Source: http://leyprotecciondatos.blogspot.com/2007/
Timestamp: 2017-05-26 11:13:59+00:00

Document:
Ley de Protección de Datos Personales - Sanciones LOPD: 2007
Dentro de la sección de Informes Jurídicos de la web de la Agencia (apartado Consentimiento) se ha publicado un informe específico sobre Tratamiento de datos a través de páginas web.En resumen viene a decir que en el caso de recogida de datos básicos es suficiente incluir un link del tipo Aviso Legal o Política de Privacidad, pero que en el caso de datos especialmente protegidos el consentimiento ha de ser inequívoco y por lo tanto:este habrá de recabarse de tal forma que resulte imposible la introducción de dato alguno sin que previamente el afectado haya conocido la advertencia que contenga las menciones a las que nos hemos referido, pudiendo servir como prueba del consentimiento la acreditación de que el programa impide introducir los datos sin antes haber aceptado el aviso legal al que hemos hecho referencia.Claro que siempre conviene recordar que la sección de Informes Jurídicos tiene esta salvaguarda de presentación:Es un objetivo de la Agencia Española de Protección de Datos atender todas las cuestiones que se plantean relacionadas con el derecho a la protección de datos, y en este sentido, se emiten los informes jurídicos que se publican en esta sección de la página web.No obstante, debe significarse que dichos informes no tienen carácter vinculante y no prejuzgan el criterio del Director de la Agencia en el ejercicio de sus funciones, entre las que la Ley no prevé la evacuación de consultas vinculantes.
Apostasía y LOPD
Esta nota no hace referencia a ninguna resolución de la AEPD, ni tiene nada que ver con la problemática de nuestros clientes (temas de este blog), pero me da cierto gusto personal comentar una sentencia dictada por la Sala de lo Contencioso Administrativo de la Audiencia Nacional que ordena al Arzobispado de Valencia que anote en la partida de bautismo de Manel B. G. su declaración de apostasía. Si quieres seguir el hilo, puedes leer la noticia en ABC.es o más referencias aquí.
Sanción heredada
En el procedimiento sancionador PS/00166/2007, de 10 de agosto de 2007, instruido por la Agencia Española de Protección de Datos a la entidad HERA SERVICIOS TECNICOS AMBIENTALES, S.L., vista la denuncia presentada por D. J.N.R. (…) El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HERA SERVICIOS TECNICOS AMBIENTALES, S.L., por una infracción del artículo 16.4 de la LOPD, tipificada como grave en el artículo 44.3.d) de dicha norma, una multa de 12.000 € (doce mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica.Esta es una resolución muy interesante porque toca un tema que te tratado varias veces en las formaciones de producto: “la herencia de las sanciones”.Resumiendo bastante, la historia es así:1. la entidad CONSODATA comete un error al no dar curso a una petición de baja2. se produce un envío publicitario3. el afectado denuncia4. la AEPD inicia un expediente5. la entidad HERA compra CONSODATA “con la única finalidad de aprovechar la personalidad jurídica de una sociedad ya constituida”.6. la AEPD termina el expediente y la sanción recae en HERA, entidad que continúa la personalidad jurídica de CONSODATA. Y menos mal que se acepta la apelación de la empresa al artículo 45.5 de la LOPD que le permite atenuar su responsabilidad, porque sino estaríamos hablando de un mínimo de 30.000€.Y cuidado que aquí, igual que en otros sitios, fichar galácticos no garantiza el éxito:SEGUNDO: NOTIFICAR la presente resolución a HERA SERVICIOS TECNICOS AMBIENTALES, S.L. con domicilio a efectos de notificaciones en CUATRECASAS ABOGADOS, (…)
Escribo esta nota para aclarar que no es que me haya olvidado de este blog, es que el servicio de edición de la Agencia debe andar aún de vacaciones, y el caso es que desde finales de julio no se ha publicado prácticamente ninguna resolución.¿Estarán tomando impulso para cuando aparezca el nuevo Reglamento?
