trabajadores que suscribían un contrato laboral entre cuyas cláusulas figuraba una por la que el trabajador se comprometía, entre otras cosas, a no utilizar con fines personales o distintos de los propios para los que se le ha facilitado..... Estas labores de dichos trabajadores las controla --------------SA mediante motorización aleatorias y a los efectos de medir el trabajo y la calidad con que se ejecuta, controles que se realizan por medios técnicos o por los propios coordinadores. Por último, añade sobre este punto que ese control resulta en un caso como el presente muy problemático, pues los datos que usa el agente son los usuales y normales para su trabajo, de suerte que es difícil establecer cuándo está realizando pruebas para superar el problema detectado en el correo electrónico , o, cuando, prevaleciéndose de tal circunstancia, está haciendo mal uso de ello.
En segundo lugar, dicha parte alega que, partiendo de que los hechos denunciados fueron cometidos por un empleado de la misma, lo cierto es que a su entender ese correo electrónico del denunciante usado indebidamente por el empleado de dicha empresa recurrente no constituye dato personal en los términos definidos en el artículo 3 de la LOPD , por cuanto se exige que el mencionado correo electrónico esté vinculado a la persona del titular del mismo, es decir, cuando el tratamiento suponga la vinculación de la identidad del afectado a la dirección electrónica . Ello no concurre en el presente caso, en el que el denunciante se llama------------------, y la denominación de su correo electrónico es DIRECCION000, lo que infiere que no existe esa necesaria vinculación personal entre la dirección electrónica y su titular, por lo que el uso de la misma, aunque pudiera considerarse contraria a la finalidad para la que se exteriorizó, no vulnera la LOPD, la cual únicamente protege datos de carácter personal. En consecuencia, a dicha parte no se le puede imputar la infracción del artículo 4.2 de la Ley 15/99 , por cuanto que no han sido tratados datos de carácter personal, careciendo la sanción pecuniaria impuesta de soporte legal alguno.
Con carácter subsidiario, dicha parte alega que el Código Civil, en su artículo 1903, establece que cesa la responsabilidad (extracontractual) del art. 1.902 , por aquellas personas por las que se debe responder, cuando, como en este caso, el empresario pruebe haber empleado toda la diligencia de un buen padre de familia para prevenir el daño. En el caso de autos, considera dicha parte, como ya indicó en su motivo primero, que la misma utilizó todos los medios a su alcance para evitar un hecho como el que se produjo, e incluso cuando se realizó la inspección, efectuó los registros y detectó al causante de los hechos y lo identificó ante la AEPD, por lo que, cesando la responsabilidad por haber utilizado toda la diligencia posible, cualquier acción debió ejercitarse contra dicha persona y no contra esta empresa.
Frente a las referidas tesis de la parte recurrente, la Abogacía del Estado señala, en primer lugar, que el artículo 3.a) de la LOPD recoge una definición amplia de datos de carácter personal, que se ha de poner en relación con el artículo 1.4 del RD 1332/1994, de 20 de junio , en vigor conforme a la disposición transitoria tercera de LOPD, que reitera el elemento de que esa información concierna a una persona física identificada o identificable, habiendo reconocido la Audiencia Nacional, concretamente esta Sala Primera, que el número del DNI es un dato de carácter personal amparado por la LOPD, por lo que más ha de serlo una dirección un correo electrónico como el del denunciante en el caso de autos, que permite perfectamente identificar a su titular.
En segundo lugar, dicha parte opone frente a la alegación de la recurrente de que había suscrito con su empleado autor de esos hechos un contrato de confidencialidad, que el trabajo de éste se realizó bajo su organización y dirección, por lo es ella quien decide sobre la finalidad, contenido y uso del tratamiento de ese fichero en cuanto titular del mismo, debiendo, por ello, arbitrar las medidas necesarias para que los principios y garantías de la LOPD se lleven a puro efecto, concretándose en este punto la responsabilidad por el hecho infractor. Por último, y con respecto al elemento subjetivo de la culpabilidad, teniendo en cuenta la naturaleza y finalidad de la LOPD, sólo puede entenderse cumplida la obligación de los titulares y responsables de los ficheros en el momento en que se adopten y se cumplan las exigencias de seguridad, se usen los medios de protección previstos y se efectúe riguroso cumplimiento de los mandatos y garantías contenidos en la norma reguladora.
CUARTO.- Para una adecuada resolución del presente recurso es necesario recordar el contenido de los preceptos de la Ley Orgánica 15/1999, de 13 de diciembre , de Protección de Datos de Carácter Personal, aplicados por la resolución recurrida, y sobre cuya interpretación recae el objeto del debate protagonizado por las partes.
Así, en primer lugar se ha de constatar que el artículo 4, en sus apartado 1 y 2, bajo la denominación Calidad de los datos , establece:
1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.
