A-00181-2014

1/5 Procedimiento Nº: A/00181/2014 RESOLUCIÓN: R/02050/2014 En el procedimiento A/00181/2014, instruido por la Agencia Española de Protección de Datos a la ASOCIACIÓN ¿HAY DERECHO?, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: En escrito de fecha de entrada en esta Agencia de 1 de julio de 2014, don A.A.A. (en lo sucesivo el denunciante) se refiere a la publicación, en el blog sobre actualidad jurídica y política http://hayderecho.com, de un documento del Grupo Parlamentario Popular de la Asamblea de Madrid, fechado el 8 de junio de 2012, por el que se propone su designación como Consejero de la Cámara de Cuentas de la Comunidad de Madrid. Junto a este documento se publica su aceptación del cargo y su currículum vitae completo, en el que se incluyen, junto a su trayectoria profesional, detalles de sus datos familiares y de contacto. Aunque no aporta copia de las comunicaciones intercambiadas con el responsable del blog, expone que le ha solicitado a este la eliminación del documento, pero solo ha logrado que se elimine un enlace, permaneciendo públicamente accesibles todos los datos que contiene. SEGUNDO: En fecha 4 de julio de 2014 por la Inspección de Datos se verifica que a través de la dirección web http://hayderecho.............. resulta públicamente accesible el documento al que se refiere el denunciante. Se verifica asimismo que en el mismo sitio web, en la dirección http://hayderecho..............1 se informa del ideario del blog y de las condiciones de publicación de comentarios. En el documento relativo a la Política de privacidad del sitio se informa, en particular, de lo siguiente: “De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, ¿Hay Derecho? le informa de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición mediante solicitud escrita y firmada en la que se contengan los siguientes datos: nombre, apellidos, domicilio a efectos de notificaciones, fotocopia del DNI o Pasaporte, y petición en que se concreta la solicitud. El escrito deberá remitirse a la Asociación ¿Hay Derecho?, (C/................1) Madrid, con C.I.F. *********, .......@hayderecho.es, teléfono ***TEL.1.” TERCERO: En fecha 10 de julio se realiza una búsqueda en Google del nombre “A.A.A.”, obteniendo en la página de resultados un enlace a un documento vinculado con la dirección web indicada en el apartado anterior. Al seleccionar este resultado se obtiene el mensaje “Nothing found for Wp-content Uploads 2012 07 Curriculum-Vitaede-A.A.A.-4 Pdf”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 CUARTO: Con fecha 18 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00181/2014. Dicho acuerdo fue notificado al denunciante y a la Asociación ¿Hay Derecho? QUINTO: Con fecha 1/08/2014 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…No obstante lo anterior, y sin conocimiento de los editores, al parecer quedó disponible en Internet el cv sin expurgar en una dirección web a la que se podía acceder a través de Google sin que los editores, que son profesionales del Derecho y carecen de conocimientos especializados en informática, tuvieran constancia de dicha circunstancia, que por otra parte nadie denunció ni puso en su conocimiento durante un largo periodo de tiempo (casi dos años) hasta que se recibe la comunicación de D. A.A.A. (…) Es decir, aunque desde el primero momento, excluidas las horas iniciales nocturnas en las que por error se subió el currículum íntegro, desde el 24 de julio de 2012 a las 9.42 de la mañana el currículum que estaba enlazado en el blog estaba totalmente expurgado de datos personales. Ahora bien, debido a las características y memoria de los buscadores y de la red, y aun habiéndose borrado del blog

1. e)enlace indeseado, queda rastro de él en la red que, según parece, es posible también eliminar según se nos informó por personas especializadas. Por tanto, recibida esta segunda solicitud del señor A.A.A. se solicitó a un experto informático que colabora puntualmente con el blog cuando hay que hacer algún cambio o modificación que requiere conocimientos técnicos especializadas (que se encontraba de vacaciones) para que procediera al rastreo y eliminación del link correspondiente, lo que se comunicó al señor A.A.A. en correo del 9 de julio que procedemos a transcribir y que se acompaña como documento n9 7 (…)>> HECHOS PROBADOS PRIMERO: En escrito de fecha de entrada en esta Agencia de 1 de julio de 2014, el denunciante se refiere a la publicación, en el blog sobre actualidad jurídica y política http://hayderecho.com, de un documento del Grupo Parlamentario Popular de la Asamblea de Madrid, fechado el 8 de junio de 2012, por el que se propone su designación como Consejero de la Cámara de Cuentas de la Comunidad de Madrid. Junto a este documento se publica su aceptación del cargo y su currículum vitae completo, en el que se incluyen, junto a su trayectoria profesional, detalles de sus datos familiares y de contacto. Aunque no aporta copia de las comunicaciones intercambiadas con el responsable del blog, expone que le ha solicitado a este la eliminación del documento, pero solo ha logrado que se elimine un enlace, permaneciendo públicamente accesibles todos los datos que contiene (folios 1 a 3). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 SEGUNDO: En fecha 4 de julio de 2014 por la Inspección de Datos se verifica que a través de la dirección web http://hayderecho.............. resulta públicamente accesible el documento al que se refiere el denunciante. Se verifica asimismo que en el mismo sitio web, en la dirección http://hayderecho..............1 se informa del ideario del blog y de las condiciones de publicación de comentarios. En el documento relativo a la Política de privacidad del sitio se informa, en particular, de lo siguiente: “De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, ¿Hay Derecho? le informa de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición mediante solicitud escrita y firmada en la que se contengan los siguientes datos: nombre, apellidos, domicilio a efectos de notificaciones, fotocopia del DNI o Pasaporte, y petición en que se concreta la solicitud. El escrito deberá remitirse a la Asociación ¿Hay Derecho?, (C/................1) Madrid, con C.I.F. *********, .......@hayderecho.es, teléfono ***TEL.1.” (folios 4 a 15) TERCERO: En fecha 10 de julio se realiza una búsqueda en Google del nombre “A.A.A.”, obteniendo en la página de resultados un enlace a un documento vinculado con la dirección web indicada en el apartado anterior. Al seleccionar este resultado se obtiene el mensaje “Nothing found for Wp-content Uploads 2012 07 Curriculum-Vitaede-A.A.A.-4 Pdf” (folios 16 a 26). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. I Los hechos expuestos suponen una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de carácter personal (en lo sucesivo LOPD), que señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. Esta infracción está tipificada como grave en el artículo 44.3.
3. b)de dicha norma, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. III Para determinar si la actuación de la asociación denunciada constituye un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 tratamiento o no de datos, debe tenerse en cuenta el criterio de la sentencia del Tribunal de Justicia de las Comunidades Europeas de 6 de noviembre de 2003, en el asunto C101/01, que no limita la aplicación de la normativa de protección de datos personales a los supuestos en que el tratamiento afecta a varias personas y no a una sólo. Así lo ponen de manifiesto su apartado 20 en el que se hace referencia a la observación formulada por la Sra. Lindqvist la cual se limita al tratamiento de datos de una sola persona y los apartados 25 y 26 relativos al concepto de dato personal, considerando incluido en el mismo “toda información sobre una persona física identificada o identificable”, añadiendo que “este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”. Así mismo establece la sentencia citada en su apartado 27 que: “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” IV No obstante, la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
6. a)y
7. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción y que el imputado ha atendido la solicitud de cancelación del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Por tanto, cabe entender que finalmente cumplió con los preceptos inicialmente vulnerados y, en consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00181/2014 seguido contra la ASOCIACIÓN ¿HAY DERECHO?, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por la infracción del artículo 6 de la citada ley. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la ASOCIACIÓN ¿HAY DERECHO? 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es