L’Agència Espanyola de Protecció de Dades (AEPD) va sancionar amb 100.000 € a una entitat per la difusió a internet de documents que contenien dades de caràcter personal, per vulnerar la Llei Orgànica de Protecció de Dades de Caràcter Personal (LOPD).
L’entitat sancionada és una associació sense ànim de lucre constituïda per defensar els drets i promoure les circumstàncies de l’atemptat del “11M”, atemptat que va ocórrer el 11 de març de 2004 a l’estació d’Atocha de Madrid. Aquesta entitat va publicar una part del sumari d’aquest atemptat.
Durant una pràctica en una classe d’informàtica un menor va trobar una fotocòpia del seu llibre de família introduint el seu nom en un cercador; a la mateixa web també si podia trobar informació variada relacionada amb el 11M. La mare del menor va informar a l’associació de víctimes de l’atemptat, a la qual pertanyia, de l’existència d’aquesta web; aquesta associació va presentar formalment la denúncia a l’AEPD.
L’AEPD va verificar que, efectivament, a la web de l’entitat denunciada hi apareixien llistats de ferits amb el nom, cognoms i hospital on van ingressar; també diversos parts de lesions i diversos vídeos amb declaracions de testimonis.
Posteriorment l’entitat sancionada va decidir traslladar els documents a una pàgina d’accés restringit dins de la mateixa web; però van fer públics l’enllaç a aquesta pàgina privada, l’usuari i la contrasenya d’accés, donant la possibilitat que qualsevol pogués seguir tenint accés a informació amb dades de caràcter personal. Es va poder verificar que en cap document del sumari s’havien ocultat les dades de caràcter personal.
L’AEPD va considerar que l’entitat denunciada havia realitzat dues infraccions:
- Tractava dades sense el consentiment dels titulars d’aquestes, amb l’agreujant que algunes d’aquestes dades es consideren especialment protegides. Es tracta d’una infracció molt greu, sancionada amb una multa d’entre 300.001 € a 600.000 €.
- Difondre dades personals a través d’internet, facilitant-les a tercers, vulnerant així el deure de secret. Es considera una infracció greu, sancionada amb multa una d’entre 40.001 € a 300.000 €.
Al ser dues infraccions que deriven d’un mateix fet es considera concurs medial; això significa que només es té en compte la sanció més greu, en aquest cas el tractament de dades especialment protegides sense el consentiment dels afectats.
L’AEPD aplica l’article 45 de la LOPD per fixar la sanció imposada; aquest article recull dos grups de circumstàncies que permeten aplicar l’escala de sancions inferior a l’imposada i graduar dins d’una escala la multa corresponent segons determinats fets. L’AEPD rebaixa l’escala de sancions de molt greu a greu perquè l’entitat denunciada va procedir a iniciativa pròpia, abans de dictar la resolució, retirar el contingut de la seva web. Després dins de l’escala de 40.001 € a 300.000 € s’imposa una multa entre mig (100.000 €). Es van tenir en compte el limitat pressupost de l’entitat, però no podien ignorar el gran volum d’informació tractada de forma no anonimitzada i posada a disposició de tercers, ni el caràcter continuat de l’infracció.
L’AEPD ha aclarit més d’un cop que les sentències i resolucions judicials no tenen la consideració de fonts accessibles al públic. Això significa que no formen part del nombre taxat de bases de dades i repertoris dels que s’obtenen dades que poden ser tractades sense el consentiment de l’afectat.
Amb caràcter general, només es podran publicar sentències sempre que no es puguin reconèixer la/les persona/es que hagin estat condemnades per la sentència. En altres paraules, segons la LOPD perquè un procediment de dissociació pugui considerar-se suficient, ha de ser impossible identificar una determinada dada amb el seu subjecte associat.