1/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

Procedimiento Nº PS/00142/2008

RESOLUCIÓN: R/00756/2008

En el procedimiento sancionador PS/00142/2008, instruido por la Agencia Española de Protección de Datos a la entidad Europa Press Net, vista la denuncia presentada por Dª. D.D.D. y en base a los siguientes,

ANTECEDENTES

PRIMERO: Dª. D.D.D. (en lo sucesivo la denunciante) formula denuncia frente a EUROPA PRESS COMUNICACIÓN, S.A (en lo sucesivo EUROPA PRESS).

En dicha denuncia, de fecha 8/02/2007, pone de manifiesto que el Ayuntamiento d(...........), de donde es vecina, ha inaugurado el servicio CUADERNOS CIUDADANO mediante el cual el ciudadano puede acceder a la creación de un BLOG donde expresar opiniones. No obstante, en la citada página no se informa previamente a los usuarios sobre la existencia de una base de datos, la finalidad de la misma, la información que se recoge, su titular y las condiciones del acceso, rectificación, cancelación y oposición. Asimismo, la denunciante manifiesta que con fecha 18/10/2006 remitió un correo electrónico a la dirección ......A..@......... en el que solicitaba información con relación a estos hechos, sin haber recibido respuesta hasta la fecha en que se presenta la denuncia ante esta Agencia. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

A) Con fecha 25/04/2007 se realiza inspección en las oficinas de la entidad EUROPA PRESS en el transcurso de la cual se puso de manifiesto que:

• La plataforma web http://www......A...... es una iniciativa de EUROPA PRESS,

en colaboración con diversos Ayuntamientos y Diputaciones, que tiene su origen en la campaña Un blog para cada ciudadano y que permite a vecinos y asociaciones crear su propio diario personal en internet en un contexto local. EUROPA PRESS ha suscrito un convenio con cada una de las entidades

2/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

públicas involucradas, para el mantenimiento técnico de la plataforma “Cuadernos Ciudadano”.

• En particular, con fecha 18/12/2006 EUROPA PRESS suscribió un convenio,

que se aporta al presente procedimiento sancionador con el AYUNTAMIENTO DE (...........), relativo al mantenimiento del sitio web www....X.A........ La Estipulación Cuarta del mencionado convenio establece los compromisos adquiridos por EUROPA PRESS, entre ellos el de “mantener en óptimas condiciones de funcionamiento el sitio web y las bases de datos asociadas a dicho municipio respetando en todo momento la legislación vigente en materia de datos personales, especialmente la Ley Orgánica de Protección de Datos de Carácter Personal 15/1999 de 13 de diciembre”.

• Para la creación de un cuaderno personal en cada uno de los contextos

territoriales que se ofrecen a través de la plataforma web www......XA...... el usuario debe facilitar sus datos personales: generalmente sólo nombre y apellidos, e-mail, código postal, año de nacimiento y sexo, aunque en algunos casos, cuando el organismo local competente así lo requiere, también se solicita el número de identificación (D.N.I. o N.I.E.).

• Respecto de los usuarios que publican sus comentarios en los blogs, EUROPA

PRESS no recaba datos personales identificativos, tan sólo el pseudónimo que selecciona el propio usuario, aunque en los ficheros del blog se guarda constancia de la dirección IP asociada al ordenador desde el que se publica el comentario.

• Se constata que la información prevista en el artículo 5 de la Ley Orgánica

15/1999 se facilita a los usuarios a través de la página “Política de privacidad”, accesible desde el sitio web www.....XA..... y en todo caso desde las páginas desde las que se crea el cuaderno, en el momento del alta. En este documento se informa de que “Los Datos Personales recogidos serán objeto de tratamiento automatizado, siendo ....B..... responsable de los mismos. En ningún caso se utilizarán dichos datos con fines comerciales y el usuario podrá solicitar en cualquier momento la rectificación o eliminación de dichos datos del sistema requiriéndolo a la dirección....B.@........ [...] De acuerdo con la normativa vigente en materia de protección de datos así como en materia de servicios de la sociedad de la información y de comercio electrónico, el usuario acepta que los datos personales aportados a ....B..... y al Ayuntamiento de referencia durante su registro en ‘Cuadernos Ciudadanos’ para su acceso a algunos de los servicios de la plataforma, sean cotejados en su caso con otros ficheros, titularidad de los respectivos ayuntamientos, con la finalidad de facilitar la prestación de los servicios solicitados para la correcta identificación de los usuarios que los solicitan servicios de ‘Cuadernos Ciudadanos’. Así mismo, ‘Cuadernos Ciudadanos’ y ....B..... quedan sujetos a todos los términos que establece dicha normativa para sus respectivas funciones”.

