1/5 Procedimiento Nº: A/00203/2017 RESOLUCIÓN: R/02053/2017 En el procedimiento A/00203/2017, instruido por la Agencia Española de Protección de Datos a la ASOCIACIÓN MENSA ESPAÑA, vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 20 de febrero de 2017, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en la que manifiesta lo siguiente: “Yo, D. A.A.A., miembro de la Asociación Mensa España, declaro que en cumplimiento de los vigentes Estatutos de la misma, estoy obligado a ceder parte de mis datos personales a la Asociación en las condiciones establecidas en los mismos (artículos 12.g y 13.d, e y f, ver archivo adjunto Estatutos.pdf). Dicha cesión de datos es para uso interno y exclusivamente para fines relacionados con la actividad de la Asociación. A su vez, la Junta Directiva de la Asociación se compromete a proteger los datos personales de los asociados (artículo 27 2.n). Hace años que solicité verbalmente la no difusión de mis datos personales, acogiéndome al texto que aparece en el servidor de datos de la Asociación (Si el socio considera que su seguridad está en riesgo por pertenecer a un grupo profesional determinado o por cualquier otra circunstancia debe ponerlo en conocimiento de la Junta Directiva para ser objeto de una especial protección, ver Servidor de datos.pdf) y para evitar posibles intentos de suplantación de identidad, yo tengo puesto en la ficha de socio un redireccionador, que es lo que el resto de socios pueden ver y que no daría acceso a ninguna de mis cuentas (Facebook, Yahoo, páginas de compra online como Amazon, etc, etc.). Adjunto en el mismo archivo Servidor de datos.pdf capturas de mi ficha de socio pública, así como de mi ficha de socio privada (no visible para el resto de socios), donde claramente se ve que yo me he acogido a la protección especial de mis datos y la no difusión de los mismos en el anuario (un documento impreso que antiguamente se enviaba a los socios con los datos personales del resto de asociados). La información personal contenida en las fichas de socio está declarada ante la Agencia de Protección de Datos con el código ***COD.1. El pasado día 12 de febrero de 2017, en el grupo de Facebook (…….). Tras mandar una queja formal a Atención al socio por dichos comentarios, recibí la mañana del 14 de febrero una respuesta de Dª D.D.D., actual vicepresidenta de la Asociación, la cual fue enviada con copia a ambas partes, revelando así mi dirección de email personal a ese señor (ver archivo adjunto Mensaje E.E.E..pdf). Considero que se ha producido una vulneración de mis derechos al revelar ese dato personal contra mi voluntad expresa al respecto y por tanto deseo denunciar este hecho a la APD, pues dicho mensaje se debía de haber enviado o bien por separado o bien en copia oculta a ambas partes, en especial teniendo en cuenta la naturaleza del asunto a tratar. Quisiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 también dejar constancia de que a raíz de unos mensajes de otro socio ya expulsado de la Asociación, la JD (siendo por entonces Dª D.D.D. su presidenta) era consciente de que en esta Asociación se han dado casos de socios que han proferido (….) (ver Acuse de recibo.pdf).” SEGUNDO: Con fecha 16 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00203/2017. Dicho acuerdo fue notificado al denunciado. TERCERO: Con fecha 12 de julio de 2017, se recibe en esta Agencia escrito del denunciado en el que comunica que la Asociación tiene como finalidad el ofrecer la posibilidad de enriquecerse los socios (personas con alto coeficiente intelectual) con la compañía mutua y la participación en un abanico amplio de actividades. Por ello, se recogen los datos y en la información facilitada se indica que se van a poner en contacto con los socios. Los Estatutos prevén la comunicación de los datos entre los socios. En el artículo 13.
