A-00055-2016

1/5 Procedimiento Nº: A/00055/2016 RESOLUCIÓN: R/01287/2016 En el procedimiento A/00055/2016, instruido por la Agencia Española de Protección de Datos a la entidad ASOCIACIÓN ALPEDRETE SOSTENIBLE, vista la denuncia presentada por D. B.B.B. y D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 11 de marzo y 9 de abril de 2015 tienen entrada en esta Agencia escritos de D. B.B.B. y D. A.A.A. (en lo sucesivo los denunciantes) comunicando que realizaron junto con sus hermanos, alegaciones adjuntas al Plan General de Ordenación Urbana del Ayuntamiento de Alpedrete (Madrid) en las que constaban sus nombres y sus DNI. Sin autorización alguna, la Asociación Alpedrete Sostenible (en lo sucesivo la denunciada) ha puesto y mantiene en visibilidad pública dichas alegaciones, así como sus datos personales en su web www.alpedretesostenible.org. SEGUNDO: Con fecha 11 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00055/2016, por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) tipificada como grave en el art. 44.3.

1. b)de dicha norma, de acuerdo con el art. 45.6. Dicho acuerdo fue notificado a los denunciantes y a la denunciada el 16 de febrero de 2016. El plazo concedido a la denunciada para formular alegaciones previas a la resolución del procedimiento de apercibimiento transcurrió sin que en esta Agencia se haya recibido escrito alguno. TERCERO: Con fechas 27 de abril, 5 y 20 de mayo de 2016 por esta Agencia de Datos se ha constatado que resultaban aún accesibles en visibilidad pública las citadas alegaciones, así como los datos personales de los denunciantes en la web www.alpedretesostenible.org. HECHOS PROBADOS PRIMERO: Con fecha 11 de marzo y 9 de abril de 2015 tienen entrada en esta Agencia escritos de los denunciantes comunicando que realizaron junto con sus hermanos, alegaciones adjuntas al Plan General de Ordenación Urbana del Ayuntamiento de Alpedrete (Madrid) en las que constaban sus nombres y sus DNI. Sin autorización alguna, la denunciada ha puesto y mantiene en visibilidad pública dichas alegaciones, así como sus datos personales en su web www.alpedretesostenible.org (folios 1 a 24). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: Con fechas 27 de abril, 5 y 20 de mayo de 2016 por esta Agencia de Datos se ha constatado que resultaban aún accesibles en visibilidad pública las citadas alegaciones, así como los datos personales de los denunciantes en la web www.alpedretesostenible.org (folios 46 a 53). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Los hechos expuestos suponen por parte de la denunciada, una infracción del artículo 6.1 de la LOPD, que regula: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La citada infracción está tipificada como grave en el artículo 44.3.
3. b)de la LOPD, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Dicha infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. III Para determinar si la actuación de la denunciada constituye un tratamiento o no de datos, debe tenerse en cuenta el criterio de la sentencia del TJUE de 6 de noviembre de 2003, en el asunto C-101/01. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Así lo ponen de manifiesto su apartado 20, en el que se hace referencia al concepto de dato personal, considerando incluido en el mismo “toda información sobre una persona física identificada o identificable”, añadiendo que “este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”. Así mismo establece la sentencia citada en su apartado 27 que: “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” En el presente caso se ha verificado por la Agencia que resultan accesibles en visibilidad pública, las citadas alegaciones, así como los datos personales de los denunciantes en la web www.alpedretesostenible.org IV No obstante, la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
6. a)y
7. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado, teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. Por otra parte, la denunciada no ha comunicado a esta Agencia la adopción de ninguna medida correctora, por lo que procede requerir a la misma para que adopte las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 que impidan que siga produciéndose una infracción de lo dispuesto en el artículo 6.1 de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00055/2016) a la ASOCIACIÓN ALPEDRETE SOSTENIBLE con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
8. b)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
9. f)y
10. n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos. 2.- REQUERIR a la ASOCIACIÓN ALPEDRETE SOSTENIBLE de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6.1 de la LOPD. En concreto se insta a la denunciada a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan el tratamiento de datos de los denunciantes, en su web www.alpedretesostenible.org. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte de que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/02439/2016, podría incurrir en una infracción del artículo 37.1.
11. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
12. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
13. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.NOTIFICAR el presente Acuerdo a la ASOCIACIÓN ALPEDRETE SOSTENIBLE. 4.- NOTIFICAR el presente Acuerdo a D. B.B.B. y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es