1/8 Procedimiento Nº A5/00002/2015 RESOLUCIÓN: R/00289/2016 Con fecha 9/10/2015, tuvo entrada una solicitud de INMO ASISA SLU para la autorización de la exención del deber de información contenido en el artículo 5.5 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). ANTECEDENTES PRIMERO: Con fecha 9/10/2015, se presenta un escrito en nombre de INMO ASISA SLU sin aportar facultades de representación en la que manifiesta:
- a)ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS SAU se encuentra en reestructuración del conjunto de sociedades que componen el grupo empresarial. El 4/05/2015 se creó INMO ASISA que tiene como objeto social “Promoción, construcción, urbanización, compra y venta, arrendamiento y cualquier otra forma de explotación de toda clase de bienes inmuebles, excluido el arrendamiento financiero”.
- b)El 25/05/2015, las Juntas Generales de socios de ASISA e IMO ASISA acordaron la segregación de una parte del patrimonio de ASISA, la rama de actividad inmobiliaria, y su transmisión en bloque a favor de INMO ASISA. Considera que a efectos de protección de datos, sería de aplicación el artículo 19 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que no considera cesión la operación, si bien sujeta a informar a los titulares de los datos.
- c)Las relaciones contractuales de ASISA con los titulares de los arrendamientos (personas físicas o jurídicas) han ido con el tiempo variando, produciéndose compraventas, cesiones, dación en pago, embargos etc., que “en general no han sido comunicados”, no disponiendo pues de información clara y fehaciente sobre la gran mayoría de destinatarios a los que informar del cambio de responsable de sus datos, constando pues una falta de certeza de que dichas comunicaciones individualizadas llegaran a surtir su efecto. INMO ASISA se ve imposibilitada de cumplir con la obligación de informar de los datos de que ahora dispone, además del gran número de afectados, motivos por los que solicitan la aplicación de la exención del artículo 5.5 de la LOPD.
- d)Como medidas compensatorias se proponen -El 27/05/2015, INMO ASISA publicó en la página 36 de LA RAZÓN un anuncio del que adjuntan copia en el que se informa de la operación a efectos mercantiles. Se aprecia que en la copia nada se hace constar sobre protección de datos. También se aporta copia del anuncio en el Boletín Oficial del Registro Mercantil de 27/05/2015 que refiere la segregación de una parte del patrimonio de ASISA que constituye una unidad económica independiente y diferenciada constituida por la rama de actividad de arrendamiento de inmuebles y la transmisión en bloque a favor de la beneficiaria INMO ASISA SLU. Finaliza indicando que la Agencia proponga las medidas compensatorias que estime necesarias. SEGUNDO: Con fecha 27/10/2015 se accede al Registro Mercantil en la web y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 imprimen los datos generales de las dos entidades, objeto social, CIF. Asimismo, se consulta la aplicación RENO que gestiona el Registro General de Protección de Datos en la AEPD. Se obtienen e imprimen los datos del fichero CLIENTES que consta inscrito en versión 1 desde 24/06/2015 bajo la titularidad de INMO ASISA, pudiendo ser al que se refiere a la petición de exoneración. En el mismo destaca: -Actividad inmobiliaria. -Descripción de finalidad y usos previstos: Datos de los clientes de la entidad y de sus personas de contacto. -Finalidades “gestión de clientes, contable, fiscal y administrativa”. Categoría de colectivos: “Clientes y usuarios”. -Datos de carácter identificativo, además de los básicos y genéricos se contiene imagen/voz, otros tipos de datos: “Transacciones de bienes y servicios. Información comercial”. -Medidas de seguridad “nivel básico”. -Automatizado TERCERO: Con fecha 27/10/2015, se solicita a la peticionaria que aporte: 1) Escrito en el que se conceda poder a la firmante del escrito por parte de INMO ASISA SLU para la presentación de la solicitud. Con fecha 12/11/2015 se aporta escritura de poder notarial en la que se deduce que la solicitante es Consejera Delegada de la entidad INMO ASISA. 2) Identificación de fichero en el que se hallaban los datos que pasan a INMO ASISA SLU, verificando si se trata del fichero CLIENTES del que se manda copia impresa extraída del Registro de la AEPD. Número de registros de datos de carácter personal de personas físicas de los que disponen en dicho fichero, y tipos de datos que albergan. Indican que efectivamente se trata del citado fichero. Añaden que los datos de dicho fichero, constituido desde 1971 se pasaron a soporte informático en 1998, estando los registros contabilizándose en la actualidad, no pudiendo establecerse un número definitivo al estar llevándose a cabo una migración de la información. 