El procedimiento sancionador PS/00683/2008, instruido por la Agencia Española de Protección de Datos, se incia tras el escrito presentado por DÑA. M.M.M., en el que denuncia a la entidad Auto Plus Fleet Services, S.L. (en lo sucesivo AUTOPLUS FLEET), por tratar automatizadamente datos de carácter personal relativos a infracciones administrativas de tráfico y circulación de los ciudadanos, obtenidos de Boletines Oficiales estatales, provinciales y autonómicos. Asimismo, añade que dicha información puede ser consultada por cualquier ciudadano desde la página www…X… y que dicha entidad cruza el citado fichero con listas blancas de particulares para la realización de campañas de telemarketing y captación de clientes, cediendo para ello los ficheros a la empresa Axesor y a plataformas de telemarketing.
Se trataría de una infracción del artículo 7.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d) de dicha norma, pudiendo ser sancionada con multa de 60.101,21 € a 300.506,05 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica.
Tras la oportuna inspección, la empresa denunciada alegó que
Se trataría de una infracción del artículo 7.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d) de dicha norma, pudiendo ser sancionada con multa de 60.101,21 € a 300.506,05 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica.
Tras la oportuna inspección, la empresa denunciada alegó que
No cuenta con un conjunto de datos de carácter personal sobre infracciones penales o administrativas organizados bajo ningún criterio, sino con un conjunto de ejemplares de Boletines Oficiales almacenados en formato digital, formato original en el que son publicados por sus respectivas fuentes, sobre los que cabe aplicar criterios de búsqueda de palabras porque así lo permite el formato en el que éstos se descargan de sus páginas web oficiales. De modo que en ningún momento ha incluido en ficheros de su propiedad datos relativos a la comisión de infracciones penales o administrativas.
Asimismo, alega que no tiene la consideración de responsable del fichero, puesto que no decide la finalidad y contenido de los Boletines Oficiales que almacena, ya que únicamente puede disponer sobre el uso que de la información que se proporciona en los mismos sin agregar datos adicionales, de modo que no puede considerársele responsable de un fichero sobre infracciones administrativas. Además, los Boletines Oficiales tienen la consideración expresa de fuentes accesibles al público, según se establece en el artículo 3, apartado j) de la LOPD, por lo que su consulta puede ser realizada por cualquier persona.
Ha actuado en todo momento de buena fe, cumpliendo con la normativa vigente en materia de protección de datos y con la convicción de que sus actuaciones eran conforme a derecho, con los ficheros de su titularidad debidamente inscritos en el Registro General de Protección de Datos, con el preceptivo documento de seguridad y con los correspondientes contratos de encargado del tratamiento exigidos por el artículo 12 de la LOPD con todos los prestadores de servicios que tienen acceso a datos personales de los que es responsable. Asimismo, consta que AUTOPLUS FLEET registró de forma previa al inicio de sus actividades los ficheros de los que es responsable en el Registro General de Protección de Datos, y entre ellos el fichero denominado “Potenciales Clientes”, notificado el 04/07/2006. En la notificación efectuada de dicho fichero se comunicaba que el mismo incluía, entre otros, datos relativos a infracciones de tráfico con la finalidad de ofrecer información sobre la publicación de infracciones de tráfico y ofrecer sus servicios. Igualmente se indicaba que el origen de estos datos eran fuentes accesibles al público.Esta última alegación, dando un valor de validación sobre la legalidad del contenido de un fichero a la mera aceptación de su alta administrativa en le Registro, creo que es la primera vez que la leo y en cualquier caso seguro que no es muy habitual. Pero funciona. En los Fundamentos de Derecho se desestiman las primeras alegaciones:
En primer lugar, debe indicarse que, respecto de los ficheros que contengan datos relativos a la comisión de infracciones penales o administrativas, el artículo 7.5 de la LOPD es terminante al establecer de modo taxativo que estos datos “sólo podrán ser incluidos en ficheros de las Administraciones Públicas competentes en los supuestos previstos en las respectivas normas reguladoras”. En consecuencia, el tratamiento de estos datos por parte de una entidad de derecho privado como AUTOPLUS FLEET resulta contrario a lo establecido en la citada Ley Orgánica, quedando limitado a las Administraciones Públicas en el ejercicio de las atribuciones que tengan conferidas, es decir, a aquellos casos en que el órgano responsable del fichero sea titular de la competencia que legitime el tratamiento y, exclusivamente, cuando así lo establezca una norma con rango suficiente.
De ello se desprende que, aunque los datos se hubieran obtenido de fuentes accesibles al público, o se trate de datos que puedan ser accedidos por terceros cuando una Ley lo permita, el tratamiento inconsentido de tales datos se encuentra vedado a AUTOPLUS FLEET, dada su naturaleza jurídico-privada.Sin embargo se admite que:
En consecuencia, resulta que AUTOPLUS FLEET ha tratado datos relativos a infracciones de tráfico en un fichero previamente notificado al Registro General de Protección de Datos, con detalle de su estructura, que contempla la recogida de dichos datos de fuentes accesibles al público, e inscrito de conformidad por la Agencia Española de Protección de Datos. Por tanto, cabe deducir que AUTOPLUS FLEET actuó en el convencimiento de que dicha actuación se ajusta a la normativa de protección de datos de carácter personal, en la presunción de legalidad de las actuaciones de la citada Agencia. En consecuencia, respecto de la infracción del artículo 7.5 de la LOPD, es de apreciar una ausencia de culpabilidad en la conducta mantenida por AUTOPLUS FLEET, en virtud del citado principio de confianza legítima.Y así llega la rebaja en la sanción:
El Director de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la entidad AUTOPLUS FLEET SERVICES, S.L., por una infracción del artículo 7.5 de la LOPD, tipificada como grave en el artículo 44.3.d) de dicha norma, una multa de 6.000 euros (seis mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica.