Source: http://leyprotecciondatos.blogspot.com/2009/05/
Timestamp: 2017-11-18 16:01:49
Document Index: 321472767

Matched Legal Cases: ['artículo 21', 'artículo 21', 'artículo 21', 'artículo 38', 'artículo 39', 'artículo 45', 'artículo 9', 'artículo 44', 'artículo 45', 'artículo 38', 'artículo 38', 'artículo 39']

Ley de Protección de Datos Personales - Sanciones LOPD: 1/05/09 - 1/06/09
WHOIS es un protocolo TCP basado en petición/repuesta que se utiliza para efectuar consultas en una base de datos que permite determinar el propietario de un nombre de dominio o una dirección IP en Internet. Las consultas WHOIS se han realizado tradicionalmente usando una interfaz de línea de comandos, pero actualmente existen multitud de páginas web que permiten realizar estas consultas. Estas páginas siguen dependiendo internamente del protocolo WHOIS para conectar a un servidor WHOIS y hacer las peticiones.
La empresa denunciada alegó:
El consentimiento otorgado por el destinatario se entiende, puesto que la comunicación comercial contenía al final un apartado donde le informan de sus derechos, a través del cual podría haber denegado su consentimiento; sin embargo nunca se dirigió a la entidad para ello.
El motivo del envío fue el de ofertar el servicio de creación y publicación de una página web, entendiendo que la oferta podía resultarle interesante al haber adquirido recientemente un dominio web.
Los datos del destinatario fueron obtenidos a través de la web www...Y.... en cuya sección ESTADÍSTICAS se puede descargar el documento en formato “pdf” correspondiente al mes de mayo, en el cual se encuentra un listado de acceso libre.
A continuación, en la web www...Z.... se busca en su sección ¿Qué dominio deseas registrar?, se indica el nombre del dominio del cliente buscado en el “pdf” anterior obteniéndose todos los datos del cliente mediante libre acceso (el proceso se encuentra descrito en el documento presentado por ALMA RECORDS ENTERTAINMENT).
A lo que la AEPD responde en los Fundamentos de Derecho:
En el presente supuesto, ha quedado acreditado que la entidad ALMA RECORDS ENTERTAINMENT, S.L. remitió, en fecha 23 de mayo de 2008, una comunicación publicitaria a la dirección de correo electrónico ..S..@...., sin disponer de autorización expresa y previa del destinatario y sin que conste la existencia de una relación contractual anterior que justifique el envío del mensaje, de conformidad con lo dispuesto en el artículo 21.2 de la LSSI. En dicha comunicación se ofrece el servicio de creación y publicación de una página web.
El envío de la comunicación comercial que motiva el presente procedimiento, se produce desde una dirección de correo electrónico (“....X..@.......”) de las que es titular dicha entidad, habiendo utilizado unos equipos informáticos propios ubicados en los locales de la entidad. Así, debe concluirse que la entidad ALMA RECORDS ENTERTAINMENT, S.L. es responsable del incumplimiento de la prohibición prevista en el artículo 21.1 de la LSSI antes citado.
PRIMERO: IMPONER a la entidad ALMA RECORDS ENTERTAINMENT, por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.d) de la LSSI, una multa de 600 € (seiscientos euros), de conformidad con lo establecido en el artículo 39.1.c) de la citada LSSI.
Etiquetas: Art. 38.4.d) LSSI, Correo electrónico, Spam
El procedimiento sancionador PS/00459/2008, instruido por la Agencia Española de Protección de Datos (AEPD) a la entidad INTRASOFT, S.L. se inició tras el escrito de denuncia presentado por D. B.B.B. en el que manifestaba que a través de la página web de PERÍS CORREDURÍA DE SEGUROS, S.A. (en adelante PERIS):
(...) rellenó con sus propios datos personales los distintos formularios de datos requeridos para solicitar el seguro de su motocicleta. Y en el último paso, al finalizar la tramitación de dicha solicitud, y tras así ser requerido por la propia página web, imprimió el comprobante de solicitud de seguro.
En éste comprobante impreso figura la dirección URL http://www....X..../....../....../................
Con motivo de conservar una copia del comprobante en papel, introdujo la dirección URL que aparecía en el comprobante para imprimirlo de nuevo, observando cómo el comprobante de solicitud de seguro, con todos los datos de índole personal, bancarios y de salud, aparecía sin requerir ningún tipo de identificación personal, a través de un nombre de usuario y contraseña o cualquier otro medio de acceso seguro. Este hecho se comprueba en días sucesivos y desde ordenadores distintos.