3) Motivar más las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar. Reiteran que es titular de múltiples contratos de arrendamiento en los cuales es arrendataria o arrendadora, y se han producido cambios lógicos en la titularidad de las personas físicas con las que mantiene relación por compraventa, embargos, subastas, dación en pago, que en general no han sido comunicadas a ASISA y por tanto a INMO ASISA. Es decir, no se dispone de información clara y fehaciente de la gran mayoría de los destinatarios a los que habría que dirigirse para dar cumplimiento al deber de información, al no estar la información plenamente actualizada, no es fiable realizar las comunicaciones, pues en muchos casos serían infructuosas y no se garantizaría el cumplimiento del deber de información. 4) Si con motivo de las relaciones contractuales no se relacionan de algún modo con los clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Indican que salvo aquellas relaciones que se han ido extinguiendo, existen prorrogas tácitas lo que hace innecesario contactar con la parte. Las relaciones contractuales han venido basándose de manera ordinaria en el abono de las facturas en concepto de arrendamiento sin necesidad de otro tipo de contacto con la parte contraria. 5) Aportar una cláusula informativa que, mediante su difusión, en los términos que se indiquen en la solicitud, permita compensar la exención del deber de informar, e indicar el lugar en el que se podría exponer dicha cláusula. Declaran que el 12/11/2015 han publicado en el diario EL PAIS otro anuncio adjuntando copia. En el anuncio en las páginas de ECONOMIA Y NEGOCIOS figura: “En cumplimiento del artículo 5 de la LOPD y del artículo 19 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); y con motivo de la reciente transmisión de rama de actividad de arrendamiento de inmuebles llevada a cabo entre ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS SAU, e INMO ASISA SLU manifestamos lo siguiente: “Los tratamientos de los datos personales realizados por ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS SAU exclusivamente en cuanto a la actividad de arrendamiento de inmuebles pasan a ser responsabilidad de INMO ASISA SLU habiendo sido incorporados a sus ficheros. Dicho cambio de titularidad no conlleva ningún cambio en la finalidad, alcance o condiciones de los tratamientos de datos realizados hasta ahora por ASISA ASITENCIA SANITARIA INTERPROVINCIAL DE SEGUROS SAU Para cualquier información al respecto o para el ejercicio de los derechos de acceso, rectificación, cancelación u oposición que la LOPD garantiza a los titulares de los datos, pueden dirigirse en adelante a la siguiente dirección (C/.......1) Madrid o a la dirección de correo electrónico .....juridica@asisa.es donde atenderemos sus solicitudes.” Añaden que se ha incorporado un aviso legal de similar contenido en el apartado de “Noticias” en la página web de ASISA, así como en las páginas web de todos los hospitales y clínicas del GRUPO ASISA informando a los titulares de los datos de dicho cambio de titularidad, así como de las direcciones a efectos del ejercicio de derechos. Aporta copia de la web asisa.es, Prensa, 12/11/2015 en la que informa a efectos del artículo 5 en función de la transmisión de la rama de actividad. De su lectura se desprende que no coincide con la anunciada en el diario EL PAIS, si bien es similar, se incluye el literal: ”Dicho cambio de titularidad no conlleva ningún cambio en la finalidad o alcance o condiciones de los tratamientos de datos realizados hasta ahora por ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS SAU. Con idénticas finalidades y cuando ello resulte imprescindible se informa a los titulares de los datos que los mismos podrán ser comunicados entre las entidades del GRUPO ASISA que se pueden consultar en www.asisa.es”. Esta misma cláusula se contiene en cada una de los centros médicos, clínicas, hospitales y residencias en su web. Se accede a las mismas y se obtiene como muestra la impresión de su anuncio a 26/11/2015, figurando en el apartado “Actualidad”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 También se ha decidido remitir un correo electrónico adjunto a las facturas que emitan en lo sucesivo durante el plazo de un año, a aquellas partes con las que le vincula alguna relación de arrendamiento, incorporando una cláusula de regularización del deber de información. Aporta copia del envío de un correo en el que no se visiona la fecha de envío, contiene la información así como la citada cláusula: “Con idénticas finalidades y cuando ello resulte imprescindible se informa a los titulares de los datos que los mismos podrán ser comunicados entre las entidades del GRUPO ASISA que se pueden consultar en www.asisa.es”. Indica que con todas estas medidas adoptadas: “no existe vulneración de la normativa de protección de datos”, al haberse adoptado todas las medidas a su alcance CUARTO: Con fecha 10/12/2015 se solicitó:
- a)En el fichero inscrito CLIENTES, figura que constan como datos personales: imagen/voz. Detallar en que casos se recogen dichos datos, y como se recogen. Con fecha 4/01/2016 se recibió respuesta en la que indica que solo es una futura posibilidad anticipándose a situaciones en las que fuera necesario grabar imágenes o voz, casos que hasta la fecha no se han producido.
