← España

A-00056-2017

1/9 Procedimiento Nº: A/00056/2017 RESOLUCIÓN: R/00901/2017 En el procedimiento A/00056/2017, instruido por la Agencia Española de Protección de Datos a la entidad AMPA C.P. XXXX, vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/05/2016, tuvo entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que declara que la Asociación de Madres y Padres del Colegio Público XXXX (denunciado) ha remitido una carta por correo postal a su hija, Dña. B.B.B., de dos años de edad, sin saber cómo han podido obtener sus datos, puesto que sólo el Ayuntamiento de ***LOCALIDAD.1 y el Colegio referido los poseen (a parte de ella misma); y si es correcto que sin el consentimiento expreso de sus padres o tutores legales pueden tener acceso a los mismos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia (Informe E/02973/2016) se tiene conocimiento de los siguientes extremos:  Que según el matasellos que consta en el sobre que contiene la carta dirigida a la menor la fecha de los hechos es: 05.04.16.  En el sobre figura de forma manuscrita: nombre, apellidos y dirección postal de la menor que coinciden con la información que figura en el DNI de la misma. Como remitente se detalla AMPA C.P. XXXX. ***LOCALIDAD.1. Tel.: ***TEL.1, correo electrónico ampa....@gmail.com. Sello con fecha 05.04.16.  En la carta se convoca a una reunión para explicar la situación del ciclo de Educación Infantil.  La denunciante no informa de si es miembro del AMPA ni acredita de que se hubiera dirigido a la misma solicitando el origen de los datos de la menor y/o la cancelación de los mismos.  Que según informa el AMPA denunciado los datos personales de la menor fueron facilitados por la familia (padres de la menor), con fecha de 1 de octubre de 2015, al darse de alta como socios en el AMPA y en el Acta de fecha 14 de octubre de 2015 se advierte y comunica a los socios que se citará al alumnado del ciclo Infantil. Se adjunta la citada Acta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9  Para la convocatoria de la reunión sobre el ciclo de Educación Infantil se decidió enviar cartas, ya que todos los menores no cuentan con hermanos mayores en el centro, por lo que era imposible enviar nota a través de ellos. TERCERO: Con fecha 03/03/2017, la Directora de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a la AMPA C.P. XXXX a trámite de audiencia previa al apercibimiento por la presunta infracción del artículo 6 de la citada LOPD, en relación con la utilización de los datos personales de doña B.B.B. (menor de edad), sin el consentimiento de sus padres o tutores. Con tal motivo, se concedió a la AMPA un plazo de audiencia de quince días hábiles para que formulara las alegaciones y presentara las pruebas que considerase oportunas. Por último indicar que el referido acuerdo fue debidamente notificado a la AMPA denunciada el día 10 de marzo de 2017, como así lo acredita la prueba de entrega remitida por Correos y que se incorpora al expediente. CUARTO: El día 22/03/2017 se recibe en esta Agencia de Protección de Datos escrito de don C.C.C. en su condición de presidente del AMPA del Colegio Público XXXX, en el que en síntesis reconoce los hechos, y solicita no se inicie procedimiento sancionador alguno, en la medida que se trata de un hecho puntual y aislado, en el que ni se ha causado perjuicio ni se ha obtenido beneficio alguno. Sigue manifestando el Sr. C.C.C. que se ha remitido a las familias, socias del AMPA en cumplimiento de lo establecido en la LOPD, formularios para recogida de datos personales y la prestación de consentimiento expreso por parte de los afectados que incluye la información del artículo 5 de la LOPD. Afirma que no se ha vuelto a remitir, ni se hará en un futuro, notificación postal como la que dio origen al presente expediente, que en todo caso, se hizo de buena fe y sin intencionalidad negativa alguna. HECHOS PROBADOS PRIMERO: El AMPA C.P. XXXX el 05/04/2016 remitió una carta a doña B.B.B., menor de edad e hija de la denunciante, donde constaban su nombre, apellidos y dirección postal, sin disponer del consentimiento de sus padres o tutores para el tratamiento de sus datos. SEGUNDO: El AMPA C.P. XXXX no ha acreditado documentalmente que los padres o tutores de la niña a la que se remitió la carta fueran miembros de dicha Asociación de Madres y Padres. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  2. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  3. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  4. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este mismo sentido se pronuncia el artículo 2.
