← España

A-00182-2017

1/8 Procedimiento Nº: A/00182/2017 RESOLUCIÓN: R/01993/2017 En el procedimiento A/00182/2017, instruido por la Agencia Española de Protección de Datos a Don B.B.B., vista la denuncia presentada por la REAL FEDERACION ESPAÑOLA DE NATACION ( A.A.A.) y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de noviembre de 2016, tuvo entrada en esta Agencia un escrito remitido por A.A.A. representando a la REAL FEDERACION ESPAÑOLA DE NATACION (en lo sucesivo RFEN), en el que expone que según la normativa vigente, los censos electorales federativos se publican, a través de la página web de la RFEN, responsable de custodiar dicha información, por lo que el acceso telemático es restringido. No obstante, los censos de la RFEN han sido íntegramente publicados en la página web: www.nataccion.com. Con fecha DD/MM/AA, se publicó una noticia titulada “Elecciones RFEN AA”: ¿estás en el censo? La credibilidad del proceso está en tu mano. El cuerpo de la noticia dice: Como varios clubes no han podido acceder al censo con su CIF a través de la herramienta proporcionada por la RFEN, publicamos los censos definitivos enviados a cada federación territorial. Los datos que se publican son: Nombre y apellidos, DNI, Edad. Los datos personales son de Deportistas olímpicos, Deportistas de alto nivel, Técnicos olímpicos, Técnicos de alto nivel, Jueces y Árbitros. Se anexa la siguiente documentación:  Copias de un informe pericial con el objeto de certificar la veracidad de los hechos expuestos anteriormente SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, verificándose lo siguiente: 1. De la lectura de la documentación aportada por el denunciante, en el documento nº5 adjunto al Acta Notarial, se expone que la RFEN ha habilitado un sistema telemático para acceder a la información del censo, para lo cual explica cómo debe solicitarse usuario y contraseña a través de la página de la RFEN. Asimismo, se comprueba que en el censo no consta el DNI, pero sí el número de la Licencia. 2. Con fecha 25 de enero de 2017, se recibe escrito mediante correo electrónico de D. B.B.B., registrante de la página web www.nataccion.com, en el que pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 a. La citada página web reprodujo unos ficheros publicados en la misma web de la RFEN, cuyo reglamento electoral dice, entre otros, “La Junta electoral incluirá las correcciones......, procediendo a su publicación en la web de la RFEN, así como en su tablón de anuncios y en los de las Federaciones Autonómicas y en las Delegaciones Territoriales de la RFEN, si las hubiere”. b. Por otra parte esos mismos datos pueden consultarse en decenas de documentos publicados por la RFEN. c. No obstante, no acredita la afirmación realizada en el apartado anterior. d. La finalidad de la publicación es, al parecer, destapar una serie de irregularidades cometidas en la elaboración de los censos. TERCERO: Con fecha 12 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00182/2017. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 3 de julio de 2017, se recibe en esta Agencia escrito del denunciado en el que comunica que no se ha publicado el DNI de los deportistas, técnicos, jueces y árbitros sino el número de licencia. Los datos se han obtenido de fuentes de acceso público, ya que se pueden consultar en la página web de la REEN y otras Federaciones. Por tanto, para su publicación en la página web www.natación.com no es necesario el consentimiento de los interesados. HECHOS PROBADOS PRIMERO: La REAL FEDERACION ESPAÑOLA DE NATACION informó que, según la normativa vigente, los censos electorales federativos se publican, a través de la página web de la RFEN, responsable de custodiar dicha información, por lo que el acceso telemático es restringido. SEGUNDO: Los censos de la RFEN han sido íntegramente publicados en la página web: www.nataccion.com. Con fecha DD/MM/AA, se publicó una noticia titulada “Elecciones RFEN AA”: ¿estás en el censo? La credibilidad del proceso está en tu mano. El cuerpo de la noticia dice: Como varios clubes no han podido acceder al censo con su CIF a través de la herramienta proporcionada por la RFEN, publicamos los censos definitivos enviados a cada federación territorial. Los datos que se publican son: Nombre y apellidos, número de licencia, Edad. Los datos personales corresponden a Deportistas olímpicos, Deportistas de alto nivel, Técnicos olímpicos, Técnicos de alto nivel, Jueces y Árbitros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 TERCERO: El día DD/MMM/AA.1, los censos electorales siguen publicados en la página web www.nataccion.com. