A-00153-2016

1/7 Procedimiento Nº: A/00153/2016 RESOLUCIÓN: R/01299/2016 En el procedimiento A/00153/2016, instruido por la Agencia Española de Protección de Datos a la SOCIEDAD COOPERATIVA MADRILEÑA DE ENSEÑANZA XXXXX, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12 de febrero de 2016, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que declara lo siguiente: “En el enlace https://........ Las cartas contienen datos de los remitentes (Nombre, DNI, dirección), entre ellas está la mía (en *****.pdf). El enlace es de acceso público sin restricciones. Si el usuario que entra en el enlace tiene iniciada sesión con Google (Google Plus, Google Drive, Gmail, etc...) además puede ver los datos de publicación accediendo al icono "i" en la parte superior derecha (el icono sólo aparece si un usuario cualquiera tiene iniciada sesión). El publicador es ....@colegio.... y la fecha de publicación es del 10/02/2016.” SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de comprobaciones para el esclarecimiento de los hechos denunciados, realizando una Diligencia en la que se hace constar que a través del buscador google drive y en la dirección https://.......1 aparece las cartas de baja denunciadas. TERCERO: Con fecha 1 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00153/2016. Dicho acuerdo fue notificado a la denunciante y al denunciado. CUARTO: Con fecha 28 de abril de 2016, se recibe en esta Agencia escrito del denunciado en el que comunica: que el día 12 de febrero de 2016, previa a la celebración de la asamblea general de cooperativistas y debido a la extensión de la información, se almacenó en google apps para educación del colegio, una documentación que se dio a conocer a los socios de la cooperativa mediante un enlace que se envió exclusivamente a los cooperativistas. Este enlace daba acceso a los socios a visualizar los documentos pero estaba bloqueada tanto la descarga como la impresión. Si se desconocía el enlace no se podía acceder a la información. El artículo 11, apartado

1. c)de los Estatutos obliga a los cooperativistas a guardar secreto sobre actividades y datos de la cooperativa cuando su divulgación pueda perjudicar los intereses sociales. No ha habido mala fe por parte de la cooperativa, ya que al detectar el hecho de que si algún socio enviaba el enlace a un tercero, éste tendría acceso a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 información, se eliminó el archivo, con fecha 20 de febrero de 2016. HECHOS PROBADOS PRIMERO: Doña A.A.A., denunció que: “En el enlace https://........ Las cartas contienen datos de los remitentes (Nombre, DNI, dirección), entre ellas está la mía (en *****.pdf). El enlace es de acceso público sin restricciones.” SEGUNDO: La Inspección de Datos comprobó, en fecha 16 de febrero de 2016, que a través del buscador google drive y en la dirección https://.......1 aparecían las cartas de baja denunciadas. TERCERO: La Inspección de Datos ha constatado que, en la actualidad, a través del buscador google drive y en la dirección https://.......1 no aparece ninguna información. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que la Sociedad Colegio XXXXX, envió a los cooperativistas una información, que contenía datos personales, que ha podido ser accedida por terceras personas. Por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte del denunciado, que es responsable de dicha infracción. III Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación de los datos personales a través de las web https://.......1. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, el Colegio XXXXX, con la incorporación de los datos personales de algunos cooperativistas (como la denunciante que se daba de baja) a la web de la que era responsable, sin acceso restringido, habilitaba el acceso por parte de cualquiera a datos personales de terceros, según el detalle que consta en los hechos probados, cuestión que ha quedado acreditada en el presente procedimiento sin que el titular de los datos, en concreto, la denunciante, hubiesen prestado su consentimiento para ello. Por tanto, queda acreditado que por parte del Colegio XXXXX responsable del tratamiento de los datos en cuestión, pudo vulnerarse el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso no restringido por terceros a datos personales de terceros, si bien no se tiene constancia de ese acceso por parte de terceros y no se podía efectuar si no se conocía la dirección completa. Este incumplimiento aparece tipificado como infracción grave en el artículo 44.3.
3. d)de dicha norma, que califica como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley”. IV Los hechos constatados, consistentes en incluir datos personales en la web del denunciado y facilitar a terceros el acceso a dichos datos sin el consentimiento de los afectados, constituye una base fáctica para fundamentar la imputación a de las infracciones de los artículos 6 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del tratamiento de datos que supone incorporarlos a la web, a su vez, deriva en una vulneración del deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo imponer únicamente declarar la infracción del artículo 6 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. El artículo 44.3.
4. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumple el supuesto de hecho que tipifica este precepto, es decir, resulta acreditado un tratamiento de datos personales por parte del Colegio XXXXX, y la exigibilidad del consentimiento viene dada en la norma aplicable. Al tratar los datos, al ponerlos en una página web que podía ser accedida por terceros sin su consentimiento, el Colegio ha cometido la infracción tipificada en dicho artículo. Alega la representante de la Sociedad que los Estatutos obligan a los socios a mantener secreto sobre las actividades y datos de la Cooperativa cuando su divulgación pueda perjudicar los intereses sociales de la misma. Esta obligación no establece el deber de secreto sobre los datos personales objeto de tratamiento (artículo 10 de la LOPD), ya que podrían divulgar datos personales si no perjudican los intereses de la Cooperativa. V El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
5. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos, retiraron la información de la página web a los 10 días de subirla a la página web referenciada con la finalidad de que accediesen solo los socios, , hecho constatado por esta Agencia, debiendo añadir que no era fácil acceder a la información incluida ya que debía conocerse el enlace completo, que se facilitó exclusivamente a los socios. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones, al haberse constatado que ha quitado de la página web desde la que se accedía a los datos de la denunciante toda la información. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00153/2016 seguido contra SOCIEDAD COOPERATIVA MADRILEÑA DE ENSEÑANZA XXXXX, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 6 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a SOCIEDAD COOPERATIVA MADRILEÑA DE ENSEÑANZA XXXXX. 3.- NOTIFICAR el presente Acuerdo a Doña A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es