- b)Para el cálculo cuantitativo de la dificultad o imposibilidad de informar deberán detallar el número, aunque sea aproximado de personas físicas o interesados cuyos datos son tratados en el fichero CLIENTES, (artículo 5.5 LOPD) y si en dicho fichero también figuran datos de personas jurídicas o de contacto de personas físicas que representan a personas jurídicas, y proporción que representan sobre el total de los datos del fichero los de las personas físicas. Reitera que no es posible determinar ni siquiera aproximadamente el número de afectados, facilitar un número estimativo no se ajustaría a la realidad. El volumen serían tan elevado, junto con la antigüedad, más de 20 años en algunos caos que dificultaría el cumplimiento a título individual del deber de información requerido por la normativa. A ello se ha de añadir la dispersión de soportes que contienen la información generado durante dicho periodo que en su mayoría no tienen carácter electrónico, sucesión en el tiempo de diversos arrendamientos sobre los mismos inmuebles, y cambios en los arrendadores.
- c)Motivos por el que las clausulas informativas se insertan en las webs de las clínicas, hospitales y/o centros asistenciales. Indicó que para informar y difundir al máximo el citado cambio.
- d)Respecto de la parte de la cláusula informativa expuesta en las webs que indica:” Dicho cambio de titularidad no conlleva ningún cambio en la finalidad o alcance o condiciones de los tratamientos de datos realizados hasta ahora por ASISA ASISTENCIA SANITARIA INTERPROVINCIAL DE SEGUROS SAU. Con idénticas finalidades y cuando ello resulte imprescindible se informa a los titulares de los datos que los mismos podrán ser comunicados entre las entidades del GRUPO ASISA que se pueden consultar en www.asisa.es”. Se solicita que informen para que supuestos está pensada dicha cesión y si no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 una contradicción el indicar que para las mismas finalidades se pueden ceder los datos a otras entidades que lógicamente son empresas diferentes, aunque del Grupo, con distintos fines. Indicó que deben mantener relacionas contractuales con una gran cantidad de profesionales que suman un número indeterminado y desconocido respecto de los que INMO ASISA muchas veces solo dispone de datos fragmentarios y que no permiten una localización completa, por lo que el cambio de titularidad deviene extraordinariamente dificultosa. La posible comunicación de los datos de los interesados o afectados a las entidades del Grupo ASISA es consecuencia de que los arrendamientos en algunos casos, se efectúan en instalaciones ubicadas y operadas por entidades del Grupo, Clínicas, Hospitales y Centros Médicos, y para poder gestionar las entradas en dichas instalaciones y garantizar el control de acceso físico a los arrendatarios es preciso comunicar a dichas entidades los datos de contacto de los mismos
- e)Se informa además, que deberían añadir para completar la información que para el ejercicio de los derechos han de adjuntar documento que acredite su identidad. Indica cómo queda el literal del texto informativo destacando que coincide con el expuesto el 11 en el PAIS añadiendo dos párrafos más. El primero, referido a que los datos se trataran cumpliendo el deber de secreto y teniendo en cuenta las medidas de seguridad, que no añaden nada a la información y no es necesaria para la finalidad. La segunda indica: “Por último y como consecuencia de la escisión de la rama de negocio que actualmente gestiona INMO ASISA SLU rogamos que verifiquen que los datos tratados, por esta entidad en condición de responsable del fichero no se encuentran desactualizados y son correctos, en caso contrario rogamos nos lo comuniquen a fin de proceder a su rectificación.” FUNDAMENTOS DE DERECHO I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del reglamento de desarrollo de la ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en adelante RLOPD) aprobado por Real Decreto 1720/2007, de 21/12, que confiere la competencia para dictar resolución concediendo o denegando la exención del deber de informar al Director de la Agencia Española de Protección de Datos. II La Ley 3/2009 de 3/04 sobre modificaciones estructurales de las sociedades mercantiles regula dentro de la escisión de sociedades, la segregación mediante la cual una sociedad transmite en bloque una parte del patrimonio social a otra de nueva creación, recibiendo directamente a cambio todas las acciones, participaciones o cuotas de socio de esa sociedad. El artículo 71 determina: “Se entiende por segregación el traspaso en