Llevo varias días dándole vueltas a una resolución (juro solemnemente haberla leído ya varias veces) sin lograr entenderla.
Se trata del Procedimiento Nº PS/00259/2008, iniciado a raiz de una denuncia (otra vez) de la Policía Local de Ourense en la que declara que ha sido localizado en una red de intercambio de ficheros P2P disponible en Internet (entorno compartido E-mule), un fichero denominado “(...X.....)”, que contiene datos de 1.250 alumnos de un centro de prácticas.
Tras el oportuno seguimiento tecnológico al fichero, en el que de nuevo la operadora de turno, Telefónica en este caso, le entrega a la Agencia los datos de IP sin decir ni pío, el rastreo termina en el domicilio de S.S.S., uno de los alumnos de las prácticas, que pese a haber firmado un compromiso de confidencialidad y custodia de la información reconoce que:
Sospecho que la Agencia no ha sabido qué hacer ante un sujeto que realmente no es responsable del fichero ni encargado del tratamiento, pero tampoco un empleado de la empresa, sino un alumno que realiza unas prácticas y al que la parecer no se le puede suponer ninguna profesionalidad... pero sólo es mi sospecha.
Si alguien puede aportar sugerencias, que pinche en Comentarios.
Se trata del Procedimiento Nº PS/00259/2008, iniciado a raiz de una denuncia (otra vez) de la Policía Local de Ourense en la que declara que ha sido localizado en una red de intercambio de ficheros P2P disponible en Internet (entorno compartido E-mule), un fichero denominado “(...X.....)”, que contiene datos de 1.250 alumnos de un centro de prácticas.
Tras el oportuno seguimiento tecnológico al fichero, en el que de nuevo la operadora de turno, Telefónica en este caso, le entrega a la Agencia los datos de IP sin decir ni pío, el rastreo termina en el domicilio de S.S.S., uno de los alumnos de las prácticas, que pese a haber firmado un compromiso de confidencialidad y custodia de la información reconoce que:
Hubo días en los que mi trabajo no estaba terminado en la oficina y me llevé el trabajo a casa para terminarlo. En la carpeta del proyecto que me llevaba a casa se encontraba la base de datos (...)y después nos cuenta la vida y milagros del tal fichero y del ordenador donde quedó alojado sin aportar nada relevante hasta llegar al único punto en que podía basar su defensa:
Viendo el registro que el programa emule guarda del número de descargas realizadas de cada archivo compartido compruebo que dicho archivo fue únicamente descargado una vez, debiendo ser ésta el archivo que se aporta con las pruebas por la Policía Local de Ourense según indica el Acuerdo de Inicio de Procedimiento Sancionador. Por tanto ninguna otra persona ha adquirido copia de este archivo mediante el programa e-mule, no pudiendo haber hecho uso de los datos que contenía (...)Por lo tanto, la Agencia podía haber pedido la comprobación técnica de este último extremo y haber solventado la cuestión con una falta leve y una sanción mínima, y sin embargo, vaya usted a saber porqué, el ponente de la resolución se mete en un berenjenal jurídico sobre el concepto de culpabilidad, y pese a haber indicado:
Por todo ello, debemos concluir que ha quedado acreditado que D. S.S.S. incumplió con el deber de secreto al que se había comprometido con PROINSSA, incurriendo así en la infracción del artículo 10 de la LOPD.asegura luego:
No obstante en el presente caso, ha que tenerse en cuenta que D. S.S.S., no era en origen el responsable o encargado del fichero, y teniendo en cuenta los hechos acreditados y las alegaciones del mismo, en el sentido de que ha eliminado de su ordenador el fichero denominado “(...X.....)”, cuanto tuvo conocimiento de los hechos producidos, a través de la Agencia Española de Protección de Datos, procedería apreciar la falta de culpabilidad, tal como se recoge en la Sentencia de la Audiencia Nacional de 6 de febrero de 2008, que en su Fundamento de Derecho cuarto, establece: << La exigencia de la culpabilidad procede de lo que señala el articulo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia".y termina con:
A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN (1a) de 14 de septiembre de 2001 (Rec. 368/2000)-".resolviendo:
PRIMERO: EXONERAR de responsabilidad a D. S.S.S. por los hechos imputados en el presente procedimiento sancionador.
Sospecho que la Agencia no ha sabido qué hacer ante un sujeto que realmente no es responsable del fichero ni encargado del tratamiento, pero tampoco un empleado de la empresa, sino un alumno que realiza unas prácticas y al que la parecer no se le puede suponer ninguna profesionalidad... pero sólo es mi sospecha.
Si alguien puede aportar sugerencias, que pinche en Comentarios.