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II En el presente caso, Don B.B.B. ha infringido lo establecido en el artículo 6 de la LOPD, por el tratamiento de datos personales sin consentimiento, al haber publicado en su página web: www.nataccion.com., una noticia titulada “Elecciones RFEN 2016”: ¿estás en el censo? La credibilidad del proceso está en tu mano. El cuerpo de la noticia dice: Como varios clubes no han podido acceder al censo con su CIF a través de la herramienta proporcionada por la RFEN, publicamos los censos definitivos enviados a cada federación territorial. Los datos que se publican son: nombre y apellidos, número de licencia, edad. Los datos personales corresponden a Deportistas olímpicos, Deportistas de alto nivel, Técnicos olímpicos, Técnicos de alto nivel, Jueces y Árbitros. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  2. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  3. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  4. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, el nombre y apellidos, número de licencia, y edad de los Deportistas olímpicos, Deportistas de alto nivel, Técnicos olímpicos, Técnicos de alto nivel, Jueces y Árbitros se ajustan a este concepto por cuanto permiten la identificación de las personas que figuran en la publicación del censo en su página web. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
  5. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la incorporación de los datos personales a la página web citada constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada al que deben aplicarse plenamente los principios y garantías expuestas en la normativa de protección de datos de carácter personal, entre las que figura de forma destacada el principio del consentimiento regulado en el artículo 6 de la LOPD. Dicho artículo 6, en su apartado 1, dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III El presente procedimiento tiene por objeto el examen de los tratamientos de datos realizados por Don B.B.B. consistentes en incorporar a su página web el censo electoral de federativo con los nombres, apellidos, edad y número de licencia de los federados. En el presente caso, Don B.B.B. no ha aportado documentación alguna que justifique la legitimidad para la utilización de tales datos personales con la finalidad expresada, al no haber acreditado que contaba con el consentimiento de los afectados para el tratamiento de datos personales realizado, a los que tampoco informaba sobre dichos tratamientos de datos. Por tanto, se considera infringido el artículo 6.1 de la LOPD por parte de la entidad denunciada, que es responsable de dicha infracción, tipificada como grave en el artículo 44.3.
  6. b)de la LOPD, que considera como tal “
  7. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” Alega Don B.B.B. que los datos se encuentran publicados por la RFEN. Efectivamente la Real Federación tiene obligación de publicar el censo, pero lo hace con la limitación de usuario y contraseña, para que exclusivamente sirva a los fines establecidos en los Estatutos y no tenga una difusión innecesaria. Los datos no figuran en una fuente de acceso pública ya que el censo electoral de una federación no se encuentra en ninguno de los apartados recogidos por el artículo 3.
  8. j)de la LOPD ni en el Reglamento que lo desarrolla. IV El artículo 45.6 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  26. a)y
  27. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad de Don B.B.B. con la realización de tratamientos de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 personal, el volumen de tratamientos afectados por la irregularidad y la ausencia de beneficios obtenidos. V En el presente caso, Don B.B.B. no ha justificado ante esta Agencia haber adoptado ningún acuerdo dirigido a subsanar las deficiencias que han motivado el procedimiento, puesto que en la actualidad el censo sigue disponible en su página web. Por tanto, procede requerir a Don B.B.B. la adopción de medidas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo de la LOPD incumplido. En particular, deberá retirar el censo con los datos personales de los Deportistas olímpicos, Deportistas de alto nivel, Técnicos olímpicos, Técnicos de alto nivel, Jueces y Árbitros de la página web: www.nataccion.com. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00182/2017) a Don B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  28. b)de la citada Ley Orgánica. 2.- REQUERIR a Don B.B.B. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6 de la LOPD, en el sentido expresado en el Fundamento de Derecho V de la presente resolución. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a Don B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.