A-00362-2016

1/9 Procedimiento Nº: A/00362/2016 RESOLUCIÓN: R/03115/2016 En el procedimiento A/00362/2016, instruido por la Agencia Española de Protección de Datos a la entidad ATACUVA, S.L., vista la denuncia presentada por la entidad PSICOTECNICOTALAVERA, S.L. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 10 de marzo de 2015, tiene entrada en la Agencia Española de Protección de Datos (AEPD) escrito de Dª C.C.C., en representación de la mercantil Psicotécnicotalavera, S.L. (en adelante el denunciante), en el que denuncia malas prácticas profesionales por parte de Dª. B.B.B., en calidad de directora del Centro Médico de Reconocimiento de Conductores Don Psicotécnico (en adelante denunciado), en el manifiesta que requirió los servicios profesionales de una detective de una agencia de investigación privada SYR que visita, los días 18 y 20 de noviembre de 2014, la entidad Don Psicotécnico con objeto de solicitar la renovación de la “licencia de armas” para lo cual facilita su DNI a la denunciada y realizando una consulta en el ordenador le comunica “vives en A.A.A.”, a lo cual le indica “cómo lo sabes si me he cambiado hace poco por Tráfico”, y le responde la denunciada “si viene en la ficha de Tráfico”. Por lo que la denunciada utiliza el Registro de Conductores de la Dirección General de Tráfico para finalidad diferente a la autorizada por dicho organismo, a los Centros de Reconocimiento de Conductores con objeto de la renovación del carnet de conducir, para reconocer las aptitudes psicofísicas de los conductores según establece el Real Decreto 170/2010, de 19 de febrero, por el que se aprueba el Reglamento de Centros de Reconocimiento. También, se aporta Informe confidencial, de fecha 23 de diciembre de 2014, emitido por la Agencia de Investigación SYR, en el que se detalla la conversación mantenida entre la denunciada y la detective, el día 18 a las 18:30h y el día 20 a las 8:37h de diciembre de 2014, que textualmente indica los hechos relacionados anteriormente. Con fecha de 29 de marzo de 2016, la Directora de la AEPD Acuerda proceder al archivo por caducidad de las actuaciones con referencia E/2818/2015 y proceder abrir las actuaciones con referencia E/1345/2016, ante la posibilidad de que se hayan producido infracciones graves a la Ley Orgánica 15/199, cuyo plazo de prescripción es de dos años de conformidad con el artículo 47 de la citada norma, no existiría impedimento alguno para la apertura de un nuevo procedimiento dentro del citado plazo. SEGUNDO: Se incorporan a las presentes actuaciones la documentación que consta en las actuaciones con referencia E/2818/2015 y el informe de actuaciones previas que a continuación se detalla: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9  La denunciante ha comunicado a la Inspección de Datos que ha presentado denuncia ante el Juzgado de Guardia de Talavera de la Reina, con fecha 3 de marzo de 2015, por diversos hechos, entre otros, los comunicados ante esta AEPD, que se encuentra en tramitación en el Juzgado de 1ª Instancia e Instrucción nº 4 de Talavera de la Reina, Diligencias Previas Procedimiento Abreviado ***/2015. También, informa que ha presentado escrito ante el Colegio Oficial de Psicólogos de Castilla-La Mancha que ha procedido a la Iniciación de Procedimiento Disciplinario contra la denunciada, con fecha de 21 de abril de 2015. Así mismo, han puesto en conocimiento de la Jefatura Provincial de Tráfico de Talavera de la Reina los hechos el día 4 de marzo de 2015. Se aporta documento Autorizaciones de armas a nombre de la detective emitido por ATACUVA, S.L. Don Psicotécnico el día 20 de noviembre de 2014.  De la información y de la documentación remitida por la denunciada a la Inspección de Datos, con fecha de 8 de octubre de 2015, en relación con la consulta realizada al Registro de Conductores de los datos personales de la detective se desprende lo siguiente: El Centro Don Psicotécnico es titularidad de la compañía ATACUVA, S.L. siendo la denunciada la directora facultativa del mismo y empleada de la citada sociedad. La Dirección General de Tráfico, con fecha de 11 de febrero de 2013, acredita como Centro de Reconocimiento de Conductores a Don Psicotécnico ubicado en la (C/...1) siendo su titular la compañía ATACUVA, S.L. y como director facultativo y psicólogo titular consta la denunciada. La causa por la cual realizaron una consulta al Registro de Conductores de la Dirección General de Tráfico de los datos de la detective, el día 20 de noviembre de 2014, fue para “realizar una comprobación de la tramitabilidad para renovar el permiso, en este caso el sistema dio negativo y no se pudo tramitar por lo que no se envió ningún dato al sistema informático” del citado organismo. Añade, que constan denuncias entre las sociedades titulares de los Centros de Reconocimiento, denunciante y denunciada, que han dado lugar a Diligencias Previas de Procedimiento Abreviado, siendo la denunciante mediante una detective privado, contratado por la compañía Psicotecnicotalavera, S.L., que intentó, como agente provocador, conseguir que se efectuase algún incumplimiento de la normativa para proceder a efectuar denuncias.  