El artículo 3, en su letra a), indica:
A los efectos de la presente Ley Orgánica se entenderá por:
a) Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
El artículo 44,3,d ) prevé como infracción grave:
Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.
La Disposición Transitoria Tercera señala:
Hasta tanto se lleven a efectos las previsiones de la disposición final primera de esta Ley, continuarán en vigor, con su propio rango, las normas reglamentarias existentes y, en especial, los Reales Decretos 428/1993, de 26 de marzo; 1332/1994, de 20 de junio, y 994/1999, de 11 de junio , en cuanto no se opongan a la presente Ley.
El artículo 1.4 del RD 1332/1994, de 20 de junio (Real Decreto 1332/1994, de 20 de junio , por el que se desarrolla determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre , de regulación del tratamiento automatizado de los datos de carácter personal ), vigente de conformidad con esa Transitoria, establece la siguiente definición:
Datos de carácter personal: toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable
QUINTO.- La primera cuestión suscitada por el recurrente se refiere a su alegación de que la dirección del correo electrónico del denunciante no constituye un dato de carácter personal en los términos que de la definición de dicho concepto se establece en el artículo 3.a) de la LOPD , por cuanto no existe vinculación personal entre dicha dirección y ese titular.
Este Tribunal, a la vista del literal del mencionado precepto legal y del todavía vigente artículo 1.4 del mencionado Real Decreto 1332/1994 , considera que la dirección del correo electrónico del que es titular una persona física, como ocurre en el caso de autos y no ha sido negado por la recurrente, constituye un dato personal, porque, con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede, mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección del correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más, esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD. Así, en la sentencia de 27 de octubre de 2004( rec. 1112/2002 ), se decía: Para la resolución de este caso debemos partir de una primera consideración jurídica elemental: el número del DNI es un dato de carácter personal, y por tanto protegido por la ley. El artículo 3 a) LOPD define los datos de carácter personal como "cualquier información concerniente a personas físicas identificadas o identificables. Nada mejor que atender a las circunstancias de este caso para confirmar el encaje del dato controvertido en la definición legal: en el supuesto de autos, el número del DNI erróneamente cedido permitió identificar a la persona de........, después denunciante del hecho ante la Agencia de Protección de Datos."
En consecuencia, la dirección del correo electrónico del denunciante causante de este procedimiento constituye dato de carácter personal en los términos definidos por el reiterado artículo 3.a) de la LOPD, en relación con el art. 4.1 del RD 1332/1994 , y el uso del mismo mediante el acceso a las claves para su utilización por parte de un empleado de la empresa actora, (que trata en virtud de un contrato de prestación de servicios los datos personales de los clientes de una operadora telefónica), con el efecto de suplantación del titular y remitiendo mensajes a otros usuarios para fines particulares de dicho trabajador, constituye un claro caso de utilización incompatible, en el sentido de distinta, con la finalidad para la que el titular de esos datos de carácter personal se los cedió al responsable del fichero( AUNA) que luego encargo su tratamiento a otra persona, por lo que se produce una clara vulneración del principio de calidad de datos en los términos del artículo 4.2 de la LOPD , extremo éste, por lo demás, no discutido en ningún momento por la parte recurrente.
SEXTO.- Con respecto a la segunda cuestión planteada por la parte recurrente, se ha de resaltar que la responsabilidad de la infracción por la que a la misma se le sanciona se puede incurrir tanto de forma intencionada o dolosa como por negligencia, o a título de simple inobservancia. Ya el Tribunal Supremo, en sentencia de 23 de enero de 1998 , indicaba "...aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que sólo puede ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Cierto es que esta simple inobservancia no puede ser entendida como la admisión de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (a partir de sus Sentencias de 24 y 25 de enero y 9 de mayo de 1983 ) y del Tribunal Constitucional (después de su STC 76/1990 ) destacan que el principio de culpabilidad, aun sin reconocimiento explícito en la Constitución, se infiere de sus artículos 1.1 y 25.1 CE y requiere la existencia de dolo o culpa.
La cuestión de la culpabilidad en materia de sanción administrativa impuesta a una empresa ya ha sido estudiada detenidamente por el Tribunal Constitucional en su sentencia de 14 de diciembre de 1991( num.246 ):
Al respecto, debemos recordar ahora que si bien es cierto que este Tribunal Constitucional ha declarado reiteradamente que los principios inspiradores del orden penal son de aplicación, con ciertos matices, al Derecho administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 por todas), no lo es menos que también hemos aludido a la cautela con la que conviene operar cuando de trasladar garantías constitucionales extraídas del orden penal al derecho administrativo sancionador se trata. Esta operación no puede hacerse de forma automática, porque la aplicación de dichas garantías al procedimiento administrativo sólo es posible en la medida en que resulten compatibles con su naturaleza ( STC 22/1990 ). En concreto, sobre la culpa, este Tribunal ha declarado que, en efecto, la Constitución española consagra sin duda el principio de culpabilidad como principio estructural básico del Derecho Penal y ha añadido que, sin embargo, la consagración constitucional de este principio no implica en modo alguno que la Constitución haya convertido en norma un determinado modo de entenderlo ( STC 150/1991 ).