Ha sido sin duda la noticia más comentada durante el mes de julio en el tema de protección de datos.El asunto comenzó el pasado 22 de marzo de 2005, cuando la Agencia de Protección de Datos sancionó a A.E.A. por enviar, el 23 de noviembre de 2003, 13 mails con información promocional de los productos de su empresa de telecomunicaciones. Había conseguido esos nombres y direcciones de correo electrónico en la feria SIMO 2003 mediante el intercambio de tarjetas de visita. La sanción se puede descargar aquí.Se sostenía que los receptores no habían dado un consentimiento inequívoco para recibir correos comerciales, como exige el art. 21 de la LSSI. También se consideraba que el envío de 13 mensajes constituía un envío masivo, por lo que A.E.A. cometió una infracción grave y le sancionó con 30.001€.El 24 de junio de 2007, en sentencia de la Audiencia Nacional, (descargar aquí) la juez Lourdes Sanz Calvo ha revocado la sanción de la AEPD, estableciendo que "la entrega por una persona de una tarjeta de visita en la que consta su dirección de correo electrónico en un contexto como es la feria del SIMO, a la que para promocionar un producto acudió el denunciado con el que contactó la persona en cuestión por estar interesada en el mismo, impide que se pueda tener por acreditado a efectos sancionadores la falta de consentimiento". También niega que se pueda considerar masivo el envío de 13 correos electrónicos.En mi opinión en ambos casos ha faltado a las autoridades el sentido de la mesura.Respecto a la sentencia de la Audiencia Nacional lo que no entiendo es:¿Poseer una tarjeta demuestra que la persona te la ha dado? Cualquiera puede entrar en el SIMO y salir con cientos de tarjetas ¡están encima de los stands a toneladas, no hace falta pedirlas! Precisamente por tratarse del contexto que se trata (una feria masificada) dificilmente puede equipararse a un consentimiento.Suponiendo que te la haya dado personalmente ¿lo hizo sabiendo que iba a recibir publicidad de un servicio de telecomunicaciones? Esto es como los listados profesionales públicos. Cualquiera puede saber el nombre, dirección, teléfono, mail, web, etc. de los abogados colegiados de cualquier provincia. ¿Significa que como es público les puedo enviar publicidad por ejemplo de una recopilación de sentencias que comercializo en CD-ROM? Pues no. Esos datos están ahí con una finalidad concreta, no para cualquier cosa. Si yo voy al SIMO y monto un stand de de routers y le doy a alguien mi tarjeta no es para que me envíe publicidad (salvo que me avise y yo consienta, que no creo que sea el caso).Estoy de acuerdo en que dentro del mundo del SPAM llamar envío masivo a 13 correos casi da la risa, y que 30.000€ es una barbaridad desproporcionada de sanción, pero que esto quedara así (que supongo que la Agencia habrá recurrido al Supremo) tampoco sería justo porque:a) ¿Había este señor dado de alta sus ficheros ante la Agencia? (Trámite gratuito que se hace por internet en 15 minutos) NOb) ¿Tenía este señor el obligatorio documento de seguridad y había implantado las medidas correspondientes? NOc) ¿Informó este señor a las personas físicas de que sus datos se incorporaban a un fichero, cuál era la utilidad de este y que tenían derecho de baja, rectificación, cancelación y oposición al tratamiento, y cómo podían ejercer estos derechos de una manera sencilla? NOA y B son obligatorios desde hace ya ¡ ocho años !, y C es el corazón mismo de la LOPD y la LSSI: lo que significa es que los datos personales son propiedad exclusiva de las personas y que estas únicamente los “ceden” a las entidades que los tratan y lo hacen siempre bajo ese marco jurídico que defiende algo tan importante como es el derecho (constitucional) a la intimidad.Así que tampoco me parece justo la sentencia. Lo más lógico es que atendiendo a muchísimas resoluciones de la propia Agencia, se hubiera convertido en una sanción de 1.000€, que ha sido la habitual en los casos de SPAM.Para terminar no puedo evitar señalar un detalle de la propia sentencia que podría llevar incluso a dudar de la capacidad de la Audiencia Nacional y en general de las instituciones del estado (recordemos que hay otro procedimiento en marcha contra el propio Tribunal Constitucional) para entender la "cultura" de la protección de datos. Resulta que en la página tres del texto (y no olvidemos que se trata de un documento que se va a publicar en infinidad de sitios) se indican sin ninguna protección ¡ casi todas las direcciones electrónicas a las que se envío el mensaje ! Sería "interesante" ver qué ocurriría si alguno de los afectados denunciara ahora a la Audiencia Nacional ante la Agencia de Protección de Datos.
