SAN, 27 de Diciembre de 2010
| Ponente | ELISA VEIGA NICOLE |
| Emisor | Audiencia Nacional. Sala Contencioso Administrativo, Sección 1ª |
| ECLI | ES:AN:2010:6022 |
| Número de Recurso | 393/2009 |
SENTENCIA
Madrid, a veintisiete de diciembre de dos mil diez.
Visto por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional el recurso contencioso
administrativo número 393/2009 interpuesto por la entidad EMPRESA MUNICIPAL DE VIVIENDA Y SUELO, SA (EMUVYSSA),
representada por el Procurador don Juan Ignacio Valverde Canovas, contra la resolución del Director de la Agencia Española de
Protección de Datos de fecha 16 de marzo de 2009, que estima parcialmente el recurso de reposición interpuesto contra la
resolución de la citada Agencia de fecha 17 de diciembre de 2008, dictada el procedimiento sancionador PS/00102/2008, ha sido
parte la Administración demandada, representada y defendida por la Abogada del Estado. La cuantía del recurso se ha fijado en
30.000 .
PRIMERO.- Por la recurrente expresada se formuló recurso contencioso administrativo contra resolución anteriormente mencionada, mediante escrito presentado el 20 de mayo de 2009, habiéndose admitido a trámite por providencia del siguiente día 28 de mayo, con reclamación del expediente administrativo.
SEGUNDO.-La parte actora formuló demanda mediante escrito presentado el 26 de enero de 2010 en el que, tras alegar los hechos y fundamentos jurídicos que consideró oportunos, terminó suplicando que se dicte sentencia estimando el recurso, revocando y anulando la resolución impugnada.
TERCERO.- La Abogada del Estado en su escrito de contestación a la demanda de fecha 1 de marzo de 2010, tras alegar los hechos y fundamentos de derecho que consideró aplicables, postuló una sentencia por la que se desestime el recurso interpuesto en todos sus extremos, confirmando la resolución impugnada por ser conforme a derecho.
CUARTO.- Por auto de fecha 15 de marzo de 2010 se acordó el recibimiento del pleito a prueba, habiéndose practicado la propuesta por la parte actora, con resultado que obra en autos.
QUINTO.-Las partes presentaron sus respectivos escritos de conclusiones, tras lo cual se señaló para votación y fallo el día 22 de diciembre de 2010, en el que se deliberó y fallo, habiéndose observado en la tramitación las prescripciones legales
Ha sido PONENTE la Magistrada ELISA VEIGA NICOLE, quien expresa el parecer de la Sala.
PRIMERO.- Constituye el objeto del presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de la Protección de Datos de fecha 16 de marzo de 2009, que estima parcialmente el recurso de reposición interpuesto contra resolución de la citada Agencia de fecha 17 de diciembre de 2008, dictada el procedimiento sancionador PS/00102/2008, que impuso a EMUVYSSA una sanción de 30.000 por una infracción del artículo 9 de la Ley Orgánica 15/1999 , tipificada como grave en el artículo 44.3 .h), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica .
SEGUNDO.- Se basa la resolución impugnada para apreciar dicha infracción, en los siguientes:
HECHOS PROBADOS
1) Con fecha 10/07/2006, D. Basilio solicitó su participación en la reserva de 90 VPO de Edificio Mediterráneo, a través de la web "www. emuvyssa.com" (folios 3 a 5, 25, y 152 a 156), titularidad de la Empresa Municipal de la Vivienda y Suelo S.A., que gestionó entre el período 4/07 a 4/08/2006 un total de 997 solicitudes de"reserva opción a sorteo" que los interesados podían rellenar a través de la citada web (folio 255, 277 a 278, 284 a 289, 348).
2) El documento de seguridad de EMUVYSSA es de fecha 19/10/2006 (folio 29).
3) El denunciante, al cumplimentar sus datos en la web (folios 2, 152), recibía un correo de la receptora EMUVYSSA indicándole que debía imprimir dicho contrato, abonar la cantidad de la reserva y acudir con el contrato y los justificantes del abono a registrar el contrato firmado a la sede (folios 25, 26, 340 a 342, 255). En dicho correo que recibió el solicitante y ahora denunciante existía un link para ver el contrato. El denunciante pudo ver su contrato de reserva para vivienda VPO (folios 3 a 6). Pero además, el denunciante pudo ver, cambiando la "id" que se asigna por la máquina secuencial, ordenada y automáticamente, los contratos de otros 333 solicitantes (folios 7 a 16, 256 y CD 257, 26, 329). Los datos que contienen dichas reservas son nombre y apellidos, DNI, dirección, estado civil, teléfono móvil o fijo y números de cuenta bancaria (folios 7 a 16 y 157 a 206, 257).
4) Con fecha 10/07/2008, el denunciante advirtió de los hechos y el motivo que permitía acceder a la información (folios 2, 26, 255), teniendo EMUVYSSA conocimiento de su recepción (folio 326), que se puso en conocimiento de los responsables de seguridad y programación el 18/07/2006 (folio 330), si bien tal incidencia no aparece recogida en el "Registro de incidencias" del documento de seguridad, teniendo además en cuenta que este tiene fecha de 19/10/2006, aunque la Inspección se llevó a cabo en la sede de EMUVYSSA el 6/02/2007 (folios 25, 26, 29 y 49, 53 y 55).
En la citada resolución se recoge que la recurrente, responsable de la custodia de los datos almacenados en los ficheros a través de emuvyssa.com, falló en las medidas de seguridad al poder accederse a las solicitudes de reserva de viviendas de terceros, solicitudes en las que constaban nombre y apellidos, DNI, dirección, estado civil, teléfono móvil o fijo y números de cuenta bancaria, sin que la pericia de denunciante en el campo informático resulte relevante ya que no planteaba dificultad entrar a ver las solicitudes, introduciendo la "id" que consiste en simples números cuando se visualiza la barra de herramientas, habiéndose vulnerado el artículo 9 de la LOPD pues no se adoptaron, de manera efectiva, las medidas técnicas y organizativas necesarias, entre ellas, las dirigidas a impedir el acceso a los datos contenidos...
Para continuar leyendo
Solicita tu prueba