Este principio de culpabilidad rige también en materia de infracciones administrativas, pues en la medida en que la sanción de dicha infracción es una de las manifestaciones del "ius puniendi" del Estado resulta inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin culpa ( STC 76/1990 ). Incluso este Tribunal ha calificado de "correcto" el principio de la responsabilidad personal por hechos propios principio de la personalidad de la pena o sanción ( STC 219/1988 ). Todo ello, sin embargo, no impide que nuestro Derecho Administrativo admita la responsabilidad directa de las personas jurídicas, reconociéndoles, pues, capacidad infractora. Esto no significa, en absoluto, que para el caso de las infracciones administrativas cometidas por personas jurídicas se haya suprimido el elemento subjetivo de la culpa, sino simplemente que ese principio se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas. Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos.
Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (en el presente caso se trata del riguroso cumplimiento de las medidas de seguridad para prevenir la comisión de actos delictivos) y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma. Todo lo cual nos lleva a la conclusión de que la sentencia del Tribunal Supremo que se impugna no ha lesionado el derecho a la presunción de inocencia de la demandante de amparo. En este caso, en efecto, siendo cierta y reconocida la falta de funcionamiento de las instalaciones de alarma por negligencia o comodidad de los empleados de la entidad recurrente, lo que la sentencia impugnada lleva a cabo es una traslación de la responsabilidad a la entidad bancaria en cuestión razonando su juicio de reprochabilidad en la necesidad "de estimular el riguroso cumplimiento de las medidas de seguridad". Ni ha habido falta de actividad probatoria de unos hechos que nadie discute (por lo que la presunción de inocencia no entra en juego ni ha sido vulnerada), ni la traslación del juicio de reprochabilidad en los términos descritos lesiona ningún otro derecho o principio constitucional( Fundamento De Derecho (Segundo).
En el caso de autos, hay que tener en cuenta que el correo electrónico del denunciante fue utilizado en varias ocasiones en los términos indebidos y arriba expuestos por un empleado de la recurrente, la cual, en cuanto encargada del tratamiento, tiene la obligación de evitar esas conductas y posee medios técnicos para controlarlas y prevenirlas, lo que no ha ocurrido en el caso de autos, en que la misma no las adoptó hasta que hubo la denuncia del afectado. Se ha de señalar que en la actualidad los sistemas electrónicos detectan perfectamente a quienes acceden a los datos registrados y la causa de acceso, por lo que no se entiende que en el presente caso sólo se haya podido detecta esos hechos por la denuncia del perjudicado. Obviamente, ello supone, al menos, una simple inobservancia, porque no hay que olvidar que ese trabajador que suplantó al titular del correo electrónico trabajaba por cuenta de la empresa actora, actuando siempre bajo sus órdenes y en el marco de su organización, por lo que la misma debió de comprobar esos accesos y sus causas, incurriendo, al no hacerlo, en una falta de diligencia que determina la existencia de culpa en la comisión de ilícito administrativo y, por ende, la sanción correspondiente, que, además, ha sido una multa en el grado mínimo previsto por la LOPD para esa infracción grave( arts. 4.2 y 43.3.d) .
SEXTO.- Por todas las razones expuestas, debemos considerar ajustada a derecho la resolución sancionadora impugnada, debiendo desestimarse el presente recurso, sin que se haya apreciado temeridad o mala fe en ninguno de los litigantes a los efectos previstos en el artículo 139.1 de la Ley reguladora de esta Jurisdicción en materia de costas procésales
VISTOS los preceptos citados y demás normas de procedente aplicación.
BASES DE CONSULTAS JURÍDICAS CON MAS DE 600 RESPUESTAS ACCESO INMEDIATO
-TRÁFICO, MULTAS Y VEHICULOS.
-HERENCIAS Y DONACIONES.
-PENSIONES, INCAPACIDADES LABORALES.
-TRABAJADORES, EMPRESAS, CONTRATOS LABORALES, SALARIOS, ETC.
-PROPIEDADES, FINCAS, VIVIENDAS, COMUNIDAD DE PROPIETARIOS.
-SEPARACIONES, DIVORCIOS, MENORES, PENSIÓN ALIMENTOS, ETC
- FISCALIDAD, HACIENDA, SERVICIOS BANCARIOS.
-PENALES.
-EXTRANJERÍA.
-VARIOS TEMAS.
Listado que incluye todas la respuestas jurídicas incluidas en la bases de consultas legales. |