En el Registro General de Protección de Datos figuran inscritos diversos ficheros cuyo titular es la compañía ATACUVA, S.L., entre otros, el denominado “HISTORIAL CLINICO”, con el código ***CÓD.1. Dichas circunstancias constan en la Diligencia de fecha 14 de octubre de 2015.  La Dirección General de Tráfico ha informado a la Inspección de Datos, con fecha de 5 de noviembre de 2015, en relación con los hechos comunicados por la denunciante lo siguiente: Confirman que la denunciada pertenece al Centro de Reconocimiento Don Psicotécnico de Talavera de la Reina como directora del mismo y que no han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 existido sanciones por irregularidades en el tratamiento de datos personales por parte del Centro. Para la identificación y autenticación en el Sistema de Centros de Reconocimiento, destinados a verificar la aptitudes psicofísicas de los conductores, deben utilizar un certificado electrónico de persona física admitido por @firma y a nombre de quién esté autorizado por la Dirección General de Tráfico. Por medio de la consulta realizada al Sistema de Centros de Reconocimiento por el criterio de NIF se visualizan los siguientes datos personales: nombre, apellidos, NIF/NIE, país y fecha de nacimiento, sexo y domicilio. Con fecha de 20 de noviembre de 2014, consta una consulta realizada por el NIF perteneciente a la detective en el Registro de Conductores a las 8:38:49horas. 1. La Inspección de Datos ha requerido a la denunciante para que informara en relación con la tramitación de las Diligencias Previas Proc. Abreviado 0***/2015, que se siguen en el Juzgado de 1ª Instancia e Instrucción nº 4 de Talavera de la Reina, habiendo dado respuesta en los siguientes términos:  El procedimiento disciplinario por infracción del Código Deontológico acordado por el Colegio de Psicólogos de Castilla- La Mancha: sigue abierto y en proceso.  La denuncia por falsificación de documento público ha sido archivada debido a que el médico asalariado del Centro Psicotécnico denunciado reconoce como propia la firma que figura en la ficha médica del informe médico de la detective, a pesar de que consta en la grabación que el médico NO hizo la revisión al paciente, pero en el juzgado declara que la firma es suya, NO recordando si realizó la revisión pertinente. TERCERO: Con fecha 1 de octubre de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00362/2016. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 31 de octubre de 2016 se recibe en esta Agencia escrito del denunciado en el que comunica: Que interpone recurso de reposición contra el acuerdo de audiencia previa al apercibimiento, de fecha 1 de octubre de 2016 porque le produce indefensión o perjuicio irreparable. Que niegan la relación de los hechos. Que se pidió autorización para consultar los datos de la afectada y se concedió por lo que no se produjo ninguna infracción. Que concurre la figura del agente provocador. Se proponen pruebas y se solicita que no se proceda al apercibimiento porque la utilización de los datos ha sido la correcta, con previo consentimiento del titular de los mismos y a su requerimiento. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 PRIMERO: El Centro Médico de Reconocimiento de Conductores Don Psicotécnico de Talavera de la Reina, es titularidad de la compañía ATACUVA, S.L. SEGUNDO: Consta probado que el 20 de noviembre de 2014, una detective de una agencia de investigación privada acudió a la entidad Don Psicotécnico con objeto de solicitar la renovación de la “licencia de armas”. Se ha aportado el documento "Autorizaciones de armas" a nombre de la detective emitido por ATACUVA, S.L. Don Psicotécnico el día citado. TERCERO: La Dirección General de Tráfico ha informado a esta Agencia, que con fecha 20 de noviembre de 2014, consta una consulta realizada por el NIF de la detective en el Registro de Conductores por parte del centro Don Psicotécnico. CUARTO: La mercantil Psicotécnicotalavera, S.L. ha denunciado malas prácticas profesionales por parte del Centro Médico de Reconocimiento de Conductores Don Psicotécnico por la utilización del Registro de Conductores de la Dirección General de Tráfico para una finalidad diferente a la autorizada por este organismo, a los Centros de Reconocimiento de Conductores: para reconocer las aptitudes psicofísicas de los conductores