- f)de los mismos se indica: “Permitir la inclusión de sus datos personales en ficheros para uso administrativo por la Junta Directiva y por otros asociados debidamente autorizados por la Junta Directiva o para uso por los demás asociados en los términos previstos en el artículo 12.g). Sólo la Junta Directiva o los socios debidamente autorizados podrán acceder a la información referente al cociente de inteligencia, DNI, dirección postal, teléfono y datos bancarios. Aquellos asociados que consideren que necesitan un nivel de protección especial podrán solicitarlo mediante escrito razonado a la Junta Directiva, que valorará dicha circunstancia…” El denunciante no ha solicitado de forma escrita y razonada la oposición a que se faciliten sus datos a otros socios. En envío de su correo a otro socio se realizó por la función de mediación que tiene la Asociación, recogida en el apartado
- i)del artículo 13: “En caso de mantener una disputa con Mensa España o con otro asociado por actividades internas de Mensa España, el asociado deberá agotar todas las instancias de mediación de la Asociación antes de acudir a autoridades externas, sin perjuicio de las acciones penales o de aquellas otras cuyo plazo de caducidad o prescripción justifique su ejercicio con anterioridad a dicha mediación” HECHOS PROBADOS PRIMERO: D. A.A.A., es miembro de la Asociación Mensa España; por ello facilitó sus datos en cumplimiento de lo establecido en los Estatutos: nombre, apellidos, DNI, email: B.B.B.; Facebook, Redirección de correo: C.C.C.. SEGUNDO: Tras una discusión entre socios en el grupo de Facebook Mensamadrid, el denunciante mandó una queja formal a Atención al socio por dichos comentarios, desde la dirección B.B.B.. El día 14 de febrero de 2017, recibió un correo de Dª D.D.D., actual vicepresidenta de la Asociación, con copia a ambas partes. El correo electrónico enviado y recibido por ambas partes era de mediación solicitando la disculpa por los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 mensajes amenazantes… TERCERO: En el artículo 13 de Estatutos de la Asociación Mensa España se establecen los deberes de los asociados, indicando el apartado
- f)lo siguiente: “Permitir la inclusión de sus datos personales en ficheros para uso administrativo por la Junta Directiva y por otros asociados debidamente autorizados por la Junta Directiva o para uso por los demás asociados en los términos previstos en el artículo 12.g). Sólo la Junta Directiva o los socios debidamente autorizados podrán acceder a la información referente al cociente de inteligencia, DNI, dirección postal, teléfono y datos bancarios. Aquellos asociados que consideren que necesitan un nivel de protección especial podrán solicitarlo mediante escrito razonado a la Junta Directiva, que valorará dicha circunstancia…” CUARTO: Otra de las obligaciones, establecida en el mismo artículo, apartado
- i)es: “En caso de mantener una disputa con Mensa España o con otro asociado por actividades internas de Mensa España, el asociado deberá agotar todas las instancias de mediación de la Asociación antes de acudir a autoridades externas, sin perjuicio de las acciones penales o de aquellas otras cuyo plazo de caducidad o prescripción justifique su ejercicio con anterioridad a dicha mediación”. QUINTO: El artículo 12.
- g)de los Estatutos de la Asociación Mensa España determina lo siguiente: “Sólo la Junta Directiva o los socios debidamente autorizados podrán acceder a la información referente al cociente de inteligencia, DNI, dirección postal, teléfono y datos bancarios. Aquellos asociados que consideren que necesitan un nivel de protección especial podrán solicitarlo mediante escrito razonado a la Junta Directiva, que valorará dicha circunstancia…” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento y ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 personales se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, el denunciante es miembro de la Asociación Mensa España, y como tal está sometido a los Estatutos de la misma. En el artículo 12.
- g)de los Estatutos se indica lo siguiente: “... Aquellos asociados que consideren que necesitan un nivel de protección especial podrán solicitarlo mediante escrito razonado a la Junta Directiva, que valorará dicha circunstancia…” El propio denunciante expone en su escrito de denuncia: “…Hace años solicite verbalmente la no difusión de mis datos personales…”. Sin poner en duda que lo hiciese, no existe acreditación de tal solicitud, que se realizó, además, de forma diferente a la establecida. En consecuencia, el denunciante como miembro de Mensa consintió en que se facilitasen ciertos datos personales a otros socios. Al mediar entre el denunciante y otro socio, mediante un correo electrónico con la dirección de ambos, no se vulneró el deber de secreto, al no haber constancia por escrito de su oposición. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00203/2017) el apercibimiento tramitado a la ASOCIACIÓN MENSA ESPAÑA al no haberse producido infracción a lo establecido en el artículo 10 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 LOPD. 2.- NOTIFICAR el presente Acuerdo a la ASOCIACIÓN MENSA ESPAÑA y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es