1/6 Procedimiento Nº: A/00168/2016 RESOLUCIÓN: R/01804/2016 En el procedimiento A/00168/2016, instruido por la Agencia Española de Protección de Datos a la SOCIEDAD PROTECTORA DE ANIMALES XXXX, vista la denuncia presentada por Dña. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: En fecha 5 de febrero de 2016 tiene entrada en esta Agencia un escrito de doña B.B.B. (en lo sucesivo la denunciante), en el que denuncia a la SOCIEDAD PROTECTORA DE ANIMALES XXXX (en lo sucesivo la denunciada), por publicar detalles de su solicitud de adopción de un perro en un perfil de la red social Facebook y en el blog A.A.A., ambos administrados por una colaboradora de esa asociación. Aporta copia del cuestionario de adopción animal que cumplimentó el 5 de octubre de 2015, en el que se asegura que el documento está protegido por la LOPD. Aporta asimismo copia de las denuncias presentadas ante la Policía Nacional en fechas 8 de octubre y 11 de noviembre de 2015 en relación con estos mismos hechos y con los mensajes de acoso recibidos en su teléfono como consecuencia de las informaciones publicadas. SEGUNDO: En fecha 19 de febrero de 2016 por la Inspección de Datos se constató que en la red social se publicaban algunos detalles sobre la adopción. TERCERO: Con fecha 20 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00168/2016 con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracciones de sus artículos 6 y 10, tipificadas como graves en el artículo 44.3.
- b)y 44.3.d). Dicho acuerdo fue notificado a la denunciante. En fechas 25 y 26 de abril de 2016, se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador a la denunciada a través del servicio de Correos y Telégrafos. Según se desprende de la información facilitada por este servicio, dicha notificación fue depositada para su retirada en oficina de Correos hasta el 4 de mayo de 2016, siendo devuelta junto al documento de aviso de recibo, con la anotación “ausente reparto”. Con fecha 23 de mayo de 2016 se notificó, mediante su publicación en el Boletín Oficial del Estado. CUARTO: La denunciada no ha remitido escrito de alegación alguno frente al citado acuerdo de inicio que, en su punto 3, establece literalmente lo siguiente: “...De no efectuar alegaciones sobre el contenido de la iniciación de este procedimiento, la iniciación podrá ser considerada propuesta de resolución, de acuerdo con lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto.” QUINTO: No obstante, por esta Agencia se ha verificado en fecha 13 de julio de 2016 que los detalles de la adopción ya no resultan públicamente accesibles en la red social. HECHOS PROBADOS PRIMERO: En fecha 5 de febrero de 2016 tiene entrada en esta Agencia un escrito de doña B.B.B. (en lo sucesivo la denunciante), en el que denuncia a la SOCIEDAD PROTECTORA DE ANIMALES XXXX (en lo sucesivo la denunciada), por publicar detalles de su solicitud de adopción de un perro en un perfil de la red social Facebook y en el blog A.A.A., ambos administrados por una colaboradora de esa asociación. Aporta copia del cuestionario de adopción animal que cumplimentó el 5 de octubre de 2015, en el que se asegura que el documento está protegido por la LOPD. Aporta asimismo copia de las denuncias presentadas ante la Policía Nacional en fechas 8 de octubre y 11 de noviembre de 2015 en relación con estos mismos hechos y con los mensajes de acoso recibidos en su teléfono como consecuencia de las informaciones publicadas (folios 1 a 86). SEGUNDO: En fecha 19 de febrero de 2016 por la Inspección de Datos se constató que en la red social se publicaban algunos detalles sobre la adopción (folios 88 a 99). TERCERO: Por esta Agencia se ha verificado en fecha 13 de julio de 2016 que los detalles de la adopción ya no resultan públicamente accesibles en la red social (folio 117). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento, el tratamiento sin consentimiento de datos personales. Se hace necesario en primer lugar transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD. “
- a)Datos de carácter personal: Cualquier información pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.
- f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
- h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
- j)Fuentes accesibles al público: Aquellos ficheros cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.” III El artículo 6.1 de la LOPD, regula que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 fundamentales del interesado.” La infracción del contenido del citado artículo está tipificada como grave en el artículo 44.3.
- b)de la LOPD, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Para determinar si la actuación de la denunciada constituye un tratamiento o no de datos, debe tenerse en cuenta el criterio de la sentencia del Tribunal de Justicia de las Comunidades Europeas de 6 de noviembre de 2003, en el asunto C-101/01, que no limita la aplicación de la normativa de protección de datos personales a los supuestos en que el tratamiento afecta a varias personas. Así lo ponen de manifiesto su apartado 20, en el que se hace referencia a la observación formulada por la Sra. Lindqvist la cual se limita al tratamiento de datos de una sola persona y los apartados 25 y 26 relativos al concepto de dato personal, considerando incluido en el mismo “toda información sobre una persona física identificada o identificable”, añadiendo que “este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”. Así mismo establece la sentencia citada en su apartado 27 que: “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” En el presente caso, tras la recepción de la denuncia por la Agencia se verificó que en el perfil denunciado de la red social Facebook se publicaban algunos detalles de la adopción, si bien no pudo constatarse que los datos que entonces figuraban publicados identificaran a la denunciante. V Así mismo, el artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. La infracción del contenido del citado artículo está tipificada como grave en el artículo 44.3.
- d)de la LOPD, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” VI No obstante, el Tribunal Constitucional en su sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: “No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” En el caso presente y a pesar de los hechos denunciados, por la Inspección de Datos se ha constatado desde el acceso realizado el 19/02/2016, que en la red social se publicaban algunos detalles sobre la adopción, pero no datos personales de la denunciante, como pudieran ser nombre, apellidos, teléfono etc. Por todo ello, no habiendo quedado acreditado el tratamiento y revelación de datos personales de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 denunciante, procede el archivo del presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: 1. ARCHIVAR el presente procedimiento a la SOCIEDAD PROTECTORA DE ANIMALES XXXX. 2.- NOTIFICAR el presente Acuerdo a la SOCIEDAD PROTECTORA DE ANIMALES XXXX. 3.- NOTIFICAR el presente Acuerdo a Dña. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es