  5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, la información relativa a la hija menor de la denunciante contenida en la carta, objeto de la denuncia, se ajusta a este concepto, por lo que se concluye la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. En el presente caso se trata de un tratamiento de datos de un menor de edad con lo que deberemos atender a lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD): “Artículo 13 Consentimiento para el tratamiento de datos de menores de edad 1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado (en este caso de sus padres o tutores) cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. IV De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el AMPA del colegio puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimado para el tratamiento de datos de la menor, y por ende verificar la prestación del consentimiento sus progenitores o la ausencia del mismo. V En el presente caso, el AMPA del C.P. XXXX, es responsable del envío de una carta donde figura como destinatario la menor, y por lo tanto, es el responsable del tratamiento de sus datos personales, requiriéndose para el mismo el consentimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 los padres. Consta acreditado que la AMPA del Colegio Público XXXX, remitió una carta a doña B.B.B., menor de edad, haciendo constar su nombre y apellidos y dirección postal, sin tener el consentimiento de sus padres o tutores para el tratamiento de dichos datos personales. Asimismo, no concurren en el caso que nos ocupa, ninguno de los supuestos recogidos en el artículo 6.2 de la LOPD que permiten excepcionar la obtención del consentimiento para el tratamiento de datos; por ello, debe concluirse que la actuación del AMPA del C.P. XXXX constituye una vulneración al artículo 6.1 de la LOPD. En actuaciones previas el AMPA manifestó que los datos de la menor los había obtenido al haber sido facilitados por la familia (padres) con fecha 01/10/2015, al darse de alta como socios en esa asociación, y que se usan con fines compatibles con la citación a la reunión, según consta en Acta; pero lo cierto es que a lo largo de la tramitación de este expediente no se ha acreditado documentalmente que los padres de la menor sean socios de dicha asociación. No obstante, aunque así fuera, esto no habilitaría a la AMPA al tratamiento de los datos de carácter personal de su hija, para la remisión de cartas a la misma, sin el previo consentimiento de sus padres. VI El artículo 44.3.
  6. b)de la LOPD, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción tipificada como grave en el artículo 44.3.
  7. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada con multa de 40.001 € a 300.000 € de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Tomando en consideración los anteriores hechos y fundamentos de derecho cabe concluir que el AMPA del C.P. XXXX trató sin consentimiento los datos personales de la menor lo cual constituye la referida infracción del artículo 6.1 de la LOPD. VII No obstante lo anterior (y como ya se indicaba en el acuerdo de inicio) el apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
  8. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IOS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  25. a)y
  26. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD (artículo 45.5.a LOPD), concretamente:  Se trata de un hecho puntual (no continuado).  No se han obtenido beneficios por la comisión de la infracción.  Ausencia de reincidencia, al no haber sido sancionada con anterioridad por la comisión de infracciones de la misma naturaleza.  No constan perjuicios causados a las personas interesadas o a terceras personas.  Manifiesta el denunciado su intención de no volver a remitir notificaciones postales como la que dio origen al presente expediente.  Afirma que ha remitido a todas las familias socias del AMPA, formularios para la recogida de datos personales y la prestación de consentimiento expreso por parte de los afectados, donde se incluye la información del artículo 5 de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00056/2017) a la AMPA C.P. XXXX con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. 2.- REQUERIR a la AMPA C.P. XXXX de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 2.1.- CUMPLA lo previsto en el artículo 6.1 de la LOPD. En concreto, se insta al denunciado a que no remita cartas a nombre de los hijos de los socios de esa AMPA, sin el previo consentimiento de los padres o tutores en el caso de que sean menores de catorce años, o sin el consentimiento de los propios hijos (o de sus padres), si fueran mayores de dicha edad. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a AMPA C.P. XXXX. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.