D. B.B.B. no se conformó con esta prueba y además acudió a un notario:
Para que a través del ordenador de mi despacho entre en la pagina web http://www....X../..../.. y una vez en la misma compruebe por apreciación directa que los datos personales del requirente aparecen en la misma sin pedir ningún tipo de contraseña para ello. Acepto el requerimiento…comprobando que se accede a una página en la que aparecen datos de requirente y que en ningún momento se solicita nombre de usuario ni contraseña alguna. He impreso dicha pagina que queda unida a la presente acta.
Por su parte los inspectores de la AEPD comprobaron que modificando la ID de la URL citada se podía acceder a los datos de otras personas:
verificado que se visualizan los datos personales de doce personas físicas, sin que exista un procedimiento de identificación y de autenticación para el citado acceso.
Entre la información a la que se ha tenido acceso de las doce personas físicas se encuentra: nombre, apellidos, NIF, dirección postal, dirección electrónica, teléfono, fecha de nacimiento, estado civil, sexo, fecha de expedición y tipo de carnet, profesión, datos del vehículo, datos relativos a la póliza en vigor y cuenta corriente. También consta información relativa a: fumador, bebe habitualmente, practica deporte de riesgo, viaja frecuentemente, tensión máxima y mínima, peso y altura.
La correduría de seguros PERIS acreditó que tiene suscrito y en vigor un contrato con la empresa de informática INTRASOFT, en virtud del cual dicha entidad viene prestándole servicios de tratamiento de datos de carácter personal, asumiendo en virtud de dicho contrato y a todos los efectos la condición de Encargado de Tratamiento. Asímismo demostró que cumplía las obligaciones documentales de la LOPD y que había inscrito el correspondiente fichero en el RGPD, declarándolo de nivel alto.
INTRASOFT admitió:
(...) que los datos de ciertas personas que han solicitado un seguro han podido ser visualizados mediante este recurso (…) la causa por la que se esto ha podido suceder consistió, tal y como ahora hemos podido verificar, en un error en la funcionalidad del servicio web, no previsto y producido accidentalmente en un desarrollo (...)
En su recurso, la empresa informática intenta anular el proceso por haber prescrito (siendo su única opción, ya que por lo demás todo está muy claro) sin conseguirlo.
Por todo ello, en base a los criterios de graduación establecidos en el artículo 45.4 de la LOPD, y, en especial, a la falta de intencionalidad observada en el procedimiento, procede proponer la sanción en su cuantía mínima.
PRIMERO: IMPONER a la entidad INTRASOFT, S.L. por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h) de dicha norma, una multa de 60.101,21 € (sesenta mil ciento un euros con veintiún céntimos) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica.
Etiquetas: Art. 9 LOPD, Encargado tratamiento
Siempre habrá quien diga que las sanciones en protección de datos son excesivas, pero lo cierto es que las leves no funcionan.
Hemos visto ya cientos de sanciones de entre 1000 y 3000 euros por el envío de faxes comerciales sin consentimiento, pero esta práctica lejos de disminuir sigue molestando a los dueños de los faxes, que ponen la tinta y el papel que se ahorran los spammer. Pero parece que los recursos a la falta de intencionalidad o de reincidencia empiezan a no funcionar.
Así nos encontramos con el procedimiento sancionador PS/00512/2008, instruido por la Agencia Española de Protección de Datos a la entidad GLOBAL MESSAGING SOLUTIONS, S.L., tras la denuncia presentada por D. M.M.M. por la recepción de cuatro mensajes publicitarios por fax.
Este tipo de empresas suelen montar un entramado de varias firmas que intentan pasarse unas a otras la responsabilidad, tal y como se puede ver en el desarrollo de la resolución, pero la AEPD no sólo señala al infractor final, sino que tras tipificar la infracción como grave, al llegar la final de los Fundamentos de Derecho no la baja de nivel como venía siendo habitual, y aunque la deja en el mínimo posible dentro del baremo sancionador, lo cierto es que es un buen pellizco:
PRIMERO: IMPONER a la entidad GLOBAL MESSAGING SOLUTIONS, S.L., por una infracción del artículo 38.3.h) de la LGT, tipificada como grave en el artículo 38.3.c) de la LSSI, una multa 30.001 € (Treinta mil un euros), de conformidad con lo establecido en el artículo 39.1.b) y 40 de la citada LSSI.
Etiquetas: Art. 38.3.c) LSSI, Fax