Primera sanción por envío de SMS
En el Procedimiento Nº PS/00276/2006 cuya resolución tiene fecha de 20 de mayo de 2007, se multa a una empresa que envió SMS promocionales anunciando la inauguracion de una clínica. Básicamente se utilizan los mismos argumentos que en las sanciones anteriores por envío de faxes o correos electrónicos, lo que cambia es el soporte.Se sanciona a la empresa con 3.600€.
Sanción "completita"
Esta merece la pena leerla completa. La puedes descargar aquí:http://mkpositivo.googlepages.com/DendriteSpainSA.pdfAdemás de hacer referencia a aspectos fundamentales de la LOPD, como son el concepto de consentimiento inequívoco, y a otros que han generado varias dudas, como el uso de los listados profesionales públicos, el interés de esta resolución reside también en que se ve que la empresa está asesorada por algún gabinete jurídico de buen nivel y literalmente se defiende con uñas y dientes apelando a todo lo apelable posible... pero la Agencia desmonta todas las alegaciones y el resultado son 60.101,21 € de sanción.
Esta resolución ya dejó muy claro en su momento cuáles son los límites en el uso del correo electrónico como vehículo de promoción comercial, es decir, marca la frontera donde comienza el "spam".En el procedimiento sancionador instruido por la Agencia Española de Protección de Datos a D. M.C.P (es decir, un autónomo, no una sociedad) se dice: "El denunciado ha manifestado que envió el correo electrónico de promoción comercial objeto de la denuncia a entre 25 y 100 direcciones de correo electrónico de distintas empresas y entidades, sin que se haya aportado prueba alguna que acredite su solicitud o autorización previa." (la cursiva es mía).Es evidente que el cumplimiento del artículo 5 de la LOPD y del artículo 21 de la LSSI exige siempre tener el consentimiento previo e inequívoco del interesado antes de poder enviarle cualquier comunicación electrónica de tipo comercial (esta situación es exactamente igual en el uso de un fax). Es un grave error confundir el hecho de que una dirección electrónica sea pública en internet (por ejemplo en la propia web de la empresa o en un listado profesional de un colegio o asociación) con el derecho a enviarle cualquier tipo de comunicación. Y si digo y reafirmo que es un muy grave error, es porque está resolución termina así: "IMPONER a D. M.C.P., por una infracción del artículo 21 de la LSSI, tipificada como grave en el artículo 38.3 c) de dicha norma, una multa de 30.001 euros (treinta mil un euros)". Y recuerdo que es un autónomo.
Rastreando la red en busca de delitos, la Guardia Civil encuentra a través del eMule varios ficheros con datos de carácter personal de funcionarios públicos. Siguiendo el rastro de estos ficheros se llegó hasta unas instalaciones del sindicato Comisiones Obreras, donde algún empleado se entretenía descargando vaya usted a saber qué, mientras probablemente sin ser consciente dejaba abierto el acceso a su disco duro.El resultado es que la Agencia decide IMPONER a la entidad FEDERACIÓN DE SERVICIOS Y ADMINISTRACIONES PÚBLICAS DE CCOO, por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h) de dicha norma, una multa de 6.000 euros (seis mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica.
La AEPD presenta los resultados del Plan Sectorial de Oficio a la enseñanza reglada no universitaria 29/01/2007Fuente: Agencia Española de Protección de DatosLa AEPD ha inspeccionado más de 60 centros de enseñanza públicos, privados y concertados de todas Comunidades Autónomas. El incumplimiento del deber de información, la recopilación de datos innecesarios, e importantes carencias de medidas de seguridad han sido las principales deficiencias detectadas. De los colegios analizados cerca de 50% no habían cumplido con la exigencia legal de notificar sus ficheros con datos personales a la AEPD.

References: resolución 
 artículo 16
 artículo 44
 artículo 45
 resolución 
 artículo 45
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 5
 artículo 21
 resolución 
 artículo 21
 artículo 38
 artículo 9
 artículo 44
 artículo 45