bloque por sucesión universal de una o varias partes del patrimonio de una sociedad, cada una de las cuales forme una unidad económica, a una o varias sociedades, recibiendo a cambio la sociedad segregada acciones, participaciones o cuotas de las sociedades beneficiarias.” En el presente supuesto se acordó la segregación de una parte del patrimonio de ASISA, ASISTENCIA SANITARIA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 INTERPROVINCIAL DE SEGUROS SAU que constituye una unidad económica independiente y diferenciada, formada por la rama de actividad de arrendamiento de inmuebles y la transmisión en bloque a favor de la sociedad beneficiaria INMO ASISA SLU. INMO ASISA aparece inscrita en el Registro Mercantil el 4/05/2015 con objeto social “Promoción, construcción, urbanización, compra y venta, arrendamiento y cualquier otra forma de explotación de toda clase de bienes inmuebles, excluido el arrendamiento financiero la conservación, mantenimiento, reparación, saneamiento.” El artículo 19 del RLOPD indica: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la LOPD.” ASISA mantenía relaciones de arrendamiento de inmuebles desde su constitución en 1971 si bien los datos no están totalmente automatizados comenzado dicha labor en 1998 no teniendo un número cierto y determinado de afectados identificados plenamente, y no ofreciendo absoluta fiabilidad la mayoría de los datos que posee pues entre otros, se han producido a lo largo del tiempo sucesión en arrendamientos, sin que ni la solicitante disponga de información clara y fehaciente sobre el número de destinatarios de dichas relaciones a los cuales dirigirse para informar. III El artículo 153 del RLOPD indica:”1. El procedimiento para obtener de la Agencia Española de Protección de Datos la exención del deber de informar al interesado acerca del tratamiento de sus datos de carácter personal cuando resulte imposible o exija esfuerzos desproporcionados, prevista en el apartado 5 del artículo 5 de la LOPD, se iniciará siempre a petición del responsable que pretenda obtener la aplicación de la exención. 2. En el escrito de solicitud, además de los requisitos recogidos en el artículo 70 de la Ley 30/1992, de 26/11, el responsable deberá:
- a)Identificar claramente el tratamiento de datos al que pretende aplicarse la exención del deber de informar.
- b)Motivar expresamente las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar.
- c)Exponer detalladamente las medidas compensatorias que propone realizar en caso de exoneración del cumplimiento del deber de informar.
- d)Aportar una cláusula informativa que, mediante su difusión, en los términos que se indiquen en la solicitud, permita compensar la exención del deber de informar.” El artículo 5.5 de la LOPD se incardina en el deber de información sobre el tratamiento de datos que se han obtenido o que han sido cedidos integrándose en el aspecto general de la información cuyo artículo 5 de la LOPD merece ser citado íntegramente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o de organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” En el presente supuesto, la segregación operada no se considera cesión según el artículo 19 del Reglamento de la LOPD, si bien de acuerdo con la LOPD, los datos pasan a una entidad diferenciada con distinta personalidad jurídica perteneciente al mismo grupo empresarial. Lo importante de la misma es el conocimiento que los afectados puedan llegar a tener de la operación de cambio de responsable. Teniendo en cuenta la indeterminación de los titulares de las relaciones en las que la solicitante se ha subrogado, la falta de precisión y concreción del número de afectados, que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 cumplimiento de la obligación de información ha tenido ha lugar, y se han ampliado las medidas compensatorias, observando que no se perjudican derechos de los afectados, se accede a la solicitud formulada. En cuanto a los términos de la difusión de la cláusula informativa a publicar, dado que ya se han efectuado las mencionadas publicaciones y se incluye en las diversas páginas de Centros y Hospitales se considera no necesaria una publicación adicional. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: AUTORIZAR la exención del deber de informar a los afectados por aplicación del artículo 5.5 de la LOPD instada por el INMO ASISA SLU, en los términos expresados en esta resolución. SEGUNDO: NOTIFICAR la presente resolución a INMO ASISA SLU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, y del 116 del RLOPD, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es