3/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

• Los datos de carácter personal recabados por EUROPA PRESS de los autores de los cuadernos tan sólo se almacenan en los ficheros de EUROPA PRESS y no son utilizados para otras finalidades distintas a la propia gestión de los blog.

• Independientemente de la información que se facilita a través de la página

“Política de Privacidad”, los respectivos organismos públicos locales no tienen acceso en ningún caso a los datos de los usuarios autores de un cuaderno, ni tampoco a los datos de los usuarios que publican sus comentarios en los blog. Por otra parte, los datos de los usuarios no son, en ningún caso, cotejados con otros ficheros.

B) Asimismo, en el transcurso de la inspección y mediante acceso a través de internet

al sitio web www....X.A...., se comprueba la existencia de las siguientes páginas a las que tiene acceso y que cuentan con información relacionada con la protección y tratamiento de datos personales:

• Consultado el fichero en el que se almacenan los mensajes electrónicos recibidos

por EUROPA PRESS en el buzón....B..@......., al que se hace referencia en el documento “Política de Privacidad”, no existe constancia de que entre los correos existentes en el mismo se hubiera recibido con fecha 18/10/2006 un mensaje procedente de la dirección de correo de la denunciante.

• Se comprueba mediante el acceso al Registro General de Protección de Datos

que con el CIF correspondiente a EUROPA PRESS COMUNICACIÓN, S.A. sólo consta un fichero inscrito denominado NOMINAS, no existiendo ningún otro fichero relacionado con el almacenamiento de los datos aportados por los usuarios de la citada página web.

• La responsabilidad derivada de la infracción contenida en el presente Acuerdo de

Inicio de Procedimiento Sancionador ha de imputarse a EUROPA PRESS tal y como resulta tanto de:

1. De la Estipulación Cuarta del contrato suscrito entre el Ayuntamiento de (...........) y EUROPA PRESS que se aporta a la denuncia. Así, dicha Estipulación señala que: “Cuarta. Compromisos de ....B.....: Mantener en óptimas condiciones de funcionamiento el sitio web y las bases de datos asociadas a dicho Municipio respetando en todo momento la legislación vigente en materia de datos personales, especialmente la Ley Orgánica de Protección de Datos de Carácter Personal 15/1999, de 13 de diciembre”.

2. El documento “Política de privacidad” accesible desde el sitio web www.....X.A.... que señala que: “Los Datos Personales recogidos serán objeto de tratamiento automatizado, siendo ....B..... responsable de los mismos. En ningún caso se utilizarán dichos datos con fines comerciales y el usuario podrá solicitar en cualquier momento la rectificación o eliminación de dichos datos del sistema requiriéndolo a la dirección contacto@europapress.net...”

4/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

TERCERO: Con fecha 7/04/2008, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EUROPA PRESSA COMUNICACIÓN, S.A por infracción del infracción del artículo 26 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (LOPD), tipificada como leve en el artículo 44.2.c)de dicha norma, pudiendo ser sancionada con multa de 601,01 € a 60.101,21€ de acuerdo con el artículo 45.1 de la citada Ley Orgánica.

CUARTA: Transcurrido el plazo concedido a EUROPA PRESS para la formulación de alegaciones, ya que el acuerdo de inicio fue notificado con acuse de recibo con fecha 11/04/2008, se procede a elevar el procedimiento sancionador al Director de la Agencia Española de Protección de Datos a los efectos de dictar resolución al respecto, dado que en la notificación del acuerdo se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entenderá el mismo como propuesta de resolución en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora.

HECHOS PROBADOS

PRIMERO: Con fecha 18/12/2006 se suscribió Convenio entre el Ayuntamiento de (...........) y EUROPA PRESS relativo al mantenimiento de la página web http://www......A....... Dicho Convenio se suscribe dentro de un marco de colaboración con varios Ayuntamientos a fin de permitir a vecinos y asociaciones crear su propio diario personal en Internet en un contexto local (Folios 14 a 18). SEGUNDO: En dicho Convenio se contienen en la Estipulación Cuarta los compromisos adquiridos por EUROPA PRESS, entre ellos el de “mantener en óptimas condiciones de funcionamiento el sitio web y las bases de datos asociadas a dicho municipio respetando en todo momento la legislación vigente en materia de datos personales, especialmente la Ley Orgánica de Protección de Datos de Carácter Personal 15/1999 de 13 de diciembre”. (Folio 16). En el mismo sentido, y a través del sitio web http://www......A...... se tiene acceso, entre otras, a la página Política de Privacidad en la que se dispone que “Los Datos Personales recogidos serán objeto de tratamiento automatizado, siendo ....B..... responsable de los mismos…” (Folio 12). TERCERO: Se comprueba mediante el acceso al Registro General de Protección de Datos que con el CIF correspondiente a EUROPA PRESS COMUNICACIÓN, S.A. sólo consta un fichero inscrito denominado NOMINAS, no existiendo ningún otro fichero relacionado con el almacenamiento de los datos aportados por los usuarios de la repetida página web (Folio 19).