para la renovación del carnet de conducir. QUINTO: La entidad ATACUVA, S.L. no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento de los datos personales de la detective, realizado al acceder a sus datos en el Registro de Conductores de la Dirección General de Tráfico para la renovación de una licencia de armas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El escrito de alegaciones presentado por la entidad denunciada se califica, “con carácter previo”, como recurso de reposición contra el acuerdo de 1 de octubre de 2016 de la Directora de la Agencia. Esta cuestión se ha contestado mediante una resolución al efecto. Se proponen en el mismo escrito una serie de pruebas documentales respecto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 por un lado, del contrato de prestación de servicios entre la entidad denunciante y la detective que emite el informe de 23 de diciembre de 2014 y, por otro lado, respecto de unas Diligencias Previas de procedimiento abreviado del Juzgado de Instrucción nº 4 de Talavera de la Reina, así como la declaración de un testigo de los hechos. La práctica de estas pruebas se considera innecesaria para la determinación de los hechos, toda vez que ha quedado acreditado el tratamiento de datos personales realizado por la entidad denunciada. No se estima necesario para el esclarecimiento de los hechos, la práctica de las pruebas propuestas dado que el objeto del procedimiento es constatar si se ha prestado o no el consentimiento para el tratamiento de datos realizado de acuerdo a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
2. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
3. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De los hechos probados en este procedimiento, se deduce que el Centro de Reconocimiento de Conductores Don Psicotécnico de Talavera de la Reina, titularidad de ATACUVA S.L., accedió el 20 de noviembre de 2014 al Registro de Conductores de la Dirección General de Tráfico a los datos personales de una clienta para la renovación de la licencia de armas. La entidad ATACUVA no ha podido acreditar que contara con el consentimiento para el tratamiento de los datos personales de la afectada, realizado al acceder a sus datos en el Registro de Conductores de la Dirección General de Tráfico para la renovación de una licencia de armas. La entidad denunciada ha alegado que se pidió autorización para consultar los datos de la afectada y se concedió por lo que no se produjo ninguna infracción. ATACUVA no ha aportado prueba documental que acredite el consentimiento de la afectada para que dicha entidad pudiera llevar a cabo el mencionado tratamiento de datos personales. El apartado 1 del artículo 6 de la LOPD exige el consentimiento inequívoco del afectado para el tratamiento de los datos de carácter personal. El precepto legal pone el acento en que el citado consentimiento tiene que ser inequívoco: que no admite duda o equivocación. Abundando en este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto corresponde a la entidad denunciada acreditar que contaba con el consentimiento inequívoco de la afectada para el tratamiento de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 realizado, máxime cuando ella niega haberlo otorgado. IV Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que la denunciada ha utilizado los datos personales de la afectada contenidos en el Registro de Conductores de la Dirección General de Tráfico para una finalidad distinta: la renovación de su permiso de armas. El hecho constatado del acceso a los datos personales de la afectada para una finalidad distinta, sin su consentimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 4.2 de la LOPD. V El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 presupuestos:
4. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la entidad denunciada es una infracción “grave”; que la entidad denunciada no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar lo previsto en el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción consistente en un hecho puntual que no admite corrección ni la adopción de una concreta medida correctora, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Recordando que la reiteración en conductas como la denunciada constituye un supuesto sobre el que concurren las circunstancias previstas para la aplicación del régimen sancionador contemplado en la LOPD. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 1.- ARCHIVAR (A/00362/2016) las actuaciones practicadas a la entidad ATACUVA, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
6. c)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a la entidad ATACUVA, S.L. y a la entidad PSICOTECNICOTALAVERA, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es