FUNDAMENTOS DE DERECHO

5/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

I

Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37. g) en relación con el artículo 36 de la LOPD.

II El artículo 13.2 del citado Real Decreto 1398/1993 establece que el acuerdo de iniciación de un procedimiento sancionador se notificará al interesado haciendo constar en dicha notificación que, de no efectuar alegaciones sobre el contenido, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. En este caso, en la notificación del acuerdo de inicio del Director de la Agencia Española de Protección de Datos de fecha 07/04/2008 se hacía referencia a aquel precepto, advirtiendo a la entidad imputada de las consecuencias de no efectuar alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre la infracción imputada a EUROPA PRESS.

III

El artículo 2.1 de la LOPD, determina lo siguiente:

“La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.”

En relación a dicho precepto, el artículo 3.a),b) y c) de la LOPD establece las siguientes definiciones:

“a) Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables. b) Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. c) Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

En el presente caso consta que en la página Web del dominio del que es titular EUROPA PRESS se recogen datos personales para la creación de blogs o cuadernos personales (Punto 2.5 del Acta de Inspección) tales como nombre y apellidos, email, código postal, año de nacimiento y sexo, exigiéndose en algunos casos cuando así lo pida el organismo local

6/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

el DNI ó NIE, datos todos éstos que son tratados para remitir información y para crear su propio diario personal en Internet en un contexto local. A la vista de lo anterior no cabe duda de que los datos manejados a través de la indicada página web constituyen un fichero en los términos contemplados en la LOPD, en cuanto conjunto organizado de datos de carácter personal que permite el tratamiento de los mismos.

IV

El artículo 26.1 de la LOPD dispone que:

“Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.”

En el caso analizado, ha quedado acreditado, que EUROPA PRESS utiliza un fichero en el que figuran los datos de los usuarios que vayan creando sus blogs o diarios personales en los que publican sus comentarios. A tal efecto, y tal y como hemos indicado, los usuarios que quieran crear su blog ha da de facilitar una serie de datos personales tales como nombre y apellidos, email, código postal, año de nacimiento y sexo, exigiéndose en algunos casos cuando así lo pida el organismo local el DNI o NIE.

Asimismo se ha comprobado que EUROPA PRESS no ha notificado a tiempo de levantarse el Acta de Inspección la creación de los ficheros con los referidos datos personales al Registro General de Protección de Datos (Folio 19), al constar inscrito con el CIF correspondiente a EUROPA PRESS únicamente un fichero denominado NOMINAS, incurriendo consecuentemente en la conducta típica descrita en el referido artículo 26 de la LOPD ya que deben notificarse a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de Protección de Datos, los ficheros que contengan datos de carácter personal. Sin embargo EUROPA PRESS no ha solicitado la inscripción de ningún fichero relacionado con el almacenamiento de los datos aportados por los usuarios de la repetida página web http://www......A......, incumpliendo por tanto el contenido del citado precepto.

V

El artículo 44. 2. c) de la LOPD califica de infracción leve la conducta siguiente:

“c) No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos, cuando no sea constitutivo de infracción grave”.

El artículo 45.1de la LOPD, prevé lo siguiente:

“1 Las infracciones leves serán sancionadas con multa de 601,01 a 60.101,21 euros.”

7/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

Por su parte, el artículo 45.4 LOPD dispone como criterios para graduar la imposición de las sanciones que “La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.”

En el presente caso, y atendiendo tanto al volumen de datos tratados y a la naturaleza de los datos que pueden ser incluidos en los blogs o cuadernos personales por los usuarios procede la imposición a la entidad EUROPA PRESS de la sanción por un importe de 6.000 €.

Vistos los preceptos citados y demás de general aplicación,

El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EUROPA PRESS COMUNICACIÓN, S.A por una infracción del artículo 26 de la LOPD, tipificada como leve en el artículo 44.2.c) de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.1 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a EUROPA PRESS COMUNICACIÓN, S.A con domicilio en (C/.....................................) y a Dª. D.D.D. con domicilio en (C/............................................). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo

8/8

c. Jorge Juan 6 28001 Madrid www.agpd.es

previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.

Madrid, 26 de junio de 2008

EL DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

Fdo.: Artemi Rallo Lombarte